[发明专利]攻击链检测方法及装置

说明书

本发明实施例提供一种攻击链检测方法及装置，所述方法包括：根据各攻击事件所属的攻击阶段和传递各所述攻击事件的主机节点构建攻击事件图，根据所述攻击事件图计算各所述主机节点的中介中心性；对于任一种临近攻击事件序列，根据各所述主机节点的中介中心性计算该种临近攻击事件序列的隶属度；获取所述攻击事件图中的每条攻击路径，若各条所述攻击路径包含核心主机节点，则根据各所述主机节点的临近攻击事件序列的隶属度，基于D‑S证据理论以所述核心主机节点为起点逆向追寻发起所述攻击事件的主机节点，将追寻的所述主机节点和所述核心节点作为攻击链。本发明实施例检测出的攻击链更加准确，能实现对APT事件的精准检测。

技术领域

本发明实施例属于网络安全技术领域，更具体地，涉及一种攻击链检测方法及装置。

背景技术

随着信息化技术的发展，针对核心信息系统和关键信息基础设施的安全事件频发，网络攻击威胁和网络犯罪呈现组织化和产业化的趋势,其中有一类有组织、有特定目标、持续时间极长的新型攻击和威胁正在发展壮大，国际上称之为APT(AdvancedPersistent Threat，高级持续性威胁)，又称“针对特定目标的攻击”。此类攻击多针对金融、能源、交通、政府、军工、电信等重要信息系统。由于APT攻击渠道多样化、隐蔽时间长且攻击特征难以提取，使得攻击链的检测面临巨大困难。在此背景下研究如何高效、准确地检测APT攻击事件具有重要意义。

传统的APT检测方法通常基于主机监控系统、入侵检测系统等检测设备获得主机行为或网络流量日志，通过建立样本特征库检测网络环境中单个主机的攻击行为或异常事件，通过日志关联与大数据分析从海量的行为数据中发现攻击的全貌。

现有的APT检测方法十分依赖专家知识和人工判断，主观性较强，从而导致攻击链检测不精确。由于检测设备的告警信息相互割裂且孤立，传统的检测方法缺乏对碎片化告警信息的有效集成，其网络环境感知性差、情报价值利用率低、攻击阶段关联性弱、人工分析滞后性长等问题使得传统的检测方法已不再适用于复杂多变且隐蔽性强的APT事件检测。

发明内容

为克服上述现有的攻击链检测方法检测不精确的问题或者至少部分地解决上述问题，本发明实施例提供一种攻击链检测方法及装置。

根据本发明实施例的第一方面，提供一种攻击链检测方法，包括：

S1，根据各攻击事件所属的攻击阶段和传递各所述攻击事件的主机节点构建攻击事件图；

S2，根据所述攻击事件图计算各所述主机节点的中介中心性；

S3，对于任一种临近攻击事件序列，根据各所述主机节点的中介中心性计算该种临近攻击事件序列的隶属度；

S4，获取所述攻击事件图中的每条攻击路径，若各条所述攻击路径包含核心主机节点，则根据各所述主机节点的临近攻击事件序列的隶属度，基于D-S证据理论以所述核心主机节点为起点逆向追寻发起所述攻击事件的主机节点，将追寻的所述主机节点和所述核心节点作为攻击链；

其中，该种临近攻击事件序列的隶属度为该种临近攻击事件序列属于该种临近攻击事件序列对应的临近攻击阶段序列的概率，所述临近攻击事件序列包括任一所述主机节点的一次出向攻击事件和一次入向攻击事件，且所述出向攻击事件和所述入向攻击事件满足第一预设条件，所述临近攻击事件序列对应的临近攻击阶段序列包括所述临近攻击事件序列中出向攻击事件所属的攻击阶段和入向攻击事件所属的攻击阶段；所述核心主机节点为满足第二预设条件的所述主机节点。

根据本发明实施例第二方面提供一种攻击链检测装置，包括：

构建模块，用于根据各攻击事件所属的攻击阶段和传递各所述攻击事件的主机节点构建攻击事件图；

第一计算模块，用于根据所述攻击事件图计算各所述主机节点的中介中心性；