CN104601591B - 网络攻击源组织检测方法 - Google Patents
网络攻击源组织检测方法 Download PDFInfo
- Publication number
- CN104601591B CN104601591B CN201510052965.XA CN201510052965A CN104601591B CN 104601591 B CN104601591 B CN 104601591B CN 201510052965 A CN201510052965 A CN 201510052965A CN 104601591 B CN104601591 B CN 104601591B
- Authority
- CN
- China
- Prior art keywords
- attacker
- attack
- matrix
- threat
- action message
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/126—Applying verification of the received information the source of the received data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种网络攻击源组织检测方法，目的是利用骨干网安全监测视窗内的海量报警数据挖掘出网络攻击源组织。技术方案是从海量的报警信息中挖掘攻击者的威胁活动信息，继而构建攻击者威胁活动信息矩阵，通过对威胁活动信息矩阵采用威胁活动关联图生成方法得到威胁活动关联图，并对威胁活动关联图进行优化处理，最后对优化后的威胁活动关联图进行马尔科夫快速图形聚类以获得网络攻击源组织信息。采用本发明可以利用骨干网监测视窗内的海量报警数据挖掘出网络攻击源组织，解决了无法直接对网络攻击源组织进行检测的难题，保障了网络攻击源组织检测结果的准确性，且可规避网络结构的变化对检测结果的影响。
Description
技术领域
本发明涉及计算机领域中网络与信息安全的检测方法，尤其指对网络攻击源组织的检测方法。
背景技术
网络安全的威胁对象主要分黑客个体与黑客团伙两种，个体黑客受掌握资源和共享信息的限制其威胁能力要明显低于团伙作案的黑客组织。如图1所示，网络攻击源组织(即黑客团伙)是网络攻击者(即黑客个体)之间由于合作、共享、交流等形成的相对稳定的组织团体。黑客的团体化正是当今黑客发展的一个趋势。过去经常爆发的全球性个体黑客事件已渐渐发展为由黑客团体精心策划的锁定目标的大型资料外泄事件。例如高级持续性攻击(Advanced Persistent Threat，APT)，即黑客团伙以窃取核心资料为目的一种“恶意商业间谍威胁”，APT已经成为各种大型企业必须要面临的挑战。另一方面，对黑客团伙的识别，分析其攻击特点和攻击能力，可方便网络管理者采取针对性的措施来应对。这就使得我们在对网络攻击行为进行威胁分析时，必须对黑客个体和黑客团伙加以区别，并重点识别高威胁的黑客团伙。
组织检测又称为节点聚类、组织识别，当前大多数研究是将关系结构数据看成由个体和个体间的关系组成的图，其中个体看做节点，个体间的链接关系看作边，以社区图(socigram)或者矩阵来形式化表达关系网络。常用的组织检测方法主要分为社会学中的分级聚类(Hierarchical Clustering)和计算机科学中的图形分割(Graph Partition)两类。这些检测方法都需要以一些基于图论的概念(如度、迹、距离等)作为关系网络量化分析的基础指标；通过派系(Clique)等概念对关系网络进行凝聚子群分析。
当前对网络攻击的威胁检测，并没有充分的利用黑客的团伙化特性，究其原因，一方面由于网络规模的扩大和黑客技术的发展，入侵和攻击的案例日益增多，现有的入侵检测技术的自身缺陷(存在较高的误报率)，以致海量的报警信息难以处理利用。另一方面，与传统的网络社交群体组织检测不同的是，对网络攻击源组织的分析仅能从报警信息出发，其中报警信息直接包含的报文信息包括：报警时间、源地址、目标地址、源端口、目标端口、源MAC、目标MAC、报文长度、报警网卡名称、原始报文、插件特征编号；间接包含的告警规则信息包括：协议类型、危害等级、操作系统类型、目标端口对象、目标地址对象、源端口对象、源地址对象、规则版本号、规则特征、漏洞信息、大类型、小类型、目标地址对象、规则名称、服务类型等信息。显然从这些报警信息中无法捕获网络攻击者的兴趣爱好、人际脉络、个人信息等内容，且无法获得其正常的网络活动信息。这就使得在网络攻击源组织检测中无法直接获得关系网络量化分析的基础指标，从而导致无法直接构建网络攻击者的关系网络，进而无法通过常用的组织检测方法对关系网络进行凝聚子群分析。
总之，海量的报警信息难以处理，并且无法直接从已获得的报警信息中构建网络攻击者的关系网络，使得网络攻击源的组织检测成为网络与信息安全中的一大难题，至今还没有公开文献涉及网络攻击源的组织检测。如何正确对监测环境中的网络攻击源组织进行检测是本领域技术人员极为关注的技术问题。
发明内容
本发明要解决的问题就在于：针对网络攻击组织规模日趋壮大、协作日趋紧密的问题，提供一种网络攻击源组织检测方法，利用骨干网安全监测视窗内的海量报警数据挖掘出网络攻击源组织。基于攻击源组织检测结果，有利于改进网络威胁评估和安全防御。
