[发明专利]一种网络环境下攻击链获取方法及系统

摘要

本发明提出一种网络环境下攻击链获取方法及系统，根据规定时间段，对网络数据进行获取，并检测获取的网络数据是否含有攻击事件，若含有攻击事件，则在攻击端或受害端，对攻击事件发生时刻前后一段时间内与攻击事件相关联的活动窗口数据进行获取和保存，根据活动窗口数据，获取攻击链，进一步地，本发明还对获取的攻击链进行去噪处理，得到高威胁事件攻击链，并根据攻击链中最早发生的事件，对攻击源进行追溯。本发明弥补了现有网络威胁检测技术中，多采用单点检测而使得攻击链难以还原这一技术缺陷。

主权项

一种网络环境下攻击链获取方法，其特征在于，包括：对网络环境下规定时间段的网络数据进行获取；对获取的网络数据中的数据包以及数据流量进行检测，判断是否含有攻击事件，若否，则不处理；若是，则定位攻击事件的行为对象，按规定对行为对象在一定时间段内与攻击事件关联的滑动窗口进行获取和保存；根据保存的滑动窗口，获取行为事件，将有关联的行为事件按照事件发生时间的先后进行组合，得到攻击链。