[發明專利]一種基于圖的蜜罐系統威脅情報分析方法

有效

• 申請號: 202010984070.0
• 申請日: 2020-09-18
• 公開（公告）號: CN112115183B
• 公開（公告）日: 2021-09-21
• 發明（設計）人: 吳建亮;胡鵬;劉順明
• 申請（專利權）人: 廣州錦行網絡科技有限公司
• 主分類號: G06F16/2458
• 分類號: G06F16/2458;H04L29/06
• 代理公司: 北京精金石知識產權代理有限公司 11470
• 代理人: 楊蘭蘭

1.一種基于圖的蜜罐系統威脅情報分析方法，其特征在于，包括如下步驟：

S10.數據收集：利用蜜罐系統收集攻擊者的行為數據；

S20.數據提取：基于收集到的行為數據，分析提取出元信息以及由元信息衍生出的衍生信息；

S30.構建圖模型：以提取出的元信息以及衍生信息作為圖模型的節點，以各種元信息以及衍生信息的關系作為圖的邊，構建出圖模型，并實時保存至圖數據庫中；

S40.基于構建完成的圖模型定期進行威脅情報挖掘和分析，得到威脅情報的挖掘和分析結果，并進行顯示；

所述S40步驟中基于構建完成的圖模型定期進行威脅情報挖掘和分析的具體方法為：

S41.基于需要發掘和分析的威脅情報，選取圖模型中與威脅情報相關的節點；

S42.基于選取出的節點，結合挖掘目標應用圖挖掘算法，得到相應挖掘結果：當挖掘攻擊源間的群體特征時，采用基于節點相似度的社區發現算法；當挖掘攻擊者的個人特征信息時，采用頻繁子圖挖掘算法；

S43.基于挖掘結果分析得到所需要的威脅情報；

S50.基于已得到的威脅情報挖掘和分析結果，提供節點間關系的挖掘和分析接口，用于挖掘和分析用戶指定的節點信息，

所述S50步驟中基于已得到的威脅情報挖掘和分析結果，提供節點間關系的挖掘和分析接口的具體方法為：

S51.用戶指定一個或多個原始節點；

S52.基于用戶指定的原始節點，接口選取圖模型中所有與原始節點關聯的節點；

S53.基于選取出的節點，接口分析相同鄰居節點或計算節點相似度，用戶得到原始節點關聯的節點信息。

2.根據權利要求1所述的分析方法，其特征在于，所述S40步驟中威脅情報的挖掘和分析結果包括攻擊源之間關聯關系、惡意文件之間模糊關系、惡意文件家族衍生圖譜、同一攻擊平臺利用公網IP進行網絡攻擊情況。

3.根據權利要求1所述的分析方法，其特征在于，所述S50步驟中接口包括IP關聯查詢接口、惡意文件家族信息查詢接口、攻擊工具信息查詢接口。

4.根據權利要求2所述的分析方法，其特征在于，所述攻擊源之間關聯關系的挖掘和分析過程為：

圖模型中選取與IP節點存在關聯的SAMPLE、SAMPLE_FUZZY、SAMPLE_NAME、URL、TOOL_PAYLOAD節點；

采用社區發現算法挖掘和分析出攻擊蜜罐系統的攻擊源IP中所存在的社區群體；

采用頻繁子圖挖掘算法，挖掘出攻擊源使用頻率較高的攻擊工具，分析出不同攻擊源的攻擊習慣和攻擊水平。

5.根據權利要求2所述的分析方法，其特征在于，所述惡意文件之間模糊關系挖掘和分析過程為：

圖模型中選取所有SAMPLE_FUZZY節點；

計算SAMPLE_FUZZY之間模糊哈希值的相似度；

將相似度大于閾值的SAMPLE_FUZZY節點進行關聯，從而得到出惡意文件之間的關系。

6.根據權利要求2所述的分析方法，其特征在于，所述惡意文件家族衍生圖譜的挖掘和分析過程為：

圖模型中選取所有SAMPLE、SAMPLE_FUZZY、RELEASE_FIL和REALSE_FILE_FUZZY節點；

基于SAMPLE、SAMPLE_FUZZY、RELEASE_FIL和REALSE_FILE_FUZZY節點分別計算各節點之間哈希值或模糊哈希值的節點相似度；

將節點相似度大于閾值的節點進行關聯，從而構建出惡意文件的家族衍生圖譜；

基于惡意文件的家族衍生圖譜，分析得到惡意文件的進化衍生過程，可得知攻擊工具的進化衍生過程以及攻擊者的技術能力水平。