CN108696473A - 攻击路径还原方法及装置 - Google Patents

攻击路径还原方法及装置 Download PDF

Info

Publication number
CN108696473A
CN108696473A CN201710217802.1A CN201710217802A CN108696473A CN 108696473 A CN108696473 A CN 108696473A CN 201710217802 A CN201710217802 A CN 201710217802A CN 108696473 A CN108696473 A CN 108696473A
Authority
CN
China
Prior art keywords
equipment
attack
list
intranet
source
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710217802.1A
Other languages
English (en)
Other versions
CN108696473B (zh
Inventor
余筱蕙
蔡国威
钟雪慧
李彬
郝建忠
郑浩彬
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Group Guangdong Co Ltd
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Group Guangdong Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Group Guangdong Co Ltd filed Critical China Mobile Communications Group Co Ltd
Priority to CN201710217802.1A priority Critical patent/CN108696473B/zh
Publication of CN108696473A publication Critical patent/CN108696473A/zh
Application granted granted Critical
Publication of CN108696473B publication Critical patent/CN108696473B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及一种攻击路径还原方法及装置，该方法通过安全事件告警和各设备在网络拓扑中的连接关系的综合分析得出攻击者、内网薄弱点、攻击来源、攻击者四者的各自列表和各台设备之间的连接关系，由此完成攻击过程的还原。相比于现有的路径还原方法，本发明实施例提供的方法能够深入内网发现内网防护中的安全薄弱点，使攻击路径溯源对企业安全提升更具实效，提高分析效率。同时还能够屏蔽掉海量安全事件中不关键连接的噪音，只对生效的攻击路径溯源，且能够对所有的攻击进行还原，提升还原能力。此外，本发明提供的方法在攻击路径还原的同时也不会影响在运行的业务，能够保持业务的正常运行。

