[发明专利]攻陷主机自动判定方法、装置、电子设备及存储介质

说明书

本发明涉及网络安全技术领域，公开了一种攻陷主机自动判定方法、装置、电子设备及存储介质，所述方法包括：根据安全设备输出的日志生成安全事件，安全事件为描述攻击者活动的事件，安全事件中包含目的IP地址和攻击阶段；聚合目的IP地址相同的安全事件，并根据聚合的安全事件的攻击阶段得到目的IP地址对应的主机的攻击链；查找源IP地址为主机的IP地址的安全事件，并根据查找到的安全事件修正攻击链；根据修正后的攻击链判断主机是否被攻陷。本发明实施例提供的技术方案，实现自动判定主机是否被攻陷的功能，解决了判定主机是否被攻陷必须依靠安全工程师的问题，并能及时对被攻陷主机作出告警，降低主机被攻陷后带来的损失。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种攻陷主机自动判定方法、装置、电子设备及存储介质。

背景技术

安全设备在监控网络活动时，会产生大量日志，但这些日志对有网络状态监控的普通用户来说，数据量极大并且含义不明确，不能直观告诉用户发生了什么事情。因此，主机是否被攻陷的判定方法大都是由安全工程师进行人工判断，需要人力资源的同时对人力资源的专业性有较高要求，还会存在判定攻陷不及时造成严重损失的可能性。

发明内容

本发明实施例提供一种攻陷主机自动判定方法、装置、电子设备及存储介质，以解决现有技术中的无法自动判断主机是否被攻陷的问题。

第一方面，本发明一实施例提供了一种攻陷主机自动判定方法，包括：

根据安全设备输出的日志生成安全事件，安全事件为描述攻击者活动的事件，安全事件中包含目的IP地址和攻击阶段；

聚合目的IP地址相同的安全事件，并根据聚合的安全事件的攻击阶段得到目的IP地址对应的主机的攻击链；

查找源IP地址为主机的IP地址的安全事件，并根据查找到的安全事件修正攻击链；

根据修正后的攻击链判断主机是否被攻陷。

第二方面，本发明一实施例提供了一种攻陷主机自动判定装置，包括：

安全事件生成模块，用于根据安全设备输出的日志生成安全事件，安全事件为描述攻击者活动的事件，安全事件中包含目的IP地址和攻击阶段；

攻击链生成模块，用于聚合目的IP地址相同的安全事件，并根据聚合的安全事件的攻击阶段得到目的IP地址对应的主机的攻击链；

攻击链修正模块，用于查找源IP地址为主机的IP地址的安全事件，并根据查找到的安全事件修正攻击链；

判断模块，用于根据修正后的攻击链判断主机是否被攻陷。

第三方面，本发明一实施例提供了一种电子设备，包括收发机、存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，收发机用于在处理器的控制下接收和发送数据，处理器执行程序时实现上述任一种方法的步骤。

第四方面，本发明一实施例提供了一种计算机可读存储介质，其上存储有计算机程序指令，该程序指令被处理器执行时实现上述任一种方法的步骤。

本发明实施例提供的技术方案，将安全设备发送的日志处理后转换成安全事件，并为安全事件标记在攻击链中所处的攻击阶段，然后，聚合目的IP地址相同的安全事件，并基于聚合的安全事件推理得到受害主机视角的攻击链，还原受害主机被攻击的过程，通过判断受害主机的攻击链判断主机是否被攻陷，以实现自动判定主机是否被攻陷的功能，解决了判定主机是否被攻陷必须依靠安全工程师的问题，满足了用户对获知资产是否被攻陷的需求，节省了大量人力资源，实现了对网络设备的实时不间断监控，并能及时对被攻陷主机作出告警，降低主机被攻陷后带来的损失。

附图说明