[發明專利]社會工程學攻擊事件的檢測方法、裝置以及系統

在審

• 申請號: 202010698590.5
• 申請日: 2020-07-20
• 公開（公告）號: CN111859374A
• 公開（公告）日: 2020-10-30
• 發明（設計）人: 馮福偉;李鵬超;尚程;張振濤;何能強;梁彧;田野;傅強;王杰;楊滿智;蔡琳;金紅;陳曉光
• 申請（專利權）人: 恒安嘉新（北京）科技股份公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 孟金喆

1.一種社會工程學攻擊事件的檢測方法，其特征在于，應用于蜜罐系統，包括：

捕獲網絡攻擊事件；

根據社會工程學知識庫以及社會工程學檢測規則庫，對所述網絡攻擊事件進行特征匹配；

根據匹配結果，確定所述網絡攻擊事件是否為社會工程學攻擊事件。

2.根據權利要求1所述的方法，其特征在于，根據社會工程學知識庫以及社會工程學檢測規則庫，對所述網絡攻擊事件進行特征匹配，包括：

對所述網絡攻擊事件進行特征提取，得到所述網絡攻擊事件的事件特征；

將所述事件特征中包括的攻擊者特征與所述社會工程學知識庫中包括的目標攻擊者特征集合進行匹配；和/或

將所述事件特征中包括的心理學特征與所述社會工程學知識庫中包括的目標心理學特征集合進行匹配，并將所述事件特征中包括的技術特征與所述社會工程學檢測規則庫中包括的檢測規則集合進行匹配。

3.根據權利要求2所述的方法，其特征在于，根據匹配結果，確定所述網絡攻擊事件是否是社會工程學攻擊事件，包括：

如果所述事件特征中包括的攻擊者特征屬于所述社會工程學知識庫中包括的目標攻擊者特征集合，則確定所述網絡攻擊事件為社會工程學攻擊事件；和/或

如果所述事件特征中存在屬于目標心理學特征集合的心理學特征，并且所述社會工程學檢測規則庫中包括的檢測規則集合中存在與所述事件特征中包括的技術特征匹配的目標檢測規則，則確定所述網絡攻擊事件為社會工程學攻擊事件。

4.根據權利要求2所述的方法，其特征在于，根據匹配結果，確定所述網絡攻擊事件是否是社會工程學攻擊事件，包括：

如果所述事件特征中存在屬于目標心理學特征集合的心理學特征，并且所述社會工程學檢測規則庫中包括的檢測規則集合中不存在與所述事件特征中包括的技術特征匹配的目標檢測規則，則確定所述網絡攻擊事件為疑似社會工程學攻擊事件。

5.根據權利要求2所述的方法，其特征在于，所述目標心理學特征集合中至少包括：恐嚇特征、誘惑特征、恐懼特征、好奇特征、信任特征、貪婪特征、同情特征、內疚特征以及權威特征；

所述檢測規則集合中至少包括：惡意IP檢測規則、惡意鏈接檢測規則、惡意郵件檢測規則、木馬檢測規則、病毒檢測規則以及后門程序檢測規則。

6.一種社會工程學攻擊事件的檢測裝置，其特征在于，應用于蜜罐系統，包括：

捕獲模塊，用于捕獲網絡攻擊事件；

匹配模塊，用于根據社會工程學知識庫以及社會工程學檢測規則庫，對所述網絡攻擊事件進行特征匹配；

確定模塊，用于根據匹配結果，確定所述網絡攻擊事件是否為社會工程學攻擊事件。

7.一種社會工程學攻擊事件的檢測系統，其特征在于，包括：預設數量的蜜罐系統，控制器，事件分析系統以及數據存儲系統；

所述蜜罐系統，用于執行如權利要求1-5任一項所述的社會工程學攻擊事件的檢測方法，并將檢測到的社會工程學攻擊事件發送給控制器；

所述控制器，用于將各蜜罐系統發送的社會工程學攻擊事件存儲至數據存儲系統，并向所述事件分析系統下發與各社會工程學攻擊事件對應的事件分析指令；

所述事件分析系統，用于對與當前事件分析指令匹配的各社會工程學攻擊事件進行關聯分析，并根據關聯分析結果對所述數據存儲系統中包括的社會工程學知識庫以及社會工程學檢測規則庫進行更新。

8.根據權利要求7所述的系統，其特征在于，

所述蜜罐系統，還用于將檢測到的疑似社會工程學攻擊事件發送給控制器；

所述控制器，還用于將蜜罐系統發送的疑似社會工程學攻擊事件存儲至數據存儲系統，并向所述事件分析系統下發與所述疑似社會工程學攻擊事件對應的事件類型判斷指令；

所述事件分析系統，還用于對與當前事件類型判斷指令匹配的疑似社會工程學攻擊事件進行特征歸類統計，如果特征統計值大于預設閾值，則確定所述疑似社會工程學攻擊事件為社會工程學攻擊事件，否則確定所述疑似社會工程學攻擊事件為其他類型網絡攻擊事件。