CN108769077A - 一种网络安全溯源分析的方法及装置 - Google Patents

Abstract

本发明公开了一种网络安全溯源分析的方法及装置，实时采集各类网络设备的日志信息，固化保存所述日志信息，有助于当日志被攻击遭到清理后，还原出日志；对采集的所述日志信息进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径，从而获取攻击者的相关信息和行为，提取出特征属性，建立攻击者关系模型，采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，有助于确定来访者是否为攻击者。

Description

一种网络安全溯源分析的方法及装置

技术领域

本申请涉及网络信息安全技术领域，尤其涉及一种网络安全溯源分析的方法及装置。

背景技术

网络攻击形式越发呈现多种多样，对网络安全构成严重威胁，需要对系统的主机、防火墙、交换机或WEB服务器等软硬件设备进行保护，十分有必要追溯攻击的源头，对攻击者有详细的了解。

现有的网络攻击溯源多只有攻击路径回放，知道攻击者来自于哪里，却对攻击者本身的行为特征不清楚。同时，攻击者在攻击行为结束时通常都会清理系统的日志，以便清除攻击的痕迹。所以，提供一种能够对攻击者本身定性分析的方法和装置，建立模型，基于模型进行监测流量，并且避免系统日志遭到破坏。

发明内容

本发明的目的在于提供一种网络安全溯源分析的方法及装置，实现对攻击者本身定性分析，并且基于模型进行监测流量，避免系统日志遭到破坏,以解决上述背景技术中提出的问题。

第一方面，本申请提供一种网络安全溯源分析的方法，所述方法包括：

实时采集各类网络设备的日志信息，固化保存所述日志信息；

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径；

根据所述攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型；

采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

结合第一方面，在第一方面第一种可能的实现方式中，所述梳理出攻击事件的发生脉络和攻击路径之前，还包括：

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

结合第一方面，在第一方面第二种可能的实现方式中，所述固化保存所述日志信息之后，还包括：

当日志被攻击遭到清理时，可根据所述固化保存的日志信息，还原出日志。

结合第一方面，在第一方面第三种可能的实现方式中，所述来访者特征属性与攻击者关系模型进行匹配之后，还包括：

当确定所述来访者为攻击者时，标记所述来访者，拒绝所述来访者的所有访问行为。

第二方面，本申请提供一种网络安全溯源分析的装置，所述装置包括：

采集模块，用于实时采集各类网络设备的日志信息，固化保存所述日志信息；

分析模块，用于对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径；

模型建立模块，用于根据所述攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型；

判断模块，用于采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

结合第二方面，在第二方面第一种可能的实现方式中，所述分析模块梳理出攻击事件的发生脉络和攻击路径之前，还包括：

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

结合第二方面，在第二方面第二种可能的实现方式中，所述采集模块固化保存所述日志信息之后，还包括：

当日志被攻击遭到清理时，可根据所述固化保存的日志信息，还原出日志。

结合第二方面，在第二方面第三种可能的实现方式中，所述判断模块在来访者特征属性与攻击者关系模型进行匹配之后，还包括：

当确定所述来访者为攻击者时，标记所述来访者，拒绝所述来访者的所有访问行为。

本发明提供一种网络安全溯源分析的方法及装置，实时采集各类网络设备的日志信息，固化保存所述日志信息，有助于当日志被攻击遭到清理后，还原出日志。对采集的所述日志信息进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径，从而获取攻击者的相关信息和行为，提取出特征属性，建立攻击者关系模型，采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，有助于确定来访者是否为攻击者。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明网络安全溯源分析的方法的一个实施例的方法流程图；

