CN106027526B - 一种追踪网络联通图中团体演化的方法及装置 - Google Patents

Abstract

本发明公开了一种追踪网络联通图中community演化的方法及装置，包括：对网络联通图进行首次community划分，得到一个以上community；其中，不同的community对应不同的ID，且community中包含的所有节点均携带所述community的ID；对网络联通图进行第N次community划分，得到一个以上community；当所述community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述community的ID设置为所述同一种ID，并在所述community中包含的所有节点中携带所述同一种ID，N≥2。

Description

一种追踪网络联通图中团体演化的方法及装置

技术领域

本发明涉及网络安全领域中的网络联通图技术，尤其涉及一种追踪网络联通图中团体(community)演化的方法及装置。

背景技术

当黑客入侵企业、学校和政府等组织的内部网络后，其后续的攻击行为会引起内部主机之间通讯的变化。例如受黑客控制的主机会扫描其它主机，包括主机上开放的业务端口，而在内部网络的正常通讯中是不存在这种行为的。因此分析组织内部网络的通讯是发现异常主机，继而确认主机感染恶意软件的重要途径。

分析内部网络通讯的常用方法是基于内网通讯将组织的内部网络拓扑抽象成联通图，将内网主机抽象为联通图中的节点，将主机间的通讯抽象为联通图中的边。根据节点间通讯的连接数、应用和数据量等信息可以为联通图中的边赋予权值。一方面通过计算图中节点间边的变化和边上权值的变化，能够发现蠕虫、扫描等异常事件。另一方面联通图也为安全分析人员提供了良好的可视化工具。

尽管联通图的价值很高，但当组织内网中的主机数目较多，例如达到数千甚至上万时，直接使用全网的联通图进行分析会遇到困难。安全分析人员很难对数万个内网节点构成的联通图进行分析，同时当联通图规模过大时，一个节点引起的变化可能会被掩盖。

解决这一问题的一种方法是根据节点之间的通讯特征将节点划分为不同的community，再基于community进行进一步的分析。community是联通图的一个子图，处于同一个community内部的节点，与community外部的节点相比，其相互间联通的边数较多，并且边上的权重较高，相互间表现出了更强的关系。在真实网络中，处于同一个community内的节点所代表的主机通常属于同一个业务部门，这些主机相互间交互频繁，并且业务相近。

划分community依赖的是网络联通图中各个节点间的边和边的权重，当边以及边的权重发生变化时，划分出的community就会不同。组织的内网中，主机的通讯沿着时间轴往往会发生变化。例如内网中增加了新的业务服务器或者组织中有新的团队开始使用已有业务服务器。因此根据不同时间段的通讯情况划分出来的community可能不同。

使用community进行异常主机分析，最重要的需求就是跟踪和对比community沿着时间轴的变化。例如当community的介数中心性((betweenness centrality)或接近中心性(closeness centrality)发生重大变化时，网络中很可能出现了扫描行为、垃圾邮件行为或者攻击行为。同时，当安全分析师通过可视化工具发现在community中，某个主机开始访问很多之前不访问的其它主机，甚至主机从一个community迁移到另一个community时，这个主机很可能已经被黑客攻陷。

当网络联通图随着时间的推移发生变化时，在不同的时间点community的划分出现变化，在这些划分中建立关联的主要方法是不同划分中community的相似性。例如，最简单的情况，在第一次划分的community A1和第二次划分中的community B1，构成它们的节点完全一致，可以认为B1是由A1演化而来。当然在实际的方法中，需要考虑比这更复杂的情况，因为B1和A1的构成很可能并不完全一样。另一方面同时需要考虑特殊节点的地位。例如一个部门拥有核心的内部业务服务器，则服务器所在的community在实际中对应着这个部门的局域网络。在判定community相似性时需要给予这些特殊节点更高的权重。可见，如何准确判定community的相似性以追踪community的演化是亟需解决的问题。

发明内容

为解决上述技术问题，本发明实施例提供了一种追踪网络联通图中community演化的方法及装置，当网络联通图沿着时间的推移变化时，能够在不同时间点划分出的community中找到其中最为相似的一组community。

本发明实施例提供的追踪网络联通图中community演化的方法，包括：

对网络联通图进行首次community划分，得到一个以上第一community；其中，不同的community对应不同的标识ID，且community中包含的所有节点均携带所述community的ID；

对网络联通图进行第N次community划分，得到一个以上第二community；当所述第二community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述第二community的ID设置为所述同一种ID，并在所述第二community中包含的所有节点中携带所述同一种ID，N≥2。

本发明实施例中，所述方法还包括：

当所述第二community中包含的节点中没有超过门限数量的节点携带了同一种ID时，为所述第二community分配唯一的ID，并在所述第二community中包含的所有节点中携带分配的所述唯一的ID。

本发明实施例中，所述方法还包括：

当两个以上community有超过门限数量的节点携带了同一种ID时，比较各个community所包含的节点个数；

将包含节点个数最多的community的ID设置为所述同一种ID，并为除所述包含节点个数最多的community以外的各个community分配唯一的ID；

其中，每个community所包含的全部节点携有所述community的ID。

本发明实施例中，所述方法还包括，

当各个community所包含的节点个数相同时，为所述各个community分配唯一的ID，其中，每个community所包含的全部节点携有所述community的ID。

本发明实施例中，比较各个community所包含的节点个数时，所述节点个数为节点的加权个数；相应地，所述方法还包括：

依据community中各个节点的权重，计算所述community所包含的节点的加权个数。

本发明实施例提供的追踪网络联通图中community演化的装置，包括：

第一划分单元，用于对网络联通图进行community划分，得到一个以上第一community；其中，不同的community对应不同的ID，且community中包含的所有节点均携带所述community的ID；

第二划分单元，用于对网络联通图进行第N次community划分，得到一个以上第二community；

追踪单元，用于当所述第二community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述第二community的ID设置为所述同一种ID，并在所述第二community中包含的所有节点中携带所述同一种ID，N≥2。

本发明实施例中，所述装置还包括：

分配单元，用于当所述第二community中包含的节点中没有超过门限数量的节点携带了同一种ID时，为所述第二community分配唯一的ID，并在所述第二community中包含的所有节点中携带分配的所述唯一的ID。

本发明实施例中，所述装置还包括：

比较单元，用于当两个以上community有超过门限数量的节点携带了同一种ID时，比较各个community所包含的节点个数；

设置单元，用于将包含节点个数最多的community的ID设置为所述同一种ID；

分配单元，用于为除所述包含节点个数最多的community以外的各个community分配唯一的ID；

其中，每个community所包含的全部节点携有所述community的ID。

本发明实施例中，所述分配单元，还用于当各个community所包含的节点个数相同时，为所述各个community分配唯一的ID，其中，每个community所包含的全部节点携有所述community的ID。

本发明实施例中，比较各个community所包含的节点个数时，所述节点个数为节点的加权个数；相应地，所述装置还包括：

计算单元，用于依据community中各个节点的权重，计算所述community所包含的节点的加权个数。

本发明实施例的技术方案中，对网络联通图进行首次community划分，得到一个以上第一community；其中，不同的community对应不同的ID，且community中包含的所有节点均携带所述community的ID；对网络联通图进行第N次community划分，得到一个以上第二community；当所述community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述community的ID设置为所述同一种ID，并在所述community中包含的所有节点中携带所述同一种ID，N≥2。如此，在进行新的community划分时，参考过往最近一次划分时各个节点的ID，利用两次划分中community内节点的相似性来建立起community之间的继承关系。

附图说明

图1为本发明实施例的追踪网络联通图中community演化的方法的流程示意图一；

图2为本发明实施例的追踪网络联通图中community演化的装置的结构组成示意图；

图3为本发明实施例的追踪网络联通图中community演化的方法的流程示意图二。

具体实施方式

为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。

本发明实施例的技术方案中，在进行新的community划分时，参考过往最近一次划分的结果，利用两次划分中community内节点的相似性来建立起community之间的继承关系。

