[發(fā)明專利]一種攻擊鏈情報(bào)分析方法、系統(tǒng)及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010797801.0
• 申請(qǐng)日: 2020-08-10
• 公開（公告）號(hào): CN111917793B
• 公開（公告）日: 2021-09-03
• 發(fā)明（設(shè)計(jì)）人: 段彬
• 申請(qǐng)（專利權(quán)）人: 武漢思普崚技術(shù)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;G06F16/28;G06F16/2458;G06N20/20
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.一種攻擊鏈情報(bào)分析方法，其特征在于，所述方法包括：

通過(guò)數(shù)據(jù)采集器收集交換機(jī)的鏡像流量、網(wǎng)絡(luò)流量日志、安全設(shè)備日志以及傳輸文件的原始數(shù)據(jù)，以及從多方不同數(shù)據(jù)源接收漏洞信息、病毒庫(kù)信息、網(wǎng)絡(luò)攻擊行為特征的情報(bào)數(shù)據(jù)，將收集到的原始數(shù)據(jù)和情報(bào)數(shù)據(jù)進(jìn)行緩存；

采集網(wǎng)絡(luò)內(nèi)的傳感器、節(jié)點(diǎn)設(shè)備、信息平臺(tái)、網(wǎng)絡(luò)設(shè)備的運(yùn)行狀態(tài)數(shù)據(jù)、IP數(shù)據(jù)、域名信息、URL信息、傳輸數(shù)據(jù)包、數(shù)據(jù)庫(kù)動(dòng)態(tài)信息，與所述收集到的原始數(shù)據(jù)和情報(bào)數(shù)據(jù)合并緩存，進(jìn)行實(shí)時(shí)的預(yù)處理，得到標(biāo)準(zhǔn)化的情報(bào)數(shù)據(jù)流；

其中，所述預(yù)處理包括清除數(shù)據(jù)中冗余重復(fù)的信息，根據(jù)來(lái)源的類型，將數(shù)據(jù)初始化轉(zhuǎn)換為統(tǒng)一的格式，分入對(duì)應(yīng)的字段，合并成所述情報(bào)數(shù)據(jù)流；

從所述情報(bào)數(shù)據(jù)流中提取要素，發(fā)現(xiàn)要素中包括的行為動(dòng)作、訪問(wèn)對(duì)象、來(lái)源者地址、瞬時(shí)流量大小中的一種或若干種，從中發(fā)掘高頻項(xiàng)目組，根據(jù)高頻項(xiàng)目組對(duì)應(yīng)的信息生成高頻關(guān)聯(lián)規(guī)則，加大其對(duì)應(yīng)的權(quán)重，將更新權(quán)重后的數(shù)據(jù)進(jìn)行數(shù)據(jù)融合，組成樹狀結(jié)構(gòu)；

將所述情報(bào)數(shù)據(jù)流送入第一機(jī)器學(xué)習(xí)模型，檢測(cè)是否包括第一攻擊向量；

將所述樹狀結(jié)構(gòu)的圖形數(shù)據(jù)送入第二機(jī)器學(xué)習(xí)模型，進(jìn)行形態(tài)分析，根據(jù)圖形的樹狀結(jié)構(gòu)，找出其中的關(guān)鍵節(jié)點(diǎn)，所述關(guān)鍵節(jié)點(diǎn)包括源點(diǎn)、分裂出并行的軌跡的節(jié)點(diǎn)、分裂出分支的節(jié)點(diǎn)、或者跨網(wǎng)的節(jié)點(diǎn)，比較所述樹狀結(jié)構(gòu)的形狀和覆蓋范圍與數(shù)據(jù)庫(kù)中歷史攻擊面的形態(tài)數(shù)據(jù)的相似度，當(dāng)相似度數(shù)值落入預(yù)設(shè)的區(qū)間內(nèi)時(shí)，則認(rèn)定當(dāng)前所述樹狀結(jié)構(gòu)與歷史某一次攻擊面形態(tài)吻合，調(diào)取所述歷史某一次攻擊面的攻擊向量作為第二攻擊向量；

將所述情報(bào)數(shù)據(jù)流再次送入第一機(jī)器學(xué)習(xí)模型，檢測(cè)是否包括第二攻擊向量；

當(dāng)所述第一機(jī)器學(xué)習(xí)模型檢測(cè)出所述情報(bào)數(shù)據(jù)流中包括所述第一攻擊向量或第二攻擊向量時(shí)，標(biāo)記所述第一攻擊向量或第二攻擊向量所在的節(jié)點(diǎn)為異常，開始對(duì)所述第一攻擊向量和第二攻擊向量分別進(jìn)行并行溯源；

