[發(fā)明專利]高級(jí)持續(xù)性攻擊檢測(cè)方法、裝置、計(jì)算機(jī)設(shè)備和介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202011632880.6
• 申請(qǐng)日: 2020-12-31
• 公開（公告）號(hào): CN112738115A
• 公開（公告）日: 2021-04-30
• 發(fā)明（設(shè)計(jì)）人: 鮑青波
• 申請(qǐng)（專利權(quán)）人: 北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京開陽(yáng)星知識(shí)產(chǎn)權(quán)代理有限公司 11710
• 代理人: 祝樂(lè)芳

1.一種高級(jí)持續(xù)性攻擊檢測(cè)方法，其特征在于，包括：

獲取網(wǎng)絡(luò)中的歷史告警事件數(shù)據(jù)；

以預(yù)設(shè)時(shí)間周期對(duì)所述歷史告警事件數(shù)據(jù)進(jìn)行分類，得到多個(gè)歷史告警事件數(shù)據(jù)子集；

根據(jù)歷史告警事件的源地址和目的地址，生成每個(gè)歷史告警事件數(shù)據(jù)子集對(duì)應(yīng)的攻擊關(guān)系圖；

對(duì)所有攻擊關(guān)系圖進(jìn)行頻繁子圖挖掘，獲取目標(biāo)攻擊線索。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)歷史告警事件的源地址和目的地址，生成每個(gè)歷史告警事件數(shù)據(jù)子集對(duì)應(yīng)的攻擊關(guān)系圖，包括：

根據(jù)歷史告警事件的源網(wǎng)絡(luò)協(xié)議IP地址、目標(biāo)IP地址和事件類型，生成每個(gè)歷史告警事件數(shù)據(jù)子集對(duì)應(yīng)的攻擊關(guān)系圖，其中，所述攻擊關(guān)系圖中的節(jié)點(diǎn)為所述源IP地址或者所述目標(biāo)IP地址，所述攻擊關(guān)系圖中的邊為所述事件類型。

3.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述對(duì)所有攻擊關(guān)系圖進(jìn)行頻繁子圖挖掘，獲取目標(biāo)攻擊線索，包括：

對(duì)所有攻擊關(guān)系圖進(jìn)行頻繁子圖挖掘，獲取候選攻擊線索；

對(duì)所述候選攻擊線索進(jìn)行分析，獲取目標(biāo)攻擊線索。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述對(duì)所述候選攻擊線索進(jìn)行分析，獲取目標(biāo)攻擊線索，包括：

根據(jù)設(shè)置的頻繁攻擊行為的白名單，修改所述候選攻擊線索中所述白名單對(duì)應(yīng)的節(jié)點(diǎn)，確定修改后的候選攻擊線索為所述目標(biāo)攻擊線索。

5.一種高級(jí)持續(xù)性攻擊檢測(cè)裝置，其特征在于，包括：

獲取模塊，用于獲取網(wǎng)絡(luò)中的歷史告警事件數(shù)據(jù)；

處理模塊，用于以預(yù)設(shè)時(shí)間周期對(duì)所述歷史告警事件數(shù)據(jù)進(jìn)行分類，得到多個(gè)歷史告警事件數(shù)據(jù)子集；

所述處理模塊，還用于根據(jù)歷史告警事件的源地址和目的地址，生成每個(gè)歷史告警事件數(shù)據(jù)子集對(duì)應(yīng)的攻擊關(guān)系圖；

所述處理模塊，還用于對(duì)所有攻擊關(guān)系圖進(jìn)行頻繁子圖挖掘，獲取目標(biāo)攻擊線索。

6.根據(jù)權(quán)利要求5所述的裝置，其特征在于，所述處理模塊具體用于：

根據(jù)歷史告警事件的源網(wǎng)絡(luò)協(xié)議IP地址、目標(biāo)IP地址和事件類型，生成每個(gè)歷史告警事件數(shù)據(jù)子集對(duì)應(yīng)的攻擊關(guān)系圖，其中，所述攻擊關(guān)系圖中的節(jié)點(diǎn)為所述源IP地址或者所述目標(biāo)IP地址，所述攻擊關(guān)系圖中的邊為所述事件類型。

7.根據(jù)權(quán)利要求5或6所述的裝置，其特征在于，所述處理模塊具體用于：

對(duì)所有攻擊關(guān)系圖進(jìn)行頻繁子圖挖掘，獲取候選攻擊線索；

對(duì)所述候選攻擊線索進(jìn)行分析，獲取目標(biāo)攻擊線索。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述處理模塊具體用于：

根據(jù)設(shè)置的頻繁攻擊行為的白名單，修改所述候選攻擊線索中所述白名單對(duì)應(yīng)的節(jié)點(diǎn)，確定修改后的候選攻擊線索為所述目標(biāo)攻擊線索。

9.一種計(jì)算機(jī)設(shè)備，其特征在于，包括：存儲(chǔ)器、處理器及存儲(chǔ)在存儲(chǔ)器上并可在處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述程序時(shí)實(shí)現(xiàn)權(quán)利要求1-4任一項(xiàng)所述方法的步驟。

10.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，所述計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)權(quán)利要求1-4任一項(xiàng)所述的方法的步驟。