为解决上述技术问题，本发明提供的解决方案为：从海量的报警信息中挖掘攻击者的威胁活动信息，继而构建攻击者威胁活动信息矩阵，通过对威胁活动信息矩阵采用威胁活动关联图生成方法得到威胁活动关联图(即网络攻击者关系网络)，并对威胁活动关联图进行优化处理，最后对优化后的威胁活动关联图进行马尔科夫快速图形聚类以获得网络攻击源组织信息。
本发明的技术方案为：
第一步，以入侵检测系统产生的全部报警信息为数据源，统计报警信息，为每个攻击者构造威胁活动信息矩阵。对单个攻击者(以报警信息中不同的源地址作为不同攻击者的身份标识)的报警信息进行遍历计算，将遍历结果填入一个矩阵结构为A的威胁活动信息矩阵中。依次遍历所有攻击者的报警信息，为每个攻击者构建一个矩阵结构为A的威胁活动信息矩阵，共建立K个攻击者构造威胁活动信息矩阵即A1…Ap…AK，K为攻击者个数，1≤p≤K。
具体步骤为：
步骤1.1，对所有攻击分类并按照类型设定标识符。对所有攻击按照攻击类型(即拒绝服务、扫描探测、获取权限、控制会话、留下后门，其它类型)分类，定义攻击类型与其对应标识符为：拒绝服务类攻击对应标识符为1，扫描探测类攻击对应标识符为2，获取权限类攻击对应标识符为3，控制会话类攻击对应标识符为4，留下后门(隐藏踪迹)类对应标识符为5，其它类型攻击对应标识符为6。构造攻击信息记录字符串Attack_Struct，字符串形式为：“1，x1；2，x2；3，x3；4，x4；5，x5；6，x6；”。该字符串固定为12元组，其中x1为拒绝服务攻击次数；x2为扫描探测攻击次数；x3为获取权限攻击次数；x4为控制会话攻击次数；x5为留下后门攻击次数；x6为其它类型攻击次数。
步骤1.2，统计报警信息，构造威胁活动信息矩阵结构A。矩阵结构A是后续处理步骤中攻击者威胁活动信息矩阵创建所采用的矩阵结构。矩阵结构A的横坐标和纵坐标根据报警数据库包含的报警信息来构造，如图2所示，横坐标为攻击目标地址，纵坐标为监测时间范围即报警时间中最早时间点与最晚时间点之间的时间段，最早时间点与最晚时间点由用户根据实际情况确定。具体方法为：
1.2.1以入侵检测系统产生的海量报警信息为数据源，提取所有攻击者在整个监测视窗中的全部报警信息。将报警信息中包含的报警时间信息、目标地址信息作为威胁活动信息。
1.2.2对监测视窗中的所有攻击者的目标地址信息做处理，构造威胁活动信息矩阵结构A的横坐标：不重复地选出所有的目标地址，将目标地址个数记为M，并按目标地址被攻击的次数(即目标地址在报警信息中出现的次数)由高到低排列，在横坐标正向方向上从目标地址被攻击次数的最大值开始依次对应到横坐标正向的每个位置，横坐标正向第j个位置的目标地址用dipj表示(j≤M)，横坐标正向最远位置处的目标地址(即所有目标地址中被攻击次数最少的目标地址)用dipM表示。
1.2.3对监测视窗中所有攻击者的威胁活动时间信息(报警时间信息)做处理，做为威胁活动信息矩阵结构A的纵坐标：选取所有报警时间中的最早时间点和最晚时间点，将最早时间点的整小时时刻(即时间取整，如3：15取整为3：00)做为纵坐标的起始点，每过一个小时分隔出一个小时段，直到到达最晚时间点的整小时时刻，共分隔出N个小时段，即N为小时段的总数。距起始点之后的第i个时间段用timei表示(i≤N)，纵坐标最远位置处的时间段(即报警数据库记录最晚一次攻击所发生的小时段)用timeN表示。
步骤1.3，采用攻击源IP地址区分不同攻击者，假定攻击者总数为K，第p个攻击者的IP地址记为attackerp，以下将IP地址为attackerp的攻击者简称为攻击者attackerp，遍历所有攻击者，得到K个威胁活动信息矩阵，记为A1，A2，……，Ap……，AK-1，AK，1≤p≤K，具体方法为：
1.3.1令变量p＝1；
1.3.2对攻击者attackerp的报警信息进行遍历，将遍历获得的所有攻击信息记录字符串Attack_Struct相对应地填入威胁活动信息矩阵Ap中，具体细节为：
1.3.2.1以入侵检测系统产生的所有报警信息为数据源，提取攻击者attackerp的威胁活动信息，包括报警时间信息、目标地址信息、攻击类型信息。
1.3.2.2创建用于记录单个攻击者attackerp威胁活动信息的矩阵Ap。矩阵Ap的矩阵结构为A，即在横坐标和纵坐标方向的坐标量为矩阵结构A中定义的坐标量。矩阵Ap中每个元素值即Ap[i][j]的计算方法如下：
1.3.2.2.1令循环变量i＝1；
1.3.2.2.2令循环变量j＝1；
1.3.2.2.3对攻击者attackerp在timei时间段内针对目标地址dipj产生6种类型攻击进行统计，统计结果采用Attack_Struct结构的字符串记录，并将该字符串做为Ap[i][j]的赋值。
1.3.2.2.4若j<M，令j＝j+1，转1.3.2.2.3；若j＝M，执行1.3.2.2.5。
1.3.2.2.5若i<N，令i＝i+1，转1.3.2.2.2；若i＝N，执行1.3.3。
1.3.3若p<K，令p＝p+1,转1.3.2；若p＝K，表示K个威胁活动信息矩阵创建完毕，执行第二步。
第二步，分析K个攻击者之间的两两关联关系，生成威胁活动关联图R。威胁活动关联图R为K个节点组成的无向图，共包含K个节点，与K个攻击者一一对应。连接节点p及q的边值即边的权值记为rp,q，rp,q即为攻击者attackerp与攻击者attackerq的关联关系的量化值。rp,q依据威胁活动信息矩阵Ap及Aq计算得到。
