[发明专利]一种基于知识图谱的黑客攻击场景构建方法和设备

权利要求书

1.一种基于黑客攻击场景的知识图谱构建方法，其特征在于，包括：

获取告警信息，对所述告警信息进行预处理，得到多维矩阵关联模型；

将所述多维矩阵关联模型中的一类逻辑链条映射到知识图谱结构中；

对所述多维矩阵关联模型中的二类逻辑链条和三类逻辑链条进行补充，将补充后形成的一类逻辑链条映射到所述知识图谱结构中，构建知识图谱；

所述对所述告警信息进行预处理，包括：

提取告警信息中的告警事件，并将告警事件以九元组的形式表示；

将所述告警事件按照时间属性进行排序，得到告警序列；

根据告警信息中的源端口和目标端口信息，提取所述告警序列中告警事件的逻辑关系；

将所述告警序列按照时间段进行聚类，将聚类后的告警事件进行矩阵化，得到若干个告警矩阵，其中告警事件作为告警矩阵中的告警状态节点；

根据所述告警状态节点之间的逻辑关系生成告警状态节点之间的链路关系，并建立存在告警状态节点之间的链路关系的告警矩阵之间的逻辑链条，生成多维矩阵关联模型；

所述逻辑链条包括一类逻辑链条、二类逻辑链条和三类逻辑链条；

所述一类逻辑链条为包含黑客从攻击开始到攻击成功的告警信息所对应的告警状态节点与链路关系组成的完整逻辑链条；

所述二类逻辑链条为除所述一类逻辑链条外的逻辑链长度大于标准长度的逻辑链条；所述标准长度为其中p为长度比例，且0p1；S_L表示完整逻辑链条S的平均长度；

所述三类逻辑链条为除所述一类逻辑链条和二类逻辑链条外的其他逻辑链条；

所述将所述多维矩阵关联模型中的一类逻辑链条映射到知识图谱结构中，包括：

获取知识图谱结构，所述知识图谱结构包括模式层和数据层，所述模式层包括以“实体-关系-实体”的元模型；

将所述一类逻辑链条中的节点与链路关系以“实体-关系-实体”的形式映射到知识图谱结构的数据层；

所述对所述多维矩阵关联模型中的二类逻辑链条和三类逻辑链条进行补充，包括：

将专家知识与感染模型补充到所述知识图谱的模式层；

判断所述二类逻辑链条和三类逻辑链条是否符合专家知识，若不符合，则不予映射；判断所述二类逻辑链条和三类逻辑链条对应的黑客攻击是否符合所述感染模型的攻击场景，若符合，则根据所述感染模型推演出所述黑客攻击对应的逻辑链条；

将所述黑客攻击对应的逻辑链条与所述多维矩阵关联模型中的逻辑链条进行印证，若印证成功，则保留所述黑客攻击对应的逻辑链条；若印证不成功，则继续判断是否存在冲突，若冲突，则不保留所述黑客攻击对应的逻辑链条并将所述逻辑链条记录为不再启用；若不冲突，则不保留所述黑客攻击对应的逻辑链条；

若记录为不再启用的逻辑链条个数超过预设的个数阈值，则弃用对应的感染模型，更新模式层；

所述将补充后形成的一类逻辑链条映射到所述知识图谱结构中，包括：

计算补充后知识图谱中的告警状态节点之间的逻辑关联度；

根据所述逻辑关联度对补充后知识图谱中的告警状态节点进行聚类，将聚类后不同聚类中告警状态节点之间的链路关系映射到所述知识图谱结构中；

所述计算补充后知识图谱中的告警状态节点之间的逻辑关联度，包括：

其中，Lin为逻辑关联度；Mac为告警状态节点链路数；ToM为告警状态节点与逻辑链条的全部状态转移数量；DB为易感因子。

2.根据权利要求1所述的方法，其特征在于，还包括：

在所述多维矩阵关联模型中，若告警矩阵中的告警状态节点数量小于预设的节点数量阈值，则将该告警矩阵从所述多维矩阵关联模型中删除；

在所述多维矩阵关联模型中，若所述告警矩阵与其他多维告警矩阵之间的链接数量小于预设的链接数量阈值，则将该告警矩阵从所述多维矩阵关联模型中删除。