[發(fā)明專利]攻擊路徑分析方法、裝置、電子設(shè)備和計算機存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202111172859.7
• 申請日: 2021-10-08
• 公開（公告）號: CN113923016B
• 公開（公告）日: 2022-08-30
• 發(fā)明（設(shè)計）人: 鮑青波;周曉陽;萬可
• 申請（專利權(quán)）人: 北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;H04L43/045;H04L43/16
• 代理公司: 北京開陽星知識產(chǎn)權(quán)代理有限公司 11710
• 代理人: 王艷斌

1.一種攻擊路徑分析方法，其特征在于，包括：

獲取網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜，其中，所述獲取網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜，包括：獲取與安全日志數(shù)據(jù)對應(yīng)的三元組，所述與安全日志數(shù)據(jù)對應(yīng)的三元組包括源地址、目的地址、事件類型；獲取與網(wǎng)絡(luò)行為數(shù)據(jù)對應(yīng)的三元組，所述與網(wǎng)絡(luò)行為數(shù)據(jù)對應(yīng)的三元組包括源地址、目的地址、協(xié)議；其中，所述源地址、所述目的地址作為實體，所述事件類型、所述協(xié)議作為關(guān)系；基于所述與安全日志數(shù)據(jù)對應(yīng)的三元組、所述與網(wǎng)絡(luò)行為數(shù)據(jù)對應(yīng)的三元組，構(gòu)建所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜；

確定所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜中每個節(jié)點的局部聚類系數(shù)，并確定所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜中所有節(jié)點的局部聚類系數(shù)的平均值；

從所述所有節(jié)點中確定所述局部聚類系數(shù)與所述平均值之間的比值大于閾值的目標節(jié)點；

遍歷所有所述目標節(jié)點，對于每個目標節(jié)點，將該目標節(jié)點的相鄰節(jié)點與該目標節(jié)點組合以形成候選節(jié)點組合，并確定所述候選節(jié)點組合的局部聚類系數(shù)；

在所述候選節(jié)點組合的局部聚類系數(shù)與所述平均值之間的比值小于等于所述閾值的情況下，將該目標節(jié)點作為所述節(jié)點組合；

在所述候選節(jié)點組合的局部聚類系數(shù)與所述平均值之間的比值大于所述閾值的情況下，將該目標節(jié)點的相鄰節(jié)點和二度節(jié)點逐個添加至所述候選節(jié)點組合中，直至所述候選節(jié)點組合的局部聚類系數(shù)與所述平均值之間的比值小于等于所述閾值的情況下停止迭代，以確定所述節(jié)點組合；

獲取網(wǎng)絡(luò)安全信息，并根據(jù)所述網(wǎng)絡(luò)安全信息確定遍歷起始節(jié)點，基于所述遍歷起始節(jié)點采用搜索算法遍歷所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜，直至所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜中與所述遍歷起始節(jié)點存在相通路徑的節(jié)點均被訪問，以生成與所述網(wǎng)絡(luò)安全信息對應(yīng)的攻擊路徑，其中，在遍歷過程中，對于任一未被訪問的相鄰節(jié)點，若所述未被訪問的相鄰節(jié)點屬于所述節(jié)點組合，則將所述未被訪問的相鄰節(jié)點所屬的節(jié)點組合作為所述攻擊路徑中的單個點。

2.如權(quán)利要求1所述的方法，其特征在于，所述確定所述候選節(jié)點組合的局部聚類系數(shù)，包括：

將所述候選節(jié)點組合中所有節(jié)點的局部聚類系數(shù)的平均值，作為所述候選節(jié)點組合的局部聚類系數(shù)。

3.如權(quán)利要求1所述的方法，其特征在于，所述搜索算法為深度優(yōu)先搜索算法。

4.一種攻擊路徑分析裝置，其特征在于，包括：

獲取模塊，用于獲取網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜，其中，所述獲取網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜，包括：獲取與安全日志數(shù)據(jù)對應(yīng)的三元組，所述與安全日志數(shù)據(jù)對應(yīng)的三元組包括源地址、目的地址、事件類型；獲取與網(wǎng)絡(luò)行為數(shù)據(jù)對應(yīng)的三元組，所述與網(wǎng)絡(luò)行為數(shù)據(jù)對應(yīng)的三元組包括源地址、目的地址、協(xié)議；其中，所述源地址、所述目的地址作為實體，所述事件類型、所述協(xié)議作為關(guān)系；基于所述與安全日志數(shù)據(jù)對應(yīng)的三元組、所述與網(wǎng)絡(luò)行為數(shù)據(jù)對應(yīng)的三元組，構(gòu)建所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜；

第一確定模塊，用于確定所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜中每個節(jié)點的局部聚類系數(shù)，并確定所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜中所有節(jié)點的局部聚類系數(shù)的平均值；

第二確定模塊，用于從所述所有節(jié)點中確定所述局部聚類系數(shù)與所述平均值之間的比值大于閾值的目標節(jié)點；

生成模塊，用于遍歷所有所述目標節(jié)點，對于每個目標節(jié)點，將該目標節(jié)點的相鄰節(jié)點與該目標節(jié)點組合以形成候選節(jié)點組合，并確定所述候選節(jié)點組合的局部聚類系數(shù)；在所述候選節(jié)點組合的局部聚類系數(shù)與所述平均值之間的比值小于等于所述閾值的情況下，將該目標節(jié)點作為所述節(jié)點組合；在所述候選節(jié)點組合的局部聚類系數(shù)與所述平均值之間的比值大于所述閾值的情況下，將該目標節(jié)點的相鄰節(jié)點和二度節(jié)點逐個添加至所述候選節(jié)點組合中，直至所述候選節(jié)點組合的局部聚類系數(shù)與所述平均值之間的比值小于等于所述閾值的情況下停止迭代，以確定所述節(jié)點組合；

遍歷模塊，用于獲取網(wǎng)絡(luò)安全信息，并根據(jù)所述網(wǎng)絡(luò)安全信息確定遍歷起始節(jié)點，基于所述遍歷起始節(jié)點采用搜索算法遍歷所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜，直至所述網(wǎng)絡(luò)安全關(guān)聯(lián)圖譜中與所述遍歷起始節(jié)點存在相通路徑的節(jié)點均被訪問，以生成與所述網(wǎng)絡(luò)安全信息對應(yīng)的攻擊路徑，其中，在遍歷過程中，對于任一未被訪問的相鄰節(jié)點，若所述未被訪問的相鄰節(jié)點屬于所述節(jié)點組合，則將所述未被訪問的相鄰節(jié)點所屬的節(jié)點組合作為所述攻擊路徑中的單個點。