具体方法为：
步骤2.1令循环变量p＝1；
步骤2.2令循环变量q＝p+1；
步骤2.3根据威胁活动矩阵Ap和Aq构造过渡矩阵TSp,q，矩阵元素Sp,q[i][j]表示攻击者attackerp与攻击者attackerq(指IP地址为attackerq的攻击者)，在timei时段对dipj实施攻击时的威胁匹配程度。与Ap和Aq相同，过渡矩阵TSp,q也是矩阵结构A。TSp,q构造方法如下：
2.3.1令循环变量i＝1。
2.3.2令循环变量j＝1。
2.3.3根据Ap[i][j]及Aq[i][j]计算TSp,q[i][j]。为方便表述，假设Ap[i][j]＝“1，x1；2，x2；3，x3；4，x4；5，x5；6，x6；”，Aq[i][j]＝“1，y1；2，y2；3，y3；4，y4；5，y5；6，y6；”，其中xh的含义是attackerp在timei时段对dipj实施攻击第h类攻击(h为攻击标示符，1≤h≤6,xh含义见步骤1.1)的次数，yh的含义是attackerq在timei时段对dipj实施攻击第h类攻击的次数，令TSp,q[i][j]＝“1，z1；2，z2；3，z3；4，z4；5，z5；6，z6；”，其中zh取xh与yh之间的最小值，即zh＝min(xh，yh)。
2.3.4若j<M，令j＝j+1，转2.3.3；若j＝M，执行2.3.5。
2.3.5若i<N，令i＝i+1，转2.3.2；若i＝N，执行2.4。
步骤2.4根据过渡矩阵TSp,q计算威胁活动匹配矩阵Sp,q。Sp,q是N行M列的浮点数值矩阵。一套完整的攻击按攻击流程可分为扫描探测、获取权限、控制会话、隐藏踪迹(留下后门)4步，后续攻击以前期攻击成功为前提条件。若TSp,q[i][j]中记录的攻击行为满足上述攻击流程，则在计算Sp,q[i][j]时进行加权放大。拒绝服务攻击没有攻击流程的前后依赖关系，故考虑攻击手段之间的连贯性时，不将拒绝服务和其他类型攻击考虑在内。Sp,q计算方法如下：
2.4.1令循环变量i＝1。
2.4.2令循环变量j＝1。
2.4.3根据TSp,q[i][j]计算Sp,q[i][j]方法是若TSp,q[i][j]＝“1，z1；2，z2；3，z3；4，z4；5，z5；6，z6；”，则Sp,q[i][j]＝z1+z2+z3+z4+z5+z6。
2.4.4若z2*z3>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z3；
2.4.5若z3*z4>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z4；
2.4.6若z4*z5>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z5；
2.4.7若z2*z3*z4>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z4；
2.4.8若z3*z4*z5>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z5；
2.4.9若z2*z3*z4*z5>0,令Sp,q[i][j]＝Sp,q[i][j]+0.2*z5；
2.4.10若j<M，令j＝j+1，转2.4.3；若j＝M，执行2.4.11。
2.4.11若i<N，令i＝i+1，转2.4.2；若i＝N，执行2.5。
步骤2.5根据Sp,q计算rp,q，即
步骤2.6若q<K,令q＝q+1，转2.3；若q＝K，执行2.7；
步骤2.7若p<K，令p＝p+1,转2.2；若p＝K，则表示得到了R的所有边值，R构建完毕，执行第三步。
第三步，对威胁活动关联图R进行简化，删除弱关联关系及孤立节点。由第二步可知，K个网络攻击者在威胁活动关联图中存在(K2-K)/2条关系边，而在大规模的监测环境中至少可以检测到上万个网络攻击者，这些关联信息给存储和使用带来了极大的不便。因此，为了减小存储和运算的开销，对威胁活动关联图进行简化：删除威胁活动关联图R中边值rp,q小于设定阈值(最大边值的5％，该值人为设定)的边信息；删除孤立节点(即与其他节点无边相连的节点)；将威胁活动关联图存入数据库，
具体方法为：
步骤3.1令最大边值r_max＝0；
步骤3.2令循环变量p＝1；
步骤3.3令循环变量q＝p+1；
步骤3.4若r_max<rp,q,令r_max＝rp,q；
步骤3.5若q<K，令q＝q+1,转3.4；若q＝K，执行3.6；
步骤3.6若p<K，令p＝p+1，转3.3；若p＝K，执行3.7；
步骤3.7令循环变量p＝1；
步骤3.8令循环变量q＝p+1；
步骤3.9若rp,q>r_max*0.05,将威胁活动关联图信息<attackerp,attackerq,edge_valuep,q>存储到数据库，其中edge_valuep,q＝rp,q。
步骤3.10若q<K，令q＝q+1,转3.9；若q＝K，执行3.11；
步骤3.11若p<K，令p＝p+1，转3.8；若p＝K，R简化完毕，执行第四步；