Description

攻击路径还原方法及装置
技术领域
本发明实施例涉及通信技术领域，具体涉及一种攻击路径还原方法及装置。
背景技术
伴随互联网的快速发展，网络攻击也愈演愈烈，尤其是DDOS等类型的攻击，攻击者利用网络的快速和广泛的互联性，使传统意义上的安全措施基本丧失作用，严重威胁企业安全；而且网络攻击者大都使用伪造的IP地址，使被攻击者很难确定攻击源的位置，从而不能实施有针对性地防护策略。这些都使得逆向追踪攻击源的追踪技术成为网络主动防御体系中的重要一环，它对于最小化攻击的当前效果、威慑潜在的网络攻击都有着至关重要的作用。
目前攻击路径还原技术绝大多数都是针对外网DDOS攻击而言，技术手段集中在攻击者“指纹库”的积累和云端威胁情报的共享。在面对攻击者进入企业信息系统内部之后的路径溯源却乏善可陈，只能依靠网络管理员对边界流量的异常日志来发现，主要手段有分组标记溯源法、ICMP溯源法、日志记录溯源法、受控泛洪溯源法、链路测试溯源法。从技术原理上来说都是利用网络流量及协议的特征进行溯源。
然而，在实施本发明实施例的过程中发明人发现，采用上述的分析方式存在以下弊端：
1、分析效率低：对于渗透到企业内部的攻击，外网DDOS攻击的威胁情报技术无法进行追踪还原，安全相关人员只能通过综合各个安全设备相关日志及安全信息人工分析攻击路径。
2、路径还原能力有限：无法对所有攻击行为进行路径还原。传统技术大部分是基于已有的经验规则来发现攻击，对于新威胁或攻击，无法准确确认谁在攻击，为什么攻击，什么时候攻击，怎么攻击等问题。
3、影响正常业务进行：存在影响业务的现象。依靠协议特征反向探测或响应攻击的技术，会影响正常业务系统的运行。
发明内容
本发明实施例提供了一种攻击路径还原方法及装置，用于克服采用现有的攻击路径还原方式分析效率低、还原能力有限以及影响正常业务运行的缺陷。
第一方面，本发明实施例提供了一种攻击路径还原方法，包括：
获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；
查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；
根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；
根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
可选地，所述确定所述告警事件中描述的被攻击设备满足预设的攻击条件，包括：
计算所述被攻击设备的资产价值；
根据被攻击设备的资产价值、描述被攻击设备的告警事件的类型以及告警次数获得被攻击设备的综合指数；
在所述综合指数大于预设阈值时确定所述被攻击设备满足预设的攻击条件。
可选地，所述计算被攻击设备的资产价值是通过下式进行计算的：
其中，AssetValue表示被攻击设备的资产价值；C表示资产机密性赋值；I表示资产完整性赋值；A表示资产可用性赋值；B表示资产业务相关性赋值。
可选地，所述查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备的步骤，包括：
步骤一、在所有的攻击目标中，查找与各个所述攻击目标直接连接的设备，同时查找所述告警事件中源地址所对应的设备，将其中的内网设备添加至列表A，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤二、遍历列表A，将列表A中有历史告警事件发生的设备添加至列表B，将列表B中的设备作为内网薄弱设备添加至内部薄弱点设备列表L；
步骤三、遍历列表B，查找与列表B中的设备直接连接的设备，同时查找列表B中设备发生的历史告警事件中源地址对应的设备，将其中的内网设备添加至列表D，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤四、遍历列表D，将列表D中有历史告警事件发生且告警类型相同设备组合添加至列表E，将列表E设备作为内网薄弱设备添加到内部薄弱点设备列表L中；
步骤五、对步骤三中的列表B以及步骤四中的列表D进行递归运算，直至所有的攻击目标均被查找完成，得到最终的内部薄弱点设备列表L以及攻击来源设备列表S。
可选地，所述还原整个攻击行为的攻击路径，包括：利用图形化工具生成攻击路径还原的网络拓扑溯源图并输出。
第二方面，本发明的又一实施例提供了一种攻击路径还原装置，包括：
攻击目标获取单元，用于获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；
设备查找单元，用于查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；
攻击来源确认单元，用于根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；
路径还原单元，用于根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
可选地，所述攻击目标获取单元，进一步用于：
计算所述被攻击设备的资产价值；
根据被攻击设备的资产价值、描述被攻击设备的告警事件的类型以及告警次数获得被攻击设备的综合指数；
在所述综合指数大于预设阈值时确定所述被攻击设备满足预设的攻击条件。
可选地，所述计算被攻击设备的资产价值是通过下式进行计算的：
