[发明专利]一种高级持续威胁攻击识别方法及装置

权利要求书

1.一种高级持续威胁攻击识别方法，所述高级持续威胁APT攻击包括第一阶段、第二阶段和第三阶段，其特征在于，所述方法包括：

检测攻击事件；

记录检测到的攻击事件，根据所述攻击事件的特征进行APT攻击阶段分类记录；

所述记录中包括第三阶段的攻击事件时，将所述第三阶段的攻击事件与其被攻击对象所遭受的第一阶段和第二阶段的攻击事件进行关联，在所关联到的攻击事件具有外部来源时，确定为APT攻击事件；

其中，所述第一阶段为利用漏洞实施入侵；所述第二阶段为释放木马内部渗透；所述第三阶段为控制破坏信息窃取；

将所述第三阶段的攻击事件与其被攻击对象所遭受的第一阶段和第二阶段的攻击事件进行关联，在所关联到的攻击事件具有内部来源时，将所关联到的攻击事件与其第一攻击者所遭受的第一阶段、第二阶段和第三阶段的攻击事件进行关联，在所关联到的第一攻击者所遭受的攻击事件具有外部来源时，确定为APT攻击事件。

2.根据权利要求1所述高级持续威胁攻击识别方法，其特征在于，该方法还包括：

将所关联到的攻击事件与其第一攻击者所遭受的第一阶段、第二阶段和第三阶段的攻击事件进行关联，在所关联到的第一攻击者所遭受的攻击事件具有内部来源时，将所关联到的攻击事件与其第二攻击者所遭受的第一阶段、第二阶段和第三阶段的攻击事件进行关联，在所关联到的第二攻击者所遭受的攻击事件具有外部来源时，确定为APT攻击事件。

3.根据权利要求1所述高级持续威胁攻击识别方法，其特征在于，所述检测攻击事件包括：

通过基于签名的检测、基于深度内容的检测、基于模拟行为的检测、以及对抗处理检测分析网络流量，进行攻击事件识别。

4.根据权利要求1所述高级持续威胁攻击识别方法，其特征在于，所述将所述第三阶段的攻击事件与其被攻击对象所遭受的第一阶段和第二阶段的攻击事件进行关联，为：

查找所述第三阶段的攻击事件的被攻击对象所遭受的第二阶段的攻击事件，在查找到所述第二阶段的攻击事件时，判断查找到的第二阶段的攻击事件是否具有外部来源，在具有外部来源或没有查找到所述第二阶段的攻击事件时，查找所述第三阶段的攻击事件的被攻击对象所遭受的第一阶段的攻击事件，在查找到所述第一阶段的攻击事件时，判断查找到的第一阶段的攻击事件是否具有外部来源。

5.根据权利要求1所述高级持续威胁攻击识别方法，其特征在于，所述将所述关联到的攻击事件与其第一攻击者所遭受的第一阶段、第二阶段和第三阶段的攻击事件进行关联，为：

查找所述关联到的攻击事件的第一攻击者所遭受的第三阶段的攻击事件，在查找到所述第三阶段的攻击事件时，判断查找到的第三阶段的攻击事件是否具有外部来源，在具有外部来源或没有查找到所述第三阶段的攻击事件时，查找所述第一攻击者所遭受的第二阶段的攻击事件，在查找到所述第二阶段的攻击事件时，判断查找到的第二阶段的攻击事件是否具有外部来源，在具有外部来源或没有查找到所述第二阶段的攻击事件时，查找所述第一攻击者所遭受的第一阶段的攻击事件，在查找到所述第一阶段的攻击事件时，判断查找到的第一阶段的攻击事件是否具有外部来源。