第四步，采用马尔科夫快速图形聚类方法(2000年由Dongen S.V.在论文Graphclustering by flow simulation中提出)对攻击者威胁活动关联图进行聚类检测。聚类是指通过分析威胁者之间的关联关系分析将关系紧密的攻击者汇聚到一个子群中。使用爱丁堡大学欧洲分子生物研究实验室(European Molecular Biology Laboratory)的开源软件BioLayout Express做为马尔科夫图形聚类软件。首先将数据库存储的威胁活动关联图信息<attackerp,attackerq,edge_valuep,q>全部读取后存储到文本文件中，以该文本文件做为输入数据交由图形聚类软件进行聚类，得到所有攻击者IP地址的聚类情况，对于同一组织的攻击者采用同一个子群组编号标注该组织中的所有攻击者IP地址，将聚类结果输出，聚类结果可以输出到文本中也可以采用图形化的形式展示。
采用本发明可以达到以下技术效果：针对网络攻击组织规模日趋壮大、协作日趋紧密的问题，提供一种网络攻击源组织检测方法，利用骨干网监测视窗内的海量报警数据挖掘出网络攻击源组织。基于攻击源组织检测结果，有利于改进网络威胁评估和安全防御。
1、本发明第一步利用报警时间、源地址、目标地址、攻击类型信息为每个攻击者构建一个矩阵结构为A的威胁活动信息矩阵，从空间和时间的二维角度全面综合地反映了攻击者在监测环境下的威胁活动信息，第二步分析所有攻击者之间的两两关联关系，根据威胁活动信息矩阵生成威胁活动关联图，解决了无法直接对网络攻击源组织进行检测的难题。
2、本发明第二步提出的威胁活动关联图边的生成算法充分利用了攻击者之间的合作、共享、交流等关联关系，保障了网络攻击源组织检测结果的准确性。
3、本发明采用的数据源完全来自于已经存入数据库的报警信息，可通过人为指定网络攻击源组织检测的开始时间和结束时间，在指定的时间段内进行检测。当网络结构发生变化时，通过设定网络攻击源组织检测的开始时间和结束时间，可规避网络结构的变化对检测结果的影响。
附图说明
图1是网络攻击源组织相关定义示意图；
图2是本发明第一步构建的威胁活动信息矩阵示例；
图3是本发明的网络攻击源组织检测方法总体流程图；
图4是本发明第二步attacker1和attacker2威胁活动关联图的边生成算法示意图。
具体实施方式
图3是本发明的网络攻击源组织检测的总体流程图，以下将结合附图和具体实施例对本发明做进一步详细说明。
第一步，以入侵检测系统产生的全部报警信息为数据源，统计报警信息，为每个攻击者构造威胁活动信息矩阵。对单个攻击者(以报警信息中不同的源地址作为不同攻击者的身份标识)的报警信息进行遍历计算，将遍历结果填入一个矩阵结构为A的威胁活动信息矩阵中。依次遍历所有攻击者的报警信息，为每个攻击者构建一个矩阵结构为A的威胁活动信息矩阵。
对于一个包含4个时间段(即N＝4)，3个攻击目标地址(即M＝3)，2个攻击者(即K＝2)的报警信息，如图4所示，，得到attacker1及attacker2的威胁活动信息矩阵A1及A2。以A1为例，其中，A1[1][1]＝“1,0；2,0；3,0；4,0；5,0；6,0；”,表示攻击者attacker1对目标地址dip1在时间段time1内没有威胁活动；A1[4][1]＝“1,12；2,2；3,35；4,2；5,3；6,10；”表示攻击者attacker1对目标地址dip1在时间段time4内拒绝服务类攻击实施了12次、扫描探测类攻击实施了2次、获取权限类攻击实施了35次、控制会话类攻击实施了2次、隐藏踪迹类攻击实施了3次、其他类型的攻击实施了10次。
第二步，分析K个攻击者之间的两两关联关系，生成威胁活动关联图R。威胁活动关联图R包含K个顶点，与K个攻击者一一对应。连接顶点p及q之间的边值rp,q即为attackerp与attackerq的关联关系的量化值。rp,q依据威胁活动信息矩阵Ap及Aq计算得到。
如图4所示，根据威胁活动矩阵A1和A2构造过渡矩阵TS1,2，然后根据过渡矩阵TS1,2计算得到威胁活动匹配矩阵S1,2，再根据S1,2得到r1,2＝53.2+24+45＝122.2。因为K＝2，所以R中只有一个边值r1,2。
第三步，对威胁活动关联图R进行简化处理，删除弱关联关系及孤立节点后将威胁活动关联图储存到数据库当中。图4的例子只有2个节点，所以不存在弱关联关系及孤立节点，因此，edge_value1,2＝r1,2，将<attacker1,attacker2,r1,2>存储到数据库。
第四步，采用马尔科夫快速图形聚类方法(2000年由Dongen S.V.在论文Graphclustering by flow simulation中提出)对攻击者威胁活动关联图进行聚类检测。图4的例子中只有2个节点，且两个点之间存在关联边，因此，例子聚类检测后会将attacker1及attacker2判定为属于统一攻击组织。
本发明对入侵检测平台具有通用性，在实际的监测环境测试中已获得验证并取得良好的应用效果。
Claims (6)
1.一种网络攻击源组织检测方法，其特征在于包括以下步骤：