其中，AssetValue表示被攻击设备的资产价值；C表示资产机密性赋值；I表示资产完整性赋值；A表示资产可用性赋值；B表示资产业务相关性赋值。
可选地，所述设备查找单元，进一步用于执行以下步骤：
步骤一、在所有的攻击目标中，查找与各个所述攻击目标直接连接的设备，同时查找所述告警事件中源地址所对应的设备，将其中的内网设备添加至列表A，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤二、遍历列表A，将列表A中有历史告警事件发生的设备添加至列表B，将列表B中的设备作为内网薄弱设备添加至内部薄弱点设备列表L；
步骤三、遍历列表B，查找与列表B中的设备直接连接的设备，同时查找列表B中设备发生的历史告警事件中源地址对应的设备，将其中的内网设备添加至列表D，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤四、遍历列表D，将列表D中有历史告警事件发生且告警类型相同设备组合添加至列表E，将列表E设备作为内网薄弱设备添加到内部薄弱点设备列表L中；
步骤五、对步骤三中的列表B以及步骤四中的列表D进行递归运算，直至所有的攻击目标均被查找完成，得到最终的内部薄弱点设备列表L以及攻击来源设备列表S。
可选地，所述路径还原单元，进一步用于：利用图形化工具生成攻击路径还原的网络拓扑溯源图并输出。
本发明实施例提供了一种攻击路径还原方法及装置，该方法通过安全事件告警和各设备在网络拓扑中的连接关系的综合分析得出攻击者、内网薄弱点、攻击来源、攻击者四者的各自列表和各台设备之间的连接关系，由此得到攻击路径溯源图，从而完成攻击过程的还原。相比于现有的路径还原方法，本发明实施例提供的方法能够深入内网发现内网防护中的安全薄弱点，使攻击路径溯源对企业安全提升更具实效，提高分析效率。同时还能够屏蔽掉海量安全事件中不关键连接的噪音，只对生效的攻击路径溯源，且能够对所有的攻击进行还原，提升还原能力。此外，本发明提供的方法在攻击路径还原的同时也不会影响在运行的业务，能够保持业务的正常运行。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1是本发明提供的一种攻击路径还原方法实施例流程图；
图2是本发明提供的按攻击区域维度网络划分示意图；
图3是本发明提供的一种确认薄弱列表以及攻击设备实施例示意图；
图4是本发明提供的一种攻击溯源图表实施例示意图；
图5是本发明提供的一种攻击路径还原装置实施例结构示意图；
图6是本发明提供的电子设备实施例结构框图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
第一方面，本发明实施例提供了一种攻击路径还原方法，如图1所示，包括：
S101、获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；
S102、查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；
S103、根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；
S104、根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
本发明实施例提供了一种攻击路径还原方法，该方法通过安全事件告警和各设备在网络拓扑中的连接关系的综合分析得出攻击者、内网薄弱点、攻击来源、攻击者四者的各自列表和各台设备之间的连接关系，由此得到攻击路径溯源图，从而完成攻击过程的还原。相比于现有的路径还原方法，本发明实施例提供的方法能够深入内网发现内网防护中的安全薄弱点，使攻击路径溯源对企业安全提升更具实效，提高分析效率。同时还能够屏蔽掉海量安全事件中不关键连接的噪音，只对生效的攻击路径溯源，且能够对所有的攻击进行还原，提升还原能力。此外，本发明提供的方法在攻击路径还原的同时也不会影响在运行的业务，能够保持业务的正常运行。
需要说明的是，本发明提供的方法可以配置在网络中的任意一个网络设备上，从而能够对该局域网内的攻击行为进行有效还原。
为便于理解本发明，下面结合附图对本发明提供的方法的整个攻击溯源过程进行详细的说明。
攻击溯源主要分为攻击过程溯源和网络溯源两部分，过程溯源最后输出的结果是攻击的整体步骤，用来展现攻击者是谁、目的是什么、攻击过程。网络溯源最后输出的结果是网络拓扑图，用来展现攻击手段和攻击工具。
攻击过程溯源由两个维度构成，分别是攻击区域和kill chain(杀伤链)。设备按照攻击区域划分，设备连接按照kill chain(杀伤链)进行组织标识。
如图2所示，按照攻击区域维度来划分，可以被划分为四个部分：攻击者、攻击来源、内部薄弱点、攻击目标。
其中，攻击者：发起攻击的源头。攻击来源：攻击者控制的僵尸网络，攻击者以此隐匿自身的真实网络地址。内部薄弱点：是与攻击目标关联且有相同攻击特征的内网设备，攻击者接触到组织内部时往往都无法直接接触重要权限、重要账户、重要资产，而需要探测出组织内部安全的薄弱点，以此为最终攻击做准备。攻击目标：攻击事件的最终目标。
而这里的另一个维度kill chain(杀伤链)说明的是各个网络设备在整个攻击过程中所扮演的角色或者可以理解为整个攻击行为所执行的步骤。具体可以分为七个步骤：探测、准备弹药、投毒、利用、安装、执行远程控制、执行目标行动。
本发明正是基于以上两个维度提出了一种攻击路径的还原方法，具体可以包括以下几个步骤：