图2为本发明梳理出攻击事件的发生脉络和攻击路径之前的一个实施例的方法流程图；

图3为本发明网络安全溯源分析的装置的一个实施例的系统框架图。

具体实施方式

下面结合附图对本发明的优选实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。

图1为本发明提供的网络安全溯源分析的方法的一个实施例的流程图，该方法包括：

步骤101，实时采集各类网络设备的日志信息，固化保存所述日志信息。

步骤102，对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径。

步骤103，根据所述攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型。

步骤104，采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

在一些优选实施例中，所述建立攻击者关系模型，具体可以包括：

根据所述攻击者的访问流量，识别出流量包含的各种业务。

根据预先定义的各种业务对应的权重值、以及业务种类数量对应的系数，计算所述攻击者的访问关系值。

计算所述攻击者的访问关系值可以采用如下公式：

Value＝(Service₁*Weight₁+Service₂*Weight₂+……+Service_n*Weight_n)*Coeff

其中，Value为某一攻击者的访问关系值，Service_n为某一种业务，Weight_n为权重值，Coeff为某一攻击者业务种类数量对应的系数。

根据所述攻击者的访问关系值，确定所述攻击者所属的类型，进而得出所述类型对应的访问关系模型。

图2为在一些优选实施例中，所述梳理出攻击事件的发生脉络和攻击路径之前，还包括：

步骤201，对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

步骤202，将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

在一些优选实施例中，所述固化保存所述日志信息之后，还包括：

当日志被攻击遭到清理时，可根据所述固化保存的日志信息，还原出日志。

在一些优选实施例中，所述在来访者特征属性与攻击者关系模型进行匹配之后，还包括：

当确定所述来访者为攻击者时，标记所述来访者，拒绝所述来访者的所有访问行为。

根据上述实施例提供的网络安全溯源分析的方法，本发明实施例还提供一种网络安全溯源分析的装置。如图3所示，所述装置包括：

采集模块301，用于实时采集各类网络设备的日志信息，固化保存所述日志信息；

分析模块302，用于对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径；

模型建立模块303，用于根据所述攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型；

判断模块304，用于采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

在一些优选实施例中，所述分析模块梳理出攻击事件的发生脉络和攻击路径之前，还包括：

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

在一些优选实施例中，所述采集模块固化保存所述日志信息之后，还包括：

当日志被攻击遭到清理时，可根据所述固化保存的日志信息，还原出日志。

在一些优选实施例中，所述判断模块在来访者特征属性与攻击者关系模型进行匹配之后，还包括：

当确定所述来访者为攻击者时，标记所述来访者，拒绝所述来访者的所有访问行为。

具体实现中，本发明还提供一种计算机存储介质，其中，该计算机存储介质可以存储有程序，该程序执行时可包括本发明提供的用户访问合规性分析的方法的各实施例中的部分或全部步骤。所述的存储介质可以为磁碟、光盘、只读存储记忆体(简称：ROM)或随机存储记忆体(简称：RAM)等。

本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书各个实施例之间相同相似的部分互相参见即可。尤其，对于实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。

以上所述的本发明实施方式并不构成对本发明保护范围的限定。

Claims (8)

1.一种网络安全溯源分析的方法，所述方法包括：

实时采集各类网络设备的日志信息，固化保存所述日志信息；

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径；

根据所述攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型；

采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

2.根据权利要求1所述的方法，所述梳理出攻击事件的发生脉络和攻击路径之前，还包括：

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

3.根据权利要求1所述的方法，所述固化保存所述日志信息之后，还包括：

当日志被攻击遭到清理时，可根据所述固化保存的日志信息，还原出日志。

4.根据权利要求1所述的方法，所述来访者特征属性与攻击者关系模型进行匹配之后，还包括：

当确定所述来访者为攻击者时，标记所述来访者，拒绝所述来访者的所有访问行为。

5.一种网络安全溯源分析的装置，所述装置包括：

采集模块，用于实时采集各类网络设备的日志信息，固化保存所述日志信息；

分析模块，用于对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径；

模型建立模块，用于根据所述攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从攻击者的相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型；

判断模块，用于采集来访者的相关信息和行为，将其特征属性与攻击者关系模型进行匹配，确定来访者是否为攻击者。

6.根据权利要求5所述的装置，所述分析模块梳理出攻击事件的发生脉络和攻击路径之前，还包括：

对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

7.根据权利要求5所述的装置，所述采集模块固化保存所述日志信息之后，还包括：

当日志被攻击遭到清理时，可根据所述固化保存的日志信息，还原出日志。

8.根据权利要求5所述的装置，所述判断模块在来访者特征属性与攻击者关系模型进行匹配之后，还包括：

当确定所述来访者为攻击者时，标记所述来访者，拒绝所述来访者的所有访问行为。