第一步，以入侵检测系统产生的全部报警信息为数据源，统计报警信息，为每个攻击者构造矩阵结构为A的威胁活动信息矩阵，共建立K个攻击者构造威胁活动信息矩阵即A1…Ap…AK，K为攻击者个数，1≤p≤K；矩阵结构A的横坐标和纵坐标根据报警数据库包含的报警信息构造，横坐标为攻击目标地址，纵坐标为报警时间中的最早时间点和最晚时间点之间的时间段即监测时间范围；威胁活动信息矩阵共有M*N项，M为目标地址个数，N为将最早时间点的整小时时刻做为起始点，每过一个小时分隔出一个小时段，直到到达最晚时间点的整小时时刻，共分隔出的小时段的个数；每一项的内容为攻击信息记录字符串Attack_Struct，字符串形式为：“1，x1；2，x2；3，x3；4，x4；5，x5；6，x6；”，该字符串固定为12元组，其中x1为拒绝服务攻击次数；x2为扫描探测攻击次数；x3为获取权限攻击次数；x4为控制会话攻击次数；x5为留下后门攻击次数；x6为其它类型攻击次数；
第二步，分析K个攻击者之间的两两关联关系，生成威胁活动关联图R；威胁活动关联图R为由K个节点组成的无向图，K个节点与K个攻击者一一对应，连接节点p及q的边值即边的权值记为rp,q，rp,q为攻击者attackerp与攻击者attackerq的关联关系的量化值，1≤p≤K，p<q≤K；
第三步，对威胁活动关联图R进行简化，删除R中rp,q小于设定阈值的边信息，删除孤立节点即与其他节点无边相连的节点；将威胁活动关联图以<attackerp,attackerq,edge_valuep,q>的形式存入数据库，edge_valuep,q＝rp,q，所述阈值为R中最大边值的5％；
第四步，采用马尔科夫快速图形聚类方法对攻击者威胁活动关联图进行聚类检测，聚类指通过分析威胁者之间的关联关系分析将关系紧密的攻击者汇聚到一个子群中，首先将数据库存储的威胁活动关联图信息<attackerp,attackerq,edge_valuep,q>全部读取后存储到文本文件中，以该文本文件做为输入数据交由聚类软件进行聚类，得到所有攻击者IP地址的聚类情况，对于同一组织的攻击者采用同一个子群组编号标注该组织中的所有攻击者IP地址，将最终检测结果输出。
2.如权利要求1所述的网络攻击源组织检测方法，其特征在于所述第一步中为每个攻击者构造威胁活动信息矩阵的方法是：对单个攻击者的报警信息进行遍历计算，将遍历结果填入一个矩阵结构为A的威胁活动信息矩阵中，依次遍历所有攻击者的报警信息，为每个攻击者构建一个矩阵结构为A的威胁活动信息矩阵，具体包括以下步骤：
步骤1.1，对所有攻击分类并按照类型设定标识符，对所有攻击按照攻击类型即拒绝服务、扫描探测、获取权限、控制会话、留下后门，其它类型分类，定义攻击类型与其对应标识符为：拒绝服务类攻击对应标识符为1，扫描探测类攻击对应标识符为2，获取权限类攻击对应标识符为3，控制会话类攻击对应标识符为4，留下后门类对应标识符为5，其它类型攻击对应标识符为6；构造攻击信息记录字符串Attack_Struct，字符串形式为：“1，x1；2，x2；3，x3；4，x4；5，x5；6，x6；”；该字符串固定为12元组，其中x1为拒绝服务攻击次数；x2为扫描探测攻击次数；x3为获取权限攻击次数；x4为控制会话攻击次数；x5为留下后门攻击次数；x6为其它类型攻击次数；
步骤1.2，统计报警信息，构造威胁活动信息矩阵结构A，具体方法为：
1.2.1以入侵检测系统产生的海量报警信息为数据源，提取所有攻击者在整个监测视窗中的全部报警信息，将报警信息中包含的报警时间信息、目标地址信息作为威胁活动信息；
1.2.2对监测视窗中的所有攻击者的目标地址信息做处理，构造威胁活动信息矩阵结构A的横坐标：不重复地选出所有的目标地址，并按目标地址被攻击的次数即目标地址在报警信息中出现的次数由高到低排列，在横坐标正向方向上从目标地址被攻击次数的最大值开始依次对应到横坐标正向的每个位置，横坐标正向第j个位置的目标地址用dipj表示，横坐标正向最远位置处的目标地址即所有目标地址中被攻击次数最少的目标地址用dipM表示，j≤M；
1.2.3对监测视窗中所有攻击者的报警时间信息做处理，做为威胁活动信息矩阵结构A的纵坐标：将最早时间点的整小时时刻做为纵坐标的起始点，每过一个小时分隔出一个时间段，直到到达最晚时间点的整小时时刻，共分隔出N个小时段，距起始点之后的第i个时间段用timei表示，纵坐标最远位置处的时间段即报警数据库记录最晚一次攻击所发生的小时段用timeN表示，i≤N；
步骤1.3，采用攻击源IP地址区分不同攻击者，第p个攻击者的IP地址记为attackerp，IP地址为attackerp的攻击者简称为攻击者attackerp，遍历所有攻击者，得到K个威胁活动信息矩阵，记为A1，A2，……，Ap……，AK-1，AK，1≤p≤K，K为攻击者总数。
3.如权利要求1所述的网络攻击源组织检测方法，其特征在于所述第二步中R中的边值rq,p依据威胁活动信息矩阵Ap及Aq计算得到，具体方法为：
步骤2.1令循环变量p＝1；
步骤2.2令循环变量q＝p+1；
步骤2.3根据威胁活动矩阵Ap和Aq构造过渡矩阵TSp,q，矩阵元素Sp,q[i][j]表示攻击者attackerp与攻击者attackerq在timei时段对dipj实施攻击时的威胁匹配程度，与Ap和Aq相同，过渡矩阵TSp,q也是矩阵结构A,攻击者attackerq指IP地址为attackerq的攻击者；TSp,q构造方法如下：
2.3.1令循环变量i＝1；
2.3.2令循环变量j＝1；
