[發明專利]一種網絡攻擊知識圖譜的行為預測系統

有效

• 申請號: 202110998430.7
• 申請日: 2021-08-27
• 公開（公告）號: CN113691550B
• 公開（公告）日: 2023-02-24
• 發明（設計）人: 朱培燦;尹紓;高超;郭森森;李曉宇
• 申請（專利權）人: 西北工業大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/35;G06F16/36
• 代理公司: 西安銘澤知識產權代理事務所(普通合伙) 61223
• 代理人: 盧會剛

1.一種網絡攻擊知識圖譜的行為預測系統，其特征在于：所述系統包包括下載訪問路徑模型、攻擊數據圖譜、生成數據圖譜、智能巡查模塊、防護網、異常數據、惡意數據分析、關鍵節點匹配、攻擊預測、放行、攔截、誘捕節點和蜜罐、深度分析；

下載訪問路徑模型，用于整理規范下載、訪問信息，方便監控、管料、分析、預測；

攻擊數據圖譜，用于收錄、對比具有威脅的知識圖譜；

生成數據圖譜，用于將惡意攻擊數據整理編排，制成攻擊數據圖譜；

智能巡查模塊，用于在隨機的路徑位置對數據進行檢測，防止攻擊者在了解防護情況后，通過特定的補丁包技術手段跳過防護網；

防護網，用于在指定的路徑位置對數據進行檢測；

異常數據，經分析后發現路徑數據出現無法預測的情況；

關鍵節點匹配，用于將新生路徑信息和攻擊數據圖譜內數據的關鍵部分進行對比分析，可提高效率；

攻擊預測，用于在發現新生路徑信息和攻擊數據圖譜出現60％以上相似度時，作出受攻擊預判；

惡意數據分析，用于對異常數據進行分析，判斷是否為新型攻擊手段；

誘捕節點和蜜罐，用于欺騙、迷惑、誘導攻擊方，拖延攻擊方的滯留時間；

深度分析，用于對復雜數據進行分析。

2.一種根據權利要求1所述的網絡攻擊知識圖譜的行為預測系統運行方法，其特征在于：步驟如下：

S1、在服務器收到訪問和下載的信號時，根據信息的公網IP和信息代碼生成路徑模型；

S2、路徑模型在執行訪問或下載指令時，會經過防護網，同時智能巡查模塊也會在路徑模型的不同位置進行隨機檢測；

S3、當防護網和智能巡查模塊檢測到路徑信息出現異常，而異常數據包括：同一公網IP的短時間內重復連續發出無用信號，啟用常見代碼庫檢索，出現無法識別的信息代碼；

S4、在路徑模型的異常部分生成關鍵節點，并將這些關鍵節點和攻擊數據圖譜內信息進行匹配對比；

S5、發現新生路徑信息和攻擊數據圖譜出現60％以上相似度時，初步判斷預測為受到攻擊，開啟防護，降低信號發出方的網速；

S6、對異常數據進行分析，判斷是否存在惡意，其中分析內容包括：同一公網IP的短時間內重復連續發出無用信號，啟用全面代碼庫檢索，出現無法識別的信息代碼，出現攻擊性代碼；

S7、將這些數據生成新的數據圖譜，并記錄保存；

S8、如果判斷路徑信息沒有問題，則對訪問信號放行，如果判斷路徑信息確有問題，對訪問信號進行攔截，并引導其進入誘捕節點和蜜罐，拖延攻擊者滯留時間；

S9、在攻擊者滯留時間內對路徑數據進行深度分析，完善攻擊圖譜。

3.根據權利要求2所述的一種網絡攻擊知識圖譜的行為預測系統運行方法，其特征在于：所述S3中會對異常數據進行危險等級劃分，根據等級排列處理順序。

4.根據權利要求2所述的一種網絡攻擊知識圖譜的行為預測系統運行方法，其特征在于：所述步驟S3中無用信號識別具體步驟：

①信號發出方向目標計算機發送一個TCP SYN報文；

②目標計算機收到這個報文后，建立TCP連接控制結構TCB，并回應一個ACK，等待發起者的回應；

③如果發起者不向目標計算機回應ACK報文，目標計算機等待30S后，自動判斷為無用信號；

④如果同一公網IP連續出現無用信號，則判定為異常信號；

⑤同時這一公網IP也被判定為異常信號源，判斷其攻擊危險等級，并實現規定時間內的信號攔截。

5.根據權利要求2所述的一種網絡攻擊知識圖譜的行為預測系統運行方法，其特征在于：所述S2中智能巡查模塊有2條或3條隨機巡查路線，而在各路徑的巡查位置是大數據抽選得到的。

6.根據權利要求2所述的一種網絡攻擊知識圖譜的行為預測系統運行方法，其特征在于：所述S9中的深度分析為通過聚類算法，詳細刨析攻擊代碼的技術手段，并人工拆解，尋找攻擊性和隱藏性的關鍵節點，完善數據圖譜。

7.根據權利要求2所述的一種網絡攻擊知識圖譜的行為預測系統運行方法，其特征在于：所述S8中誘捕節點和蜜罐包括加載錯誤、網絡延遲。