CN111880708A - 一种网络攻击事件图的交互方法及存储介质 - Google Patents

Abstract

本申请公开了一种网络攻击事件图的交互方法及存储介质，所述交互方法包括：基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素；根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。本申请通过网络攻击事件图提供的不同的交互模式下，响应于用户的交互操作，使得网络攻击事件图呈现出网络攻击事件的整个流程，并根据用户的需要对其中的关键信息加以显示，以提高用户对网络攻击事件的分析处理和溯源的效率。

Description

一种网络攻击事件图的交互方法及存储介质

技术领域

本申请涉及信息安全技术领域，尤其涉及一种网络攻击事件图的交互方法及存储介质。

背景技术

随着网络的普及和计算机技术的不断发展，网络攻击形式也层出不穷，使得信息安全的环境越加复杂，网络信息安全问题日益突出。告警日志是在检测到网络攻击行为后，提供给网络管理人员的第一手信息。通常检测到网络攻击性问后，一个网络攻击会对应产生一个告警信息，基于网络攻击的类型的不同，告警日志中聚集的信息就不同。

目前所绘制的网络攻击事件图上通常交互样式比较少，大部分网络攻击事件图仅是用文字配上相应的告警信息来进行说明，或者直接将后台收集到的告警数据用表格的形式进行展示，不能提供给网络管理人员较大的自由度来对网络攻击事件图进行交互操作，也不便于对网络攻击事件图根据需要进行溯源分析，不能有针对性地对网络攻击做出判断和相应地排除。

发明内容

本申请实施例的目的在于提供一种网络攻击事件图的交互方法及存储介质，以解决现有技术中关于网络攻击事件图的交互样式少，自由度小，不便于对网络攻击事件进行溯源分析和处理的问题。

为解决上述技术问题，本申请的实施例采用了如下技术方案：

一种网络攻击事件图的交互方法，包括：

基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素；

根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。

在一些实施例中，通过所述网络攻击事件图提供第一交互模式时，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，具体为：

响应于用户针对节点的点击操作，所述节点提供可交互选项，以对所述多个节点进行添加或删除，从而所述网络攻击事件图可提供给用户具有不同节点的界面。

在一些实施例中，通过所述多个节点的可交互操作，提供扩展警告信息的交互选项，包括；

响应于用户针对所述对多个节点的点击操作，所述多个节点可提供扩展警告信息的交互选项供用户进行选择，以列出相应的扩展警告信息中的元素，供用户对所需的节点进行添加操作。

在一些实施例中，通过所述多个节点的可交互操作，提供选定临近节点的交互选项，包括；

响应于用户针对节点的点击操作，所述节点可提供选定临近节点的交互选项，以对所述节点的选定临近节点进行选定操作，供用户对选中的相应节点进行处理操作。

在一些实施例中，通过所述网络攻击事件图提供包含搜索框的交互项，包括；

响应于用户针对搜索框的输入操作，所述网络攻击事件图能根据输入操作提供相应节点，以供用户对所述节点进行添加操作。

在一些实施例中，通过所述网络攻击事件图提供能够反选的交互项；

响应于用户针对所述多个节点进行的反选操作，所述网络攻击事件图上的所述多个节点能切换选定状态，以供用户对选定的节点进行处理操作。

在一些实施例中，响应于用户针对节点进行单击的交互操作，通过所述网络攻击事件图提供给用户所述节点所表征的元素的信息集合。

在一些实施例中，所述网络攻击事件图还包括连接所述多个节点的多组连线，用于表征相应元素之间的关系或所述网络攻击的信息；响应于用户针对所述对多个节点的悬停或点击操作，通过所述多组连线提供给用户关于所述相应元素之间的关系或所述网络攻击的信息。

在一些实施例中，响应于用户针对节点进行拖动的交互操作，其他节点和所述其他节点间的连线形成联动。

本申请还提供了一种存储介质，所述存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，执行如下步骤：

基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素；

根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。

本申请实施例的有益效果在于：通过网络攻击事件图的提供的不同的交互模式下，响应于用户的交互操作，网络攻击事件图能提供给用户不同的交互操作界面，以供用户进行进一步地操作，使得网络攻击事件图呈现出网络攻击事件的整个流程，并根据用户的需要对其中的关键信息加以显示，以提高用户对网络攻击事件的分析处理和溯源的效率。

附图说明

图1为本申请实施例的一种网络攻击事件图的交互方法的流程图；

图2为本申请实施例的一种网络攻击事件图的交互方法的示意图。

具体实施方式

此处参考附图描述本申请的各种方案以及特征。

应理解的是，可以对此处申请的实施例做出各种修改。因此，上述说明书不应该视为限制，而仅是作为实施例的范例。本领域的技术人员将想到在本申请的范围和精神内的其他修改。

包含在说明书中并构成说明书的一部分的附图示出了本申请的实施例，并且与上面给出的对本申请的大致描述以及下面给出的对实施例的详细描述一起用于解释本申请的原理。

通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本申请的这些和其它特性将会变得显而易见。

还应当理解，尽管已经参照一些具体实例对本申请进行了描述，但本领域技术人员能够确定地实现本申请的很多其它等效形式，它们具有如权利要求所述的特征并因此都位于借此所限定的保护范围内。

当结合附图时，鉴于以下详细说明，本申请的上述和其他方面、特征和优势将变得更为显而易见。

此后参照附图描述本申请的具体实施例；然而，应当理解，所申请的实施例仅仅是本申请的实例，其可采用多种方式实施。熟知和/或重复的功能和结构并未详细描述以避免不必要或多余的细节使得本申请模糊不清。因此，本文所申请的具体的结构性和功能性细节并非意在限定，而是仅仅作为权利要求的基础和代表性基础用于教导本领域技术人员以实质上任意合适的详细结构多样地使用本申请。

本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本申请的相同或不同实施例中的一个或多个。

为了维护网络信息安全，安全中心通常需要对威胁网络安全的行为进行告警，最后生成相应的告警日志，这些告警日志直接展示给网络管理人员时，不能提供给网络管理人员较大的自由度来对网络攻击事件图进行交互操作，使得网络管理人员不能根据需要进行相应的分析和处理，不利于网络安全的维护。

为此，本申请的实施例提供了一种网络攻击事件图的交互方法，通过对网络攻击事件图，将网络攻击事件的流程可视化地呈现给网络管理人员，以便其对网络攻击事件进行分析，有利于发现并排除相应的网络威胁。

为使本申请的上述目的和优点能够更加清楚易懂，下面结合附图对本申请的具体实施方式做详细的说明。

参见图1，该图为本申请实施例提供的一种网络攻击事件图的交互方法的流程示意图，所述方法包括如下步骤S1至S2：

S1,基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素。

本实施例中，告警日志中包括对应各种网络攻击的告警信息，可以从已有的针对网络攻击设置的安全监控平台上获取，也可以是通过对于目标网络进行安全监控软件部署，以对网络攻击行为进行检测，从而获取的各类网络攻击事件的告警信息。本步骤中，可采用各种关系类型的模型图，例如力导向图，将网络攻击的告警日志中的各项元素进行过滤，选取出来有效的元素，加载模型图并设置图中的节点和连线，以获取网络攻击事件图，网络攻击事件图中用节点来表征有效的各项元素。

S2,根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。

网络攻击事件图可提供多种交互模式给用户进行交互操作，在不同的交互模式中，根据用户的交互操作，例如用户对节点的点击、拖动、删除或添加节点的操作，改变网络攻击事件图中的节点，从而网络攻击事件图中可呈现出不同的操作界面，供用户进行进一步地操作，最终根据用户的需要，网络攻击事件图可以是呈现有不同的元素，或者显示出不同元素的详细信息，以供用户对网络攻击事件进行分析溯源和处理。

本实施例中，通过网络攻击事件图的提供的不同的交互模式下，响应于用户的交互操作，网络攻击事件图能提供给用户不同的交互操作界面，以供用户进行进一步地操作，使得网络攻击事件图呈现出网络攻击事件的整个流程，并根据用户的需要对其中的关键信息加以显示，以提高用户对网络攻击事件的分析处理和溯源的效率。

