[發明專利]一種攻擊次數分類統計方法及系統

在審

• 申請號: 202310642955.6
• 申請日: 2023-05-31
• 公開（公告）號: CN116527386A
• 公開（公告）日: 2023-08-01
• 發明（設計）人: 魯國亮;劉金鎖;胡游君;郭靚;劉劍;張付存;俞皓;徐勝國;姜帆;王志勇;胡爾同;賈雪;馬騰鵬
• 申請（專利權）人: 南京南瑞信息通信科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/1097
• 代理公司: 南京禹為知識產權代理事務所(特殊普通合伙) 32272
• 代理人: 齊佳美

1.一種攻擊次數分類統計方法，其特征在于：包括，

采集各安全設備原始日志，并對所述原始日志進行預處理；

將所述預處理后的日志數據存放至可擴展分布式文件系統中；

獲取可擴展分布式文件系統存儲的數據，結合目標維度，對日志進行聚合，計算出攻擊次數，并進行分類統計。

2.如權利要求1所述的攻擊次數分類統計方法，其特征在于：所述各安全設備原始日志包括，各安全設備運行過程中產生的多源異構數據以及每條日志的接收時間；

所述預處理包括對日志數據的去重、去噪、加強以及范式化；

若所述安全設備原始日志為正序數據時，所述去重、去噪包括將原始數據作為數據源，按正則匹配原始日志內容，并創建5秒的Flink時間窗口，對窗口內原始日志去重、去噪；

若所述安全設備原始日志為亂序數據時，所述去重、去噪包括將原始數據作為數據源，并為每條日志增加“接收時間”字段，在Flink中處理日志時，使用“事件時間窗口”處理；

所述加強包括對原始日志內容關聯地理位置、資產、受攻擊業務系統以及其他原始日志存在缺少的內容進行補充；

所述范式化包括通過攻擊源IP關聯地理位置信息庫，得到攻擊源地理位置信息，通過攻擊目的IP關聯資產，得到受攻擊業務系統信息，按照告警規范將原始攻擊類型映射到標準攻擊類型，并將日志內容分別映射到制定好的統一字段，以json格式發送到消息隊列。

3.如權利要求2所述的攻擊次數分類統計方法，其特征在于：所述將所述預處理后的日志數據存放至可擴展分布式文件系統中包括使用分桶策略以及回滾策略實現日志數據存儲，

所述分桶策略包括預設分桶數量，以日志模型號和時間作為分桶依據；

所述回滾策略包括如下：

s.t：t≥Th(Sn-Sn+i)＝0w≥Wy

其中，t為預處理后的日志數據文件從獲取到當前已經經歷的時間，T_h為與預設文件回滾周期，S_n為n時刻可擴展分布式文件系統中的總數據，S_n+i為n+i時刻可擴展分布式文件系統中的總數據，i為預設新數據判別周期，w為當前文件大小數值，W_y為預設判別文件大小數值，當滿足上述公式條件，則生成新文件。

4.如權利要求3所述的攻擊次數分類統計方法，其特征在于：所述日志進行聚合包括初步聚合以及再次聚合，

所述初步聚合包括，通過預設固定調度周期，獲取分布式文件系統上固定調度周期內的數據，按照第一預設時間將所述預設固定調度周期進行等額劃分，并按照第M周期-第N份時間段進行命名；

當獲取到預處理后的日志中的事件時間后，將獲取到的事件時間與命名后的時間段進行映射，并根據映射結果得到事件時間范圍；

當某事件時間映射至時間段的后一分鐘內時，以事件時間的發生時間為起始時間，以五分鐘為范圍，獲取新的事件時間范圍，以此作為該事件時間范圍；

當確定時間范圍后，在該時間范圍內對某事件的發送設備IP進行關聯，獲取可達阻斷類型；

根據事件所屬網絡、地理位置、攻擊類型、受攻擊業務系統、可達阻斷類型和事件時間范圍進行聚合，得到初步聚合的攻擊次數，存入數據倉庫工具分區表的當天分區中。

5.如權利要求4所述的攻擊次數分類統計方法，其特征在于：所述日志進行聚合還包括，所述再次聚合包括分別計算具體維度的攻擊次數，在數據倉庫工具中建立分區表，保存攻擊次數初步聚合的中間結果，當進行再次聚合時，直接使用數據倉庫工具SQL取當天分區的中間結果計算，即使數據亂序到達，也能保證將每次攻擊按照事件時間歸入到正確的時間范圍。