2.3.3根据Ap[i][j]及Aq[i][j]计算TSp,q[i][j]，假设Ap[i][j]＝“1，x1；2，x2；3，x3；4，x4；5，x5；6，x6；”，Aq[i][j]＝“1，y1；2，y2；3，y3；4，y4；5，y5；6，y6；”，其中xh的含义是attackerp在timei时段对dipj实施攻击第h类攻击的次数，h为攻击标示符，1≤h≤6，yh的含义是attackerq在timei时段对dipj实施攻击第h类攻击的次数，令TSp,q[i][j]＝“1，z1；2，z2；3，z3；4，z4；5，z5；6，z6；”，其中zh取xh与yh之间的最小值，即zh＝min(xh，yh)；
2.3.4若j<M，令j＝j+1，转2.3.3；若j＝M，执行2.3.5；
2.3.5若i<N，令i＝i+1，转2.3.2；若i＝N，执行2.4；
步骤2.4根据过渡矩阵TSp,q计算威胁活动匹配矩阵Sp,q，Sp,q是N行M列的浮点数值矩阵；Sp,q计算方法如下：
2.4.1令循环变量i＝1；
2.4.2令循环变量j＝1；
2.4.3根据TSp,q[i][j]计算Sp,q[i][j]方法是若TSp,q[i][j]＝“1，z1；2，z2；3，z3；4，z4；5，z5；6，z6；”，则Sp,q[i][j]＝z1+z2+z3+z4+z5+z6；
2.4.4若z2*z3>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z3；
2.4.5若z3*z4>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z4；
2.4.6若z4*z5>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z5；
2.4.7若z2*z3*z4>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z4；
2.4.8若z3*z4*z5>0,令Sp,q[i][j]＝Sp,q[i][j]+0.4*z5；
2.4.9若z2*z3*z4*z5>0,令Sp,q[i][j]＝Sp,q[i][j]+0.2*z5；
2.4.10若j<M，令j＝j+1，转2.4.3；若j＝M，执行2.4.11；
2.4.11若i<N，令i＝i+1，转2.4.2；若i＝N，执行2.5；
步骤2.5根据Sp,q计算rp,q，即
步骤2.6若q<K,令q＝q+1，转2.3；若q＝K，执行2.7；
步骤2.7若p<K，令p＝p+1,转2.2；若p＝K，则得到了R的所有边值，即R构建完毕。
4.如权利要求1所述的网络攻击源组织检测方法，其特征在于所述第三步对威胁活动关联图R进行简化的方法是：
步骤3.1令最大边值r_max＝0；
步骤3.2令循环变量p＝1；
步骤3.3令循环变量q＝p+1；
步骤3.4若r_max<rp,q,令r_max＝rp,q；
步骤3.5若q<K，令q＝q+1,转3.4；若q＝K，执行3.6；
步骤3.6若p<K，令p＝p+1，转3.3；若p＝K，执行3.7；
步骤3.7令循环变量p＝1；
步骤3.8令循环变量q＝p+1；
步骤3.9若rp,q>r_max*0.05,将威胁活动关联图信息<attackerp,attackerq,edge_valuep,q>存储到数据库，其中edge_valuep,q＝rp,q；
步骤3.10若q<K，令q＝q+1,转3.9；若q＝K，执行3.11；
步骤3.11若p<K，令p＝p+1，转3.8；若p＝K，R简化完毕。
5.如权利要求1所述的网络攻击源组织检测方法，其特征在于第四步所述聚类软件采用BioLayout Express。
6.如权利要求2所述的网络攻击源组织检测方法，其特征在于步骤1.3得到K个威胁活动信息矩阵即A1，A2，……，Ap……，AK-1，AK的方法为：
1.3.1令变量p＝1；
1.3.2对攻击者attackerp的报警信息进行遍历，将遍历获得的所有攻击信息记录字符串Attack_Struct相对应地填入威胁活动信息矩阵Ap中，具体方法为：
1.3.2.1以入侵检测系统产生的所有报警信息为数据源，提取攻击者attackerp的威胁活动信息，包括报警时间信息、目标地址信息、攻击类型信息；
1.3.2.2创建用于记录攻击者attackerp威胁活动信息的矩阵Ap；矩阵Ap的矩阵结构为A，即在横坐标和纵坐标方向的坐标量为矩阵结构A中定义的坐标量，矩阵Ap中每个元素值即Ap[i][j]的计算方法如下：
1.3.2.2.1令循环变量i＝1；
1.3.2.2.2令循环变量j＝1；
1.3.2.2.3对攻击者attackerp在timei时间段内针对目标地址dipj产生6种类型攻击进行统计，统计结果采用Attack_Struct结构的字符串记录，并将该字符串做为Ap[i][j]的赋值；
1.3.2.2.4若j<M，令j＝j+1，转1.3.2.2.3；若j＝M，执行1.3.2.2.5；
1.3.2.2.5若i<N，令i＝i+1，转1.3.2.2.2；若i＝N，执行1.3.3；
1.3.3若p<K，令p＝p+1,转1.3.2；若p＝K，K个威胁活动信息矩阵创建完毕。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510052965.XA CN104601591B (zh) | 2015-02-02 | 2015-02-02 | 网络攻击源组织检测方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510052965.XA CN104601591B (zh) | 2015-02-02 | 2015-02-02 | 网络攻击源组织检测方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN104601591A CN104601591A (zh) | 2015-05-06 |
