[发明专利]用于对抗网络攻击的攻击活动智能和可视化

权利要求书

1.一种计算机实现的方法，所述方法包括：访问计算环境中的活动的实例，其中所述活动的所述实例包括属性集；在恶意活动模型处接收所述活动的所述实例，所述恶意活动模型包括与所述活动的先前实例相关联的多个多属性集群标识符，所述多属性集群标识符包括对应的风险得分和属性集，所述风险得分和所述属性集指示所述活动的所述实例是恶意活动的可能性；使用所述恶意活动模型，基于将所述活动的所述实例的所述属性集与所述多个多属性集群标识符进行比较，确定所述活动的所述实例是恶意活动，其中所述活动的所述实例的所述属性集与所述多个多属性集群标识符中的至少一个多属性集群标识符的属性集匹配，所述多个多属性集群标识符中的所述至少一个多属性集群标识符的风险得分和属性集指示所述活动的所述实例是恶意活动的可能性；以及生成包括所述活动的所述实例的恶意活动操作数据的可视化，其中所述可视化将所述活动的所述实例标识为恶意活动。

2.根据权利要求1所述的方法，其中所述活动的所述实例是电子邮件消息，其中针对多个电子邮件消息生成所述恶意活动模型包括：基于与所述集群中的所述多个电子邮件消息相关联的元数据和属性，将所述多个电子邮件消息聚类到两个或者更多个集群；以及基于与所述两个或者更多个集群中的所述多个电子邮件消息相关联的历史信息、属性、和元数据，将风险得分分配给所述两个或更多个集群中的每个集群。

3.根据权利要求2所述的方法，其中将所述多个电子邮件消息聚类到所述两个或者更多个集群基于以下：利用相关联的所述多个电子邮件消息的元数据属性来标识质心，其中所述质心是基于所述多个电子邮件消息的指纹而被计算的；标识所述多个电子邮件消息之间的公共元数据属性；基于所述公共元数据属性应用过滤器，其中基于所述公共元数据属性应用过滤器标识所述多个电子邮件消息的两个或更多个子集；生成与所述多个电子邮件消息的所述两个或者更多个子集中的每个子集相关联的攻击活动指南，其中所述攻击活动指南链接到与所述多个电子邮件消息的子集相对应的所述公共元数据属性。

4.根据权利要求1所述的方法，其中所述风险得分是基于以下各项中的每项而被计算的：怀疑得分、异常得分、和影响得分，每项都基于来自所述集群的指示恶意活动的信息，其中所述怀疑得分基于关于所述计算环境的租户的信息，其中所述异常得分基于关于信息的发送者的信息，其中所述影响得分基于由对应的集群中的所述活动的实例所针对的个体的位置、所述对应集群中的内容分类、以及所述活动的所述先前实例中包括的网站信息。

5.根据权利要求1所述的方法，其中所述恶意活动模型是恶意活动确定模型，所述恶意活动确定模型被用以比较所述活动的所述实例的所述属性集，以标识所述多个多属性集群标识符中的所述至少一个多属性集群标识符，所述至少一个多属性集群标识符指示所述活动的所述实例是恶意活动的可能性。

6.根据权利要求1所述的方法，其中所述恶意活动模型是基于处理与多个网络攻击相关联的多个电子邮件消息而被生成的机器学习模型，其中所述处理所述多个电子邮件消息基于对所述多个电子邮件进行聚类，所述聚类基于以下各项：由所述多个电子邮件的收件人所采取的动作、所述电子邮件中的附件、以及所述多个电子邮件的对应指纹；并且其中所述恶意活动模型是可配置的，以用于在租户级、全局级、或者组合的租户-全局级处理所述多个电子邮件消息。

7.根据权利要求1所述的方法，其中所述恶意活动操作数据从以下各项中的每项中被选择：聚类分析、风险得分、属性集、用于生成对应的聚类分析可视化、风险得分可视化、属性集可视化和评估结果可视化的评估结果。

8.根据权利要求1所述的方法，其中基于确定所述活动的所述实例的所述属性集对应于所述多个多属性集群标识符中的至少一个多属性集群标识符的风险得分和属性集，执行一个或多个补救动作，其中所述风险得分和所述属性集指示所述活动的所述实例是恶意活动的可能性，其中所述一个或多个补救动作基于所述风险得分的严重性而被执行，其中所述风险得得分对应于以下各项中的一项：高、中、或者低。