[發(fā)明專利]一種超大規(guī)模網(wǎng)絡(luò)中攻擊暴露面分析方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110754948.6
• 申請(qǐng)日: 2021-07-01
• 公開（公告）號(hào): CN113489720B
• 公開（公告）日: 2023-09-08
• 發(fā)明（設(shè)計(jì)）人: 林圣東
• 申請(qǐng)（專利權(quán)）人: 中電智恒信息科技服務(wù)有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L41/14;G06Q10/0639
• 代理公司: 南京天華專利代理有限責(zé)任公司 32218
• 代理人: 許軻;夏平

1.一種超大規(guī)模網(wǎng)絡(luò)中攻擊暴露面分析方法，其特征在于包括以下步驟：

S1，采用運(yùn)營(yíng)商在各互聯(lián)網(wǎng)出口部署的GenieATM流量分析儀將注釋過(guò)的流量數(shù)據(jù)進(jìn)行實(shí)時(shí)或回溯性的大數(shù)據(jù)應(yīng)用分析，提取互聯(lián)網(wǎng)環(huán)境中所有通路數(shù)據(jù)流，作為數(shù)據(jù)源；

S2，對(duì)數(shù)據(jù)源進(jìn)行分析，得到監(jiān)控范圍內(nèi)主機(jī)對(duì)外開放服務(wù)的暴露面數(shù)據(jù)集和主機(jī)出訪的數(shù)據(jù)集；

S3，結(jié)合暴露面數(shù)據(jù)計(jì)算得到主機(jī)服務(wù)中所有路徑風(fēng)險(xiǎn)等級(jí)，基于所有路徑風(fēng)險(xiǎn)等級(jí)推算得到主機(jī)服務(wù)風(fēng)險(xiǎn)等級(jí)；

在步驟S2中，主機(jī)對(duì)外開放服務(wù)的暴露面數(shù)據(jù)集包括主機(jī)IP地址、協(xié)議類型、每個(gè)IP上存活的端口號(hào)，服務(wù)信息、服務(wù)威脅等級(jí)、域名、訪問(wèn)者地址、地理位置、每個(gè)端口對(duì)應(yīng)的流量分布情況、每個(gè)端口被掃描的次數(shù)和每條攻擊流量的路徑、歷史6個(gè)月內(nèi)每個(gè)端口被訪問(wèn)次數(shù)的平均值，歷史6個(gè)月內(nèi)每條攻擊流量的均值；主機(jī)出訪的數(shù)據(jù)集包括源IP、目標(biāo)IP、目標(biāo)端口、協(xié)議類型、服務(wù)信息、服務(wù)威脅等級(jí)、目標(biāo)IP的地理位置、每條訪問(wèn)路徑流量值、歷史6個(gè)月內(nèi)每個(gè)源IP出訪次數(shù)的平均值、歷史6個(gè)月內(nèi)每個(gè)源IP出訪目標(biāo)的流量平均值；

在步驟S3中，所述基于所有路徑風(fēng)險(xiǎn)等級(jí)推算得到主機(jī)服務(wù)風(fēng)險(xiǎn)等級(jí)，具體為：

S31，對(duì)主機(jī)服務(wù)中所有路徑的風(fēng)險(xiǎn)等級(jí)求和，得到主機(jī)服務(wù)路徑風(fēng)險(xiǎn)值；

S32，根據(jù)主機(jī)服務(wù)路徑風(fēng)險(xiǎn)值，計(jì)算得到主機(jī)服務(wù)路徑風(fēng)險(xiǎn)等級(jí)；

S33，結(jié)合主機(jī)服務(wù)路徑風(fēng)險(xiǎn)等級(jí)和用戶設(shè)置的主機(jī)重要度等級(jí)，計(jì)算得到主機(jī)服務(wù)風(fēng)險(xiǎn)等級(jí)；

在步驟S3中，根據(jù)下述公式計(jì)算得到第i個(gè)主機(jī)服務(wù)中第j條路徑風(fēng)險(xiǎn)等級(jí)S_ij：

系數(shù)：

式中，D_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的端口總數(shù)，ε是預(yù)設(shè)比例因子，G_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的高危端口出現(xiàn)總數(shù)，P_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的http或https的服務(wù)與預(yù)設(shè)的網(wǎng)站備案庫(kù)之間的匹配失敗總數(shù)，J_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的訪問(wèn)者IP為境外地址的總數(shù),B_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的端口被訪問(wèn)次數(shù)的總數(shù)，R_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的入訪流量值,M_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的出訪目標(biāo)主機(jī)的IP總數(shù)，C_ij是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的出訪目標(biāo)主機(jī)的流量值，N_in是歷史6個(gè)月內(nèi)被訪問(wèn)次數(shù)的平均值,M_in是歷史6個(gè)月入訪流量的平均值,N_out是歷史6個(gè)月內(nèi)出訪次數(shù)的平均值,M_out是歷史6個(gè)月內(nèi)出訪目標(biāo)的流量平均值，系數(shù)B是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的服務(wù)被訪問(wèn)次數(shù)超過(guò)平均值的量,R是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的服務(wù)入訪流量超過(guò)平均值的量，M是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的出訪目標(biāo)地址的次數(shù)超過(guò)平均值的量，C是第i個(gè)主機(jī)服務(wù)中第j條路徑對(duì)應(yīng)的出訪目標(biāo)地址的流量值超過(guò)平均值的量；k_1～8為對(duì)應(yīng)風(fēng)險(xiǎn)值參數(shù)，S_ij0是第i個(gè)主機(jī)服務(wù)中第j條路徑的風(fēng)險(xiǎn)初始值。

2.根據(jù)權(quán)利要求1所述的一種超大規(guī)模網(wǎng)絡(luò)中攻擊暴露面分析方法，其特征在于，在步驟S2中，所述地理位置利用公開的GeoLite2-City庫(kù)獲得；并且采用geoip2.database組件讀取GeoLite2-City數(shù)據(jù)庫(kù)，判斷訪問(wèn)者IP是否屬于境外地址；所述服務(wù)信息來(lái)自于自定義服務(wù)特征庫(kù)，該服務(wù)特征庫(kù)是來(lái)源于對(duì)已知服務(wù)的協(xié)議提取的特征集，分析任意存活端口所對(duì)應(yīng)的服務(wù)信息時(shí)，利用數(shù)據(jù)交互過(guò)程中出現(xiàn)的返回特征碼來(lái)定位對(duì)應(yīng)的服務(wù)信息。