CN110730128B - 信息传播路径的处理方法、装置、电子设备、存储介质 - Google Patents

信息传播路径的处理方法、装置、电子设备、存储介质 Download PDF

Info

Publication number
CN110730128B
CN110730128B CN201811307585.6A CN201811307585A CN110730128B CN 110730128 B CN110730128 B CN 110730128B CN 201811307585 A CN201811307585 A CN 201811307585A CN 110730128 B CN110730128 B CN 110730128B
Authority
CN
China
Prior art keywords
threat
nodes
value
node
information propagation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811307585.6A
Other languages
English (en)
Other versions
CN110730128A (zh
Inventor
何公道
王晓敏
童志明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Antiy Technology Group Co Ltd
Original Assignee
Antiy Technology Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Antiy Technology Group Co Ltd filed Critical Antiy Technology Group Co Ltd
Priority to CN201811307585.6A priority Critical patent/CN110730128B/zh
Publication of CN110730128A publication Critical patent/CN110730128A/zh
Application granted granted Critical
Publication of CN110730128B publication Critical patent/CN110730128B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/26—Route discovery packet
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/32—Flooding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic

Abstract

本发明实施例公开一种信息传播路径的处理方法、装置、电子设备、存储介质，涉及信息安全技术领域，能够提高威胁信息传播分析的效率和准确性。所述方法包括：确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；根据所述传导威胁值确定每条所述信息传播路径的总威胁值；将总威胁值小于第一预设阈值的所述信息传播路径从所述连接关系中删除。

