CN102075516A

CN102075516A - 一种网络多步攻击识别和预测方法

Info

Publication number: CN102075516A
Application number: CN2010105615517A
Authority: CN
Inventors: 苘大鹏; 杨武; 王巍; 玄世昌; 李学真; 王岩; 刘珊
Original assignee: Harbin Engineering University
Current assignee: Harbin Engineering University
Priority date: 2010-11-26
Filing date: 2010-11-26
Publication date: 2011-05-25

Abstract

本发明提供的是一种网络多步攻击识别和预测方法。将入侵检测系统、防火墙和杀毒软件等多种安全设备的报警存入数据库，并将报警按照入侵检测消息交换格式进行归一化处理；将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列；统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵；对多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列；通过分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。本发明的实施不依赖于特定的网络安全设备，可广泛应用与信息安全、网络监控和网络安全态势分析等领域。

Description

一种网络多步攻击识别和预测方法

技术领域

本发明涉及的是一种信息安全技术，具体地说是一种根据网络中的历史报警挖掘发现多步攻击序列，进而实时识别新的多步攻击序列并预测下一步将要发生的攻击的方法。

背景技术

随着因特网的发展，越来越多的企业、政府、学校、科研院所以及家庭等用户将计算机连入到互联网。由于互联网的开放性以及各种协议设计的问题，用户就不可避免遭受到不法分子的攻击。

为了减少网络攻击给用户带来的损失，各个校内网、企业内部网等都在内部配置了入侵检测系统、防火墙、杀毒软件等安全设备，并配有专业的网络管理员对网络进行管理。但是，各种安全设备在保护网络的同时产生了海量的报警，不利于管理员对网络进行管理。所以针对安全设备产生的报警，研究人员提出了安全事件关联与分析技术。

安全事件关联与分析技术，是根据各安全设备中报警记录，分析报警事件的关系。目前，安全事件关联与分析技术主要包括两个方面：基于报警相似概率的重复报警去除和基于因果关系的多步攻击关联。

斯坦福研究院的Andersson等人在不规则实时干扰事件的监测和响应(EventMonitoring Enabling Responses to Anomalous Live Disturbances，EMERALD)项目中提出了基于告警属性相似度的安全报警关联系统，利用入侵事件间概率相似度和极小匹配规则来构建安全事件关联分析系统(A.Valdes and K.Skinner.Adaptive，Model-Based Monitoringfor Cyber AttackDetection.RAID 2000 Conf，0ct.2000：80-92P)。Cuppens等在法国国防部的入侵探测、报警、自动跟踪项目中的报警聚合部分使用了类似的聚类方法(F Cuppens，Manageing Alerts in a multi intrusion detection environment.17^th Annual ComputerSecurity Applications Conference.New-Orleans，December 2001：22-31P)。这类方法能够对同源的攻击进行聚类，减少呈递给管理员的报警。但是这类方法不能够揭示报警间的因果关系，不利于管理员对网络可能遭受攻击进行主动防御。

鉴于报警相似概率方法的局限性，在此基础上，科研人员又展开了基于因果关系的多步攻击关联。Templeton等提出通过分析攻击间的因果关系进行多步关联分析。他们首先对攻击建模，定义每类攻击的前提条件和结果，然后通过比较先发生的攻击的结果和后发生攻击的先决条件对两个告警进行关联(S.J.Templeton and K.Levit t.A requires/provides modelfor computer attacks.In Proceedings of the New Security Paradigms Workshop 2000，CorkIreland，2000：31-38)。P.Ning在他的用于入侵报警分析的可视化工具包(a Visual Toolkitfor Intrusion Alert Analysis，TIAA)系统中事先定义了各种攻击可能发生的前因和后果的知识库，通过对报警实例之间前因和后果的匹配，形成告警关联图(P.Ning，Y.Cui，andD.S.Reeves.Constructing attack scenarios through correlation of intrusion alerts.In Proc.Of the ACM Symposium on Computer and Communications Security.Washington，DC，United States，2002：245-254)。Cuppens等也采用相似的方法并利用Prolog谓词逻辑语言对攻击进行描述，再根据这些攻击描述的前提条件和后果自动产生关联规则，通过这些关联规则来发现告警之间的关联关系，进而实现攻击场景的构建(Fre′de′ric Cuppens.Managingalerts in multi-intrusion detection environment.In Proceedings 17th annual computersecurity applications conference.New Orleans，2001：22-31)。这类方法的能够根据报警的因果关系，对攻击场景进行构建，但是因果关系大多是根据专家经验得出的，过多地被人为因素所干扰。Wenke Lee等在2004年提出的利用葛兰杰因果关系检验(Granger CausalityTest，GCT)的统计时序算法来挖掘攻击场景片段，再把攻击片段连接成完整的攻击场景(Q.Xinzhou and L.Wenke.Discovering novel attack strategies from INFOSECalerts.Sophia Antipolis，France，ESORICS 2004：439-456)。这类方法能够较少依赖专家经验，并能够发现未知的多步攻击。