图1为本发明实施例的追踪网络联通图中community演化的方法的流程示意图一，如图1所示，所述追踪网络联通图中community演化的方法包括以下步骤：

步骤101：对网络联通图进行community划分，得到一个以上第一community；其中，不同的community对应不同的ID，且community中包含的所有节点均携带所述community的ID。

本发明实施例中，由于在第一次划分的时候没有任何之前的划分结果可以参考，因此，为第一次进行community划分得到的所有community分配全局唯一的ID，即不同的community对应不同的ID。community中包含的所有节点获得其所属的community的ID作为自己的属性并携带。可见，节点和community之间通过ID进行映射，具有相同ID的节点属于同一个community。

步骤102：对网络联通图进行第N次community划分，得到一个以上第二community；当所述第二community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述第二community的ID设置为所述同一种ID，并在所述第二community中包含的所有节点中携带所述同一种ID，N≥2。

本发明实施例中，在对之后时间点的网络联通图进行community划分时，新的community所包含的节点可能有以下两种情况：

1、节点为出现在联通图中的新节点，并未携带任何ID。

2、节点携带了上一次划分的community ID。

当community中包含的节点中，有超过门限数量(例如60％)的节点携带了同一种ID，可以认为该community与上次划分中对应ID的community非常相似，因此可以继承上次划分时分配的ID。之后该community中所有的节点，无论是否携带有ID、或者携带的ID具体是什么，都获得当前所属的community的ID作为自己的属性，并携带当前所属的community的ID。

此外，当所述community中包含的节点中没有超过门限数量的节点携带了同一种ID时，为所述community分配唯一的ID，并在所述community中包含的所有节点中携带分配的所述唯一的ID。

具体地，当community中包含的节点中，没有这样一组节点，其携带相同的ID，并且这组节点的数量超过门限数量，则认为这个community与上次划分中的任意一个community都不相似。此时，为该community分配新的全局唯一的ID，之后，该community中所有的节点，无论是否携带有ID、或者携带的ID具体是什么，都获得当前所属的community的ID作为自己的属性，并携带当前所属的community的ID。

本发明实施例中，当两个以上community有超过门限数量的节点携带了同一种ID时，比较各个community所包含的节点个数；

将包含节点个数最多的community的ID设置为所述同一种ID，并为除所述包含节点个数最多的community以外的各个community分配唯一的ID；

其中，每个community所包含的全部节点携有所述community的ID。

具体地，考虑到在新的划分中，可能有多个community，其中都含有携带相同ID的节点，并且节点的数量都超过了门限数量。这种情况可以视作上次划分的某个community在新的划分中分裂成了多个新的community，可以通过比较分裂后community中包含原有community节点的个数来决定在新的community中，究竟哪个community继承分裂前community的ID。未获得继承权的community需要分配新的全局唯一的ID。

本发明实施例中，当各个community所包含的节点个数相同时，为所述各个community分配唯一的ID，其中，每个community所包含的全部节点携有所述community的ID。

具体地，如果所有community，其包含的原有community节点的个数都相同，则认为它们都无法继承原有community的ID，都需要分配新的全局唯一的ID。

本发明实施例中，比较各个community所包含的节点个数时，所述节点个数为节点的加权个数；相应地，所述方法还包括：依据community中各个节点的权重，计算所述community所包含的节点的加权个数。

具体地，考虑到特殊节点的贡献，在统计节点个数时，可以允许特殊节点贡献更大的权重，例如一个特殊节点在统计节点数量时视作10个普通节点。因此计算节点个数时得到的实际是加权个数而非节点的真实个数。

下面结合具体应用场景对本发明实施例的追踪网络联通图中community演化的方法做进一步详细说明。

初始时联通图中有10个节点，其中有9个普通节点和1个特殊节点。节点的名称为：N0，N1，…，N8，S0。其中N0～N8为普通节点，S0为特殊节点。

在第一次划分中，划分结果为{N0,N1,N2,N3}，{N4,N5,N6,N7,N8,S0}。划分出2个community。

由于N0～N8，以及S0并未携带任何ID，因此划分出的community都需要申请全局唯一的ID，2个community的ID分别为C1和C2。

在第一次划分完成后，得到各个节点与ID的映射如表1所示。

节点名称	Community ID
		N0	C1
N1	C1
		N2	C1
N3	C1
		N4	C2
N5	C3
		N7	C3
N8	C3
		N9	C1
S0	C2

