[发明专利]一种威胁情报攻击源的识别方法、装置、设备及介质

权利要求书

1.一种威胁情报攻击源的识别方法，其特征在于，包括：

获取目标服务器的威胁情报；

基于灰狼算法，利用所述威胁情报创建初始网络矩阵，并在所述初始网络矩阵确定所述威胁情报的攻击发生地、所述攻击发生地的上一次跳转路径以及与所述攻击发生地相关联的目标网关；

对所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关进行迭代更新，并利用所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关确定所述威胁情报的攻击源。

2.根据权利要求1所述的识别方法，其特征在于，所述获取目标服务器的威胁情报的过程之后，还包括：

对所述威胁情报进行清洗。

3.根据权利要求1所述的识别方法，其特征在于，所述获取目标服务器的威胁情报的过程，包括：

利用部署在所述目标服务器各个网络端口上的硬件探针和/或软件探针获取所述目标服务器的所述威胁情报。

4.根据权利要求1至3任一项所述的识别方法，其特征在于，所述对所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关进行迭代更新的过程，包括：

将所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关分别标记为L、M和N，并利用第一目标模型分别对L、M和N进行迭代更新；

其中，所述第一目标模型的表达式为：

T(t+1)＝Tp(t)-A*D；

式中，D＝|C*Tp(t)-T(t)|表示L、M或者N与理想猎物间的距离，t为当前的迭代次数，A和C均为系数向量，Tp(t)和T(t)分别表示L、M或者N的起始向量和当前位置向量。

5.根据权利要求4所述的识别方法，其特征在于，利用所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关确定所述威胁情报的攻击源的过程，包括：

利用L、M、N和第二目标模型确定目标探测点W的目标更新位置；

其中，所述第二目标模型的表达式为：

X_(t+1)＝(X₁+X₂+X₃)/3；

式中，X₁＝Xl-A1*Dl、X₂＝Xn-A2*Dm、X₃＝Xn-A3*Dn，Dl＝|C1*Xl-X|、Dm＝|C2*Xm-X|、Dn＝|C3*Xn-X|；Dl、Dm和Dn分别表示L、M和N与所述网络矩阵中其它个体间的距离，Xl、Xm和Xn分别表示L、M和N的当前位置，C1、C2和C3均为随机向量，X为所述目标探测点W的当前位置；

判断所述目标更新位置是否收敛；

若所述目标更新位置收敛，则判定所述目标更新位置为所述威胁情报的所述攻击源。

6.根据权利要求5所述的识别方法，其特征在于，所述判断所述目标更新位置是否收敛的过程之后，还包括：

若所述目标更新位置非收敛，则判断所述目标探测点W的更新迭代次数是否达到预设阈值；

若所述目标探测点W的更新迭代次数达到所述预设阈值，则判定所述威胁情报为无效数据；

若所述目标探测点W的更新迭代次数没有达到所述预设阈值，则继续执行所述利用L、M、N和第二目标模型确定目标探测点W的目标更新位置的步骤。

7.一种威胁情报攻击源的识别装置，其特征在于，包括：

情报获取模块，用于获取目标服务器的威胁情报；

初始点确定模块，用于基于灰狼算法，利用所述威胁情报创建初始网络矩阵，并在所述初始网络矩阵确定所述威胁情报的攻击发生地、所述攻击发生地的上一次跳转路径以及与所述攻击发生地相关联的目标网关；

攻击源确定模块，用于对所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关进行迭代更新，并利用所述攻击发生地、所述攻击发生地的上一次跳转路径和所述目标网关确定所述威胁情报的攻击源。