Description

信息传播路径的处理方法、装置、电子设备、存储介质
技术领域
本发明涉及网络安全技术领域，尤其涉及一种信息传播路径的处理方法、装置、电子设备、存储介质。
背景技术
信息和网络技术的飞速发展使信息的处理和传递突破了时间和地域的限制。但网络环境中，除了用户需要的信息外，还存在着大量的威胁信息，给用户造成很大的安全隐患。
为了将威胁信息与用户需要的样本数据区分开，传统方法只能依靠经验丰富的威胁分析人员对威胁信息传播路径进行分析，在海量数据中寻找威胁信息传播的关键节点，效率很低。而且这样得到的关键信息传播路径的结果受人的主观因素影响很大，导致结果不准确，容易漏掉关键信息，从而使用户面临较大的潜在威胁。
发明内容
有鉴于此，本发明实施例提供一种信息传播路径的处理方法、装置、电子设备、存储介质，能够识别网络中威胁信息传播可能性较小的节点和路径，为威胁信息传输路径的确定过滤掉大量的冗余信息，从而有效提高了威胁信息传播分析的效率和准确性。
第一方面，本发明实施例提供一种信息传播路径的处理方法，包括：确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；根据所述传导威胁值确定每条所述信息传播路径的总威胁值；将总威胁值小于第一预设阈值的所述信息传播路径从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。
可选的，所述确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值之前，所述方法还包括：根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系。
可选的，所述根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系包括：根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取所述各节点之间的连接关系。
可选的，所述确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值包括：查询威胁数据库以获取所述邻接节点各自的节点威胁值；根据所述节点威胁值确定所述邻接节点的通联脆弱性值；根据所述连接关系确定所述邻接节点之间的传导链路的威胁选择概率；根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值。
可选的，所述根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值包括：所述传导威胁值等于所述邻接节点各自的节点威胁值相加后，乘所述通联脆弱性值，再乘所述威胁选择概率。
可选的，所述根据所述传导威胁值确定每条所述信息传播路径的总威胁值包括：每条所述信息传播路径的总威胁值等于所述信息传播路径中每两个邻接节点之间的传导威胁值的和。
可选的，所述将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径包括：通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径；将查找到的信息传播路径的中间节点标记为非关键节点；在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径。
可选的，所述通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径之后，所述将查找到的信息传播路径的中间节点标记为非关键节点之前，所述方法还包括：检测经过查找到的所述信息传播路径的至少一个中间节点的各条信息传播路径的总威胁值分别是否大于第二预设阈值，所述第二预设阈值大于所述第一预设阈值；所述将查找到的信息传播路径的中间节点标记为非关键节点包括：将检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所经过的所述中间节点标记为非关键节点。
第二方面，本发明的实施例还提供一种信息传播路径的处理装置，包括：第一确定单元，用于确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；第二确定单元，用于根据所述传导威胁值确定每条所述信息传播路径的总威胁值；删除单元，用于将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。
可选的，所述装置还包括获取单元，用于在确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值之前，根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系。
可选的，所述获取单元，具体用于根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取所述各节点之间的连接关系。
可选的，所述第一确定单元包括：查询模块，用于查询威胁数据库以获取所述邻接节点各自的节点威胁值；第一确定模块，用于根据所述节点威胁值确定所述邻接节点的通联脆弱性值；第二确定模块，用于根据所述连接关系确定所述邻接节点之间的传导链路的威胁选择概率；第三确定模块，用于根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值。