表1

在第二次划分中，出现了一个新的节点N9，同时节点N6由于在一段时间内都没有被观察到，因此从联通图上消失。第二次划分的结果为{N0，N1，N2，N3，N9}，{N4，S0}，{N5，N7，N8}。

在第一个community中，N0～N3携带的ID为C1，N9不携带任何ID。由于携带有C1的节点数目超过了门限数量60％，并且第二个和第三个community中，没有超过门限数量的节点携带有ID为C1，因此，第一个community获得了ID为C1，N9继而也获得了ID为C1。

第二个和第三个community，其节点都携带有ID为C2。第二个community中，S0为特殊节点，该community中携带有C2的节点的加权数量为11。第三个community中，携带有C2的节点的数量权重为3。经过比较，第二个community获得了ID为C2，第三个community获得了新的ID为C3。经过第二次划分后，得到的节点与ID间的映射如表2所示。

节点名称	Community ID
		N0	C1
N1	C1
		N2	C1
N3	C1
		N4	C2
N5	C3
		N7	C3
N8	C3
		N9	C1
S0	C2

表2

在第三次划分以及后续的划分中，均与上述第二次划分的过程同理，新划分的community中的节点携有的ID是上一次划分时该节点所属的community的ID，在新划分之后，该节点携有的ID会被更新为此次划分时该节点所属的新的community的ID。

图2为本发明实施例的追踪网络联通图中community演化的装置的结构组成示意图，如图2所示，所述装置包括：

第一划分单元21，用于对网络联通图进行community划分，得到一个以上第一community；其中，不同的community对应不同的ID，且community中包含的所有节点均携带所述community的ID；

第二划分单元22，用于对网络联通图进行第N次community划分，得到一个以上第二community；

追踪单元23，用于当所述community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述community的ID设置为所述同一种ID，并在所述community中包含的所有节点中携带所述同一种ID，N≥2。

所述装置还包括：分配单元24，用于当所述community中包含的节点中没有超过门限数量的节点携带了同一种ID时，为所述community分配唯一的ID，并在所述community中包含的所有节点中携带分配的所述唯一的ID。

所述装置还包括：

比较单元25，用于当两个以上community有超过门限数量的节点携带了同一种ID时，比较各个community所包含的节点个数；

设置单元26，用于将包含节点个数最多的community的ID设置为所述同一种ID；

分配单元24，用于为除所述包含节点个数最多的community以外的各个community分配唯一的ID；

其中，每个community所包含的全部节点携有所述community的ID。

所述分配单元24，还用于当各个community所包含的节点个数相同时，为所述各个community分配唯一的ID，其中，每个community所包含的全部节点携有所述community的ID。

比较各个community所包含的节点个数时，所述节点个数为节点的加权个数；相应地，所述装置还包括：

计算单元27，用于依据community中各个节点的权重，计算所述community所包含的节点的加权个数。

本领域技术人员应当理解，图2所示的追踪网络联通图中community演化的装置中的各单元的实现功能可参照前述追踪网络联通图中community演化的方法的相关描述而理解。图2所示的追踪网络联通图中community演化的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。

图3为本发明实施例的追踪网络联通图中community演化的方法的流程示意图二，如图3所示，所述追踪网络联通图中community演化的方法包括以下步骤：

步骤301：获取网络联通图。

这里，网络联通图所包括的信息至少有：节点、边、边权重。

节点是指要分析的物体，每一个物体就是一个节点，比如主机。

边是两个节点间的连线，用于表示两个节点的关系。

边的权重可以代表相似度，距离或者链接成本等。

步骤302：对网络联通图进行community划分。

步骤303：依次对新划分出的community进行处理，统计每个community内携带有相同ID的节点的加权个数。

步骤304：判断community中是否存在有一组节点，携带有相同的ID，并且节点数量超过门限数量，是时，执行步骤305，否时，执行步骤。

步骤305：为community申请所述相同的ID。

步骤306：在所有申请所述相同的ID的community中，判断该community中的节点的加权个数是否最大，是时，执行步骤307，否时，执行步骤308。

步骤307：将所述相同的ID设置成该community的ID。

步骤308：为community设置全局唯一的ID。

本发明实施例所记载的技术方案之间，在不冲突的情况下，可以任意组合。

在本发明所提供的几个实施例中，应该理解到，所揭露的方法和智能设备，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个第二处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (10)