第一步：确认攻击目标
也即步骤S101、获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标。
其中，这里的确定所述告警事件中描述的被攻击设备满足预设的攻击条件的步骤的一种的可选方式为：
S1011、计算所述被攻击设备的资产价值；
S1012、根据被攻击设备的资产价值、描述被攻击设备的告警事件的类型以及告警次数获得被攻击设备的综合指数；
S1013、在所述综合指数大于预设阈值时确定所述被攻击设备满足预设的攻击条件。
具体来说，首先可以周期性获取经过采集、格式化、关联分析后的发生在网络设备、安全设备、主机及相关资产上的告警事件。设备包括：交换机、路由器、流量设备、防火墙、IDS、IPS、主机、数据库等，要采集的信息包括设备记录的用户行为信息、设备自身运行信息、设备配置信息。
接着，获取告警信息中描述的被攻击设备。告警信息包括事件发生时间、源地址、目的地址、事件类型、告警级别等信息，通过目的地址关联的资产既是被攻击设备。
然后，可以利用式(1)来核算被攻击设备资产价值。具体如下：
其中，C代表资产机密性赋值；I代表资产完整性赋值；A代表资产可用性赋值，B代表资产业务相关性赋值；Round2{}表示四舍五入处理，保留两位小数；Log2[]表示取以2为底的对数。
接着，根据由式(1)得到的资产价值、告警类型、告警次数核算被攻击设备综合指数。其中综合指数中资产价值、告警类型、告警次数各自所占的权重可以根据实际情况自行调整。
最后根据资产类型、业务类型等因素设置阈值，比较被攻击设备综合指数与阈值大小。若综合指数大于阈值，则视该设备为攻击目标，未超过阈值的设备视为攻击路径中的设备。
第二步：确认内部薄弱点及攻击来源
追溯内部薄弱点，回溯采用的路径起始点是攻击目标，因此需要通过查找与攻击目标发生过连接且产生过安全事件告警的设备来锁定内部薄弱点范围。通过分析历史告警及流量数据，输出距离攻击目标最近的薄弱点列表，攻击来源列表。具体可以通过以下步骤来实现：
步骤一、在所有的攻击目标中，查找与各个攻击目标直接连接的设备，同时查找告警事件中源地址所对应的设备，将其中的内网设备添加至列表A，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤二、遍历列表A，将列表A中有历史告警事件发生的设备添加至列表B，将列表B中的设备作为内网薄弱设备添加至内部薄弱点设备列表L；
步骤三、遍历列表B，查找与列表B中的设备直接连接的设备，同时查找列表B中设备发生的历史告警事件中源地址对应的设备，将其中的内网设备添加至列表D，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤四、遍历列表D，将列表D中有历史告警事件发生且告警类型相同设备组合添加至列表E，将列表E设备作为内网薄弱设备添加到内部薄弱点设备列表L中；
步骤五、对步骤三中的列表B以及步骤四中的列表D进行递归运算，直至所有的攻击目标均被查找完成，得到最终的内部薄弱点设备列表L以及攻击来源设备列表S。
为便于理解上述确认薄弱点以及攻击设备的步骤，下面结合附图3以一个案例来进行详细说明，如图3所示：
1、“攻击目标”10.1.4.7设备发生了为“信息泄露”事件并产生告警(对应killchain中的“执行目标行动”阶段)。
2、分析与“攻击目标”10.1.4.7有过连接或告警源地址对应设备历史告警信息，发现有“执行远程控制”的事件及告警发生(对应killchain中的“执行远程控制”阶段),得出远程控制告警设备列表。
3、远程控制告警列表中的所有设备都是内部薄弱点。
4、分析发现与远程控制告警列表有过连接的设备曾有“病毒爆发”事件及告警发生(对应kill chain中的“安装”阶段)。
5、如上述过程，递归推演kill chain的攻击步骤，并将涉及的内网设备加入内部薄弱点。直到连接或告警源地址对应设备的IP中出现外网IP。
6、当出现外网IP时，将外网IP对应的设备添加到攻击来源设备列表，与此同时，内网IP设备仍然按照kill chain进行回溯，直到“探测阶段”。
7、“探测阶段”需不断递归从而输出覆盖全部攻击类型的“探测阶段”，直到“攻击目的”列表完全清空(目标IP已无内网IP，外网IP全部归类到“攻击来源”)。
第三步：通过威胁情报确认攻击者
基于第二步的分析结果，根据攻击来源及最新的威胁情报信息进行综合分析，从而定位出攻击者，具体来说可以通过以下步骤来进行。
1、在线实时获取外部威胁情报机构提供的最新情报信息，及时更新本地威胁情报信息库。
2、查询攻击来源列表中的设备是否在威胁情报库中有备案，对有备案的攻击来源设备进行标识。
3、通过攻击来源设备IP信息以及攻击行为特征定位攻击者，查询其背景信息。
4、整理全部攻击者的相关信息，形成详实的描述。
第四步：绘制攻击路径溯源图
基于第一步、第二步、第三步的分析结果，分别以攻击区域、kill chain(杀伤链)两个维度对攻击数据进行组织，最终利用图形化工具生成攻击路径还原图。
具体来说，可以根据攻击类型和kill chain(杀伤链)的七个步骤的对应关系，建立攻击路径图中的横向数据关系。接着根据设备与攻击者、攻击来源、内部薄弱点、攻击目标的对应关系，建立攻击路径中的纵向数据关系。接着通过可视化工具，以攻击者、攻击来源、内部薄弱点、攻击目标为纵向区域，以点到点攻击转化的kill chain(杀伤链)为横向连接，绘制攻击路径还原图。最后通过网络拓扑还原和事件攻击路径上的连接关系，绘制网络拓扑溯源图并输出攻击溯源图表，图4示出了输出的攻击溯源图表的一个案例。