可选的，所述第三确定模块确定的所述传导威胁值等于所述邻接节点各自的节点威胁值相加后，乘所述通联脆弱性值，再乘所述威胁选择概率。
可选的，所述第二确定单元确定的每条所述信息传播路径的总威胁值等于所述信息传播路径中每两个邻接节点之间的传导威胁值的和。
可选的，所述删除单元包括：查找模块，用于通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径；标记模块，用于将查找到的信息传播路径的中间节点标记为非关键节点；循环继续模块，在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；删除模块，用于删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径。
可选的，所述删除单元，还包括检测模块，用于通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径之后，将查找到的信息传播路径的中间节点标记为非关键节点之前，检测经过查找到的所述信息传播路径的至少一个中间节点的各条信息传播路径的总威胁值分别是否大于第二预设阈值，其中，所述第二预设阈值大于所述第一预设阈值；所述标记模块，具体用于将所述检测模块的检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所经过的所述中间节点标记为非关键节点。
第三方面，本发明的实施例还提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行本发明实施例提供的任一种信息传播路径的处理方法。
第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现本发明实施例提供的任一种信息传播路径的处理方法。
本发明的实施例提供的信息传播路径的处理方法、装置、电子设备、存储介质，能够确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，根据所述传导威胁值确定每条所述信息传播路径的总威胁值，然后将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。这样，就能够识别出网络中威胁信息传播可能性较小的节点和路径，从而为威胁信息传输路径的确定过滤掉大量的冗余信息，有效提高了威胁信息传播分析的效率和准确性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本发明的实施例提供的信息传播路径的处理方法的一种流程图；
图2为本发明的实施例提供的信息传播路径的处理方法的一种详细流程图；
图3为图2对应的信息传播路径的一种示意图；
图4为本发明的实施例提供的信息传播路径的处理装置的一种结构示意图；
图5为本发明的实施例提供的电子设备的一种结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
第一方面，本发明实施例提供一种信息传播路径的处理方法，能够识别网络中威胁信息传播可能性较小的节点和路径，为威胁信息传输路径的确定过滤掉大量的冗余信息，从而有效提高了威胁信息传播分析的效率和准确性。
如图1所示，本发明的实施例提供一种信息传播路径的处理方法，包括：
S11，确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；
具体的，网络由各种能够处理数据的节点组成，信息在网络中传播的过程中，可以由其中一个或多个网络节点进入网络，经过中间若干个节点传播后，再从另外的一个或多个节点传出网络。其中，用于进入网络的节点为信息在该网络中传播的起始节点，用于传出网络的节点为信息在该网络中传播的终止节点。信息传播路径是指信息在起始节点和终止节点之间传播时可能经过的路径。由于网络和数据的复杂性，信息传播路径可以不止一条。
网络中具有连接关系的节点是指网络中具有关联关系的节点，具有关联关系的节点之间能够进行彼此通信、访问等。可选的，这些具有连接关系的节点既可以是直接相连，也可以是通过几个中间节点间接相连的。其中，直接相连的两个节点也称为网络中的两个邻接节点。邻接节点之间的通信链路为信息的传导链路。每条信息传播路径可以由至少两条传导链路首尾连接形成。
可以理解的，网络节点性质和拓扑的不同影响着威胁信息的传播。具体而言，在本发明的实施例中，信息由一个节点传输到另一个节点时，会有相应的传导威胁值，不同的节点和链路的传导威胁值一般不同。可选的，传导威胁值可以与邻接节点各自的节点威胁值及该邻接节点之间的传导链路的威胁选择概率相关。其中，节点威胁值可以指节点自身对威胁信息的易传导程度；两个邻接节点之间的传导链路的威胁选择概率可以指威胁信息通过该传导链路传导的概率，威胁选择概率与这两个邻接节点之间的关联程度相关。两个邻接节点之间的关联程度越大，这两个邻接节点之间的传导链路的威胁选择概率越大，反之亦然。
S12，根据所述传导威胁值确定每条所述信息传播路径的总威胁值；
由于信息传播路径是由多个节点串连起来的，步骤S11中已经确定了每两个邻接节点之间的传导威胁值，则本步骤中每条信息传播路径的总威胁值可以根据步骤S11中确定的传导威胁值计算。
S13，将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。