发明内容

本发明的目的是提供一种不过多依赖于专家经验的，更为准确的网络多步攻击识别和预测方法。

本发明的目的是这样实现的：

1)网络报警和整理：将入侵检测系统、防火墙和杀毒软件等多种安全设备的报警存入数据库，并将报警按照入侵检测消息交换格式(The Intrusion Detection Message ExchangeFormat，IDMEF)进行归一化处理；

2)攻击序列转化：将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列；

3)攻击转化频率计算：统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵；

4)多步攻击序列挖掘：对多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列；

5)新的多步攻击序列识别和预测：通过分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。

所述的攻击序列转化方法，其步骤是：1)将入侵检测系统、防火墙等安全设备报警库中的报警集合按照时间属性顺序排列，形成报警序列；2)设定一个攻击类型集合，根据报警具有攻击类型将前一步中的报警序列转化为对应的攻击序列；3)从攻击序列的初始节点开始向后遍历整个攻击序列，将时间窗口内的攻击归为一个子序列，生成多个个子攻击序列；

所述的攻击频率计算方法，其步骤是：1)依次遍历所有子攻击序列，统计各个子攻击序列中，计算出攻击之间相互转化的频数，再将各个攻击序列中相对应的攻击频数相加，得出报警库中攻击转化频数；2)根据前面计算出所有的攻击之间转化的频数，并将所有的频数作为元素构成攻击频数转化矩阵；3)根据攻击频数转化矩阵，计算攻击转化的频率，具体方法是：用矩阵中的每一项除以该项所在行所有元素之和，所得的结果就是该项对应的攻击转化的频率，如果该项所在行所有元素之和为零，则该项所对应的攻击转化频率也为零；4)部分转化频率值接近于零。按照概率论的观点，这些攻击转化为不可能事件。如果攻击转化频率小于最小转化可信度，将该项置为零，得到了攻击频率转化矩阵。

所述的多步攻击序列挖掘方法，其步骤是：1)遍历整体攻击序列，将第一个攻击放入匹配队列中；2)取后续的攻击，比较该攻击与匹配队列的队尾元素，如果后续攻击和队尾元素的时间差小于时间窗口，且转化频率不为零，则将该攻击放入匹配队列尾部；3)从整体攻击序列中删除第一个攻击，如果整体攻击序列没有遍历完，继续步骤1)，直至整体攻击序列遍历完，生成多个匹配序列；4)所得的多个匹配序列中可能会有某个序列是另一个序列的包含序列。根据序列最大的原则去除包含序列的算法，形成新的多步攻击序列集合。

所述的新的多步攻击序列识别和预测方法，其步骤是：1)接收入侵检测系统等安全设备的报警，将报警转化为对应的攻击，记录该攻击的攻击类型，IP地址和攻击发生时间；2)遍历多步攻击序列集合中的每一个元素，若攻击存在于某一个多步攻击序列中，则标识攻击序列及其元素；若攻击存在于多个攻击序列，则将所有的攻击序列标识；3)继续接收等安全设备的报警，并依据1)中所述转化成攻击，遍历已经标识的攻击序列，若该攻击与某个攻击序列中最后被标识的元素的时间差小于最小时间，且这两个攻击的攻击转化频率不为零，则在攻击序列中标识新的攻击；然后，该攻击遍历其余的序列，重复2)的过程；4)设第某个攻击序列中最后被标识的元素发生时间后最小时间内，没有下一个攻击加入到该攻击序列中，则说明该攻击序列不能发生，擦去该攻击序列标识；5)当某一个多步攻击序列中出现多个个连续的攻击步骤时，若这多个攻击的目的IP地址是一样的，则这多个攻击步骤是多步攻击的一部分。若共有多个多步攻击序列中出现了连续的攻击步骤，则下一步会有多个可能。计算每一个个多步攻击序列中下一步的攻击转换频率，得出多步攻击序列的下一步攻击的发生概率；特殊的，若只有一个多步攻击序列含有这几个步骤，则该攻击序列转到下一步的概率为1。

本发明的效果在于，通过本发明，可以自动搜集网络中各安全设备的报警信息，形成历史报警库，从中挖掘出针对本网络的多步攻击序列，并实时从新的报警中识别多步攻击序列，并预测将要发生的攻击，为网络管理员配置网络提供决策依据。

本发明的实施不依赖于特定的网络安全设备，可广泛配置在企业内部网，校园网，政府网等网络。本发明可广泛应用与信息安全、网络监控和网络安全态势分析等领域。

附图说明

图1是本发明的整体结构图；

图2是一种网络多步攻击识别和预测方法的详细流程图；

图3是实施发明的典型应用环境。

具体实施方式

下面结合附图实例对本发明做更详尽的说明：

相关符号说明：

AS：报警集合；

S：报警序列；

s_i(i＝1，2，...，n)：报警序列S的第i个报警；

A：攻击类型集合；

a_j(j＝1，2，...，m)：攻击类型集合A的第j个元素；

f(s_i)＝a_j：f是映射关系，表明报警报警s_i具有攻击类型a_j(其中s_i∈S，a_j∈A)；

SA：攻击类型序列；

sa_i(i＝1，2，...，n)：攻击类型序列SA的中间步骤；

T：攻击时间滑动窗口；

SA_i(i＝1，2，...，k)：第i个子攻击序列；

n_a，b：报警库中攻击a转化为攻击b的频数；

n_a，b(i)：第i个子攻击序列中，攻击a转化为攻击b的频数；

ARR：攻击频数转化矩阵；

f_a，b：攻击a转化为攻击b的频率；

MT：最小转化可信度；

Sequence：攻击队列；

NewSequence：新的攻击队列。

图1所述的是一种多步攻击识别和预测方法整体结构图，包括：

网络报警和整理：用于将入侵检测系统，防火墙，杀毒软件等安全设备的报警存入数据库，并将报警按照IDMEF格式进行归一化处理。

攻击序列转化：用于将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列。

攻击转化频率计算：用于统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵。

多步攻击序列挖掘：用于多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列。

新的多步攻击序列识别和预测：用于分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。

图2给出了实施一种多步攻击识别和预测方法的原理流程图，它包含以下步骤：

第一步，攻击序列的建立

现实中入侵者的攻击是多种多样的，不利于我们的分析。但是每一种攻击都有特定的类型，而攻击类型的种类是有限的。这里根据报警的类型属性将报警序列转化为对应的攻击序列。攻击序列构建的步骤如下所示：

(1)将入侵检测系统、防火墙等安全设备报警库中的报警集合AS按照时间属性顺序排列，形成报警序列S＝s₁，s₂，...，s_n，其中s_i(i＝1，2，...，n)是序列S的中间步骤。

(2)设定一个攻击类型集合A＝{a₁，a₂，...，a_m}，根据下面的关系f(s_i)＝a_j报警s_i具有攻击类型a_j(其中s_i∈S，a_j∈A)，将(1)中的报警序列转化为对应的攻击类型序列SA＝sa₁，sa₂...sa_n，其中sa_i∈A。

