[发明专利]一种攻击行为识别的方法及装置

说明书

一种攻击行为识别的方法及装置，用于从安全检测设备获取的海量日志中，自动识别出攻击行为。在本申请中，方法包括：从主机日志中提取出多个三元组，其中三元组包括源节点、目标节点和边，所述边用于指示所述源节点与所述目标节点之间的操作；根据所述多个三元组中源节点、目标节点和边，确定所述主机日志的属性异构图；根据所述属性异构图，进行模型训练得到语义推理模型；根据所述语义推理模型和所述属性异构图，得到一个或多个子图；从所述一个或多个子图对应的行为中确定出攻击行为。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种攻击行为识别的方法及装置。

背景技术

企业为了抵御内部攻击或外部攻击，通常会部署大量的安全检测设备，安全检测设备比如Web应用防护系统(Web Application Firewall，WAF)、端点检测与响应系统(Endpoint Detection and Response，EDR)和蜜罐等等。

安全检测设备可产生海量日志，而这些海量日志中大部分日志都是低级、孤立的、没有语义的。如何从这些海量日志中自动识别攻击行为是当前安全运营所面临的挑战。

发明内容

本申请提供一种攻击行为识别的方法及装置，用于从主机日志或主机运行日志中，自动识别出攻击行为。

第一方面，本申请提供一种攻击行为识别的方法，该方法可由安全检测设备执行。

在一种可能的实现方式中，从主机日志中提取出多个三元组，其中三元组包括源节点、目标节点和边，所述边用于指示所述源节点与所述目标节点之间的操作；根据所述多个三元组中源节点、目标节点和边，确定所述主机日志的属性异构图；根据所述属性异构图，进行模型训练得到语义推理模型；根据所述语义推理模型和所述属性异构图，得到一个或多个子图；从所述一个或多个子图对应的行为中确定出攻击行为。

在一种可能的实现方式中，所述主机日志中包括多种类型的日志，每个类型对应于源节点的关键字和目标节点的关键字；所述从主机日志中提取出多个三元组，包括：针对于任一个类型的日志：根据所述类型对应的源节点的关键字，从所述日志中提取源节点；根据所述类型对应的目标节点的关键字，从所述日志中提取目标节点；根据所述日志中、所述源节点和所述目标节点之间的操作确定边；将所述源节点、所述边和所述目标节点组成所述日志的三元组。

在一种可能的实现方式中，根据所述属性异构图，进行模型训练得到语义推理模型，包括：针对所述属性异构图中每个三元组对应的源节点、边和目标节点，执行向量初始化，得到所述三元组对应的向量表示，从而得到所述多个三元组对应的向量表示；根据所述多个三元组对应的向量表示，进行模型训练得到所述语义推理模型。

在一种可能的实现方式中，所述根据所述语义推理模型和所述属性异构图，得到一个或多个子图，包括：根据所述语义推理模型，对所述属性异构图中的多个节点进行聚类分析，得到所述属性异构图对应的一个或多个节点集合；将每个节点集合中的多个节点，以及各节点对应的边，组成所述节点集合对应的子图，从而得到所述属性异构图对应的一个或多个子图。

在一种可能的实现方式中，所述根据所述语义推理模型，对所述属性异构图中的多个节点进行聚类分析之前，还包括：根据所述属性异构图中多个边分别对应的时间戳，将所述属性异构图中不符合时序关系的边以及所述边对应的目标节点过滤，以得到过滤之后的属性异构图。

在一种可能的实现方式中，从所述一个或多个子图对应的行为中确定出攻击行为，包括：根据所述属性异构图对应的子图的数量、所述属性异构图中各元素的出现频率，确定所述属性异构图中各元素的重要度，所述元素是源节点、边或目标节点；针对于任一个子图，根据所述子图中包含的各元素的重要度和向量表示，确定所述子图对应的向量表示，所述子图对应的向量表示用于指示所述子图对应的行为；根据所述一个或多个子图对应的向量表示，确定所述攻击行为。