第二方面，本发明的又一实施例提供了一种攻击路径还原装置，如图5所示，包括：
攻击目标获取单元201，用于获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；
设备查找单元202，用于查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；
攻击来源确认单元203，用于根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；
路径还原单元204，用于根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
在具体实施时，所述攻击目标获取单元201，进一步用于：
计算所述被攻击设备的资产价值；
根据被攻击设备的资产价值、描述被攻击设备的告警事件的类型以及告警次数获得被攻击设备的综合指数；
在所述综合指数大于预设阈值时确定所述被攻击设备满足预设的攻击条件。
在具体实施时，所述计算被攻击设备的资产价值是通过下式进行计算的：
其中，AssetValue表示被攻击设备的资产价值；C表示资产机密性赋值；I表示资产完整性赋值；A表示资产可用性赋值；B表示资产业务相关性赋值。
在具体实施时，所述设备查找单元202，进一步用于执行以下步骤：
步骤一、在所有的攻击目标中，查找与各个所述攻击目标直接连接的设备，同时查找所述告警事件中源地址所对应的设备，将其中的内网设备添加至列表A，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤二、遍历列表A，将列表A中有历史告警事件发生的设备添加至列表B，将列表B中的设备作为内网薄弱设备添加至内部薄弱点设备列表L；
步骤三、遍历列表B，查找与列表B中的设备直接连接的设备，同时查找列表B中设备发生的历史告警事件中源地址对应的设备，将其中的内网设备添加至列表D，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤四、遍历列表D，将列表D中有历史告警事件发生且告警类型相同设备组合添加至列表E，将列表E设备作为内网薄弱设备添加到内部薄弱点设备列表L中；
步骤五、对步骤三中的列表B以及步骤四中的列表D进行递归运算，直至所有的攻击目标均被查找完成，得到最终的内部薄弱点设备列表L以及攻击来源设备列表S。
在具体实施时，所述路径还原单元204，进一步用于：利用图形化工具生成攻击路径还原的网络拓扑溯源图并输出。
由于本实施例所介绍的攻击路径还原装置为可以执行本发明实施例中的攻击路径还原方法的装置，故而基于本发明实施例中所介绍的攻击路径还原的方法，本领域所属技术人员能够了解本实施例的攻击路径还原装置的具体实施方式以及其各种变化形式，所以在此对于该攻击路径还原装置如何实现本发明实施例中的攻击路径还原方法不再详细介绍。只要本领域所属技术人员实施本发明实施例中攻击路径还原方法所采用的装置，都属于本申请所欲保护的范围。
此外，图6示出本发明实施例提供的电子设备的结构框图。
参照图6，该电子设备，包括：处理器(processor)301、存储器(memory)302、总线303以及通信接口304；
其中，
所述处理器301以及存储器302通过所述总线303完成相互间的通信，通信接口304用于与外界网络设备进行通信；
所述处理器301用于调用所述存储器302中的程序指令，以执行上述各方法实施例所提供的方法，例如包括：获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
本发明实施例还公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如包括：获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
本发明实施例还提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行上述各方法实施例所提供的方法，例如包括：获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的某些部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的网关、代理服务器、系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种攻击路径还原方法，其特征在于，包括：
获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；
查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；
根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；
根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
2.根据权利要求1所述的方法，其特征在于，所述确定所述告警事件中描述的被攻击设备满足预设的攻击条件，包括：
计算所述被攻击设备的资产价值；
根据被攻击设备的资产价值、描述被攻击设备的告警事件的类型以及告警次数获得被攻击设备的综合指数；