具体的，如果一条信息传播路径的总威胁值较小，例如小于第一预设阈值，则说明这条信息传播路径用于传播威胁信息的可能性较小，为了去除冗余信息、提高威胁信息分析效率，可以将这条信息传播路径中的中间节点删除。
本发明的实施例提供的信息传播路径的处理方法，能够确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，根据所述传导威胁值确定每条所述信息传播路径的总威胁值，然后将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。这样，就能够识别出网络中威胁信息传播可能性较小的节点和路径，从而为威胁信息传输路径的确定过滤掉大量的冗余信息，有效提高了威胁信息传播分析的效率和准确性。
可以理解的，网络中存在大量的节点，有些节点之间具有关联关系，有些节点之间则是无关的。如果节点之间具有关联关系，则节点之间具有连接关系。节点可以由多种标签对其进行描述，其中，标签即指数据之间的关联信标，例如数据样本的hash值，数据所在的域名，IP，URL等。在一个网络中各节点所使用的标签可以相同，也可以不同。例如，其中一个节点可以使用数据样本的hash值描述，另一个节点可以使用数据所在的域名描述，还有一个节点可以使用数据所在的IP描述。这样各节点的关联关系就相对复杂。可选的，可以依据各节点标签之间存在的关联关系构成关联关系拓扑图，一个标签就是拓扑图中的一个节点。
网络中各节点的标签多样化，其描述的节点之间的连接关系也纷繁复杂，为了获得网络中各节点之间的连接关系，在本发明的一个实施例中，在步骤S11确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值之前，可以根据节点之间的数据交互关系获取各节点之间的连接关系。可选的，可以根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取各节点之间的连接关系。
威胁信息在网络中的节点之间传播时，从每一个节点向下一跳节点传输时都会有一定的选择倾向，倾向于选择具有某些特征的节点或路径传播。为了获知邻接两个节点对威胁信息传输的影响，在本发明的一个实施例中，获得了网络中各节点之间的连接关系后，即可在步骤S11中确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值。具体而言，可以包括：
查询威胁数据库以获取所述邻接节点各自的节点威胁值；
根据所述节点威胁值确定所述邻接节点的通联脆弱性值；
根据所述连接关系确定所述邻接节点之间的传导链路的威胁选择概率；
根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值。
网络中的每个节点都有传输威胁信息的倾向，可以用节点威胁值来描述节点自身传输威胁信息的倾向。可选的，节点威胁值可以从已知的威胁数据库中查找到。查找到节点威胁值后还可以根据该节点威胁值确定邻接节点的通联脆弱性值。需要说明的是，由于信息的传播具有方向性，从节点A传到节点B时，节点A和节点B各自的节点威胁值与从节点B传到节点A时节点A和节点B各自的节点威胁值可以不同。
具体的，可以根据公式(1)利用节点威胁值计算两个连通节点之间的通联脆弱性值dij。
Figure BDA0001854057360000081
其中
Figure BDA0001854057360000082
ti和ti分别为邻接两个节点的节点威胁值，vij与节点i的节点威胁值、节点j的节点威胁值相关，可以用公式表示为
Figure BDA0001854057360000083
进一步的，还可以根据各节点之间的连接关系确定邻接节点之间的传导链路的威胁选择概率。具体而言，在本发明的一个实施例中，节点之间的连接关系可以用节点之间的关联程度值表示。如果两个节点之间的相互访问记录、文件下载记录和/互动关联记录为0，则这两个节点的关联程度值为0，即这两个节点之间没有连接关系；如果两个节点之间的相互访问记录、文件下载记录和/互动关联记录不为0，则说明这两个节点之间具有连接关系。进一步的，还可以根据预设算法(例如分段函数等)计算出这两个节点的关联程度值，可以以该关联程度值作为两个邻接节点之间的传导链路的威胁选择概率wij，用于描述两个邻接节点之间的链路(不含节点自身)传导威胁信息的倾向。威胁选择概率越小，则链路传导威胁信息的倾向越小。
通过上述说明可知，节点威胁值描述了节点自身的威胁信息传导倾向，通联脆弱性值描述了两个节点对威胁信息的传导倾向，威胁选择概率描述了两个节点之间的链路对威胁信息的传导倾向，基于此，威胁信息在两个邻接节点之间传输的传导威胁值可以与节点威胁值、通联脆弱性值、威胁选择概率这三种参数相关，具体的关联形式不限。
举例而言，在本发明的一个实施例中，传导威胁值可以等于所述邻接节点各自的节点威胁值相加后，乘所述通联脆弱性值，再乘所述威胁选择概率，用公式可以表示为
Vij＝(ti+tj)*wij*dij (3)
由于网络中存在多条信息传播路径，而每条信息传播路径都是由至少两条链路顺次连接形成，因此在步骤S11确定了每两个邻接节点之间的传导威胁值之后，可以在步骤S12中利用该传导威胁值确定每条信息传播路径的总威胁值。举例而言，在本发明的一个实施例中，每条信息传播路径的总威胁值可以等于信息传播路径中每两个邻接节点之间的传导威胁值的和。例如，如果一条信息传播路径L1为从节点A1经过节点A2、A3后从节点A4传出，其中节点A1到节点A2的传导威胁值为V1，节点A2到节点A3的传导威胁值为V2，节点A3到节点A4的传导威胁值为V3，则该条信息传播路径L1的总威胁值为V1+V2+V3。