| CN104601591B true CN104601591B (zh) | 2017-08-15 |
Family
ID=53127096
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201510052965.XA Active CN104601591B (zh) | 2015-02-02 | 2015-02-02 | 网络攻击源组织检测方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN104601591B (zh) |
Families Citing this family (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105119942B (zh) * | 2015-09-16 | 2018-11-06 | 广东睿江云计算股份有限公司 | 一种洪水攻击检测方法 |
| CN106027554A (zh) * | 2016-06-30 | 2016-10-12 | 北京网康科技有限公司 | 一种黑客工具挖掘方法、装置及系统 |
| CN106330949B (zh) * | 2016-09-13 | 2019-07-16 | 哈尔滨工程大学 | 一种基于马尔科夫链的入侵检测方法 |
| CN106375331B (zh) * | 2016-09-23 | 2020-02-14 | 北京网康科技有限公司 | 一种攻击组织的挖掘方法及装置 |
| TWI617939B (zh) * | 2016-12-01 | 2018-03-11 | 財團法人資訊工業策進會 | 攻擊節點偵測裝置、方法及其電腦程式產品 |
| TWI610196B (zh) | 2016-12-05 | 2018-01-01 | 財團法人資訊工業策進會 | 網路攻擊模式之判斷裝置、判斷方法及其電腦程式產品 |
| CN107341375A (zh) * | 2016-12-09 | 2017-11-10 | 北京安天网络安全技术有限公司 | 一种基于网页图片暗记溯源攻击者的方法及系统 |
| CN107786542A (zh) * | 2017-09-26 | 2018-03-09 | 杭州安恒信息技术有限公司 | 基于大数据智能分析恶意ip的评分方法及装置 |
| CN108170717B (zh) * | 2017-12-05 | 2020-12-04 | 东软集团股份有限公司 | 数据探索模式的转换方法、装置、存储介质和电子设备 |
| CN108073808B (zh) * | 2017-12-21 | 2021-10-15 | 安天科技集团股份有限公司 | 基于pdb调试信息生成攻击者画像的方法及系统 |
| CN108924163A (zh) * | 2018-08-14 | 2018-11-30 | 成都信息工程大学 | 基于无监督学习的攻击者画像方法及系统 |
| CN110929187A (zh) * | 2018-09-18 | 2020-03-27 | 北京数安鑫云信息技术有限公司 | 威胁事件可视化展现方法、装置、存储装置及计算机设备 |
| CN111327569B (zh) * | 2018-12-14 | 2022-05-10 | 中国电信股份有限公司 | Web后门检测方法和系统、存储计算装置 |
| CN110213094B (zh) * | 2019-05-29 | 2021-11-16 | 安天科技集团股份有限公司 | 一种威胁活动拓扑图的建立方法、装置及存储设备 |
| CN112468347B (zh) * | 2020-12-14 | 2022-02-25 | 中国科学院信息工程研究所 | 一种云平台的安全管理方法、装置、电子设备及存储介质 |
| CN113055386B (zh) * | 2021-03-12 | 2023-03-24 | 安天科技集团股份有限公司 | 一种攻击组织的识别分析方法和装置 |
| CN114024736B (zh) * | 2021-11-02 | 2024-04-12 | 丁牛信息安全科技(江苏)有限公司 | 威胁源关联性识别处理方法、装置及电子设备、存储介质 |
| CN114338189B (zh) * | 2021-12-31 | 2023-05-26 | 上海纽盾科技股份有限公司 | 基于节点拓扑关系链的态势感知防御方法、装置及系统 |
| CN117155665B (zh) * | 2023-09-04 | 2024-03-12 | 中国信息通信研究院 | 一种攻击溯源方法、系统、电子设备和存储介质 |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1553293A (zh) * | 2003-12-19 | 2004-12-08 | 华中科技大学 | 基于分布式数据挖掘的协同入侵检测系统 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| TWI474213B (zh) * | 2013-01-09 | 2015-02-21 | Hope Bay Technologies Inc | 具攻擊防護機制的雲端系統及其防護方法 |
