[发明专利]一种攻击组织发现方法及系统

权利要求书

1.一种攻击组织发现方法，包括以下步骤：

1)获取待处理的Web日志，对Web日志中的关键特征进行提取，所述关键特征包括有标签特征和无标签特征；所述无标签特征包括：攻击类型、总攻击日志条数/攻击类型数、域名领域、具体域名目标、时间段、POST的TF-IDF值、URL的TF-IDF值；所述有标签特征包括：IP-B段、IP-C段、POST用词相似度、GET用词相似度；

2)用Affinity Propagation聚类方法对上述特征中的每个无标签特征进行聚类，将标签化处理后得到的结果与有标签特征合并；

3)根据每个特征对聚类结果准确性的影响程度，给标签特征赋予不同的权值，对比不同IP间特征值是否相同，对特征值相同的权值进行累加，得到最后的群体分值；

4)当一群体分值高于预设阈值时，认定该群体内的IP为同一攻击者/攻击组织。

2.如权利要求1所述方法，其特征在于，步骤1)中对Web日志中的关键特征进行提取之后，对提取到的关键特征进行预处理；所述预处理包括：检查数据的规范性与完整性，根据设定的数据格式删除不符合该数据格式的冗余内容，将数据转换成计算机可读的形式。

3.如权利要求1所述方法，其特征在于，步骤3)中所述权值的赋值满足以下条件：重要性最低的3-5个特征的权值之和大于剩余特征中至少一个的权值。

4.如权利要求3所述方法，其特征在于，步骤3)中所述权值的赋值范围为0-5。

5.如权利要求4所述方法，其特征在于，步骤3)中攻击类型权值的赋值范围为0.8-1.5；总攻击日志条数/攻击类型数权值的赋值范围为0.2-0.6；域名领域、具体域名目标和时间段权值的赋值范围为0.2-0.6；POST的TF-IDF值和URL的TF-IDF值权值的赋值范围为1.8-2.5；IP-B段权值的赋值范围为2-2.5；IP-C段的权值的赋值范围为2.8-3.2；POST用词相似度和GET用词相似度权值的赋值范围为2.9-3.2。

6.如权利要求1所述方法，其特征在于，步骤4)中阈值的设定满足以下条件：阈值要大于特征权值的最高值，同时要小于最高的三个特征权值相加之和。

7.如权利要求5或6所述方法，其特征在于，攻击类型、总攻击日志条数/攻击类型数、域名领域、具体域名目标、时间段、POST的TF-IDF值、URL的TF-IDF值、IP-B段、IP-C段、POST用词相似度、GET用词相似度权值依次设定为1,0.4,0.4,0.4,0.4,2.02,2.03,1.5,2.1,3.04,3.05，阈值为3.06-8.2。

8.如权利要求7所述方法，其特征在于，阈值为5。

9.一种攻击组织发现系统，包括：

Web日志信息处理模块，获取待处理的Web日志，对Web日志中的关键特征进行提取，所述关键特征包括有标签特征和无标签特征；所述无标签特征包括：攻击类型、总攻击日志条数/攻击类型数、域名领域、具体域名目标、时间段、POST的TF-IDF值、URL的TF-IDF值；所述有标签特征包括：IP-B段、IP-C段、POST用词相似度、GET用词相似度；

标签特征处理模块，使用Affinity Propagation聚类方法对无标签特征进行单独聚类，将标签化处理后得到的结果与有标签特征合并；

群体分值计算模块，根据每个特征对聚类结果准确性的影响程度，给标签特征赋予不同的权值，对比不同IP间特征值是否相同，对特征值相同的权值进行累加，得到最后的群体分值；

攻击组织判定模块，根据群体分值和预设阈值，对是否属于同一个攻击组织进行判定。