网络中每一条信息传播路径的总威胁值都可以通过以上方法计算得出。一条信息传播路径的总威胁值标志着该条信息传输路径传播威胁信息的倾向。总威胁值越大，说明对应的信息传播路径越容易传播威胁信息，路径中的节点越可能是关键节点。反之，总威胁值越小，说明对应的信息传播路径越不容易传播威胁信息，路径中的节点越可能是非关键节点。在步骤A13中可以将总威胁值小于第一预设阈值的信息传播路径的中间节点从网络中各节点的连接关系中删除，剩下的节点和路径即为关键节点和关键路径。
举例而言，在本发明的一个实施例中，进行节点删除具体可以包括：
通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径；
将查找到的信息传播路径的中间节点标记为非关键节点；
在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；
删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径。
通过上述技术能够有效去除掉一些冗余的信息，从而让威胁人员抓住威胁的根本，提高工作效率，对安全问题给出准确可靠的判定依据。
本实施例中，由于一条信息传播路径中可以包括多个节点，如果确定这条信息传播路径的总威胁值在各条信息传播路径的总威胁值之中最小，则可以删除这条信息传播路径中的所有中间节点。为了避免删除的中间节点中存在与另一条总威胁值较大的信息传播路径的交点，进一步的，在本发明的另一个实施例中，通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径之后，将查找到的信息传播路径的中间节点标记为非关键节点之前，还可以包括：
检测与查找到的信息传播路径相交的各条信息传播路径对应的总威胁值分别是否大于第二预设阈值，所述第二预设阈值大于所述第一预设阈值；
将查找到的信息传播路径的中间节点标记为非关键节点具体可以包括：
将检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所对应的中间节点标记为非关键节点。
举例说明，信息传播路径d1与信息传播路径d2相交于B1点，与信息传播路径d3相交于B2点。如果信息传播路径d1的总威胁值最小，信息传播路径d2的总威胁值小于第二预设阈值，信息传播路径d3的总威胁值大于第二预设阈值，则将信息传播路径d1中除B2之外的中间节点都标记为非关键节点。
本发明的实施例提供的信息传播路径的处理方法，能够在海量的威胁信息以及样本数据中寻找到威胁信息传导的关键节点和关键路径，是海量数据呈现图谱化的一种智能处理方法，能够让威胁分析人员有效的抓住威胁根本，去除掉冗余信息，降低工作人员的工作强度，节约了工作时间。
同时，该方法还利用智能计算方法来处理存在关联关系的图谱化数据，使图数据计算难的问题得到解决，能够有效的避免错误信息的干扰，做到关键信息分析准确，不误报和漏报，大大地减少了网络安全中存在的潜在隐患。
下面通过具体实施例对本发明实施例提供的信息传播路径的处理方法进行详细说明。
本实施例中，将海量数据中每一个数据依据关联关系互联在一起，呈现图谱化的结构的数据称之为一个节点。关键威胁传导节点与关键连接关系构成的图为威胁关系传导简图。本实施例提供的信息传播路径的处理方法，能够在海量数据的图谱化结构中，有效找到威胁传导简图。
图2为本发明实施例提供的信息传播路径的处理方法的一种流程图，图3为其对应的信息传播路径的一种示意图。
结合图2和图3，本发明的实施例提供的信息传播路径的处理方法可以包括：
S201、根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取各节点之间的连接关系；各节点间的连接关系可以如图3所示；
S202、在具有连接关系的节点中，查询威胁数据库以获取每两个邻接节点各自的节点威胁值；
即查询A、B、C、D、E、F、H、G各点的节点威胁值；
S203、根据所述节点威胁值确定所述邻接节点的通联脆弱性值；
具体的，可以根据公式(1)(2)进行计算。
S204、根据邻接节点间的连接关系确定所述邻接节点之间的传导链路的威胁选择概率；
S205、根据节点威胁值、通联脆弱性值以及威胁选择概率确定所述传导威胁值。
具体的，可以根据公式(3)进行计算，例如，可以计算出A-B、B-E、E-G、G-H、B-F、F-H、A-C、C-F、F-H、A-D、D-F之间的传导威胁值；
S206、分别计算A-B-E-G-H，A-B-F-H，A-C-F-H，A-D-F-H四条信息传播路径的总威胁值；
其中，A-B-E-G-H的总威胁值等于节点A-B、B-E、E-G、G-H之间的传导威胁值之和；
其中，A-B-F-H的总威胁值等于节点A-B、B-F、F-H之间的传导威胁值之和；
其中，A-C-F-H的总威胁值等于节点A-C、C-F、F-H之间的传导威胁值之和；
其中，A-D-F-H的总威胁值等于节点A-D、D-F、F-H之间的传导威胁值之和。
S207、通过路径寻优算法在节点的连接关系中查找总威胁值最小的信息传播路径；
例如通过迪杰斯特拉算法查找，查找到的总威胁值最小的信息传播路径为A-C-F-H；
S208、检测经过查找到的信息传播路径A-C-F-H的至少一个中间节点(F点)的各条信息传播路径(即A-B-F-H、A-D-F-H)的总威胁值分别是否大于第二预设阈值，所述第二预设阈值大于所述第一预设阈值；
