[發明專利]一種定向威脅攻擊的檢測方法和裝置

有效

• 申請號: 202010517796.3
• 申請日: 2020-06-09
• 公開（公告）號: CN111756708B
• 公開（公告）日: 2022-06-28
• 發明（設計）人: 陳少涵;胡躍;吳雪陽
• 申請（專利權）人: 北京天空衛士網絡安全技術有限公司;成都天空衛士網絡安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/142;G06N3/04;G06N3/08
• 代理公司: 中原信達知識產權代理有限責任公司 11219
• 代理人: 張一軍;王安娜

本發明公開了一種定向威脅攻擊的檢測方法和裝置，涉及數據安全防護技術領域。該方法的一具體實施方式包括：獲取各個樣本機的網絡數據，對各個所述樣本機的網絡數據進行處理，分別得到各個所述樣本機的多維數組；根據各個所述樣本機的多維數組，分別生成各個所述樣本機對應的序列數組；采用各個所述樣本機對應的序列數組對神經網絡模型進行有監督訓練；獲取待測主機的網絡數據，對所述待測主機的網絡數據進行處理，得到所述待測主機的多維數組，將所述待測主機的多維數組輸入到訓練好的神經網絡模型，從而計算得到所述待測主機的定向威脅攻擊的概率。該實施方式能夠解決檢測成功率低和維護成本高的技術問題。

技術領域

本發明涉及數據安全防護技術領域，尤其涉及一種定向威脅攻擊的檢測方法和裝置。

背景技術

APT(Advanced Persistent Threat，高級持續性威脅)是一種針對性攻擊，其利用先進的攻擊手段對特定目標進行長期持續性網絡攻擊。對APT的檢測是當前企業數據安全防護技術的重要挑戰。

當前的主流APT檢測方法是基于深度包檢測技術，深度分析提取APT過程中的數據報文特征，形成基于報文內容的特定關鍵字、報文結構、前后報文相關性、源端對特征等規則，建立規則庫，以規則匹配方式進行APT檢測。

在實現本發明過程中，發明人發現現有技術中至少存在如下問題：

規則匹配方法通常采取部分規則子集和特定APT攻擊方式一對一的檢測模式，在面對加密、變體和未知類型APT攻擊時缺乏檢測成功率，且規則庫的建立需要大量的專家和安全技術人員進行數據分析和總結，維護、更新和擴展代價大。

發明內容

有鑒于此，本發明實施例提供一種定向威脅攻擊的檢測方法和裝置，以解決檢測成功率低和維護成本高的技術問題。

為實現上述目的，根據本發明實施例的一個方面，提供了一種定向威脅攻擊的檢測方法，包括：

獲取各個樣本機的網絡數據，對各個所述樣本機的網絡數據進行處理，分別得到各個所述樣本機的多維數組；

根據各個所述樣本機的多維數組，分別生成各個所述樣本機對應的序列數組；

采用各個所述樣本機對應的序列數組對神經網絡模型進行有監督訓練；

獲取待測主機的網絡數據，對所述待測主機的網絡數據進行處理，得到所述待測主機的多維數組，將所述待測主機的多維數組輸入到訓練好的神經網絡模型，從而計算得到所述待測主機的定向威脅攻擊的概率。

可選地，獲取各個樣本機的網絡數據，對所述網絡數據進行處理，分別得到各個所述樣本機的多維數組，包括：

將觸發規則匹配的主機標記為正向樣本機，將未觸發規則匹配的主機標記為負向樣本機；

對于每個正向樣本機，獲取距離所述正向樣本機的觸發規則匹配成功時間點為預設時間間隔內的網絡數據，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組；

對于每個負向樣本機，獲取距離所述負向樣本機的采樣時間點為預設時間間隔內的網絡數據，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組；

對各個維度的數據進行歸一化處理，使得各個多維數組中的數據映射到[0,1]區間。

可選地，按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到多維數組，包括：

按照單位時間間隔對所述預設時間間隔內的網絡數據進行統計和篩選，得到N個w維數組；其中，N＝T/t，T為預設時間間隔，t為單位時間間隔；

篩選出所有正向樣本在該維度的數值都為零的無效維度，將所述無效維度從所述N個w維數組中去除，得到N個u維數組；其中，u＜w。