在所述综合指数大于预设阈值时确定所述被攻击设备满足预设的攻击条件。
3.根据权利要求2所述的方法，其特征在于，所述计算被攻击设备的资产价值是通过下式进行计算的：
其中，AssetValue表示被攻击设备的资产价值；C表示资产机密性赋值；I表示资产完整性赋值；A表示资产可用性赋值；B表示资产业务相关性赋值。
4.根据权利要求1所述的方法，其特征在于，所述查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备的步骤，包括：
步骤一、在所有的攻击目标中，查找与各个所述攻击目标直接连接的设备，同时查找所述告警事件中源地址所对应的设备，将其中的内网设备添加至列表A，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤二、遍历列表A，将列表A中有历史告警事件发生的设备添加至列表B，将列表B中的设备作为内网薄弱设备添加至内部薄弱点设备列表L；
步骤三、遍历列表B，查找与列表B中的设备直接连接的设备，同时查找列表B中设备发生的历史告警事件中源地址对应的设备，将其中的内网设备添加至列表D，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤四、遍历列表D，将列表D中有历史告警事件发生且告警类型相同设备组合添加至列表E，将列表E设备作为内网薄弱设备添加到内部薄弱点设备列表L中；
步骤五、对步骤三中的列表B以及步骤四中的列表D进行递归运算，直至所有的攻击目标均被查找完成，得到最终的内部薄弱点设备列表L以及攻击来源设备列表S。
5.根据权利要求1所述的方法，其特征在于，所述还原整个攻击行为的攻击路径，包括：利用图形化工具生成攻击路径还原的网络拓扑溯源图并输出。
6.一种攻击路径还原装置，其特征在于，包括：
攻击目标获取单元，用于获取各网络设备上记录的告警事件，在确定所述告警事件中描述的被攻击设备满足预设的攻击条件时，将所述被攻击设备确定为攻击目标；其中，所述预设的攻击条件是根据被攻击设备的资产价值、告警事件类型以及告警次数确定的；
设备查找单元，用于查找网络中与所述攻击目标直接或间接相连、且发生过历史告警事件的第一内网设备，查找与所述告警事件中源地址对应的设备直接或间接连接且发生过历史告警事件的第二内网设备，将所述第一内网设备以及所述第二内网设备作为内网薄弱设备；查找网络中与所述攻击目标或所述告警事件中源地址对应的设备直接或间接相连的外网设备，作为攻击来源设备；
攻击来源确认单元，用于根据所述攻击来源设备的信息以及本地网络威胁情报数据库中的信息，确定实际控制所述攻击来源设备的攻击者设备；
路径还原单元，用于根据所述攻击者设备、攻击来源设备、内网薄弱设备以及攻击目标各个设备在整个攻击行为中各自对应的攻击步骤，还原整个攻击行为的攻击路径。
7.根据权利要求6所述的装置，其特征在于，所述攻击目标获取单元，进一步用于：
计算所述被攻击设备的资产价值；
根据被攻击设备的资产价值、描述被攻击设备的告警事件的类型以及告警次数获得被攻击设备的综合指数；
在所述综合指数大于预设阈值时确定所述被攻击设备满足预设的攻击条件。
8.根据权利要求7所述的装置，其特征在于，所述计算被攻击设备的资产价值是通过下式进行计算的：
其中，AssetValue表示被攻击设备的资产价值；C表示资产机密性赋值；I表示资产完整性赋值；A表示资产可用性赋值；B表示资产业务相关性赋值。
9.根据权利要求6所述的装置，其特征在于，所述设备查找单元，进一步用于执行以下步骤：
步骤一、在所有的攻击目标中，查找与各个所述攻击目标直接连接的设备，同时查找所述告警事件中源地址所对应的设备，将其中的内网设备添加至列表A，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤二、遍历列表A，将列表A中有历史告警事件发生的设备添加至列表B，将列表B中的设备作为内网薄弱设备添加至内部薄弱点设备列表L；
步骤三、遍历列表B，查找与列表B中的设备直接连接的设备，同时查找列表B中设备发生的历史告警事件中源地址对应的设备，将其中的内网设备添加至列表D，将其中的外网设备作为攻击来源设备添加至攻击来源设备列表S；
步骤四、遍历列表D，将列表D中有历史告警事件发生且告警类型相同设备组合添加至列表E，将列表E设备作为内网薄弱设备添加到内部薄弱点设备列表L中；
步骤五、对步骤三中的列表B以及步骤四中的列表D进行递归运算，直至所有的攻击目标均被查找完成，得到最终的内部薄弱点设备列表L以及攻击来源设备列表S。
10.根据权利要求6所述的装置，其特征在于，所述路径还原单元，进一步用于：利用图形化工具生成攻击路径还原的网络拓扑溯源图并输出。
CN201710217802.1A 2017-04-05 2017-04-05 攻击路径还原方法及装置 Active CN108696473B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201710217802.1A CN108696473B (zh) 2017-04-05 2017-04-05 攻击路径还原方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710217802.1A CN108696473B (zh) 2017-04-05 2017-04-05 攻击路径还原方法及装置

