[發明專利]基于層次重啟隨機游走算法的網絡攻擊工具關系發現方法

在審

• 申請號: 202210065201.4
• 申請日: 2022-01-20
• 公開（公告）號: CN114494738A
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 張冬芳;管磊;戴曉苗;王慧娟;張東紅;馬一凡;楊樂;劉培;劉丹
• 申請（專利權）人: 公安部第一研究所
• 主分類號: G06V10/50
• 分類號: G06V10/50;G06V10/764;G06V10/77;G06K9/62;H04L9/40
• 代理公司: 北京華仁聯合知識產權代理有限公司 11588
• 代理人: 陶長清

1.一種基于層次重啟隨機游走算法的網絡攻擊工具關系發現方法，其特征在于，具體過程為：

S1、構建網絡攻擊工具關系矩陣：從多源數據中抽取關于攻擊樣本、攻擊模式和IOC的數據，并構建攻擊樣本關系矩陣、攻擊模式關系矩陣和IOC關系矩陣；攻擊樣本是指有一定規模的、能對網絡造成威脅的惡意代碼樣本；攻擊模式是指抽象的執行惡意代碼的攻擊動作，即執行惡意代碼的攻擊過程；IOC是指在攻擊過程中所產生的有指示性的值；

S2、計算層次推理概率：將得到的攻擊樣本關系矩陣、攻擊模式關系矩陣和IOC關系矩陣作為初始概率分布矩陣，利用重啟隨機游走算法分別對三個矩陣進行游走，得到攻擊樣本關系矩陣、攻擊模式關系矩陣、IOC關系矩陣三個層次的相關性得分矩陣；

S3、計算網絡攻擊工具關系推理概率：對得到的三個層次的相關性得分矩陣進行線性擬合，得到目標網絡攻擊工具對的關系推理概率Sr_attack；

S4、判斷網絡攻擊工具對的關系：設置閾值為σ，根據閾值σ評判網絡攻擊工具對的推理關系結果，當Sr_attack＞σ時，則認為對應的攻擊工具對之間具有推理關系。

2.根據權利要求1所述的方法，其特征在于，步驟S1的具體過程為：

S11、構建攻擊樣本關系矩陣R_Sample：從多源數據中抽取關于攻擊樣本的數據，構建攻擊樣本和攻擊樣本之間的關系矩陣R_Sample，R_Sample中的各元素代表各個攻擊樣本對的相關度，任意攻擊樣本對的相關度由攻擊樣本灰度圖相似度計算得出；

S12、構建攻擊模式關系矩陣R_TTP：從多源數據中抽取關于攻擊模式的數據，構建攻擊模式和攻擊模式之間的關系矩陣R_TTP，R_TTP中的各元素代表各個攻擊模式對的相關度，任意攻擊模式對的相關度由攻擊模式圖匹配計算得出；

S13、構建IOC關系矩陣R_IOC：從網絡攻擊工具分析報告、APT分析報告、相關論壇等多源數據中抽取關于IOC的數據，構建IOC和IOC之間的關系矩陣R_IOC；R_IOC中的各個元素代表各個IOC對的相關度，任意IOC對的相關度由編輯距離計算得出；

S14、基于攻擊樣本關系矩陣R_Sample、攻擊模式關系矩陣R_TTP和IOC關系矩陣R_IOC生成關系矩陣三元組：{R_Sample，R_TTP，R_IOC}。

3.根據權利要求2所述的方法，其特征在于，步驟S11中，根據攻擊樣本灰度圖相似度計算任意攻擊樣本對的相關度的具體過程為：

從多源數據中抽取惡意代碼樣本；利用B2M算法將惡意代碼樣本轉換為攻擊樣本灰度圖；任意選取兩張攻擊樣本灰度圖，并將兩張攻擊樣本灰度圖大小調整為同樣大小，生成兩張灰度直方圖；將每張灰度直方圖每4個灰度級劃分成一個區，共64個區，對每個區的4個值進行求和運算，得到64個值，以此作為該灰度直方圖的向量，計算兩張灰度直方圖對應的兩個向量的余弦相似度，生成攻擊樣本灰度圖相似度，將該攻擊樣本灰度圖相似度作為對應兩個攻擊樣本之間的相關度；由此計算所有攻擊樣本中各個攻擊樣本對之間的相關度，得到攻擊樣本關系矩陣R_Sample并表示為：

其中，矩陣元素a_ij表示攻擊樣本灰度圖a_i與攻擊樣本灰度圖a_j之間的相關度的值。

4.根據權利要求3所述的方法，其特征在于，所述利用B2M算法將惡意代碼樣本轉換為攻擊樣本灰度圖的計算步驟為：通過二進制流的方式讀取惡意代碼樣本，生成二進制數據流；以8位二進制為一個單位，將8為二進制轉化為無符號整型，形成指定寬度的數值向量，即寬度向量；將二進制數據流按照寬度向量構建數組；將數組的數值0x00～0xFF與圖像的像素值0-255一一對應，實現數組的數值與圖像的像素值的相互轉換，生成攻擊樣本灰度圖。