1.一种追踪网络联通图中团体community演化的方法，其特征在于，所述方法包括：

对网络联通图进行首次community划分，得到一个以上第一community；其中，不同的community对应不同的标识ID，且community中包含的所有节点均携带所述community的ID；

对网络联通图进行第N次community划分，得到一个以上第二community；当所述第二community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述第二community的ID设置为所述同一种ID，并在所述第二community中包含的所有节点中携带所述同一种ID，N≥2。

2.根据权利要求1所述的追踪网络联通图中团体community演化的方法，其特征在于，所述方法还包括：

当所述第二community中包含的节点中没有超过门限数量的节点携带了同一种ID时，为所述第二community分配唯一的ID，并在所述第二community中包含的所有节点中携带分配的所述唯一的ID。

3.根据权利要求1所述的追踪网络联通图中团体community演化的方法，其特征在于，所述方法还包括：

当两个以上community有超过门限数量的节点携带了同一种ID时，比较各个community所包含的节点个数；

将包含节点个数最多的community的ID设置为所述同一种ID，并为除所述包含节点个数最多的community以外的各个community分配唯一的ID；

其中，每个community所包含的全部节点携有所述community的ID。

4.根据权利要求3所述的追踪网络联通图中团体community演化的方法，其特征在于，所述方法还包括，

当各个community所包含的节点个数相同时，为所述各个community分配唯一的ID，其中，每个community所包含的全部节点携有所述community的ID。

5.根据权利要求3所述的追踪网络联通图中团体community演化的方法，其特征在于，比较各个community所包含的节点个数时，所述节点个数为节点的加权个数；相应地，所述方法还包括：

依据community中各个节点的权重，计算所述community所包含的节点的加权个数。

6.一种追踪网络联通图中团体community演化的装置，其特征在于，所述装置包括：

第一划分单元，用于对网络联通图进行community划分，得到一个以上第一community；其中，不同的community对应不同的ID，且community中包含的所有节点均携带所述community的ID；

第二划分单元，用于对网络联通图进行第N次community划分，得到一个以上第二community；

追踪单元，用于当所述community中包含的节点中有超过门限数量的节点携带了同一种ID时，将所述第二community的ID设置为所述同一种ID，并在所述第二community中包含的所有节点中携带所述同一种ID，N≥2。

7.根据权利要求6所述的追踪网络联通图中团体community演化的装置，其特征在于，所述装置还包括：

分配单元，用于当所述第二community中包含的节点中没有超过门限数量的节点携带了同一种ID时，为所述第二community分配唯一的ID，并在所述第二community中包含的所有节点中携带分配的所述唯一的ID。

8.根据权利要求6所述的追踪网络联通图中团体community演化的装置，其特征在于，所述装置还包括：

比较单元，用于当两个以上community有超过门限数量的节点携带了同一种ID时，比较各个community所包含的节点个数；

设置单元，用于将包含节点个数最多的community的ID设置为所述同一种ID；

分配单元，用于为除所述包含节点个数最多的community以外的各个community分配唯一的ID；

其中，每个community所包含的全部节点携有所述community的ID。

9.根据权利要求8所述的追踪网络联通图中团体community演化的装置，其特征在于，

所述分配单元，还用于当各个community所包含的节点个数相同时，为所述各个community分配唯一的ID，其中，每个community所包含的全部节点携有所述community的ID。

10.根据权利要求8所述的追踪网络联通图中团体community演化的装置，其特征在于，比较各个community所包含的节点个数时，所述节点个数为节点的加权个数；相应地，所述装置还包括：

计算单元，用于依据community中各个节点的权重，计算所述community所包含的节点的加权个数。