S209、将检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所经过的中间节点标记为非关键节点；
如果检测结果为A-B-F-H的总威胁值大于第二预设阈值，A-D-F-H的总威胁值小于第二预设阈值，则将C点标记为非关键节点；
如果检测结果为A-D-F-H和A-B-F-H的总威胁值都不大于第二预设阈值，则将C点和F点都标记为非关键节点；
如果检测结果为A-D-F-H和A-B-F-H的总威胁值都大于第二预设阈值，则将C点和F点都不做标记；
S210、在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；
S211、删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径；
例如，如果标记了F点为非关键节点，则将F点删除，在节点A到节点H的信息传播路径中，只存在路径A-B-E-G-H，则可以确定本实施例中威胁信息传播的关键路径为A-B-E-G-H，关键节点为A、B、E、G、H。
相应的，本发明的实施例还提供一种信息传播路径的处理装置，能够识别网络中威胁信息传播可能性较小的节点和路径，从而为威胁信息传输路径的确定过滤掉大量的冗余信息，有效提高了威胁信息传播分析的效率和准确性。
如图4所示，本发明的实施例提供的信息传播路径的处理装置，包括：
第一确定单元31，用于确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；
第二确定单元32，用于根据所述传导威胁值确定每条所述信息传播路径的总威胁值；
删除单元33，用于将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。
进一步的，该装置还可包括获取单元，用于在确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值之前，根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系。
可选的，所述获取单元，具体用于根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取所述各节点之间的连接关系。
可选的，第一确定单元31可以包括：
查询模块，用于查询威胁数据库以获取所述邻接节点各自的节点威胁值；
第一确定模块，用于根据所述节点威胁值确定所述邻接节点的通联脆弱性值；
第二确定模块，用于根据所述连接关系确定所述邻接节点之间的传导链路的威胁选择概率；
第三确定模块，用于根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值。
可选的，所述第三确定模块确定的所述传导威胁值等于所述邻接节点各自的节点威胁值相加后，乘所述通联脆弱性值，再乘所述威胁选择概率。
可选的，第二确定单元32确定的每条所述信息传播路径的总威胁值等于所述信息传播路径中每两个邻接节点之间的传导威胁值的和。
可选的，删除单元33可以包括：
查找模块，用于通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径；
标记模块，用于将查找到的信息传播路径的中间节点标记为非关键节点；
循环继续模块，在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；
删除模块，用于删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径。
可选的，删除单元33，还可以包括检测模块，用于通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径之后，将查找到的信息传播路径的中间节点标记为非关键节点之前，检测经过查找到的所述信息传播路径的至少一个中间节点的各条信息传播路径的总威胁值分别是否大于第二预设阈值，其中，所述第二预设阈值大于所述第一预设阈值；
所述标记模块，具体可用于将所述检测模块的检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所经过的所述中间节点标记为非关键节点。
第三方面，本发明实施例提供一种电子设备，能够识别网络中威胁信息传播可能性较小的节点和路径，从而为威胁信息传输路径的确定过滤掉大量的冗余信息，有效提高了威胁信息传播分析的效率和准确性。
如图5所示，本发明的实施例提供的一种电子设备，可以包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的信息传播路径的处理方法。
处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见前述实施例的描述，在此不再赘述。
该电子设备以多种形式存在，包括但不限于：
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述实施例提供的任一种信息传播路径的处理方法，因此也能实现相应的技术效果，前文已经进行了详细说明，此处不再赘述。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。
尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (18)