在一些实施例中，如图2所示，网络攻击事件图提供第一交互模式时，可以响应于用户针对节点的点击操作，所述节点提供可交互选项，以对所述多个节点进行添加或删除，从而所述网络攻击事件图可提供给用户具有不同节点的界面。

具体的，第一交互模式可以是溯源模式，用户需要进行溯源分析时，可以进入溯源模式，对网络攻击事件图上的节点进行点击操作，该节点会响应于用户的点击操作，呈现为选定状态，此时网络攻击事件图能提供给用户所述节点所表征的元素的信息集合，例如可以提供相关威胁元素的目标的用户名、主机名、操作系统、进程(包括文件名称、文件大小、工作路径、命令行、父进程、父进程命令行等)、目标IP(包括端口和地址等)、域名URL、文件(文件大小、文件权限等)等，也可以提供网络攻击的名称、威胁阶段、威胁类型、告警描述、严重级别、威胁标签、攻击的结果、攻击时间、置信度、黑客组织和病毒家族等，提供的信息展示于网络事件图的页面上，可以以卡片形式列出相关信息，供用户进行查看；同时该节点可以提供多个交互操作选项，包括扩展告警信息、选中临近节点和删除该节点的选项；通过点击扩展告警信息的选项，网络攻击事件图上可以展示该节点在某一时间段内的全部相关的告警信息，用户可以进行选择，根据需要选取对应的元素，已添加节点至网络攻击事件图上，所添加的节点对应的表征所选取的对应的元素；通过点击选中临近节点的选项，可以将与该节点直接连接的节点全部变为选中状态，以供用户对选中的节点进行相应处理的操作，可以是一起删除，或者一起移动或复制等等；通过点击删除该节点的选项，可以对相应的节点进行删除操作，以从网络攻击事件图上删除该节点。

在一些实施例中，网络攻击事件图在溯源模式下还提供反选的交互项，通过点击反选交互项，网络攻击事件图上的节点的能切换选定状态，选定状态的节点的状态会切换为非选定状态，非选定状态的节点会切换为选定状态，从而供用户对选中的节点进行相应处理的操作，可以是一起删除，或者一起移动或复制等等。

在一些实施例中，例如在用户退出溯源模式后，响应于用户针对节点进行单击的交互操作，此时网络攻击事件图也能提供给用户所述节点所表征的元素的信息集合，例如可以提供相关威胁元素的目标的用户名、主机名、操作系统、进程(包括文件名称、文件大小、工作路径、命令行、父进程、父进程命令行等)、目标IP(包括端口和地址等)、域名URL、文件(文件大小、文件权限等)等，也可以提供网络攻击的名称、威胁阶段、威胁类型、告警描述、严重级别、威胁标签、攻击的结果、攻击时间、置信度、黑客组织和病毒家族等，提供的信息展示于网络事件图的页面上，可以以卡片形式列出相关信息，供用户进行查看。

在一些实施例中，所述网络攻击事件图还包括连接所述多个节点的多组连线，用于表征相应元素之间的关系或所述网络攻击的信息；响应于用户针对所述对多个节点的悬停或点击操作，通过所述多组连线提供给用户关于所述相应元素之间的关系或所述网络攻击的信息。

具体地，连线两端的节点所表征的元素之间的关系可以通过连线来呈现，例如，一端的节点表征的用户元素与另一端节点所表征的网络IP之间的关系，用户登录到该网络IP时，连线上可显示登录，以呈现两端的节点所表征的元素的关系，可以在模型图中设置连线上的信息的呈现方式，可以是一直呈现于连线上，也可以隐藏该信息，根据交互操作显示出来，以根据需要淡化其他信息，从而突出呈现所需的关键信息，本实施例中默认隐藏相应的关系信息，在鼠标点击节点或悬停至相应节点上时，可以显示与该节点连接的其他节点之间的关系信息，相比于其他未选中的节点，突出该节点的关系信息，供用户进行查看和分析。

在一些实施例中，响应于用户针对节点进行拖动的交互操作，其他节点和所述其他节点间的连线形成联动。网络攻击事件图中的节点可以响应用户的拖动操作，进行自由地移动，本实施例中以力导向图为例，由于力导向图中各节点之间存在斥力，拖动一个节点，其他的节点也会移动，相应地，连线也会跟着相应的节点进行移动，从而根据该拖动的节点形成整个网络攻击事件图的重新分布；当然，也可以将节点和连线设置为固定状态，此时，被拖动的节点响应用户的拖动操作进行移动，其他的节点和连线保持在原来位置，固定不变，不会随被拖动的节点的位置移动而改变位置。

