[发明专利]攻击事件的追踪溯源方法、装置及设备

说明书

本申请公开了一种攻击事件的追踪溯源方法、装置及设备，涉及网络安全技术领域，可提高追踪溯源的效率和精确性，帮助用户及时发现存在恶意攻击行为的攻击者。其中方法包括：首先将攻击告警数据按照相同的属性特征划分为攻击事件切片；然后根据所述攻击事件切片对应的切片特征，分析所述攻击事件切片之间的关联关系；最后依据所述关联关系，将所述攻击事件切片进行同源聚合，以便获取相同的攻击者信息。本申请适用于网络安全的追踪溯源。

技术领域

本申请涉及网络安全技术领域，尤其是涉及到一种攻击事件的追踪溯源方法、装置及设备。

背景技术

互联网信息化发达的当代，网络黑客攻击事件越来越多，黑客攻击手段也在不断演化。网络安全环境正发生深刻演变，随着攻击手段多样化，攻击团队专业化、组织化、甚至国家化。功放不对等加剧，企业用户所部署的大量传统的安全设备，还是难以有效对日益严峻的威胁形势。

目前，在现有的安全防护系统中，安全日志告警是必不可少的一个功能模块。然而，随着业务服务器的不断增加、黑客攻击成本不断下降，导致安全告警日志不断增加，企业专业的运维人员在成千上万的安全告警日志中对某个攻击事件进行追踪溯源十分困难。不仅需要专业的运维人员进行人工查找，造成人工成本较高、追踪溯源效率较低，而且无法保证追踪溯源的精确性。

发明内容

有鉴于此，本申请提供了一种攻击事件的追踪溯源方法、装置及设备，主要目的在于解决目前传统方式会造成人工成本较高、追踪溯源效率较低，并且无法保证追踪溯源的精确性的技术问题。

根据本申请的一个方面，提供了一种攻击事件的追踪溯源方法，该方法包括：

将攻击告警数据按照相同的属性特征划分为攻击事件切片；

根据所述攻击事件切片对应的切片特征，分析所述攻击事件切片之间的关联关系；

依据所述关联关系，将所述攻击事件切片进行同源聚合，以便获取相同的攻击者信息。

根据本申请的另一方面，提供了一种攻击事件的追踪溯源装置，该装置包括：

划分模块，用于将攻击告警数据按照相同的属性特征划分为攻击事件切片；

分析模块，用于根据所述攻击事件切片对应的切片特征，分析所述攻击事件切片之间的关联关系；

聚合模块，用于依据所述关联关系，将所述攻击事件切片进行同源聚合，以便获取相同的攻击者信息。

依据本申请又一个方面，提供了一种存储介质，其上存储有计算机程序，所述程序被处理器执行时实现上述攻击事件的追踪溯源方法。

依据本申请再一个方面，提供了一种攻击事件追踪溯源的实体设备，包括存储介质、处理器及存储在存储介质上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述攻击事件的追踪溯源方法。

借由上述技术方案，本申请提供的一种攻击事件的追踪溯源方法、装置及设备，首先将攻击告警数据按照相同的属性特征划分为攻击事件切片，然后根据攻击事件切片对应的切片特征，分析攻击事件切片之间的关联关系，进而基于该关联关系，将攻击事件切片进行同源聚合，即通过攻击者相关线索将分散的相同或不同维度的攻击事件进行关联，从而实现对攻击者进行追踪溯源。与目前传统方式相比，可节省人工成本，并且可提高追踪溯源的效率和精确性，帮助用户及时发现存在恶意攻击行为的攻击者。

上述说明仅是本申请技术方案的概述，为了能够更清楚了解本申请的技术手段，而可依照说明书的内容予以实施，并且为了让本申请的上述和其它目的、特征和优点能够更明显易懂，以下特举本申请的具体实施方式。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：