Publications (2)

Publication Number Publication Date
CN108696473A true CN108696473A (zh) 2018-10-23
CN108696473B CN108696473B (zh) 2020-11-24

Family

ID=63842654

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201710217802.1A Active CN108696473B (zh) 2017-04-05 2017-04-05 攻击路径还原方法及装置

Country Status (1)

Country Link
CN (1) CN108696473B (zh)

Cited By (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109327449A (zh) * 2018-10-25 2019-02-12 中国移动通信集团海南有限公司 一种攻击路径还原方法、电子装置和计算机可读存储介质
CN110430199A (zh) * 2019-08-08 2019-11-08 杭州安恒信息技术股份有限公司 识别物联网僵尸网络攻击源的方法与系统
CN110519251A (zh) * 2019-08-20 2019-11-29 新华三信息安全技术有限公司 一种攻击行为检测方法及装置
CN110764969A (zh) * 2019-10-25 2020-02-07 新华三信息安全技术有限公司 网络攻击溯源方法及装置
CN111277561A (zh) * 2019-12-27 2020-06-12 北京威努特技术有限公司 网络攻击路径预测方法、装置及安全管理平台
CN111538777A (zh) * 2020-03-20 2020-08-14 贵州电网有限责任公司 一种企业内网信息安全可视化展现管理平台
CN111726358A (zh) * 2020-06-18 2020-09-29 北京优特捷信息技术有限公司 攻击路径分析方法、装置、计算机设备及存储介质
CN111818103A (zh) * 2020-09-09 2020-10-23 信联科技(南京)有限公司 一种网络靶场中基于流量的溯源攻击路径方法
CN111953527A (zh) * 2020-07-28 2020-11-17 深圳供电局有限公司 一种网络攻击还原系统
CN111988331A (zh) * 2020-08-28 2020-11-24 清华大学 基于区块链的DDoS攻击追踪方法和系统
CN112383573A (zh) * 2021-01-18 2021-02-19 南京联成科技发展股份有限公司 一种基于多个攻击阶段的安全入侵回放设备
CN112583848A (zh) * 2020-12-25 2021-03-30 南京联成科技发展股份有限公司 一种远程安全日志分析系统
CN113055396A (zh) * 2021-03-26 2021-06-29 深信服科技股份有限公司 一种跨终端溯源分析的方法、装置、系统和存储介质
CN113141335A (zh) * 2020-01-19 2021-07-20 奇安信科技集团股份有限公司 网络攻击检测方法及装置
TWI736258B (zh) * 2020-05-11 2021-08-11 臺灣銀行股份有限公司 設備強化順序分析方法
CN113852641A (zh) * 2021-09-30 2021-12-28 浙江创邻科技有限公司 一种基于图数据库的网络攻击溯源系统、方法及设备
CN114362990A (zh) * 2021-11-12 2022-04-15 安天科技集团股份有限公司 一种攻击路径确定方法、装置、电子设备及可读存储介质
CN114363002A (zh) * 2021-12-07 2022-04-15 绿盟科技集团股份有限公司 一种网络攻击关系图的生成方法及装置
CN114745183A (zh) * 2022-04-14 2022-07-12 浙江网商银行股份有限公司 告警方法以及装置
US20220277078A1 (en) * 2019-04-15 2022-09-01 Qualys, Inc. Attack Kill Chain Generation and Utilization for Threat Analysis
CN117040932A (zh) * 2023-10-09 2023-11-10 国网思极网安科技（北京）有限公司 一种网络攻击溯源快速取证方法及系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101383812A (zh) * 2007-09-03 2009-03-11 电子科技大学 基于活动IP记录的IP欺骗DDoS攻击防御方法
CN103354539A (zh) * 2012-11-29 2013-10-16 北京安天电子设备有限公司 一种基于IPv6网络特征的攻击路径还原方法及系统
US20140321637A1 (en) * 2013-04-30 2014-10-30 Kathie Wilson Secure Time and Crypto System
CN105337951A (zh) * 2014-08-15 2016-02-17 中国电信股份有限公司 对系统攻击进行路径回溯的方法与装置
CN106506242A (zh) * 2016-12-14 2017-03-15 北京东方棱镜科技有限公司 一种网络异常行为和流量监测的精确定位方法与系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101383812A (zh) * 2007-09-03 2009-03-11 电子科技大学 基于活动IP记录的IP欺骗DDoS攻击防御方法
CN103354539A (zh) * 2012-11-29 2013-10-16 北京安天电子设备有限公司 一种基于IPv6网络特征的攻击路径还原方法及系统
US20140321637A1 (en) * 2013-04-30 2014-10-30 Kathie Wilson Secure Time and Crypto System
CN105337951A (zh) * 2014-08-15 2016-02-17 中国电信股份有限公司 对系统攻击进行路径回溯的方法与装置
CN106506242A (zh) * 2016-12-14 2017-03-15 北京东方棱镜科技有限公司 一种网络异常行为和流量监测的精确定位方法与系统

