[发明专利]APT攻击告警方法和APT攻击告警装置

权利要求书

1.一种高级持续性威胁APT攻击告警方法，包括：

获取多个业务行为的数据，其中所述数据包括各业务行为的属性信息；

将所述多个业务行为中各业务行为的属性信息与预定正常业务行为属性信息进行对比，以确定各业务行为是正常业务行为或者异常业务行为；

在所述多个业务行为中有至少一个异常业务行为的情况中，为各个所述异常业务行为建立异常业务行为数据链，所述异常业务行为数据链包括与该异常业务行为相关联的业务行为序列；

将每个所述异常业务行为数据链分别与预定APT攻击判断规则进行匹配，针对匹配度高于阈值的异常业务行为数据链发出APT攻击告警；

各业务行为的属性信息包括行为关联信息，并且建立所述异常业务行为数据链包括：

针对每个异常业务行为，根据所述多个业务行为中各业务行为的属性信息所包括的行为关联信息确定与该异常业务行为相关联的业务行为，并将所确定的业务行为以及该异常业务行为按照行为时间顺序形成该异常业务行为的异常业务行为数据链。

2.如权利要求1所述的方法，其中所述属性信息包括以下至少一项：行为标识、行为主体、行为时间、行为对象、行为操作、行为关联信息。

3.如权利要求1所述的方法，还包括：

将确定为是正常业务行为的业务行为的属性信息添加到所述预定正常业务行为属性信息中。

4.如权利要求1所述的方法，其中各业务行为的属性信息包括行为关联信息，并且建立所述异常业务行为数据链包括：

针对每个异常业务行为，根据该异常业务行为前后一定时间段内各业务行为的属性信息所包括的行为关联信息来确定与该异常业务行为相关联的业务行为，并将所确定的业务行为以及该异常业务行为按照行为时间顺序形成该异常业务行为的异常业务行为数据链。

5.如权利要求4所述的方法，其中建立所述异常业务行为数据链包括：

以异常业务行为为中心，分别向该异常业务行为的前后执行搜索以确定与所述异常业务行为相关联的业务行为；

确定与所述异常业务行为相关联的业务行为的数目；

在所确定的与所述异常业务行为相关联的业务行为的数目达到预定阈值时，以所确定的业务行为和该异常业务行为形成该异常业务行为的异常业务行为数据链。

6.如权利要求1所述的方法，其中所述APT攻击判断规则包括以下类型中的至少一项：

非业务时间的业务操作或业务时间的非业务操作；

针对特定IP地址的频繁数据通信；

数据非正常加密存储和压缩；

数据自动外传至不可信目标；

非连续时间的数据传输；

同一数据文件多次流转。

7.一种APT攻击的告警装置，包括：

获取单元，获取多个业务行为的数据，其中所述数据包括各业务行为的属性信息；

确定单元，将所述多个业务行为中各业务行为的属性信息与预定正常业务行为属性信息进行对比，以确定各业务行为是正常业务行为或者异常业务行为；

建立单元，在所述多个业务行为中有至少一个异常业务行为的情况中为各个所述异常业务行为建立异常业务行为数据链，所述异常业务行为数据链包括与该异常业务行为相关联的业务行为序列；

判断单元，将每个所述异常业务行为数据链分别与预定APT攻击判断规则进行匹配，针对匹配度高于阈值的异常业务行为数据链发出APT攻击告警；

各业务行为的属性信息包括行为关联信息，并且所述建立单元还被配置为：

针对每个异常业务行为，根据该异常业务行为前后一定时间段内各业务行为的属性信息所包括的行为关联信息来确定与该异常业务行为相关联的业务行为，并将所确定的业务行为以及该异常业务行为按照行为时间顺序形成该异常业务行为的异常业务行为数据链。

8.如权利要求7所述的装置，其中所述属性信息包括以下至少一项：

行为标识、行为主体、行为时间、行为对象、行为操作、行为关联信息。