[發明專利]一種基于日志關聯分析的攻擊鏈構造方法

在審

• 申請號: 202010929922.6
• 申請日: 2020-09-07
• 公開（公告）號: CN112104633A
• 公開（公告）日: 2020-12-18
• 發明（設計）人: 李騰;廖艾;馬卓;林楊旭;汪雨菲;葉先志;丁宇辰;朱孝羽;沈玉龍;馬建峰
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 西安通大專利代理有限責任公司 61200
• 代理人: 房鑫

一種基于日志關聯分析的攻擊鏈構造方法，包括以下步驟：首先，從幾種類型的源中收集不同的系統日志，對數據進行預處理使其規格化；然后，利用LCS將尋找攻擊步驟邏輯規則的問題轉化為從整個條件鏈中尋找最長公共條件序列的問題，構造出攻擊鏈后分析事件，得到對應條件或事件的日志條目序列；最后，查找條件相同的時間戳來確定系統日志位置，通過分析內部事件參數的關系來識別具體的攻擊者及其行為，實現攻擊的預測。本發明具有準確率高、計算速度快、可主動防御攻擊以及可擴展性強的優點。

技術領域

本發明屬于無線網絡通信領域，具體涉及一種基于日志關聯分析的攻擊鏈構造方法。

背景技術

隨互聯網及數字技術的飛速發展，人們對網絡帶寬的需求量逐年增加，并且在網絡接入的便捷性和安全性上有著更高的需求。通常，攻擊者為了達到攻擊目的，在最后的攻擊發生之前會進行很多先進的滲透步驟。比如：掃描目標主機的開放端口、發送大量的數據來獲得系統信息、使用工具來定位錯誤。由此可見，在網絡或系統變癱瘓之前攻擊者已經與系統保持了聯系。例如APT攻擊，可以分期潛入目標系統，并在不被發現的情況下長時間停留在其中。這些攻擊的目標是經過精心挑選和研究的，特別包括大型企業或政府網絡，這也可能會造成私密信息泄露、知識產權竊取以及總網站收購的巨大后果。然而他們很難被檢測或者預防。但是，這些攻擊會在幾個不同的日志文件中留下線索，所以關聯日志和展開多階段攻擊十分重要，構建攻擊鏈來理解惡意進程并防止系統破壞也是至關重要的。

由于開發人員不能考慮觸發警報消息的所有條件，常規的攻擊步驟不能通過單個日志源來反映，即使在安全的系統日志中也是如此。根據對設備或系統攻擊的觀察，也發現僅僅診斷一種類型的日志是不夠的。此外，大多數系統的日志文件并不包含相應提示系統已被攻擊的信息。相反，日志條目會顯示操作正常。但是，當一個熟練的專家交叉引用不同的源日志文件時，比如系統日志、防火墻日志、CPU利用率、LAN狀態、內存信息等等，他們就可以找出系統受損的原因。現有的方法只能使用單一類型的日志檢測異常，不能通過日志集成和關聯揭示所有的攻擊步驟。這種方法很難檢測到事件之間的關系，也很難預先阻止攻擊。此外，日志分析中的傳統機器學習或者數據挖掘在計算方面的開銷較大，這在實際的產品或系統中是不實用的。這說明日志相關性十分重要，但實現起來又如此復雜。

發明內容

本發明的目的在于針對上述現有技術中使用單一類型的日志檢測異常時效果不佳的問題，提供一種基于日志關聯分析的攻擊鏈構造方法，能夠實現在系統癱瘓前預測攻擊。

為了實現上述目的，本發明有如下的技術方案：

一種基于日志關聯分析的攻擊鏈構造方法，包括以下步驟：首先，從幾種類型的源中收集不同的系統日志，對數據進行預處理使其規格化；然后，利用LCS將尋找攻擊步驟邏輯規則的問題轉化為從整個條件鏈中尋找最長公共條件序列的問題，構造出攻擊鏈后分析事件，得到對應條件或事件的日志條目序列；最后，查找條件相同的時間戳來確定系統日志位置，通過分析內部事件參數的關系來識別具體的攻擊者及其行為，實現攻擊的預測。

作為優選，收集相同類型的攻擊日志，預處理時定位攻擊的時間戳，并從該點得到不同的系統日志，使用不同維度的數據來描述條件；使用Fast Linear SVM來判斷這兩個條件是否屬于同一類別或屬于同一條件，如果它們在同一群中，給它們相同的條件標簽，反之則給它們不同的條件標簽；指定向量每個元組的權重，把相同攻擊的不同模板數據形式化。

作為優選，所述Fast Linear SVM的判斷計算式為：