獲取數(shù)據(jù)庫(kù)的用戶關(guān)系鏈，所述用戶關(guān)系鏈包括所屬部門的同事關(guān)系、與公司外部的客戶關(guān)系、親戚好友關(guān)系、郵件收發(fā)關(guān)系中的一種或若干種，將每一種關(guān)系下每一個(gè)人為所述用戶關(guān)系鏈的一個(gè)子節(jié)點(diǎn)；

根據(jù)業(yè)務(wù)流程規(guī)定的前后關(guān)系、具體業(yè)務(wù)動(dòng)作的經(jīng)辦人，得到業(yè)務(wù)關(guān)系鏈，將每一個(gè)經(jīng)辦人、經(jīng)辦人名下的終端、設(shè)備、文件、即時(shí)通信為所述業(yè)務(wù)關(guān)系鏈的一個(gè)子節(jié)點(diǎn)；

獲取設(shè)備上傳輸?shù)臄?shù)據(jù)流、用戶使用情況、業(yè)務(wù)辦理情況，得到設(shè)備關(guān)系鏈，將每一個(gè)數(shù)據(jù)包、用戶賬號(hào)、業(yè)務(wù)動(dòng)作作為所述設(shè)備關(guān)系鏈的一個(gè)子節(jié)點(diǎn)；

上述用戶關(guān)系鏈、業(yè)務(wù)關(guān)系鏈、設(shè)備關(guān)系鏈均隸屬于一個(gè)節(jié)點(diǎn)，屬于該節(jié)點(diǎn)的多維屬性鏈，每一種屬性鏈下又包括多個(gè)子節(jié)點(diǎn)，判斷異常節(jié)點(diǎn)下的子節(jié)點(diǎn)是否存在安全漏洞，如果是，則標(biāo)記該異常節(jié)點(diǎn)為漏洞點(diǎn)；

連接所有的漏洞點(diǎn)，形成完整的傳染軌跡，溯源得到傳染的源點(diǎn)，判斷并行溯源的其他條傳染軌跡之間是否存在邏輯關(guān)聯(lián)，如果存在，則將并行溯源的其他條傳染軌跡中鄰近的漏洞點(diǎn)串聯(lián)起來(lái)，形成一傳染面；

管理員針對(duì)所述傳染面中的關(guān)鍵節(jié)點(diǎn)動(dòng)態(tài)部署防御策略。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于：所述防御策略包括：完全隔離單個(gè)設(shè)備或用戶、完全禁止單項(xiàng)業(yè)務(wù)、僅拒絕單個(gè)設(shè)備或用戶開展指定的單項(xiàng)業(yè)務(wù)、僅拒絕單個(gè)設(shè)備或用戶修改數(shù)據(jù)中的一種或若干種；

根據(jù)網(wǎng)絡(luò)節(jié)點(diǎn)的負(fù)載情況自動(dòng)部署防御策略，若關(guān)鍵節(jié)點(diǎn)負(fù)載小于預(yù)設(shè)的閾值，則直接在關(guān)鍵節(jié)點(diǎn)部署，否則，為關(guān)鍵節(jié)點(diǎn)選擇負(fù)載小于閾值的鄰近網(wǎng)絡(luò)節(jié)點(diǎn)部署，切斷關(guān)鍵節(jié)點(diǎn)向外傳輸?shù)穆窂剑?/p>

當(dāng)所述鄰近網(wǎng)絡(luò)節(jié)點(diǎn)的負(fù)載上升大于閾值時(shí)，先判斷關(guān)鍵節(jié)點(diǎn)負(fù)載是否還大于閾值，如果是，為關(guān)鍵節(jié)點(diǎn)切換到第二鄰近網(wǎng)絡(luò)節(jié)點(diǎn)部署策略，所述第二鄰近網(wǎng)絡(luò)節(jié)點(diǎn)是在關(guān)鍵節(jié)點(diǎn)潛在的傳播路徑上；

定期檢測(cè)關(guān)鍵節(jié)點(diǎn)的負(fù)載情況，當(dāng)負(fù)載穩(wěn)定小于閾值時(shí)，則將部署切換回關(guān)鍵節(jié)點(diǎn)。

3.根據(jù)權(quán)利要求1-2任一項(xiàng)所述的方法，其特征在于：所述邏輯關(guān)聯(lián)包括：分析所屬業(yè)務(wù)是否存在關(guān)聯(lián)、或業(yè)務(wù)是否相同，分析相關(guān)節(jié)點(diǎn)是否在潛在傳播路徑上，分析所屬用戶是否相同、或用戶之間是否存在關(guān)系鏈。