1.一种信息传播路径的处理方法，其特征在于，包括：
确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；
根据所述传导威胁值确定每条所述信息传播路径的总威胁值；
将总威胁值小于第一预设阈值的所述信息传播路径从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。
2.根据权利要求1所述的方法，其特征在于，所述确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值之前，所述方法还包括：
根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系。
3.根据权利要求2所述的方法，其特征在于，所述根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系包括：
根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取所述各节点之间的连接关系。
4.根据权利要求1所述的方法，其特征在于，所述确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值包括：
查询威胁数据库以获取所述邻接节点各自的节点威胁值；
根据所述节点威胁值确定所述邻接节点的通联脆弱性值；
根据所述连接关系确定所述邻接节点之间的传导链路的威胁选择概率；
根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值。
5.根据权利要求4所述的方法，其特征在于，所述根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值包括：
所述传导威胁值等于所述邻接节点各自的节点威胁值相加后，乘所述通联脆弱性值，再乘所述威胁选择概率。
6.根据权利要求1至5中任一项所述的方法，其特征在于，所述根据所述传导威胁值确定每条所述信息传播路径的总威胁值包括：
每条所述信息传播路径的总威胁值等于所述信息传播路径中每两个邻接节点之间的传导威胁值的和。
7.根据权利要求1至5中任一项所述的方法，其特征在于，所述将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径包括：
通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径；
将查找到的信息传播路径的中间节点标记为非关键节点；
在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；
删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径。
8.根据权利要求7所述的方法，其特征在于，所述通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径之后，所述将查找到的信息传播路径的中间节点标记为非关键节点之前，所述方法还包括：
检测经过查找到的所述信息传播路径的至少一个中间节点的各条信息传播路径的总威胁值分别是否大于第二预设阈值，所述第二预设阈值大于所述第一预设阈值；
所述将查找到的信息传播路径的中间节点标记为非关键节点包括：
将检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所经过的所述中间节点标记为非关键节点。
9.一种信息传播路径的处理装置，其特征在于，包括：
第一确定单元，用于确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值，所述传导威胁值与所述邻接节点各自的节点威胁值及所述邻接节点之间的传导链路的威胁选择概率相关；在所述连接关系中，至少存在信息传播的一个起始节点、一个终止节点，以及所述起始节点与所述终止节点之间的至少两条信息传播路径，其中，每条所述信息传播路径至少包括一个中间节点；
第二确定单元，用于根据所述传导威胁值确定每条所述信息传播路径的总威胁值；
删除单元，用于将总威胁值小于第一预设阈值的所述信息传播路径的中间节点从所述连接关系中删除，以便获得威胁信息传播的关键节点及关键路径。
10.根据权利要求9所述的装置，其特征在于，还包括获取单元，用于在确定网络中具有连接关系的节点中，每两个邻接节点之间的传导威胁值之前，根据网络中各节点之间的数据交互关系获取所述各节点之间的连接关系。
11.根据权利要求10所述的装置，其特征在于，所述获取单元，具体用于根据网络中各节点之间的相互访问记录、文件下载记录和/或互动关联记录获取所述各节点之间的连接关系。
12.根据权利要求9所述的装置，其特征在于，所述第一确定单元包括：
查询模块，用于查询威胁数据库以获取所述邻接节点各自的节点威胁值；
第一确定模块，用于根据所述节点威胁值确定所述邻接节点的通联脆弱性值；
第二确定模块，用于根据所述连接关系确定所述邻接节点之间的传导链路的威胁选择概率；
第三确定模块，用于根据所述节点威胁值、所述通联脆弱性值以及所述威胁选择概率确定所述传导威胁值。
13.根据权利要求12所述的装置，其特征在于，所述第三确定模块确定的所述传导威胁值等于所述邻接节点各自的节点威胁值相加后，乘所述通联脆弱性值，再乘所述威胁选择概率。
14.根据权利要求9至13中任一项所述的装置，其特征在于，所述第二确定单元确定的每条所述信息传播路径的总威胁值等于所述信息传播路径中每两个邻接节点之间的传导威胁值的和。
15.根据权利要求9至13中任一项所述的装置，其特征在于，所述删除单元包括：
查找模块，用于通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径；
标记模块，用于将查找到的信息传播路径的中间节点标记为非关键节点；
循环继续模块，在未标记的节点形成的连接关系中继续进行查找和标记，直到信息传播路径的最大值与最小值之间的差值小于预设差值为止；
删除模块，用于删除所有标记的节点及其相关路径，剩余的节点及其相关路径为所述威胁信息传播的关键节点及关键路径。
16.根据权利要求15所述的装置，其特征在于，所述删除单元，还包括检测模块，用于通过路径寻优算法在所述连接关系中查找总威胁值最小的信息传播路径之后，将查找到的信息传播路径的中间节点标记为非关键节点之前，检测经过查找到的所述信息传播路径的至少一个中间节点的各条信息传播路径的总威胁值分别是否大于第二预设阈值，其中，所述第二预设阈值大于所述第一预设阈值；
所述标记模块，具体用于将所述检测模块的检测结果中总威胁值不大于所述第二预设阈值的信息传播路径所经过的所述中间节点标记为非关键节点。
17.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1至8任一项所述的信息传播路径的处理方法。
18.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1至8中任一项所述的信息传播路径的处理方法。
CN201811307585.6A 2018-11-05 2018-11-05 信息传播路径的处理方法、装置、电子设备、存储介质 Active CN110730128B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811307585.6A CN110730128B (zh) 2018-11-05 2018-11-05 信息传播路径的处理方法、装置、电子设备、存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811307585.6A CN110730128B (zh) 2018-11-05 2018-11-05 信息传播路径的处理方法、装置、电子设备、存储介质

