[发明专利]一种攻击行为识别的方法及装置

权利要求书

1.一种攻击行为识别的方法，其特征在于，包括：

从主机日志中提取出多个三元组，其中三元组包括源节点、目标节点和边，所述边用于指示所述源节点与所述目标节点之间的操作；

根据所述多个三元组中源节点、目标节点和边，确定所述主机日志的属性异构图；

根据所述属性异构图，进行模型训练得到语义推理模型；

根据所述语义推理模型和所述属性异构图，得到一个或多个子图；

从所述一个或多个子图对应的行为中确定出攻击行为。

2.如权利要求1所述的方法，其特征在于，所述主机日志中包括多种类型的日志，每个类型对应于源节点的关键字和目标节点的关键字；

所述从主机日志中提取出多个三元组，包括：

针对于任一个类型的日志：

根据所述类型对应的源节点的关键字，从所述日志中提取源节点；

根据所述类型对应的目标节点的关键字，从所述日志中提取目标节点；

根据所述日志中、所述源节点和所述目标节点之间的操作确定边；

将所述源节点、所述边和所述目标节点组成所述日志的三元组。

3.如权利要求1所述的方法，其特征在于，所述根据所述属性异构图，进行模型训练得到语义推理模型，包括：

针对所述属性异构图中每个三元组对应的源节点、边和目标节点，执行向量初始化，得到所述三元组对应的向量表示，从而得到所述多个三元组对应的向量表示；

根据所述多个三元组对应的向量表示，进行模型训练得到所述语义推理模型。

4.如权利要求1所述的方法，其特征在于，所述根据所述语义推理模型和所述属性异构图，得到一个或多个子图，包括：

根据所述语义推理模型，对所述属性异构图中的多个节点进行聚类分析，得到所述属性异构图对应的一个或多个节点集合；

将每个节点集合中的多个节点，以及各节点对应的边，组成所述节点集合对应的子图，从而得到所述属性异构图对应的一个或多个子图。

5.如权利要求4所述的方法，其特征在于，所述根据所述语义推理模型，对所述属性异构图中的多个节点进行聚类分析之前，还包括：

根据所述属性异构图中多个边分别对应的时间戳，将所述属性异构图中不符合时序关系的边以及所述边对应的目标节点过滤，以得到过滤之后的属性异构图。

6.权利要求1所述的方法，其特征在于，所述从所述一个或多个子图对应的行为中确定出攻击行为，包括：

根据所述属性异构图对应的子图的数量、所述属性异构图中各元素的出现频率，确定所述属性异构图中各元素的重要度，所述元素是源节点、边或目标节点；

针对于任一个子图，根据所述子图中包含的各元素的重要度和向量表示，确定所述子图对应的向量表示，所述子图对应的向量表示用于指示所述子图对应的行为；

根据所述一个或多个子图对应的向量表示，确定所述攻击行为。

7.如权利要求6所述的方法，其特征在于，所述根据所述一个或多个子图对应的向量表示，确定所述攻击行为，包括：

从所述一个或多个子图对应的向量表示中，选择与预设向量表示的相似度大于第一预设相似度的向量表示，以用于指示所述攻击行为；和/或，

确定所述多个子图中的任两个子图对应的向量表示之间的相似度，根据相似度小于第二预设相似度的两个向量表示，确定所述攻击行为。

8.一种攻击行为识别的装置，其特征在于，包括用于执行如权利要求1至7中的任一项所述方法的模块。

9.一种计算设备，其特征在于，包括处理器，所述处理器与存储器相连，所述存储器用于存储计算机程序，所述处理器用于执行所述存储器中存储的计算机程序，以使得所述计算设备执行权利要求1至7中任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序或指令，当所述计算机程序或指令被装置执行时，实现如权利要求1至7中任一项所述的方法。