Cited By (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109327449A (zh) * 2018-10-25 2019-02-12 中国移动通信集团海南有限公司 一种攻击路径还原方法、电子装置和计算机可读存储介质
CN109327449B (zh) * 2018-10-25 2021-10-12 中国移动通信集团海南有限公司 一种攻击路径还原方法、电子装置和计算机可读存储介质
US11762991B2 (en) * 2019-04-15 2023-09-19 Qualys, Inc. Attack kill chain generation and utilization for threat analysis
US20220277078A1 (en) * 2019-04-15 2022-09-01 Qualys, Inc. Attack Kill Chain Generation and Utilization for Threat Analysis
CN110430199A (zh) * 2019-08-08 2019-11-08 杭州安恒信息技术股份有限公司 识别物联网僵尸网络攻击源的方法与系统
CN110519251A (zh) * 2019-08-20 2019-11-29 新华三信息安全技术有限公司 一种攻击行为检测方法及装置
CN110764969A (zh) * 2019-10-25 2020-02-07 新华三信息安全技术有限公司 网络攻击溯源方法及装置
CN111277561A (zh) * 2019-12-27 2020-06-12 北京威努特技术有限公司 网络攻击路径预测方法、装置及安全管理平台
CN113141335A (zh) * 2020-01-19 2021-07-20 奇安信科技集团股份有限公司 网络攻击检测方法及装置
CN113141335B (zh) * 2020-01-19 2022-10-28 奇安信科技集团股份有限公司 网络攻击检测方法及装置
CN111538777A (zh) * 2020-03-20 2020-08-14 贵州电网有限责任公司 一种企业内网信息安全可视化展现管理平台
TWI736258B (zh) * 2020-05-11 2021-08-11 臺灣銀行股份有限公司 設備強化順序分析方法
CN111726358A (zh) * 2020-06-18 2020-09-29 北京优特捷信息技术有限公司 攻击路径分析方法、装置、计算机设备及存储介质
CN111953527A (zh) * 2020-07-28 2020-11-17 深圳供电局有限公司 一种网络攻击还原系统
CN111953527B (zh) * 2020-07-28 2023-02-03 深圳供电局有限公司 一种网络攻击还原系统
CN111988331B (zh) * 2020-08-28 2021-04-16 清华大学 基于区块链的DDoS攻击追踪方法、系统、设备和介质
CN111988331A (zh) * 2020-08-28 2020-11-24 清华大学 基于区块链的DDoS攻击追踪方法和系统
CN111818103A (zh) * 2020-09-09 2020-10-23 信联科技(南京)有限公司 一种网络靶场中基于流量的溯源攻击路径方法
CN112583848A (zh) * 2020-12-25 2021-03-30 南京联成科技发展股份有限公司 一种远程安全日志分析系统
CN112383573A (zh) * 2021-01-18 2021-02-19 南京联成科技发展股份有限公司 一种基于多个攻击阶段的安全入侵回放设备
CN113055396A (zh) * 2021-03-26 2021-06-29 深信服科技股份有限公司 一种跨终端溯源分析的方法、装置、系统和存储介质
CN113852641B (zh) * 2021-09-30 2024-06-04 浙江创邻科技有限公司 一种基于图数据库的网络攻击溯源系统、方法及设备
CN113852641A (zh) * 2021-09-30 2021-12-28 浙江创邻科技有限公司 一种基于图数据库的网络攻击溯源系统、方法及设备
CN114362990A (zh) * 2021-11-12 2022-04-15 安天科技集团股份有限公司 一种攻击路径确定方法、装置、电子设备及可读存储介质
CN114362990B (zh) * 2021-11-12 2023-08-29 安天科技集团股份有限公司 一种攻击路径确定方法、装置、电子设备及可读存储介质
CN114363002A (zh) * 2021-12-07 2022-04-15 绿盟科技集团股份有限公司 一种网络攻击关系图的生成方法及装置
CN114363002B (zh) * 2021-12-07 2023-06-09 绿盟科技集团股份有限公司 一种网络攻击关系图的生成方法及装置
CN114745183B (zh) * 2022-04-14 2023-10-27 浙江网商银行股份有限公司 告警方法以及装置
CN114745183A (zh) * 2022-04-14 2022-07-12 浙江网商银行股份有限公司 告警方法以及装置
CN117040932A (zh) * 2023-10-09 2023-11-10 国网思极网安科技（北京）有限公司 一种网络攻击溯源快速取证方法及系统
CN117040932B (zh) * 2023-10-09 2024-04-02 国网思极网安科技（北京）有限公司 一种网络攻击溯源快速取证方法及系统

Also Published As

Publication number Publication date
CN108696473B (zh) 2020-11-24

Similar Documents

Publication Publication Date Title
CN108696473A (zh) 攻击路径还原方法及装置
US10944772B2 (en) Connected security system
CN106790186B (zh) 基于多源异常事件关联分析的多步攻击检测方法
CN104509034B (zh) 模式合并以识别恶意行为
EP3343867B1 (en) Methods and apparatus for processing threat metrics to determine a risk of loss due to the compromise of an organization asset
US11218499B2 (en) Network anomaly detection and profiling
US9652813B2 (en) Risk analysis engine
US20230351027A1 (en) Intelligent adversary simulator
CN108616529B (zh) 一种基于业务流的异常检测方法及系统
CN105264861A (zh) 用于检测多阶段事件的方法和设备
CN107046543A (zh) 一种面向攻击溯源的威胁情报分析系统
CN107196895A (zh) 网络攻击溯源实现方法及装置
CN105009132A (zh) 基于置信因子的事件关联
Lee et al. Open source intelligence base cyber threat inspection framework for critical infrastructures
CN108234419A (zh) 一种基于大数据的网络攻击监测方法和装置
CN107483425B (zh) 基于攻击链的复合攻击检测方法
CN109995793A (zh) 网络动态威胁跟踪量化方法及系统
CN109309687A (zh) 网络安全防御方法、装置及网络设备
CN106453355A (zh) 数据分析方法及装置
CN105430001A (zh) Apt攻击的检测方法、终端设备、服务器及系统
Nkosi et al. Insider threat detection model for the cloud
CN109889485A (zh) 一种用户异常操作行为检测方法、系统及存储介质
CN113872959B (zh) 一种风险资产等级判定和动态降级方法和装置及设备
CN111191230B (zh) 一种基于卷积神经网络的快速网络攻击回溯挖掘方法和应用
CN105791263A (zh) 一种信息安全风险预警方法及管理系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant