[發(fā)明專(zhuān)利]基于網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)的網(wǎng)絡(luò)攻擊檢測(cè)裝置和方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202110872779.6
• 申請(qǐng)日: 2021-07-30
• 公開(kāi)（公告）號(hào): CN113612763B
• 公開(kāi)（公告）日: 2022-06-03
• 發(fā)明（設(shè)計(jì)）人: 周華春;李坤;劉飛揚(yáng);王瑋琳;涂哲;李曼
• 申請(qǐng)（專(zhuān)利權(quán)）人: 北京交通大學(xué)
• 主分類(lèi)號(hào): H04L9/40
• 分類(lèi)號(hào): H04L9/40;G06N5/04;G06F16/36
• 代理公司: 北京市商泰律師事務(wù)所 11255
• 代理人: 黃曉軍

1.一種基于網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)的網(wǎng)絡(luò)攻擊檢測(cè)裝置，其特征在于，包括：圖譜構(gòu)建模塊、數(shù)據(jù)收集模塊、行為推理模塊和知識(shí)反饋模塊；

所述的圖譜構(gòu)建模塊，用于根據(jù)預(yù)設(shè)網(wǎng)絡(luò)安全的實(shí)體和實(shí)體間關(guān)系，基于包括DDoS攻擊特征數(shù)據(jù)在內(nèi)的原始數(shù)據(jù)構(gòu)建包括流量行為知識(shí)圖譜、惡意行為特征圖譜、實(shí)體行為感知圖譜和惡意行為溯源圖譜的網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)；

所述的數(shù)據(jù)收集模塊，用于收集與處理面向網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)的多源異構(gòu)網(wǎng)絡(luò)安全數(shù)據(jù)，根據(jù)所述多源異構(gòu)網(wǎng)絡(luò)安全數(shù)據(jù)提取DDoS攻擊特征數(shù)據(jù)，將DDoS攻擊特征數(shù)據(jù)傳輸給圖譜構(gòu)建模塊；

所述的行為推理模塊，用于基于多源異構(gòu)網(wǎng)絡(luò)安全數(shù)據(jù)推理實(shí)體行為感知圖譜與惡意行為溯源圖譜中的攻擊宿主機(jī)位置；利用圖算法對(duì)流量行為知識(shí)圖譜與惡意行為特征圖譜中的網(wǎng)絡(luò)安全知識(shí)進(jìn)行推理，捕獲更有效的實(shí)體對(duì)及實(shí)體間關(guān)系，將推理和捕獲的DDoS攻擊相關(guān)信息傳輸給知識(shí)反饋模塊；

所述的知識(shí)反饋模塊，用于將所述行為推理模塊傳輸過(guò)來(lái)的DDoS攻擊相關(guān)信息反饋給后續(xù)的檢測(cè)處理過(guò)程;

所述的圖譜構(gòu)建模塊，具體用于獲取用于構(gòu)造單節(jié)點(diǎn)中四張網(wǎng)絡(luò)安全知識(shí)圖譜的原始數(shù)據(jù)，所述原始數(shù)據(jù)包含四個(gè)部分：來(lái)自通用弱點(diǎn)枚舉庫(kù)CWE與國(guó)家信息安全漏洞庫(kù)CNNVD的網(wǎng)絡(luò)安全知識(shí)數(shù)據(jù)；來(lái)自特征提取工具提取的DDoS攻擊特征數(shù)據(jù)；來(lái)自部署知識(shí)庫(kù)的網(wǎng)關(guān)記錄的設(shè)備和用戶接入數(shù)據(jù)；以及來(lái)自其他知識(shí)圖譜的反饋數(shù)據(jù)；

所述流量行為知識(shí)圖譜負(fù)責(zé)網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)中第三方知識(shí)的存儲(chǔ)和更新，包含通用弱點(diǎn)枚舉庫(kù)CWE和國(guó)家信息安全漏洞庫(kù)CNNVD，在保留原有第三方庫(kù)中實(shí)體關(guān)系的基礎(chǔ)上，基于攻擊節(jié)點(diǎn)描述中關(guān)聯(lián)的弱點(diǎn)名稱(chēng)創(chuàng)建關(guān)系來(lái)鏈接攻擊節(jié)點(diǎn)和弱點(diǎn)節(jié)點(diǎn)，構(gòu)建起攻擊和弱點(diǎn)關(guān)聯(lián)的流量行為知識(shí)圖譜；

所述惡意行為特征圖譜負(fù)責(zé)網(wǎng)絡(luò)攻擊，提供網(wǎng)絡(luò)惡意行為與特征的關(guān)系展示，采用分級(jí)的方案將DDoS攻擊類(lèi)型細(xì)分成五個(gè)大類(lèi)，總計(jì)21種DDoS攻擊類(lèi)型，并通過(guò)特征提取工具與統(tǒng)計(jì)方法確定DDoS攻擊與流量特征的對(duì)應(yīng)關(guān)系，建立惡意行為特征圖；

所述實(shí)體行為感知圖譜負(fù)責(zé)感知部署網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)網(wǎng)關(guān)鄰居節(jié)點(diǎn)的拓?fù)洵h(huán)境，并對(duì)拓?fù)洵h(huán)境中的設(shè)備和用戶添加多種屬性和屬性值來(lái)對(duì)設(shè)備和用戶進(jìn)行管理，進(jìn)而控制設(shè)備和用戶的接入，實(shí)體行為感知圖譜中存儲(chǔ)信息包含用戶、設(shè)備、資源三大實(shí)體以及與其相關(guān)的子實(shí)體；

所述惡意行為溯源圖譜負(fù)責(zé)攻擊溯源工作，基于其他三個(gè)圖譜中的各維度信息對(duì)攻擊進(jìn)行溯源，發(fā)掘出攻擊的完整路徑以及攻擊所使用的惡意操作和漏洞信息，惡意行為溯源圖譜存儲(chǔ)信息包含攻擊者主機(jī)、被攻擊者主機(jī)、攻擊方式以及持續(xù)時(shí)間實(shí)體。

2.根據(jù)權(quán)利要求1所述的裝置，其特征在于，所述的裝置還包括：

分布式傳輸模塊，用于基于安全傳輸協(xié)議格式化周期性傳輸分布式知識(shí)庫(kù)中知識(shí)圖譜內(nèi)容，根據(jù)缺失的網(wǎng)絡(luò)安全知識(shí)對(duì)所述網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)進(jìn)行更新，得到具備統(tǒng)一知識(shí)的網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)。

3.根據(jù)權(quán)利要求1或者2所述的裝置，其特征在于，所述的數(shù)據(jù)收集模塊，具體用于提供一種面向結(jié)構(gòu)化或半結(jié)構(gòu)化的網(wǎng)絡(luò)安全知識(shí)的收集與處理方法，從包含網(wǎng)絡(luò)安全領(lǐng)域中的各種漏洞庫(kù)和弱點(diǎn)庫(kù)中獲取網(wǎng)絡(luò)安全數(shù)據(jù)；采用流特征提取工具以及統(tǒng)計(jì)圖的分析方法對(duì)所述網(wǎng)絡(luò)安全數(shù)據(jù)進(jìn)行各種DDoS攻擊特征集的分析和篩選，獲取針對(duì)每種DDoS攻擊對(duì)應(yīng)的有效特征數(shù)據(jù)，將收集的有效特征數(shù)據(jù)轉(zhuǎn)化為包含特征的樣本集，并保存為可供后續(xù)圖譜讀取的格式化數(shù)據(jù)；通過(guò)部署網(wǎng)絡(luò)安全惡意行為知識(shí)庫(kù)的網(wǎng)關(guān)感知鄰居節(jié)點(diǎn)的拓?fù)洵h(huán)境，獲取設(shè)備和用戶的接入數(shù)據(jù)。

4.根據(jù)權(quán)利要求1或者2所述的裝置，其特征在于，所述的行為推理模塊，具體用于采用的推理算法包括圖推理算法、聚類(lèi)算法以及機(jī)器學(xué)習(xí)算法，利用圖推理算法對(duì)實(shí)體行為感知圖譜和惡意行為溯源圖譜進(jìn)行推理，為攻擊主機(jī)溯源和攻擊主機(jī)位置感知提供依據(jù)；利用聚類(lèi)算法或機(jī)器學(xué)習(xí)算法對(duì)惡意行為特征圖譜中的不同種類(lèi)DDoS攻擊的特征進(jìn)行重要性篩選。