[发明专利]一种网络攻击者的发现和追踪方法

权利要求书

1.一种网络攻击者的发现和追踪方法，其特征在于，所述方法包括：

通过蜜罐获取攻击者的原始WEB指纹数据，对数据进行提取，对所提取的指纹数据进行数据预处理；

使用WEB指纹匹配算法，将指纹数据与历史攻击者指纹数据进行逐一匹配，得出指纹匹配向量；

使用攻击者判定算法，将指纹匹配向量与指纹数据权重向量进行计算，得出匹配分值；

判定匹配分值是否大于攻击者阈值，如大于阈值，则判定为旧有攻击者；如小于阈值，则判定为新出现攻击者；

无论阈值判定结果如何，均会将指纹向量保存入历史攻击者指纹数据集。

2.如权利要求1所述的网络攻击者的发现和追踪方法，其特征在于，所述通过蜜罐获取攻击者的原始WEB指纹数据，对数据进行提取，对所提取的指纹数据进行数据预处理步骤中的指纹提取和数据预处理动作包括：检查指纹数据规范性与完整性，根据预设定的数据格式，提取有效指纹数据，删除无用数据，将数据转换成计算机可读形式；所述指纹数据的类别包括网络指纹、软件指纹和硬件指纹。

3.如权利要求1所述的网络攻击者的发现和追踪方法，其特征在于，所述使用WEB指纹匹配算法，还会将新采集的攻击者指纹数据与所有历史攻击者指纹数据进行逐一匹配；

所述WEB指纹匹配算法在执行过程中，会将单一的指纹数据集中的多个指纹数据，所述指纹按类别划分为关键性指纹和非关键性指纹。

4.如权利要求3所述的网络攻击者的发现和追踪方法，其特征在于，所述将指纹数据与历史攻击者指纹数据进行逐一匹配具体包括：对于关键性指纹，是通过相同性匹配方法进行匹配，如果两组指纹的关键性指纹完全相同，则认为匹配成功；反之则匹配失败；对于非关键性指纹，是通过指纹相似度匹配算法进行匹配，如果两组指纹的非关键性指纹的字符串距离小于阈值，则认为匹配成功；反之则匹配失败；所述相似度算法具体为SimHash字符串距离算法或Levenshtein字符串距离算法。

5.如权利要求3所述的网络攻击者的发现和追踪方法，其特征在于，所述非关键性指纹的指纹相似度匹配算法中，非关键性指纹相似度阈值的赋值是基于机器学习方法得到的，基于大量网络攻防实验采集的数据，构造出同一个攻击者的所有指纹集中特定非关键性指纹的距离取值模型，进行训练后调优得到的阈值赋值。

6.如权利要求1所述的网络攻击者的发现和追踪方法，其特征在于，所述指纹匹配向量中，每个向量元素代表了每个指纹数据匹配的结果，取值0或1；0代表匹配不成功，1代表匹配成功。

7.如权利要求1所述的网络攻击者的发现和追踪方法，其特征在于，所述历史攻击者指纹数据集中的每一条数据，代表了已经采集到的攻击者指纹数据，通过与新采集到的攻击者指纹数据的逐一匹配，进而能够判定本次访问对象是已出现的攻击者还是新出现的攻击者，在成功匹配后，从而实现对攻击者的追踪能力。

8.如权利要求1所述的网络攻击者的发现和追踪方法，其特征在于，所述攻击者判定算法，其中的指纹数据权重的赋值，是以机器学习方法为基础，由大量网络攻防实验采集到的指纹数据和攻击者的关系，构造出所有指纹数据对指纹和攻击者对应关系的贡献度模型，再通过数据训练得出的调优权重取值。

9.如权利要求1所述的网络攻击者的发现和追踪方法，其特征在于，所述指纹匹配向量与指纹数据权重向量进行的计算，包括向量点乘计算，以及向量元素求和，最终得到匹配分值。

10.如权利要求1-9任一所述的网络攻击者的发现和追踪方法，其特征在于，所述攻击者阈值，是以机器学习方法为基础，由大量网络攻防实验采集到的实际攻击者指纹归属情况的数据，构造攻击者判定算法得出的分值与攻击者的对应取值范围的模型，进行数据训练后得出的相对客观的阈值。