[发明专利]网络攻击检测方法及装置

说明书

本发明公开了网络攻击检测方法及装置，属于信息安全技术领域。本发明能够在内部网络中获取多个终端设备的待检测信息(包括系统数据和web日志数据)；通过逐个对每一个待检测信息进行威胁检测，进而获取相应的异常数据；采用聚合分析的方式对全部异常数据的进行深度挖掘分析，进而溯源内部网络中的终端设备受到攻击的路径(异常路径信息)，以便于根据该攻击路径对攻击者进行追踪，提升网络安全防御能力。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种网络攻击检测方法及装置。

背景技术

网络攻击是黑客或者病毒木马等对电子设备(如：终端设备)发起的攻击，通过窃取文件等给用户带来了巨大损失。攻击者利用恶意程序对网络及信息系统进行入侵控制，达到窃取敏感数据和破坏系统和网络环境的目的，亟待提高对大型应用场景(如：企业内部网络)中对网络攻击的分析及防御能力。

目前，在进行终端设备的系统安全防护时，通常将单一的终端设备的系统攻击事件或web攻击事件进行相关事件的罗列，无法针对同一网络(如：银行内部专用网络，医院内部专用网络等)中所有终端设备的web攻击事件进行统计分析，不能有效的溯源攻击者的攻击路径。针对现有的系统安全防护因缺少对系统攻击事件及web攻击事件的关联分析能力，无法溯源攻击者的攻击路径，导致无法有效进行系统防护的缺陷。因此，提出一种新的网络攻击检测方式已成为安全技术领域亟待解决的技术问题。

发明内容

有鉴于此，本发明提供一种网络攻击检测方法及装置，主要目的在于能够在内部网络中对多个终端设备的系统攻击事件及web攻击事件进行联合分析，从而获取溯源攻击路径，提升检测网络攻击的能力。

本发明提供了一种网络攻击检测方法，应用于内部网络，包括：

获取所述内部网络中至少一个终端设备的待检测信息，所述待检测信息包括系统数据和web日志数据；

分别对每一个所述待检测信息进行威胁检测，获取相应的异常数据；

对全部所述异常数据进行聚合分析，生成异常路径信息。

优选的，所述分别对每一个所述待检测信息进行威胁检测，获取相应的异常数据，包括：

识别每一个所述待检测信息中各个待检测数据的数据类型；

根据每一个所述待检测数据的数据类型进行相应的威胁检测，获取所述异常数据。

优选的，所述数据类型包括：系统数据类和web数据类；所述系统数据类对应的威胁检测为系统威胁检测，所述web数据类对应的威胁检测为web威胁检测；

根据每一个所述待检测数据的数据类型进行相应的威胁检测，获取所述异常数据，包括：

对所述系统数据进行系统威胁检测，获取所述异常数据；

对所述web日志数据进行web威胁检测，获取所述异常数据。

优选的，对所述web日志数据进行web威胁检测，获取所述异常数据，包括：

采用第一预设模型检测所述web日志数据是否包括异常数据；

当所述web日志数据包括异常数据时，基于所述异常数据生成异常数据的攻击路径信息。

优选的，所述对全部所述异常数据进行聚合分析，生成异常路径信息，包括：

获取每一个所述异常数据中的访问节点数据及相应的时间数据；

根据全部所述时间数据生成时间轴；

依据所述时间轴中的所述时间数据，将相应的访问节点数据关联，生成所述异常路径信息。

优选的，还包括：