[发明专利]一种网络多步攻击识别和预测方法

权利要求书

1.一种网络多步攻击识别和预测方法，其特征是：

(1)网络报警和整理：将入侵检测系统、防火墙和杀毒软件等多种安全设备的报警存入数据库，并将报警按照入侵检测消息交换格式进行归一化处理；

(2)攻击序列转化：将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列；

(3)攻击转化频率计算：统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵；

(4)多步攻击序列挖掘：对多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列；

(5)新的多步攻击序列识别和预测：通过分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。

2.根据权利要求1所述的一种网络多步攻击识别和预测方法，其特征是所述的攻击序列转化的步骤是：1)将入侵检测系统、防火墙等安全设备报警库中的报警集合按照时间属性顺序排列，形成报警序列；2)设定一个攻击类型集合，根据报警具有攻击类型将前一步中的报警序列转化为对应的攻击序列；3)从攻击序列的初始节点开始向后遍历整个攻击序列，将时间窗口内的攻击归为一个子序列，生成多个个子攻击序列；

3.根据权利要求1或2所述的一种网络多步攻击识别和预测方法，其特征是所述的攻击频率计算的步骤是：1)依次遍历所有子攻击序列，统计各个子攻击序列中，计算出攻击之间相互转化的频数，再将各个攻击序列中相对应的攻击频数相加，得出报警库中攻击转化频数；2)根据前面计算出所有的攻击之间转化的频数，并将所有的频数作为元素构成攻击频数转化矩阵；3)根据攻击频数转化矩阵，计算攻击转化的频率，具体方法是：用矩阵中的每一项除以该项所在行所有元素之和，所得的结果就是该项对应的攻击转化的频率，如果该项所在行所有元素之和为零，则该项所对应的攻击转化频率也为零；4)部分转化频率值接近于零。按照概率论的观点，这些攻击转化为不可能事件。如果攻击转化频率小于最小转化可信度，将该项置为零，得到了攻击频率转化矩阵。

4.根据权利要求1或2所述的一种网络多步攻击识别和预测方法，其特征是所述的多步攻击序列挖掘的步骤是：1)遍历整体攻击序列，将第一个攻击放入匹配队列中；2)取后续的攻击，比较该攻击与匹配队列的队尾元素，如果后续攻击和队尾元素的时间差小于时间窗口，且转化频率不为零，则将该攻击放入匹配队列尾部；3)从整体攻击序列中删除第一个攻击，如果整体攻击序列没有遍历完，继续步骤1)，直至整体攻击序列遍历完，生成多个匹配序列；4)所得的多个匹配序列中可能会有某个序列是另一个序列的包含序列。根据序列最大的原则去除包含序列的算法，形成新的多步攻击序列集合。

5.根据权利要求3所述的一种网络多步攻击识别和预测方法，其特征是所述的多步攻击序列挖掘的步骤是：1)遍历整体攻击序列，将第一个攻击放入匹配队列中；2)取后续的攻击，比较该攻击与匹配队列的队尾元素，如果后续攻击和队尾元素的时间差小于时间窗口，且转化频率不为零，则将该攻击放入匹配队列尾部；3)从整体攻击序列中删除第一个攻击，如果整体攻击序列没有遍历完，继续步骤1)，直至整体攻击序列遍历完，生成多个匹配序列；4)所得的多个匹配序列中可能会有某个序列是另一个序列的包含序列。根据序列最大的原则去除包含序列的算法，形成新的多步攻击序列集合。