Publications (2)

Publication Number Publication Date
CN110730128A CN110730128A (zh) 2020-01-24
CN110730128B true CN110730128B (zh) 2021-09-21

Family

ID=69217589

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811307585.6A Active CN110730128B (zh) 2018-11-05 2018-11-05 信息传播路径的处理方法、装置、电子设备、存储介质

Country Status (1)

Country Link
CN (1) CN110730128B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111814065B (zh) * 2020-06-24 2022-05-06 平安科技（深圳）有限公司 信息传播路径分析方法、装置、计算机设备及存储介质
CN111784246B (zh) * 2020-07-01 2023-04-07 深圳市检验检疫科学研究院 物流路径的估测方法
CN113569030A (zh) * 2021-07-29 2021-10-29 北京三快在线科技有限公司 信息查询方法、装置、设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102170431A (zh) * 2011-03-25 2011-08-31 中国电子科技集团公司第三十研究所 一种主机风险评估方法和装置
CN105991521A (zh) * 2015-01-30 2016-10-05 阿里巴巴集团控股有限公司 网络风险评估方法和装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10108803B2 (en) * 2016-03-31 2018-10-23 International Business Machines Corporation Automatic generation of data-centric attack graphs
US10601854B2 (en) * 2016-08-12 2020-03-24 Tata Consultancy Services Limited Comprehensive risk assessment in a heterogeneous dynamic network

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102170431A (zh) * 2011-03-25 2011-08-31 中国电子科技集团公司第三十研究所 一种主机风险评估方法和装置
CN105991521A (zh) * 2015-01-30 2016-10-05 阿里巴巴集团控股有限公司 网络风险评估方法和装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于威胁传播的多节点网络安全态势量化评估方法;田建伟等;《计算机研究与发展》;20170415;731-741页 *

Also Published As

Publication number Publication date
CN110730128A (zh) 2020-01-24

Similar Documents

Publication Publication Date Title
CN111355697B (zh) 僵尸网络域名家族的检测方法、装置、设备及存储介质
CN110730128B (zh) 信息传播路径的处理方法、装置、电子设备、存储介质
CN111401416B (zh) 异常网站的识别方法、装置和异常对抗行为的识别方法
CN112926990B (zh) 欺诈识别的方法和装置
CN110572409B (zh) 工业互联网的安全风险预测方法、装置、设备及存储介质
CN111770047B (zh) 异常群体的检测方法、装置及设备
CN107437026B (zh) 一种基于广告网络拓扑的恶意网页广告检测方法
CN104866586A (zh) 用于计算社会媒体中信息传播节点重要性的方法及系统
CN112019519B (zh) 网络安全情报威胁度的检测方法、装置和电子装置
CN114915475B (zh) 攻击路径的确定方法、装置、设备及存储介质
CN113360895B (zh) 站群检测方法、装置及电子设备
CN117240632B (zh) 一种基于知识图谱的攻击检测方法和系统
CN116319077B (zh) 网络攻击检测方法和装置、设备、存储介质和产品
CN116208416A (zh) 一种工业互联网的攻击链路挖掘方法及系统
CN114528552B (zh) 基于漏洞的安全事件关联方法及相关设备
CN111030977A (zh) 一种攻击事件追踪方法、装置及存储介质
CN112231700B (zh) 行为识别方法和装置、存储介质及电子设备
CN114817928A (zh) 网络空间数据融合分析方法、系统、电子设备及存储介质
CN110401639B (zh) 网络访问的异常判定方法、装置、服务器及其存储介质
CN111800391A (zh) 端口扫描攻击的检测方法、装置、电子设备及存储介质
CN113032774A (zh) 异常检测模型的训练方法、装置、设备及计算机存储介质
CN114070819B (zh) 恶意域名检测方法、设备、电子设备及存储介质
CN111651761A (zh) 一种黑产电子设备检测方法、装置、服务器及存储介质
Altinisik et al. ProvG-Searcher: A Graph Representation Learning Approach for Efficient Provenance Graph Search
CN116488941B (zh) 攻击链的检测方法、装置及设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Harbin, Heilongjiang Province (No. 838, Shikun Road)

Applicant after: Antan Technology Group Co.,Ltd.

Address before: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Harbin, Heilongjiang Province (No. 838, Shikun Road)

Applicant before: Harbin Antian Science and Technology Group Co.,Ltd.

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant