[發明專利]一種網絡攻擊關系圖的生成方法及裝置

有效

• 申請號: 202111481979.5
• 申請日: 2021-12-07
• 公開（公告）號: CN114363002B
• 公開（公告）日: 2023-06-09
• 發明（設計）人: 趙恒;郭蘭杰;楊逸斐;高輝力;晁璐
• 申請（專利權）人: 綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/36;G06F21/55;G06F21/56
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 高金金

1.一種網絡攻擊關系圖的生成方法，其特征在于，所述方法包括：

接收生成請求，所述生成請求用于請求生成企業內網中的目標主機的網絡攻擊關系圖；

根據攻擊鏈中間數據表和攻擊關系數據表，確定與所述目標主機相關的一條或多條攻擊鏈，所述攻擊鏈中包括所述目標主機的一個或多個外部攻擊者、所述外部攻擊者在所述企業內網中的一個或多個直接攻擊對象、所述目標主機以及所述目標主機的一個或多個直接攻擊對象；所述攻擊鏈中間數據表中記錄有所述企業內網中受到過攻擊的各個主機的信息和每個主機對應的內部攻擊者列表，一個主機的對應的內部攻擊者列表中包括所述主機的一個或多個內部攻擊者的信息，所述內部攻擊者為所述企業內網中攻擊過所述主機的其他主機；

所述攻擊關系數據表中記錄有所述企業內網中發生的安全事件涉及的攻擊關系，所述攻擊關系包括攻擊者的信息、被攻擊者的信息和關聯的安全事件的相關信息；

根據所述一條或多條攻擊鏈，生成所述目標主機的網絡攻擊關系圖并展示。

2.根據權利要求1所述的方法，其特征在于，所述根據攻擊鏈中間數據表和攻擊關系數據表，確定與所述目標主機相關的一條或多條攻擊鏈，包括：

根據所述目標主機的信息，查詢所述攻擊鏈中間數據表，確定所述目標主機對應的內部攻擊者列表；

針對所述目標主機的每個內部攻擊者，根據所述內部攻擊者的信息，查詢所述攻擊關系數據表，確定當所述內部攻擊者作為被攻擊者時，攻擊所述內部攻擊者的一個或多個外部攻擊者；

將攻擊所述目標主機的內部攻擊者的一個或多個外部攻擊者，確定為所述目標主機的外部攻擊者。

3.根據權利要求2所述的方法，其特征在于，所述根據攻擊鏈中間數據表和攻擊關系數據表，確定與所述目標主機相關的一條或多條攻擊鏈，包括：

針對所述目標主機的每個外部攻擊者，根據所述外部攻擊者的信息，查詢所述攻擊關系數據表，確定所述外部攻擊者在所述企業內網中的一個或多個直接攻擊對象，所述直接攻擊對象為所述企業內網中的主機。

4.根據權利要求1所述的方法，其特征在于，所述根據攻擊鏈中間數據表和攻擊關系數據表，確定與所述目標主機相關的一條或多條攻擊鏈，包括：

根據所述目標主機的信息，查詢所述攻擊關系數據表，確定所述目標主機的一個或多個直接攻擊對象，所述直接攻擊對象為所述企業內網中的其他主機或所述企業內網之外的其他主機。

5.根據權利要求1所述的方法，其特征在于，所述方法還包括：

實時從安全事件數據源獲取安全事件；

針對獲取到的每個安全事件，若所述安全事件涉及所述企業內網中的主機，則提取與所述安全事件相關的攻擊關系，并存儲到所述攻擊關系數據表中。

6.根據權利要求1所述的方法，其特征在于，所述方法還包括：

針對提取到的每條攻擊關系，若所述攻擊關系中的被攻擊者為所述企業內網中的主機，則在所述攻擊鏈中間數據表中創建所述被攻擊者的表項，并將所述被攻擊者作為所述企業內網中受到過攻擊的主機寫入所述攻擊鏈中間數據表中；

若在所述被攻擊者為所述企業內網中的主機的同時，所述攻擊關系中的攻擊者也為所述企業內網中的主機，則將所述攻擊者作為所述被攻擊者的內部攻擊者，寫入所述攻擊鏈中間數據表中所述被攻擊者對應的內部攻擊者列表中。

7.根據權利要求6所述的方法，其特征在于，所述方法還包括：

若所述攻擊鏈中間數據表中存在所述攻擊者的表項，且所述攻擊者對應的內部攻擊者列表不為空，則將所述攻擊者對應的內部攻擊者列表中的各個內部攻擊者，寫入所述被攻擊者對應的內部攻擊者列表中。

8.根據權利要求7所述的方法，其特征在于，所述方法還包括：

若所述攻擊鏈中間數據表中所述攻擊者對應的內部攻擊者列表進行了更新，則同步更新所述被攻擊者對應的內部攻擊者列表。