[發明專利]一種威脅評估方法及裝置

在審

• 申請號: 202011614530.7
• 申請日: 2020-12-30
• 公開（公告）號: CN112632564A
• 公開（公告）日: 2021-04-09
• 發明（設計）人: 葉曉虎;劉文懋;王星凱;薛見新;吳子建
• 申請（專利權）人: 綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06N3/04;H04L12/26
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 趙小霞

一種威脅評估方法及裝置，用于對威脅評估的結果提供可解釋性。方法包括：確定所述N個節點中的高危節點；獲取M個關聯圖，所述關聯圖用于描述節點以及不同節點之間的關聯關系；其中，所述M個關聯圖中每個關聯圖缺少M個節點中的一個節點；所述M個節點為所述N個節點中除去所述高危節點之外的剩余節點；將所述M個關聯圖輸入到神經網絡，得到M個評估結果；確定M個評估結果中滿足條件的K個評估結果；確定所述K個評估結果對應的K個關聯圖中每個關聯圖所缺少的節點；根據所述缺少的節點，得到第一相關子圖；所述第一相關子圖可用于解釋所述高危節點處于高危狀態的原因。

技術領域

本發明涉及安全威脅評估領域，尤其涉及一種威脅評估方法及裝置。

背景技術

現有技術中，網絡安全面臨的威脅越來越多，安全運維人員面對海量的網絡告警數據經常無從下手，由此也產生了許多的威脅評估方法以及威脅評估模型。隨著各種圖神經網絡技術的發展，圖神經網絡也開始逐漸被應用到安全威脅評估領域。由于圖神經網絡包含十分豐富的關系型信息，可以很好地表示安全威脅評估中復雜的場景以及安全事件的上下文信息。但是圖神經網絡自身的可解釋性較差會限制其在安全威脅評估領域的進一步發展，因此，如何更好地對威脅評估結果提供可解釋性是需要解決的問題。

發明內容

本發明實施例提供了一種威脅評估方法及裝置，用于對威脅評估的結果提供可解釋性。

第一方面，本發明實施例提供一種威脅評估方法，應用于告警系統，所述告警系統與N個節點連接，包括：

確定所述N個節點中的高危節點；

獲取M個關聯圖，所述關聯圖用于描述節點以及不同節點之間的關聯關系；其中，所述M個關聯圖中每個關聯圖缺少M個節點中的一個節點；所述M個節點為所述N個節點中除去所述高危節點之外的剩余節點；

將所述M個關聯圖輸入到神經網絡，得到M個評估結果；

確定M個評估結果中滿足條件的K個評估結果；

確定所述K個評估結果對應的K個關聯圖中每個關聯圖所缺少的節點；

根據所述缺少的節點，得到第一相關子圖；所述第一相關子圖可用于解釋所述高危節點處于高危狀態的原因。

可選的，所述確定所述N個節點中的高危節點，包括：

獲取初始關聯圖，所述初始關聯圖中包含有N個節點、所述N個節點中每個節點對應的多個節點特征，所述N個節點之間的關系路徑、以及所述關系路徑對應的多個關系路徑特征，所述關系路徑并用于表征所述N個節點中任意兩個節點之間所產生的告警信息；

將所述初始關聯圖輸入到所述神經網絡，得到第一關聯圖；所述第一關聯圖與所述初始關聯圖之間節點數量不變；

計算所述第一關聯圖中第一節點與所述初始關聯圖中的第二節點之間的重構誤差，所述重構誤差用于表征所述第一節點對應的多個節點特征與所述第二節點對應的多個節點特征之間的差異大小，和/或，第一節點對應的關系路徑與所述第二節點對應的關系路徑之間的差異大小，和/或，第一節點對應的多個關系路徑特征與所述第二節點對應的多個關系路徑特征之間的差異大小；

其中，所述第二節點為所述初始關聯圖中與所述第一節點對應的節點，所述第一節點為所述第一關聯圖中的任一節點；

若所述重構誤差大于閾值，則確定所述第一節點為高危節點。

可選的，所述M個關聯圖中每個關聯圖缺少與所述一個節點對應的關系路徑。

可選的，所述第一相關子圖中包含有：多個節點、每個節點相對應的X個節點特征，以及，每個節點對應的多個關系路徑和每個關系路徑對應的Y個關系路徑特征；所述多個節點中包括所述高危節點；