[发明专利]基于多维度数据关联分析的信息安全溯源系统及方法

说明书

本发明涉及网络信息安全技术领域，具体涉及一种基于多维度数据关联分析的信息安全溯源系统及方法，其中系统包括：采集模块，用于采集攻击痕迹数据以及目标痕迹数据；梳理模块，用于从时间、空间多重维度对攻击痕迹数据进行深度关联分析，得到攻击事件的发生脉络和攻击路径；构建模块，用于基于特征属性建立攻击者关系模型，并基于攻击痕迹数据建立攻击痕迹维度模型；判断模块，用于将特征属性与攻击者关系模型进行匹配，以判断来访者是否为攻击者，如果来访者为攻击者，发送进行溯源的指令；溯源模块，用于接收进行溯源的指令，并进行溯源。本发明能够进行深度溯源，解决了现有技术无法进行深度溯源的技术问题。

技术领域

本发明涉及网络信息安全技术领域，具体涉及一种基于多维度数据关联分析的信息安全溯源系统及方法。

背景技术

目前，多种多样的网络攻击对网络安全构成了严重威胁，十分有必要追溯攻击的源头，以对攻击者进行详细的了解。通过网络攻击溯源进行攻击路径回放，虽然可以知道攻击者来自于哪里，但无法摸清攻击者本身的行为特征；同时，攻击者在攻击行为结束时通常会清理系统的日志，以清除攻击的痕迹，从而给溯源带来困难。

对此，中国专利CN108769077A公开了一种网络安全溯源分析的方法及装置，其中方法包括步骤：实时采集各类网络设备的日志信息，固化保存日志信息；对采集的日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径；根据攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取特征属性，基于特征属性，建立攻击者关系模型；采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

对于多源攻击痕迹融合方面，大多采取分级融合的方法，首先进行数据级的融合，然后进行特征级的融合，最后进行决策级的融合；在关联溯源方面，通常是基于时序的关联溯源，通过分析时序关系确定其攻击步骤。在上述技术方案中，针对的数据源比较单一，融合的数据源比较少，不能扩充数据的来源，故而溯源只能停留到主机或者IP地址这个层面，无法进行深度溯源。

发明内容

本发明提供一种基于多维度数据关联分析的信息安全溯源系统及方法，解决了现有技术无法进行深度溯源的技术问题。

本发明提供的基础方案为：基于多维度数据关联分析的信息安全溯源系统，包括：

采集模块，用于采集攻击痕迹数据以及目标痕迹数据；

梳理模块，用于从时间、空间多重维度对攻击痕迹数据进行深度关联分析，得到攻击事件的发生脉络和攻击路径；并根据攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取特征属性；

构建模块，用于基于特征属性建立攻击者关系模型，并基于攻击痕迹数据建立攻击痕迹维度模型；

判断模块，用于将特征属性与攻击者关系模型进行匹配，以判断来访者是否为攻击者，如果来访者为攻击者，发送进行溯源的指令；

溯源模块，用于接收进行溯源的指令，并进行溯源。

本发明的工作原理及优点在于：

(1)基于攻击痕迹数据建立攻击痕迹维度模型，可以融合网络流量、告警信息、设备日志、威胁情报等多源的攻击痕迹数据，打破分级处理的模式，降低数据处理的难度，从而能够进行深度溯源。

(2)实时采集攻击痕迹数据以及目标痕迹数据，对采集的攻击痕迹数据进行深度关联分析和数据挖掘，可以梳理出攻击事件的发生脉络和攻击路径，从而获取攻击者的相关信息和行为；提取特征属性建立攻击者关系模型，有助于快速、准确地确定来访者是否为攻击者。

本发明打破了分级处理的模式，降低了数据处理的难度，能够进行深度溯源，解决了现有技术无法进行深度溯源的技术问题。

进一步，溯源模块包括：