[發明專利]面向攻擊溯源的威脅情報智能分析方法及系統

有效

• 申請號: 202210034167.4
• 申請日: 2022-01-13
• 公開（公告）號: CN114422224B
• 公開（公告）日: 2023-08-29
• 發明（設計）人: 胡浩;孫澄;劉懷興;張恒巍;蔡鎮;李炳龍
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/142;G06F16/36
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 周艷巧

1.一種面向攻擊溯源的威脅情報智能分析方法，其特征在于，包含如下內容：

通過分析場景中脆弱性利用動作，構建用于刻畫攻擊事件中攻擊步驟類型的攻擊事件框架，并以攻擊事件為單位進行攻擊告警關聯，重構攻擊場景；重構攻擊場景中，首先，利用先驗知識聚合攻擊步驟所引發的攻擊告警，生成元告警；然后，以脆弱性利用元告警為基點，聚合攻擊上下文告警，識別攻擊事件，并添加至對應脆弱性利用動作的列表中；以脆弱性利用前后依賴關系及告警時序關系將識別的攻擊事件前后關聯為攻擊場景；識別攻擊事件中，首先對多源告警信息進行預處理，統一告警格式；然后，通過參數匹配方式從原始告警中提取脆弱性利用引發的原始告警，將符合預設具體條件的告警聚合為元告警；以脆弱性利用元告警為基點，通過預設時間窗口來聚合攻擊上下文告警；

提取攻擊場景中威脅特征作為指紋特征，構建威脅指紋知識圖譜；通過比較知識圖譜中指紋特征相似性來挖掘攻擊場景幕后攻擊者；其中，以作為威脅主體的攻擊者作為分析對象，抽取威脅情報、攻擊場景中與攻擊者身份相關的威脅要素特征來構建威脅指紋知識圖譜；針對威脅指紋知識圖譜，通過模型學習將知識圖譜元素內容映射到低維向量空間，利用向量基本運算表達元素間具有的語義信息，利用向量相似性得分來挖掘攻擊場景幕后攻擊者。

2.根據權利要求1所述的面向攻擊溯源的威脅情報智能分析方法，其特征在于，基于殺傷鏈模型構建用于作為攻擊事件框架的單個攻擊事件模板，其中，攻擊事件中攻擊步驟由先至后依次表示為偵察、攻擊武器構造、攻擊載荷投送、脆弱性利用、惡意程序安裝、命令控制活動及目標行動。

3.根據權利要求1所述的面向攻擊溯源的威脅情報智能分析方法，其特征在于，攻擊事件關聯中，假設一個場景中同一脆弱性利用僅存在一個對應的攻擊事件，通過聚合斷點處攻擊上下文作為證據，對相關攻擊場景片段進行拼接。

4.根據權利要求1所述的面向攻擊溯源的威脅情報智能分析方法，其特征在于，威脅指紋知識圖譜表示為(TFO,TFI,T)，其中，TFO代表用于描述威脅指紋概念層面知識的威脅指紋知識本體，且其表示為(C,R,P)，C為概念類集，R為概念間關系集，P為類屬性集；TFI表示概念知識實例集，T為TFI中實例與TFO中對應概念類型從屬關系集合。

5.根據權利要求1所述的面向攻擊溯源的威脅情報智能分析方法，其特征在于，模型學習中，假設不同攻擊組織為攻擊場景幕后攻擊者，通過指紋相似性損失函數對不同攻擊組織作為攻擊者的可能性進行排名來識別攻擊場景幕后攻擊者，其中，指紋相似性損失函數表示為：att表示攻擊組織實體，dom_i表示att第i個指紋特征領域實體，w_i表示dom_i對應的影響程度權重值，L(dom_i)表示dom_i領域層面的指紋相似性損失。

6.一種面向攻擊溯源的威脅情報智能分析系統，其特征在于，包含：場景重構模塊和攻擊識別模塊，其中，

場景重構模塊，用于通過分析場景中脆弱性利用動作，構建用于刻畫攻擊事件中攻擊步驟類型的攻擊事件框架，并以攻擊事件為單位進行攻擊告警關聯，重構攻擊場景；重構攻擊場景中，首先，利用先驗知識聚合攻擊步驟所引發的攻擊告警，生成元告警；然后，以脆弱性利用元告警為基點，聚合攻擊上下文告警，識別攻擊事件，并添加至對應脆弱性利用動作的列表中；以脆弱性利用前后依賴關系及告警時序關系將識別的攻擊事件前后關聯為攻擊場景；識別攻擊事件中，首先對多源告警信息進行預處理，統一告警格式；然后，通過參數匹配方式從原始告警中提取脆弱性利用引發的原始告警，將符合預設具體條件的告警聚合為元告警；以脆弱性利用元告警為基點，通過預設時間窗口來聚合攻擊上下文告警；

攻擊識別模塊，用于提取攻擊場景中威脅特征作為指紋特征，構建威脅指紋知識圖譜；通過比較知識圖譜中指紋特征相似性來挖掘攻擊場景幕后攻擊者；其中，以作為威脅主體的攻擊者作為分析對象，抽取威脅情報、攻擊場景中與攻擊者身份相關的威脅要素特征來構建威脅指紋知識圖譜；針對威脅指紋知識圖譜，通過模型學習將知識圖譜元素內容映射到低維向量空間，利用向量基本運算表達元素間具有的語義信息，利用向量相似性得分來挖掘攻擊場景幕后攻擊者。