[發(fā)明專利]一種攻擊意圖識(shí)別方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 202011038322.7
• 申請(qǐng)日: 2020-09-28
• 公開（公告）號(hào): CN112131249A
• 公開（公告）日: 2020-12-25
• 發(fā)明（設(shè)計(jì)）人: 吳復(fù)迪;劉文懋;薛見新;張潤(rùn)滋;吳子建
• 申請(qǐng)（專利權(quán)）人: 綠盟科技集團(tuán)股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): G06F16/245
• 分類號(hào): G06F16/245;G06F21/57
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 王媛媛

1.一種攻擊意圖識(shí)別方法，其特征在于，包括：

獲取告警載荷數(shù)據(jù)，并對(duì)所述告警載荷數(shù)據(jù)進(jìn)行特征提取，獲得所述告警載荷數(shù)據(jù)的載荷特征，其中，所述告警載荷數(shù)據(jù)為產(chǎn)生告警信息的原始輸入的數(shù)據(jù)；

基于已訓(xùn)練的攻擊意圖識(shí)別模型，以所述載荷特征為輸入?yún)?shù)，根據(jù)所述攻擊意圖識(shí)別模型中的回歸函數(shù)和所述載荷特征，確定所述告警載荷數(shù)據(jù)的攻擊意圖向量，其中，所述回歸函數(shù)為根據(jù)載荷特征樣本和攻擊意圖向量樣本通過迭代訓(xùn)練獲得的；

根據(jù)所述攻擊意圖向量，確定所述告警信息指示的攻擊行為的攻擊意圖。

2.如權(quán)利要求1所述的方法，其特征在于，對(duì)所述告警載荷數(shù)據(jù)進(jìn)行特征提取，具體包括：

獲取所述告警載荷數(shù)據(jù)的各屬性信息，其中，所述屬性信息至少包括文件路徑、IP地址、域名、URL、操作系統(tǒng)命令、腳本函數(shù)名、SQL關(guān)鍵字、系統(tǒng)表名、混淆函數(shù)名；

對(duì)所述各屬性信息進(jìn)行去重處理，獲得去重后的各屬性信息；

獲取預(yù)設(shè)的模板屬性信息，并對(duì)所述模板屬性信息在所述去重后的各屬性信息中出現(xiàn)的次數(shù)進(jìn)行次數(shù)統(tǒng)計(jì)，獲得所述告警載荷數(shù)據(jù)的各屬性信息的計(jì)數(shù)統(tǒng)計(jì)結(jié)果；

將所述計(jì)數(shù)統(tǒng)計(jì)結(jié)果作為所述告警載荷數(shù)據(jù)的載荷特征。

3.如權(quán)利要求1所述的方法，其特征在于，獲取告警載荷數(shù)據(jù)之后，進(jìn)一步包括：

若確定所述告警載荷數(shù)據(jù)中包括編碼塊，則通過所述編碼塊的內(nèi)容模式識(shí)別所述編碼塊的編碼類型，根據(jù)所述編碼類型，確定對(duì)應(yīng)的預(yù)設(shè)解碼方式，對(duì)所述編碼塊進(jìn)行解碼，獲得解碼結(jié)果數(shù)據(jù)，若確定所述解碼結(jié)果數(shù)據(jù)中包含有編碼塊，則對(duì)所述解碼結(jié)果數(shù)據(jù)中的編碼塊進(jìn)行解碼，直至所述解碼結(jié)果數(shù)據(jù)中未包含編碼塊，則停止解碼；

則對(duì)所述告警載荷數(shù)據(jù)進(jìn)行特征提取，具體包括：

對(duì)所述告警載荷數(shù)據(jù)和所述解碼結(jié)果數(shù)據(jù)進(jìn)行特征提取。

4.如權(quán)利要求1所述的方法，其特征在于，若所述回歸函數(shù)為第一超平面和第二超平面，則根據(jù)所述意圖識(shí)別模型中的回歸函數(shù)和所述載荷特征向量，確定所述告警載荷數(shù)據(jù)的攻擊意圖向量，具體包括：

根據(jù)所述第一超平面和所述載荷特征，確定所述告警載荷數(shù)據(jù)的試探性分值分量，其中，所述試探性分值分量為攻擊意圖向量的分量，所述試探性分值分量表征攻擊行為期望確定安全漏洞是否存在的期望度分值對(duì)應(yīng)的向量；

根據(jù)所述第二超平面和所述載荷特征，確定所述告警載荷數(shù)據(jù)的利用性分值分量，其中，所述利用性分值分量為所述攻擊意圖向量的分量，所述利用性分值分量表征攻擊行為期望構(gòu)成實(shí)際危害的期望性分值對(duì)應(yīng)的向量；

根據(jù)所述試探性分值分量和所述利用性分值分量，確定所述告警信息指示的攻擊行為的攻擊意圖向量。

5.如權(quán)利要求1所述的方法，其特征在于，所述第一超平面的獲得方式為：

獲取載荷特征樣本集和對(duì)應(yīng)的試探性分值分量樣本集；

根據(jù)所述各載荷特征樣本和所述試探性分值分量，獲得各第一標(biāo)注數(shù)據(jù)樣本，并根據(jù)所述各第一標(biāo)注數(shù)據(jù)樣本訓(xùn)練獲得第一超平面，并使得各第一標(biāo)注數(shù)據(jù)樣本到預(yù)設(shè)的第一超平面之間的距離損失最小化，其中，所述距離損失為所述第一標(biāo)注數(shù)據(jù)樣本與第一超平面之間的距離大于等于距離閾值時(shí)，第一標(biāo)注數(shù)據(jù)樣本與第一超平面之間的距離差值。

6.如權(quán)利要求1所述的方法，其特征在于，所述第二超平面的獲得方式為：

獲取載荷特征樣本集和對(duì)應(yīng)的利用性分值分量樣本集；

根據(jù)所述各載荷特征樣本和所述利用性分值分量樣本，獲得各第二標(biāo)注數(shù)據(jù)樣本，并根據(jù)所述各第二標(biāo)注數(shù)據(jù)樣本訓(xùn)練獲得第二超平面，并使得各第二標(biāo)注數(shù)據(jù)樣本到預(yù)設(shè)的第二超平面之間的距離損失最小化，其中，所述距離損失為所述第二標(biāo)注數(shù)據(jù)樣本與第二超平面之間的距離大于等于距離閾值時(shí)，第二標(biāo)注數(shù)據(jù)樣本與第二超平面之間的距離差值。