这样，将报警序列转化为对应的攻击序列。

多步攻击是由多个单步攻击构成的，而相邻的两个单步攻击在属性上具有更强的关联性，在时间上距离也较近。而攻击类型序列SA是的时间跨度比较大，为此我们引入了攻击时间滑动窗口T的概念。

从sa₁开始一直到sa_n，将其后攻击时间滑动窗口T的攻击构成一个子序列，这样原来的攻击序列SA转化为多个子攻击序列SA₁，SA₂，...，SA_k。在每个子攻击序列SA_i＝{sa_i，1，sa_i，2，·sa_i，n}中|sa_i，n.time-sa_i，1.time|≤T。SA_i＝sa_i，1，sa_i，2，...，sa_i，n

这样我们就得到了k个子攻击序列SA₁，SA₂，...，SA_k。

第二步，攻击转换频率计算

统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频数矩阵，在此基础上计算攻击转化的频率，并生成攻击转化频率矩阵，其步骤是：

(1)依次遍历所有子攻击序列SA₁，SA₂，...，SA_k，记第i个子攻击序列中，攻击a转化为攻击b的频数为n_a，b(i)，则在报警库中攻击a转化为攻击b的频数n_a，b可用如下方法求出：

其中a，b为两个不同的攻击，k为总的攻击序列数，n_a，b为攻击a转化为攻击b的频数，n_a，b(i)为第i个序列中的攻击转化频数。

(2)根据(1)中的方法计算出所有的攻击之间转化的频数，我们求出攻击频数转化矩阵ARR，矩阵ARR是一个m阶的方阵，同时矩阵的主对角线的元素的值为0。这是因为在多步攻击中，同一个入侵者不会针对同一目标进行同样的攻击。而在统计的时候，由于时间窗口的选取等问题，可能使主对角线的元素不为0。为了在后面的多步攻击序列模式挖掘中降低干扰，我们在公式中显式地将主对角线元素定义为0。

(3)攻击转化的频数随着报警库中的报警的数量的不同而也有所不同，并不能很好说明彼此之间的关系。这里，我们考虑攻击转化的频率f_a，b。

对于任意一种攻击a来说，它要么是一个多步攻击序列的终止，要么会转化为其它的攻击。为此，我们考虑攻击a可能转化成的攻击，对f_a，b的计算如下。

上式中，n_a，b对应矩阵ARR的第a行第b列位置的元素。显然有，对于任意的攻击a，都有或者

当

时，表明攻击a是一个多步攻击序列的终止，不能转化为其他的攻击。当

时，表明攻击a可能会转化为其它的攻击。

(4)我们可能发现，部分f_a，b值接近于0。按照概率论的观点，这些攻击转化为不可能事件。根据最小转化可信度MT，我们进一步设定：当f_a，b＜MT时，f_a，b＝0。

这样，我们就得到了攻击频率转化矩阵ARR。

第三步，多步攻击序列模式的挖掘

一个多步攻击可以发生在很长的一段时间内，但是两个攻击的发生是在一定时间之内的。因此，我们有理由认为，两个攻击事件发生在一个时间窗口内是它们可关联的必要条件。同时，一个攻击完成一个目的，所以在一个多步攻击中，同一个攻击只出现一次。

为了便于存储多步攻击序列，我们用使用数据结构队列Sequence。

针对攻击序列SA＝sa₁，sa₂，...，sa_n，我们进行多步攻击序列的挖掘：

(1)遍历整体攻击序列，将攻击sa_i放入队列Sequence[i]；

(2)遍历攻击sa_i的后续攻击序列sa_j，比较攻击sa_j与队列Sequence[i]的队尾元素Tail[i]，如果sa_j和Tail[i]的时间差小于时间窗口，且转化频率f(Tail[i]，saj)！＝0，则将sa_j放入队列Sequence[i]尾部。

(3)如果整体攻击序列没有遍历完，继续1)，直至整体攻击序列遍历完。

(4)这n-1个多步攻击序列中可能会有某个序列是另一个序列的包含序列。根据序列最大的原则去除包含序列的算法，形成t个新的多步攻击序列NewSequence[1..t]。

