[發明專利]網絡攻擊檢測方法、裝置、設備及計算機程序

在審

• 申請號: 202110651433.3
• 申請日: 2021-06-10
• 公開（公告）號: CN115473658A
• 公開（公告）日: 2022-12-13
• 發明（設計）人: 張濱;袁捷;喬喆;白雪;李乘宇;陳雋;林華生;章銘;董航
• 申請（專利權）人: 中國移動通信集團有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 劉瑞花

1.一種網絡攻擊檢測方法，其特征在于，所述網絡攻擊檢測方法包括以下步驟：

獲取不同網絡攻擊事件中不同網絡攻擊手段分別對應的攻擊數據集；

基于每個所述攻擊數據集，建立節點關系網；

基于所述節點關系網，進行網絡攻擊檢測。

2.如權利要求1所述的網絡攻擊檢測方法，其特征在于，所述基于每個所述攻擊數據集，建立節點關系網的步驟，包括：

從每個所述攻擊數據集中分別提取攻擊特征數據，以得到每個所述攻擊數據集分別對應的第一攻擊特征數據；所述攻擊特征數據包括策略特征數據、技術特征數據、以及輸出特征數據；

分別確定每個所述第一攻擊特征數據的傳輸路徑，其中，所述傳輸路徑包括生成、傳輸、輸出所述第一攻擊特征數據的節點；

基于每個所述第一攻擊特征數據對應的傳輸路徑，構建節點關系網。

3.如權利要求2所述的網絡攻擊檢測方法，其特征在于，所述基于所述節點關系網，進行網絡攻擊檢測的步驟，包括：

獲取待檢測網絡系統在預設時長內的網絡關聯數據，以得到待檢測數據；所述網絡關聯數據包括：網絡數據、網絡設備日志、進程數據、操作系統日志和告警數據中的至少一種；

從所述待檢測數據中提取第二攻擊特征數據；

檢索所述節點關系網，以從所述節點關系網中檢索出目標節點與非目標節點，其中，所述目標節點對應的第一攻擊特征數據與所述第二攻擊特征數據相匹配，所述非目標節點為所述節點關系網中所述目標節點之外的節點；

將節點距離小于等于預設第一閾值的目標節點確定為屬于同一安全事件，獲得所述待檢測網絡的安全事件集，其中，所述節點距離為兩個互不相同的目標節點之間存在的非目標節點的個數，所述安全事件集包括n個安全事件，所述n為大于等于0的整數。

4.如權利要求3所述的網絡攻擊檢測方法，其特征在于，在所述將節點距離小于等于預設第一閾值的目標節點確定為屬于同一安全事件，獲得所述待檢測網絡的安全事件集的步驟之后，還包括：

基于所述安全事件集中每個所述安全事件的目標節點總數、每個所述安全事件中各目標節點的節點關聯數，分別確定每個所述安全事件的可信度評分；其中，所述節點關聯數為與所述目標節點直接連接的、且屬于同一安全事件的其他節點的個數；

基于所述可信度評分，確定每個所述安全事件的處理優先級。

5.如權利要求3所述的網絡攻擊檢測方法，其特征在于，在所述將節點距離小于等于預設第一閾值的目標節點確定為屬于同一安全事件，獲得所述待檢測網絡的安全事件集的步驟之后，還包括：

基于所述節點關系網，確定每個所述安全事件包括的目標節點所屬的網絡攻擊事件，以得到每個所述安全事件分別對應的特定網絡攻擊事件；

分別確定每個所述特定網絡攻擊事件在對應的所述安全事件中包括的目標節點數n_x，以及每個所述特定網絡攻擊事件在所述節點關系網中包括的節點總數c_x；

基于每個所述特定網絡攻擊事件的n_x和c_x，確定每個所述安全事件與對應的所述特定網絡攻擊事件的關聯度。

6.如權利要求3所述的網絡攻擊檢測方法，其特征在于，所述檢索所述節點關系網，以從所述節點關系網中檢索出目標節點與非目標節點的步驟，包括：

確定所述節點關系網中每個節點的節點類型，所述節點類型包括沒有攻擊特征數據輸入的入口節點、直接關聯的其它節點數大于預設第二閾值的關鍵節點、沒有攻擊特征數據輸出的結束節點；

依次按照第一優先級、第二優先級、第三優先級將所述關鍵節點、所述結束節點、所述入口節點分別對應的所述第一攻擊特征數據與所述第二攻擊特征數據進行檢索匹配，以檢索出目標節點與非目標節點。