[發(fā)明專利]一種基于強(qiáng)化學(xué)習(xí)Dyna框架的網(wǎng)絡(luò)攻擊行為識別方法

有效

• 申請?zhí)枺?/td>: 202110056313.9
• 申請日: 2021-01-15
• 公開（公告）號: CN112769840B
• 公開（公告）日: 2023-04-07
• 發(fā)明（設(shè)計(jì)）人: 劉晶;范淵;黃進(jìn)
• 申請（專利權(quán)）人: 杭州安恒信息技術(shù)股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N20/00
• 代理公司: 北京集佳知識產(chǎn)權(quán)代理有限公司 11227
• 代理人: 楊威

1.一種基于強(qiáng)化學(xué)習(xí)Dyna框架的網(wǎng)絡(luò)攻擊行為識別方法，其特征在于，包括：

獲取目標(biāo)網(wǎng)站的網(wǎng)絡(luò)空間數(shù)據(jù)；

利用預(yù)設(shè)的正則表達(dá)式對所述網(wǎng)絡(luò)空間數(shù)據(jù)進(jìn)行匹配，得出第一惡意DNS數(shù)據(jù)；

刪除所述網(wǎng)絡(luò)空間數(shù)據(jù)中的所述第一惡意DNS數(shù)據(jù)，得到剩余的網(wǎng)絡(luò)空間數(shù)據(jù)，并將所述剩余的網(wǎng)絡(luò)空間數(shù)據(jù)輸入至預(yù)先訓(xùn)練出的網(wǎng)絡(luò)攻擊識別模型中，得出第二惡意DNS數(shù)據(jù)；所述網(wǎng)絡(luò)攻擊識別模型是通過有監(jiān)督學(xué)習(xí)或無監(jiān)督學(xué)習(xí)或強(qiáng)化學(xué)習(xí)的方式訓(xùn)練得出的；

結(jié)合所述第一惡意DNS數(shù)據(jù)和所述第二惡意DNS數(shù)據(jù)確定出所述目標(biāo)網(wǎng)站是否存在網(wǎng)絡(luò)攻擊行為；

所述利用預(yù)設(shè)的正則表達(dá)式對所述網(wǎng)絡(luò)空間數(shù)據(jù)進(jìn)行匹配，得出第一惡意DNS數(shù)據(jù)的過程，具體包括：

獲取預(yù)先確定出的威脅情報庫，并將所述威脅情報庫中的惡意域名和/或惡意IP進(jìn)行MD5加密，得到第一MD5加密數(shù)據(jù)；

將所述網(wǎng)絡(luò)空間數(shù)據(jù)中的DNS數(shù)據(jù)進(jìn)行MD5加密，得到第二MD5加密數(shù)據(jù)；

利用所述正則表達(dá)式對所述第一MD5加密數(shù)據(jù)與所述第二MD5加密數(shù)據(jù)進(jìn)行匹配，并將與所述第一MD5加密數(shù)據(jù)匹配的所述第二MD5加密數(shù)據(jù)對應(yīng)的網(wǎng)絡(luò)空間數(shù)據(jù)確定為所述第一惡意DNS數(shù)據(jù)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，確定出所述威脅情報庫的過程，具體包括：

預(yù)先將帶標(biāo)簽的歷史DNS數(shù)據(jù)通過有監(jiān)督學(xué)習(xí)算法進(jìn)行學(xué)習(xí)訓(xùn)練，得出數(shù)據(jù)識別模型；

將當(dāng)前DNS數(shù)據(jù)輸入至所述數(shù)據(jù)識別模型中，判斷所述當(dāng)前DNS數(shù)據(jù)是否為惡意DNS數(shù)據(jù)；

若是，則解析所述當(dāng)前DNS數(shù)據(jù)得出對應(yīng)的惡意域名和/或惡意IP地址，確定出所述威脅情報庫。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，進(jìn)一步包括：

根據(jù)所述第一MD5加密數(shù)據(jù)的威脅類型以及所述第一MD5加密數(shù)據(jù)與所述第一惡意DNS數(shù)據(jù)的對應(yīng)關(guān)系，通過join操作為所述第一惡意DNS數(shù)據(jù)設(shè)置對應(yīng)的威脅類型。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，進(jìn)一步包括：

基于復(fù)雜網(wǎng)絡(luò)模型，根據(jù)所述威脅情報庫中的各所述惡意DNS數(shù)據(jù)分別對應(yīng)的社群關(guān)系，得出關(guān)聯(lián)DNS數(shù)據(jù)；

篩選出所述關(guān)聯(lián)DNS數(shù)據(jù)中的疑似威脅DNS數(shù)據(jù)，并將所述疑似威脅DNS數(shù)據(jù)增加至所述威脅情報庫中。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，進(jìn)一步包括：

分別統(tǒng)計(jì)出暴力破解模型和/或核心數(shù)據(jù)庫異常登錄行為和/或VPN異常登錄行為的操作次數(shù)；

對應(yīng)的，所述結(jié)合所述第一惡意DNS數(shù)據(jù)和所述第二惡意DNS數(shù)據(jù)確定出所述目標(biāo)網(wǎng)站是否存在網(wǎng)絡(luò)攻擊行為的過程，具體包括：

結(jié)合所述第一惡意DNS數(shù)據(jù)和所述第二惡意DNS數(shù)據(jù)以及所述操作次數(shù)確定出所述目標(biāo)網(wǎng)站是否存在所述網(wǎng)絡(luò)攻擊行為。

6.根據(jù)權(quán)利要求1至5任一項(xiàng)所述的方法，其特征在于，在所述結(jié)合所述第一惡意DNS數(shù)據(jù)和所述第二惡意DNS數(shù)據(jù)確定出所述目標(biāo)網(wǎng)站是否存在網(wǎng)絡(luò)攻擊行為之后，進(jìn)一步包括：

確定出所述網(wǎng)絡(luò)攻擊行為對應(yīng)的攻擊類型，并發(fā)出對應(yīng)的提示信息。