-
2015
- 2015-02-02 CN CN201510052965.XA patent/CN104601591B/zh active Active
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1553293A (zh) * | 2003-12-19 | 2004-12-08 | 华中科技大学 | 基于分布式数据挖掘的协同入侵检测系统 |
Non-Patent Citations (1)
| Title |
|---|
| 网络攻击源威胁行为评估方法研究;常帅，等.;《小型微型计算机系统》;20150131;全文 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN104601591A (zh) | 2015-05-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN104601591B (zh) | 网络攻击源组织检测方法 | |
| CN112738015B (zh) | 一种基于可解释卷积神经网络cnn与图检测的多步攻击检测方法 | |
| CN110380896A (zh) | 基于攻击图的网络安全态势感知模型和方法 | |
| Gogoi et al. | MLH-IDS: a multi-level hybrid intrusion detection method | |
| CN105991521B (zh) | 网络风险评估方法和装置 | |
| CN106375331B (zh) | 一种攻击组织的挖掘方法及装置 | |
| CN111355697B (zh) | 僵尸网络域名家族的检测方法、装置、设备及存储介质 | |
| CN109379377A (zh) | 加密恶意流量检测方法、装置、电子设备及存储介质 | |
| CN105827594A (zh) | 一种基于域名可读性及域名解析行为的可疑性检测方法 | |
| CN114666162B (zh) | 一种流量检测方法、装置、设备及存储介质 | |
| CN110519264A (zh) | 攻击事件的追踪溯源方法、装置及设备 | |
| Chandramouli | Emerging social media threats: Technology and policy perspectives | |
| CN108418835A (zh) | 一种基于Netflow日志数据的端口扫描攻击检测方法及装置 | |
| CN111245784A (zh) | 多维度检测恶意域名的方法 | |
| Juvonen et al. | An efficient network log anomaly detection system using random projection dimensionality reduction | |
| Patil et al. | GeoSClean: Secure cleaning of GPS trajectory data using anomaly detection | |
| Nouh et al. | Towards designing a multipurpose cybercrime intelligence framework | |
| Elekar | Combination of data mining techniques for intrusion detection system | |
| CN105243328A (zh) | 一种基于行为特征的摆渡木马防御方法 | |
| CN109067778B (zh) | 一种基于蜜网数据的工控扫描器指纹识别方法 | |
| Nathiya et al. | An effective way of cloud intrusion detection system using decision tree, support vector machine and Naïve bayes algorithm | |
| CN112001423B (zh) | Apt恶意软件组织的开集识别方法、装置、设备和介质 | |
| CN105721467A (zh) | 社交网络Sybil群体检测方法 | |
| Kadam et al. | Real-time intrusion detection with genetic, fuzzy, pattern matching algorithm | |
| Li et al. | Effective privacy preservation over composite events with Markov correlations |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |