[發(fā)明專利]基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法、裝置、設(shè)備及介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010467167.4
• 申請(qǐng)日: 2020-05-28
• 公開（公告）號(hào): CN111786950B
• 公開（公告）日: 2023-10-27
• 發(fā)明（設(shè)計(jì)）人: 楊超
• 申請(qǐng)（專利權(quán)）人: 中國(guó)平安財(cái)產(chǎn)保險(xiǎn)股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;G06F18/2431
• 代理公司: 深圳市世聯(lián)合知識(shí)產(chǎn)權(quán)代理有限公司 44385
• 代理人: 汪琳琳

1.一種基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，所述基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法包括：

收集原始數(shù)據(jù)，其中，所述原始數(shù)據(jù)包括安全態(tài)勢(shì)數(shù)據(jù)和安全事件數(shù)據(jù)；

結(jié)合所述安全事件數(shù)據(jù)，對(duì)所述安全態(tài)勢(shì)數(shù)據(jù)進(jìn)行數(shù)據(jù)預(yù)處理并聚合分析，得到安全態(tài)勢(shì)數(shù)據(jù)對(duì)應(yīng)的特征值；

將所述特征值輸入到預(yù)設(shè)的隨機(jī)森林模型中，通過所述預(yù)設(shè)的隨機(jī)森林模型，對(duì)所述特征值進(jìn)行訓(xùn)練，得到所述特征值對(duì)應(yīng)的目標(biāo)分類；

基于所述目標(biāo)分類和預(yù)設(shè)的事件發(fā)生條件，得到安全評(píng)估結(jié)果。

2.如權(quán)利要求1所述的基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，所述安全態(tài)勢(shì)數(shù)據(jù)包括差異數(shù)據(jù)和惡意數(shù)據(jù)，所述結(jié)合所述安全事件數(shù)據(jù)，對(duì)所述安全態(tài)勢(shì)數(shù)據(jù)進(jìn)行數(shù)據(jù)預(yù)處理并聚合分析，得到安全態(tài)勢(shì)數(shù)據(jù)對(duì)應(yīng)的特征值包括：

通過樣本IP提取算法，從每個(gè)所述安全事件數(shù)據(jù)中，提取樣本IP；

針對(duì)每個(gè)所述樣本IP，查詢RIR數(shù)據(jù)庫，獲取與所述樣本IP相關(guān)的所有IP地址塊，將所述樣本IP和所述樣本IP對(duì)應(yīng)的IP地址塊，作為一個(gè)聚合單元；

將每個(gè)所述聚合單元與所述安全態(tài)勢(shì)數(shù)據(jù)進(jìn)行聚合，得到聚合數(shù)據(jù)，并計(jì)算每個(gè)所述差異數(shù)據(jù)和每個(gè)所述惡意數(shù)據(jù)，命中所述聚合單元中包含的IP地址塊的比例，得到所述特征值。

3.如權(quán)利要求2所述的基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，所述通過樣本IP提取算法，從每個(gè)所述安全事件數(shù)據(jù)中，提取樣本IP包括：

從所述安全事件數(shù)據(jù)中，提取出與事件關(guān)聯(lián)的每個(gè)初始站點(diǎn)；

針對(duì)每個(gè)所述初始站點(diǎn)的IP地址進(jìn)行檢測(cè)，若所述初始站點(diǎn)的IP地址為入侵點(diǎn)，則將所述初始站點(diǎn)的IP地址作為入侵IP，若所述初始站點(diǎn)的IP地址為被攻擊的目標(biāo)IP地址，則將所述初始站點(diǎn)的IP地址作為目標(biāo)攻擊IP；

將所述入侵IP和所述目標(biāo)攻擊IP，作為所述樣本IP。

4.如權(quán)利要求1所述的基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，所述將所述特征值輸入到預(yù)設(shè)的隨機(jī)森林模型中，通過所述預(yù)設(shè)的隨機(jī)森林模型，對(duì)所述特征值進(jìn)行訓(xùn)練，得到所述特征值對(duì)應(yīng)的目標(biāo)分類包括：

將所述特征值輸入到預(yù)設(shè)的隨機(jī)森林模型中；

通過所述預(yù)設(shè)的隨機(jī)森林模型，計(jì)算每個(gè)所述特征值對(duì)應(yīng)的基尼系數(shù)值；

根據(jù)得到的基尼系數(shù)值與預(yù)設(shè)維度數(shù)量，確定所述特征值在所述預(yù)設(shè)的隨機(jī)森林模型中對(duì)應(yīng)的決策樹，作為目標(biāo)決策樹；

根據(jù)所述目標(biāo)決策樹，確定所述特征值對(duì)應(yīng)的目標(biāo)分類。

5.如權(quán)利要求1至4任一項(xiàng)所述的基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，在所述將所述特征值輸入到預(yù)設(shè)的隨機(jī)森林模型中，通過所述預(yù)設(shè)的隨機(jī)森林模型，對(duì)所述特征值進(jìn)行訓(xùn)練，得到所述特征值對(duì)應(yīng)的目標(biāo)分類之前，所述基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法還包括：

根據(jù)所述安全事件數(shù)據(jù)中，攻擊目標(biāo)對(duì)應(yīng)的特征數(shù)據(jù)，作為第一數(shù)據(jù)，并從非攻擊目標(biāo)對(duì)應(yīng)的特征數(shù)據(jù)，作為第二數(shù)據(jù)；

根據(jù)所述第一數(shù)據(jù)的特征維度和所述第二數(shù)據(jù)的特征維度，生成所述預(yù)設(shè)的隨機(jī)森林模型。

6.如權(quán)利要求5所述的基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，所述根據(jù)所述第一數(shù)據(jù)的特征維度和所述第二數(shù)據(jù)的特征維度，生成所述預(yù)設(shè)的隨機(jī)森林模型包括：

將所述第一數(shù)據(jù)和所述第二數(shù)據(jù)作為訓(xùn)練集，并使用隨機(jī)抽樣的方式從所述訓(xùn)練集中抽取訓(xùn)練樣本，構(gòu)建K個(gè)子訓(xùn)練集，其中，K為正整數(shù)；

針對(duì)每個(gè)所述子訓(xùn)練集，計(jì)算每個(gè)所述特征維度的信息熵和信息增益；

根據(jù)所述信息熵和所述信息增益，確定每個(gè)所述特征維度的信息增益比；

選取最大的信息增益比對(duì)應(yīng)的特征維度作為分裂節(jié)點(diǎn)進(jìn)行分裂，并返回所述針對(duì)每個(gè)所述子訓(xùn)練集，計(jì)算每個(gè)所述特征維度的信息熵和信息增益的步驟繼續(xù)執(zhí)行，直到每個(gè)所述特征維度均作為分裂點(diǎn)完成分裂為止，生成K棵決策樹；

根據(jù)K棵所述決策樹構(gòu)造隨機(jī)森林，得到所述預(yù)設(shè)的隨機(jī)森林模型。

7.如權(quán)利要求1所述的基于態(tài)勢(shì)感知的網(wǎng)絡(luò)安全監(jiān)控方法，其特征在于，所述方法還包括：將收集到的所述安全態(tài)勢(shì)數(shù)據(jù)和所述安全事件數(shù)據(jù)存儲(chǔ)至區(qū)塊鏈中。