[發(fā)明專利]一種基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法

在審

• 申請?zhí)枺?/td>: 202211618906.0
• 申請日: 2022-12-15
• 公開（公告）號(hào): CN116248330A
• 公開（公告）日: 2023-06-09
• 發(fā)明（設(shè)計(jì)）人: 周亞勝;王中華;李萌;楊子怡;何旺宇;劉鐔稚
• 申請（專利權(quán)）人: 中國航空工業(yè)集團(tuán)公司西安航空計(jì)算技術(shù)研究所
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;G06F16/36;H04L41/069;H04L41/14
• 代理公司: 北京清大紫荊知識(shí)產(chǎn)權(quán)代理有限公司 11718
• 代理人: 秦亞群

1.一種基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法，其特征在于，包括以下步驟：

S1、提取信息系統(tǒng)日志，獲取與網(wǎng)絡(luò)攻擊相關(guān)的日志信息；

S2、依據(jù)日志信息，構(gòu)建因果圖；

S3、用已知場景生成因果圖，并生成攻擊序列和非攻擊序列；

S4、對(duì)攻擊序列和非攻擊序列分別進(jìn)行向量表征，生成攻擊序列向量和非攻擊序列向量；

S5、基于攻擊序列向量和非攻擊序列向量，訓(xùn)練攻擊序列識(shí)別模型；

S6、采用步驟S1～S4，構(gòu)建被測場景的因果圖并生成行為序列向量，采用步驟S5攻擊序列識(shí)別模型對(duì)被測場景中已知的被攻擊實(shí)體的攻擊路徑識(shí)別。

2.根據(jù)權(quán)利要求1所述的基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法，其特征在于：步驟S1中，提取信息系統(tǒng)日志，獲取與網(wǎng)絡(luò)攻擊相關(guān)的日志信息，包括：

S11、在系統(tǒng)設(shè)備終端部署的日志生成器，獲取系統(tǒng)日志文件；

S12、提取系統(tǒng)日志文件中與網(wǎng)絡(luò)攻擊相關(guān)的安全事件日志；

S13、依據(jù)日志四元組格式，對(duì)安全事件日志進(jìn)行處理，形成結(jié)構(gòu)化日志信息。

3.根據(jù)權(quán)利要求1所述的基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法，其特征在于：所述日志四元組格式包括安全事件日志的源實(shí)體、事件名稱、目的實(shí)體、時(shí)間戳。

4.根據(jù)權(quán)利要求1所述的基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法，其特征在于：步驟S2中，依據(jù)日志信息，構(gòu)建因果圖，包括：

S21、定義因果圖中的節(jié)點(diǎn)、邊、行為、事件之間的關(guān)系；

S22、依據(jù)日志信息，生成面向日志信息的因果圖；

S22、對(duì)面向日志信息的因果圖壓縮，生成優(yōu)化后因果圖。

5.根據(jù)權(quán)利要求1所述的基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法，其特征在于：步驟S3中，基于已知場景構(gòu)造攻擊序列和非攻擊序列，包括：

S311、獲取已知攻擊場景的受害主機(jī)日志信息，構(gòu)建攻擊行為因果圖；

S312、獲取攻擊行為因果圖內(nèi)攻擊實(shí)體，提取各攻擊實(shí)體的鄰域圖；

S313、依據(jù)各攻擊實(shí)體的鄰域圖，生成攻擊事件集合；

S314、對(duì)攻擊事件集合按照實(shí)體名稱和時(shí)間順序排序，生成攻擊序列；

S321、獲取已知正常場景的日志信息，構(gòu)建正常行為因果圖；

S322、獲取正常行為因果圖內(nèi)實(shí)體，提取各實(shí)體的鄰域圖；

S323、依據(jù)依據(jù)各實(shí)體的鄰域圖，生成事件集合；

S324、對(duì)事件集合按照實(shí)體名稱和時(shí)間順序排序，生成非攻擊序列。

6.根據(jù)權(quán)利要求1所述的基于因果圖的網(wǎng)絡(luò)攻擊路徑識(shí)別方法，其特征在于：步驟S6中，采用步驟S1～S4，構(gòu)建被測場景的因果圖，獲取攻擊序列向量和非攻擊序列向量，輸入S5中攻擊路徑預(yù)測模型進(jìn)行攻擊路徑識(shí)別，輸出攻擊路徑識(shí)別結(jié)果，包括：

S61、將攻擊序列向量輸入攻擊路徑預(yù)測模型內(nèi)，識(shí)別攻擊向量；

S62、依據(jù)攻擊序列向量中的已知攻擊實(shí)體，對(duì)因果圖在時(shí)間維度上進(jìn)行向前遍歷和向后遍歷，對(duì)受攻擊實(shí)體進(jìn)行檢測直到攻擊最初發(fā)生的事件為止，獲得多個(gè)攻擊序列；

S63、對(duì)多個(gè)攻擊序列進(jìn)行相似度進(jìn)行匹配，輸出攻擊路徑。