[發(fā)明專利]網(wǎng)絡攻擊事件溯源處理方法、裝置、設備和存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202011082874.8
• 申請日: 2020-10-12
• 公開（公告）號: CN111935192B
• 公開（公告）日: 2021-03-23
• 發(fā)明（設計）人: 張嬋娟;廖湘平;鄧永;董文輝;楊耀榮
• 申請（專利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州華進聯(lián)合專利商標代理有限公司 44224
• 代理人: 黃晶晶

本申請涉及網(wǎng)絡安全技術領域，特別是涉及一種網(wǎng)絡攻擊事件溯源處理方法、裝置、設備和存儲介質(zhì)。所述方法包括：獲取待溯源的網(wǎng)絡攻擊事件相關的網(wǎng)絡攻擊線索；基于構(gòu)建的網(wǎng)絡威脅關聯(lián)模型對網(wǎng)絡攻擊線索進行情報挖掘，得到網(wǎng)絡攻擊事件相關的威脅情報；將網(wǎng)絡攻擊線索和威脅情報作為網(wǎng)絡攻擊事件對應的各攻擊行為要素，構(gòu)建包含各攻擊行為要素之間的關聯(lián)關系的溯源分析模型；根據(jù)溯源分析模型中目標攻擊行為要素之間的關聯(lián)關系確定溯源路徑，基于溯源路徑對網(wǎng)絡攻擊事件進行溯源，得到網(wǎng)絡攻擊事件的追蹤溯源結(jié)果。采用本方法能夠?qū)崿F(xiàn)對網(wǎng)絡攻擊事件的精準的追蹤溯源，從而提高計算機通信網(wǎng)絡的安全性。

技術領域

本申請涉及網(wǎng)絡安全技術領域，特別是涉及一種網(wǎng)絡攻擊事件溯源處理方法、裝置、設備和存儲介質(zhì)。

背景技術

隨著網(wǎng)絡技術的發(fā)展，出現(xiàn)了網(wǎng)絡安全技術，網(wǎng)絡安全技術用于維護計算機通信網(wǎng)絡的安全，主要包括網(wǎng)絡的硬件和軟件的正常運行、以及數(shù)據(jù)信息交換的安全。在實際應用中，網(wǎng)絡攻擊行為的頻發(fā)常常會對系統(tǒng)的網(wǎng)絡安全造成隱患，對網(wǎng)絡攻擊事件進行溯源是打擊網(wǎng)絡攻擊行為的一種常用且有效的手段。

目前針對網(wǎng)絡攻擊事件的溯源處理方法主要包括：對攻擊者所使用的IP地址進行分析、對攻擊者所使用的域名信息進行分析、通過攻擊者在入侵到主機后的行為日志進行分析、通過全流量進行分析、通過惡意代碼進行同源分析。

然而上述網(wǎng)絡攻擊事件的溯源處理方法，由于溯源分析的維度較為單一，無法準確地對網(wǎng)絡攻擊事件進行有效地追蹤溯源。

發(fā)明內(nèi)容

基于此，有必要針對上述技術問題，提供一種能夠提高對網(wǎng)絡攻擊事件進行追蹤溯源的精準度的網(wǎng)絡攻擊事件溯源處理方法、裝置、設備和存儲介質(zhì)。

一種網(wǎng)絡攻擊事件溯源處理方法，所述方法包括：

獲取待溯源的網(wǎng)絡攻擊事件相關的網(wǎng)絡攻擊線索；

基于所述網(wǎng)絡攻擊線索在構(gòu)建的網(wǎng)絡威脅關聯(lián)模型中對應的威脅要素，以及所述網(wǎng)絡威脅關聯(lián)模型中威脅要素之間的關聯(lián)關系，對所述網(wǎng)絡攻擊線索進行情報挖掘，得到所述網(wǎng)絡攻擊事件相關的威脅情報；

將所述網(wǎng)絡攻擊線索和所述威脅情報作為所述網(wǎng)絡攻擊事件對應的各攻擊行為要素，構(gòu)建包含各所述攻擊行為要素之間的關聯(lián)關系的溯源分析模型；

根據(jù)所述溯源分析模型中目標攻擊行為要素之間的關聯(lián)關系確定溯源路徑，基于所述溯源路徑對所述網(wǎng)絡攻擊事件進行溯源，得到所述網(wǎng)絡攻擊事件的追蹤溯源結(jié)果。

一種網(wǎng)絡攻擊事件溯源處理裝置，所述裝置包括：

網(wǎng)絡攻擊線索獲取模塊，用于獲取待溯源的網(wǎng)絡攻擊事件相關的網(wǎng)絡攻擊線索；

情報特征提取與分析模塊，用于基于所述網(wǎng)絡攻擊線索在構(gòu)建的網(wǎng)絡威脅關聯(lián)模型中對應的威脅要素，以及所述網(wǎng)絡威脅關聯(lián)模型中威脅要素之間的關聯(lián)關系，對所述網(wǎng)絡攻擊線索進行情報挖掘，得到所述網(wǎng)絡攻擊事件相關的威脅情報；

溯源分析模型構(gòu)建模塊，用于將所述網(wǎng)絡攻擊線索和所述威脅情報作為所述網(wǎng)絡攻擊事件對應的各攻擊行為要素，構(gòu)建包含各所述攻擊行為要素之間的關聯(lián)關系的溯源分析模型；

追蹤溯源模塊，用于根據(jù)所述溯源分析模型中目標攻擊行為要素之間的關聯(lián)關系確定溯源路徑，基于所述溯源路徑對所述網(wǎng)絡攻擊事件進行溯源，得到所述網(wǎng)絡攻擊事件的追蹤溯源結(jié)果。

一種計算機設備，包括存儲器和處理器，所述存儲器存儲有計算機程序，所述處理器執(zhí)行所述計算機程序時實現(xiàn)以下步驟：

獲取待溯源的網(wǎng)絡攻擊事件相關的網(wǎng)絡攻擊線索；

基于所述網(wǎng)絡攻擊線索在構(gòu)建的網(wǎng)絡威脅關聯(lián)模型中對應的威脅要素，以及所述網(wǎng)絡威脅關聯(lián)模型中威脅要素之間的關聯(lián)關系，對所述網(wǎng)絡攻擊線索進行情報挖掘，得到所述網(wǎng)絡攻擊事件相關的威脅情報；