第四步，多步攻击识别及预测

一个网络攻击的属性有很多，其中比较重要的是网络攻击的种类，源IP(InternetProtocol)地址，源端口，目的IP地址，目的端口，攻击发生时间等。随着网络攻击的手段多样化，攻击者可能在利用不同的源IP地址和源端口(有些可能是伪造的)进行多步攻击的不同步骤。但是，目的IP地址是不能伪造的。在此情况下，我们只考虑网络攻击的种类，目的IP地址和攻击发生时间。这样，就不会因为攻击者的不同方法漏掉多步攻击序列。

(1)接收入侵检测系统等安全设备的报警a1，将a1转化为攻击a，记录a的攻击类型Type，IP地址DesIP和攻击发生时间Time，这样攻击可以用下面三元组表示<Type，DesPort，Time>。

(2)遍历t个多步攻击序列NewSequence[t]，若攻击a存在于NewSequence[i]中，则标识攻击序列NewSequence[i]及其元素a；若攻击a存在于多个攻击序列，则将所有的攻击序列标识。

(3)继续接收入侵检测系统等安全设备的报警，并依据(1)中所述转化成攻击b，遍历已经标识的攻击序列，设攻击序列NewSequence[i]中最后被标识的元素为a，若|a.time-b.time|≤T且f_a，b≠0，则在攻击序列NewSequence[i]中标识b；然后，攻击b遍历其余的序列，重复(2)的过程。

(4)设第i个攻击序列NewSequence[i]中最后被标识的元素为a，若a.time+T时间内，没有下一个攻击加入到该攻击序列中，则说明该攻击序列不能发生，擦去该攻击序列标识。

(5)当第i个NewSequence[i]出现t个连续的攻击步骤时，若这t个攻击的目的IP是一样的，则这t个攻击步骤是多步攻击的一部分。若共有n个多步攻击序列中出现了t个连续的攻击步骤，则下一步会有n个可能。设在第j个多步攻击序列中下一步的攻击转换频率是f_i，i+1(j)，则由前面的t个步骤转化为第j个多步攻击序列的下一步的概率是

特殊的，若只有一个多步攻击序列含有这t个步骤，则该攻击序列转到下一步的概率为1。

图3是实施发明的典型应用环境。

为了验证本发明的有效性，我们搭建了典型的应用环境。图3为实施例的典型应用环境。实验采用一台曙光服务器(双CPU，1G内存)，笔记本一台(奔4CPU，1G内存)，笔记本装上VMware虚拟机。在局域网中部署了一台Snort入侵检测设备，笔记本运行虚拟机，并安装Windows2000和Solaris操作系统，用opentelnet和mstreamDDOS木马软件进行攻击，将报警采集并存入数据库，然后进行多步攻击序列的挖掘。之后将DARPA 2000数据集的数据重放，由Snort捕获存入入侵报警数据库，结合前面挖掘出来的多步攻击序列，识别多步攻击并进行预测。

通过比较，我们设定最小转化可信度MT为0.2。经过计算，挖掘出主要的攻击转化频率。下表是部分的攻击转化频率。

表1攻击转化频率表

可转化攻击	转化频率
		IP_Sweep-＞Port_Scan	0.853
Port_Scan-＞OverFlow_Attempt	0.42
		Port_Scan-＞Remove_NTLM	0.25
OverFlow_Attmpt-＞Remote_Login	0.562
		Remove_NTLM-＞Remote_Login	0.622
Remote_Login-＞Kill_firewall	0.32
		Remote_Login-＞DDOS	0.27

我们又根据报警的时间属性，结合我们提出的挖掘算法，挖掘出了多个攻击场景。其中表中对应了两个多步攻击：

1)IP_Sweep-＞Port_Scan-＞Remove_NTLM-＞Remote_Login-＞Kill_Firewall

2)IP_Sweep-＞Port_Scan-＞OverFlow_Attempt-＞Remote_Login-＞DDOS

其中多步攻击序列1)是通过扫描主机，利用NT-Server弱口令，打开远程主机Telnet服务，去除NTLM验证，登陆远程主机并杀死防火墙进程；多步攻击序列2)是通过扫描主机，利用漏洞进行缓冲区溢出攻击，并登陆远程主机，进行分布式拒绝服务攻击(DistributedDenial of service，DDOS)政击。