可以理解的是，本申请实施例中，网络攻击事件图的页面上提供有撤销这一交互选项，网络攻击事件图中的各项操作，例如节点的选定，删除或添加等各项操作，均可以通过撤销选项进行撤销操作，撤销节点的选定，删除或添加等，以使网络攻击事件图回复到上一步时的操作界面进行呈现；网络攻击事件图的页面上还提供有复原的交互选项，通过点击复原的选项，网络攻击事件图可以还原到初始绘制生成时的状态，以供用户可以再通过交互操作对网络攻击事件图进行新的溯源分析和处理。

本申请实施例同时提供一种存储介质，所述存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，执行如下步骤：

基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素；

根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。

本实施例中的存储介质可以是电子设备/系统中所包含的；也可以是单独存在，而未装配入电子设备/系统中。上述存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本申请实施例的方法。

根据本申请的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

以上实施例仅为本申请的示例性实施例，不用于限制本申请，本申请的保护范围由权利要求书限定。本领域技术人员可以在本申请的实质和保护范围内，对本申请做出各种修改或等同替换，这种修改或等同替换也应视为落在本申请的保护范围内。

Claims (10)

1.一种网络攻击事件图的交互方法，其特征在于，所述方法包括：

基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素；

根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。

2.根据权利要求1所述的方法，其特征在于，通过所述网络攻击事件图提供第一交互模式时，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，具体为：

响应于用户针对节点的点击操作，所述节点提供可交互选项，以对所述多个节点进行添加或删除，从而所述网络攻击事件图可提供给用户具有不同节点的界面。

3.根据权利要求2所述的方法，其特征在于，通过所述多个节点的可交互操作，提供扩展警告信息的交互选项，包括；

响应于用户针对所述对多个节点的点击操作，所述多个节点可提供扩展警告信息的交互选项供用户进行选择，以列出相应的扩展警告信息中的元素，供用户对所需的节点进行添加操作。

4.根据权利要求3所述的方法，其特征在于，通过所述多个节点的可交互操作，提供选定临近节点的交互选项，包括；

响应于用户针对节点的点击操作，所述节点可提供选定临近节点的交互选项，以对所述节点的选定临近节点进行选定操作，供用户对选中的相应节点进行处理操作。

5.根据权利要求2所述的方法，其特征在于，通过所述网络攻击事件图提供包含搜索框的交互项，包括；

响应于用户针对搜索框的输入操作，所述网络攻击事件图能根据输入操作提供相应节点，以供用户对所述节点进行添加操作。

6.根据权利要求2所述的方法，其特征在于，通过所述网络攻击事件图提供能够反选的交互项；

响应于用户针对所述多个节点进行的反选操作，所述网络攻击事件图上的所述多个节点能切换选定状态，以供用户对选定的节点进行处理操作。

7.根据权利要求1所述的方法，其特征在于，响应于用户针对节点进行单击的交互操作，通过所述网络攻击事件图提供给用户所述节点所表征的元素的信息集合。

8.根据权利要求1所述的方法，其特征在于，所述网络攻击事件图还包括连接所述多个节点的多组连线，用于表征相应元素之间的关系或所述网络攻击的信息；响应于用户针对所述对多个节点的悬停或点击操作，通过所述多组连线提供给用户关于所述相应元素之间的关系或所述网络攻击的信息。

9.根据权利要求8所述的方法，其特征在于，响应于用户针对节点进行拖动的交互操作，其他节点和所述其他节点间的连线形成联动。

10.一种存储介质，所述存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，执行如下步骤：

基于网络攻击的告警日志，获取可交互的网络攻击事件图；其中，所述网络攻击事件图包括多个节点，用于表征所述网络攻击中的各项元素；

根据所述网络攻击事件图提供的交互模式，响应于用户的交互操作，所述网络攻击事件图可提供给用户不同的操作界面，以供用户进行网络攻击事件的分析。

Images