然后，我们选取2000年麻省理工学院林肯实验室的入侵检测评估数据LLDOS1.0做实验进行多步攻击挖掘及预测算法。通过对数据重放并导入到数据库。我们将时间窗口取为1小时。

(1)在2009年7月24日上午10:30:00，接收到针对主机172.16.112.10的报警ICMP_PING_SWEEP，这是一个IP_Sweep攻击，根据表中的转化频率及挖掘的多步攻击序列，攻击Port_Scan的发生概率为0.853。

(2)在2009年7月25日上午10:46:25，接收到针对主机172.16.112.10的端口扫描报警SADMIND_PORT_SCAN，这是一个Port_Scan攻击，根据表中的转化频率及挖掘的多步攻击序列，攻击Overflow_Attempt和攻击Remove_NTLM的发生概率分别为：

(3)在2009年7月25上午11:11:22，接收到针对主机172.168.112.10的报警SADMIND_OVERFLOW_ATTEMPT，这是一个Overflow_Attempt攻击，根据表中的转化频率及挖掘出的多步攻击序列，在前三个攻击步骤既定的情况下，多步攻击序列IP_Sweep-＞Port_Scan-＞OverFlow_Attempt-＞Remote_Login-＞DDOS发生的概率为1。所以预测在后续将发生攻击类型为Remote_Login和DDOS的攻击，管理员应该在此时注意查看。

(4)在2009年7月25日上午11:11:56和12:07:24，分别接收到针对主机172.168.112.10的报警RSH_LOGIN和针对主机131.84.1.31的报警DDOS，这两个报警的攻击类型分别是Remote_Login和DDOS，验证了我们在步骤(3)的预测。

我们识别并预测了针对主机172.168.112.20和主机172.16.115.20的多步攻击序列。

根据麻省理工学院林肯实验室官方的描述，在LLDOS 1.0场景中，攻击者攻占了内部主机172.16.112.10、172.16.112.50和172.16.115.20，发起了DDOS攻击，具体的攻击步骤是：探测网络存活主机、扫描端口并发现Solaris的sadmind漏洞，溢出攻击、非法登录系统，安装特洛伊mstreamDDOS木马软件并借助被控制的主机对远程服务器发动DDOS攻击。这和我们的实验结果是一致的，验证了我们提出的方法的有效性。

Claims

1.一种网络多步攻击识别和预测方法，其特征是：

(1)网络报警和整理：将入侵检测系统、防火墙和杀毒软件等多种安全设备的报警存入数据库，并将报警按照入侵检测消息交换格式进行归一化处理；

(2)攻击序列转化：将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列；

(3)攻击转化频率计算：统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵；

(4)多步攻击序列挖掘：对多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列；

(5)新的多步攻击序列识别和预测：通过分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。

2.根据权利要求1所述的一种网络多步攻击识别和预测方法，其特征是所述的攻击序列转化的步骤是：1)将入侵检测系统、防火墙等安全设备报警库中的报警集合按照时间属性顺序排列，形成报警序列；2)设定一个攻击类型集合，根据报警具有攻击类型将前一步中的报警序列转化为对应的攻击序列；3)从攻击序列的初始节点开始向后遍历整个攻击序列，将时间窗口内的攻击归为一个子序列，生成多个个子攻击序列；

3.根据权利要求1或2所述的一种网络多步攻击识别和预测方法，其特征是所述的攻击频率计算的步骤是：1)依次遍历所有子攻击序列，统计各个子攻击序列中，计算出攻击之间相互转化的频数，再将各个攻击序列中相对应的攻击频数相加，得出报警库中攻击转化频数；2)根据前面计算出所有的攻击之间转化的频数，并将所有的频数作为元素构成攻击频数转化矩阵；3)根据攻击频数转化矩阵，计算攻击转化的频率，具体方法是：用矩阵中的每一项除以该项所在行所有元素之和，所得的结果就是该项对应的攻击转化的频率，如果该项所在行所有元素之和为零，则该项所对应的攻击转化频率也为零；4)部分转化频率值接近于零。按照概率论的观点，这些攻击转化为不可能事件。如果攻击转化频率小于最小转化可信度，将该项置为零，得到了攻击频率转化矩阵。

4.根据权利要求1或2所述的一种网络多步攻击识别和预测方法，其特征是所述的多步攻击序列挖掘的步骤是：1)遍历整体攻击序列，将第一个攻击放入匹配队列中；2)取后续的攻击，比较该攻击与匹配队列的队尾元素，如果后续攻击和队尾元素的时间差小于时间窗口，且转化频率不为零，则将该攻击放入匹配队列尾部；3)从整体攻击序列中删除第一个攻击，如果整体攻击序列没有遍历完，继续步骤1)，直至整体攻击序列遍历完，生成多个匹配序列；4)所得的多个匹配序列中可能会有某个序列是另一个序列的包含序列。根据序列最大的原则去除包含序列的算法，形成新的多步攻击序列集合。

5.根据权利要求3所述的一种网络多步攻击识别和预测方法，其特征是所述的多步攻击序列挖掘的步骤是：1)遍历整体攻击序列，将第一个攻击放入匹配队列中；2)取后续的攻击，比较该攻击与匹配队列的队尾元素，如果后续攻击和队尾元素的时间差小于时间窗口，且转化频率不为零，则将该攻击放入匹配队列尾部；3)从整体攻击序列中删除第一个攻击，如果整体攻击序列没有遍历完，继续步骤1)，直至整体攻击序列遍历完，生成多个匹配序列；4)所得的多个匹配序列中可能会有某个序列是另一个序列的包含序列。根据序列最大的原则去除包含序列的算法，形成新的多步攻击序列集合。

6.根据权利要求1或2所述的一种网络多步攻击识别和预测方法，其特征是所述的新的多步攻击序列识别和预测的其步骤是：1)接收入侵检测系统等安全设备的报警，将报警转化为对应的攻击，记录该攻击的攻击类型，IP地址和攻击发生时间；2)遍历多步攻击序列集合中的每一个元素，若攻击存在于某一个多步攻击序列中，则标识攻击序列及其元素；若攻击存在于多个攻击序列，则将所有的攻击序列标识；3)继续接收等安全设备的报警，并依据1)中所述转化成攻击，遍历已经标识的攻击序列，若该攻击与某个攻击序列中最后被标识的元素的时间差小于最小时间，且这两个攻击的攻击转化频率不为零，则在攻击序列中标识新的攻击；然后，该攻击遍历其余的序列，重复2)的过程；4)设第某个攻击序列中最后被标识的元素发生时间后最小时间内，没有下一个攻击加入到该攻击序列中，则说明该攻击序列不能发生，擦去该攻击序列标识；5)当某一个多步攻击序列中出现多个个连续的攻击步骤时，若这多个攻击的目的IP地址是一样的，则这多个攻击步骤是多步攻击的一部分；若共有多个多步攻击序列中出现了连续的攻击步骤，则下一步会有多个可能，计算每一个个多步攻击序列中下一步的攻击转换频率，得出多步攻击序列的下一步攻击的发生概率；特殊的，若只有一个多步攻击序列含有这几个步骤，则该攻击序列转到下一步的概率为1。

7.根据权利要求3所述的一种网络多步攻击识别和预测方法，其特征是所述的新的多步攻击序列识别和预测的其步骤是：1)接收入侵检测系统等安全设备的报警，将报警转化为对应的攻击，记录该攻击的攻击类型，IP地址和攻击发生时间；2)遍历多步攻击序列集合中的每一个元素，若攻击存在于某一个多步攻击序列中，则标识攻击序列及其元素；若攻击存在于多个攻击序列，则将所有的攻击序列标识；3)继续接收等安全设备的报警，并依据1)中所述转化成攻击，遍历已经标识的攻击序列，若该攻击与某个攻击序列中最后被标识的元素的时间差小于最小时间，且这两个攻击的攻击转化频率不为零，则在攻击序列中标识新的攻击；然后，该攻击遍历其余的序列，重复2)的过程；4)设第某个攻击序列中最后被标识的元素发生时间后最小时间内，没有下一个攻击加入到该攻击序列中，则说明该攻击序列不能发生，擦去该攻击序列标识；5)当某一个多步攻击序列中出现多个个连续的攻击步骤时，若这多个攻击的目的IP地址是一样的，则这多个攻击步骤是多步攻击的一部分；若共有多个多步攻击序列中出现了连续的攻击步骤，则下一步会有多个可能，计算每一个个多步攻击序列中下一步的攻击转换频率，得出多步攻击序列的下一步攻击的发生概率；特殊的，若只有一个多步攻击序列含有这几个步骤，则该攻击序列转到下一步的概率为1。

8.根据权利要求4所述的一种网络多步攻击识别和预测方法，其特征是所述的新的多步攻击序列识别和预测的其步骤是：1)接收入侵检测系统等安全设备的报警，将报警转化为对应的攻击，记录该攻击的攻击类型，IP地址和攻击发生时间；2)遍历多步攻击序列集合中的每一个元素，若攻击存在于某一个多步攻击序列中，则标识攻击序列及其元素；若攻击存在于多个攻击序列，则将所有的攻击序列标识；3)继续接收等安全设备的报警，并依据1)中所述转化成攻击，遍历已经标识的攻击序列，若该攻击与某个攻击序列中最后被标识的元素的时间差小于最小时间，且这两个攻击的攻击转化频率不为零，则在攻击序列中标识新的攻击；然后，该攻击遍历其余的序列，重复2)的过程；4)设第某个攻击序列中最后被标识的元素发生时间后最小时间内，没有下一个攻击加入到该攻击序列中，则说明该攻击序列不能发生，擦去该攻击序列标识；5)当某一个多步攻击序列中出现多个个连续的攻击步骤时，若这多个攻击的目的IP地址是一样的，则这多个攻击步骤是多步攻击的一部分；若共有多个多步攻击序列中出现了连续的攻击步骤，则下一步会有多个可能，计算每一个个多步攻击序列中下一步的攻击转换频率，得出多步攻击序列的下一步攻击的发生概率；特殊的，若只有一个多步攻击序列含有这几个步骤，则该攻击序列转到下一步的概率为1。

9.根据权利要求5所述的一种网络多步攻击识别和预测方法，其特征是所述的新的多步攻击序列识别和预测的其步骤是：1)接收入侵检测系统等安全设备的报警，将报警转化为对应的攻击，记录该攻击的攻击类型，IP地址和攻击发生时间；2)遍历多步攻击序列集合中的每一个元素，若攻击存在于某一个多步攻击序列中，则标识攻击序列及其元素；若攻击存在于多个攻击序列，则将所有的攻击序列标识；3)继续接收等安全设备的报警，并依据1)中所述转化成攻击，遍历已经标识的攻击序列，若该攻击与某个攻击序列中最后被标识的元素的时间差小于最小时间，且这两个攻击的攻击转化频率不为零，则在攻击序列中标识新的攻击；然后，该攻击遍历其余的序列，重复2)的过程；4)设第某个攻击序列中最后被标识的元素发生时间后最小时间内，没有下一个攻击加入到该攻击序列中，则说明该攻击序列不能发生，擦去该攻击序列标识；5)当某一个多步攻击序列中出现多个个连续的攻击步骤时，若这多个攻击的目的IP地址是一样的，则这多个攻击步骤是多步攻击的一部分；若共有多个多步攻击序列中出现了连续的攻击步骤，则下一步会有多个可能，计算每一个个多步攻击序列中下一步的攻击转换频率，得出多步攻击序列的下一步攻击的发生概率；特殊的，若只有一个多步攻击序列含有这几个步骤，则该攻击序列转到下一步的概率为1。