CN112887285A - 一种跨空间图层映射的网络行为智能画像分析方法 - Google Patents

Abstract

本发明提供了一种跨空间图层映射的网络行为智能画像分析方法。该方法包括基于网络攻击行为事理的图层映射与图层构建；利用图层不断切换为用户、专家呈现不同的图谱展示视角，采用自动数据抽取与人工标准相结合的形式实现网络行为信息抽取；基于知识图谱的图层要素表示技术对抽取焦点数据进行融合、推理、补全，进行网络攻击行为的分析与画像。该方法采用网络空间地理图谱图层叠加方式，通过图层切换和可视化表达进行网络行为的智能画像与可视化推演分析，基于各类网络攻击行为在跨物理空间、网络空间、社会空间不同要素图层叠加形成的综合知识图谱对网络攻击行为关系图谱进行分析，实现对网络攻击行为的智能画像与关系分析。

Description

一种跨空间图层映射的网络行为智能画像分析方法

技术领域

本发明涉及网络安全技术领域，更具体地，涉及一种跨空间图层映射的网络行为智能画像分析方法。

背景技术

随着信息网络空间技术飞速发展，网络虚拟空间与现实空间深度融合，天地人机一体化的网络空间正在形成，虚拟空间关系、虚拟空间与物理空间关系、虚拟空间与社会空间关系错综复杂，为了解掌握网络空间安全机理和网络安全监测与保障工作开展带来了挑战。目前用于进行网络威胁攻击行为分析的数据来源多样，数据结构差异大，数量庞大高维，且数据关系分析层面上具有关系隐式化、时间依赖强、攻击类型复杂多变等特点，网络异常行为、威胁攻击行为分析方面，面临认知负担过重、交互性不强、难以精准分析等困难。

现有的进行网络威胁攻击行为分析的方式包括平行轴、多色地图、断层图、雷达图、流式堆叠图和可视屏幕瀑布水流图，但是平行轴、多色地图、断层图、雷达图、流式堆叠图无法解决数据堆叠和遮挡造成的行为分析困难的问题，分析准确度低；而可视屏幕瀑布水流图方法通过颜色和形状编码展示网络安全信息元素，虽然能够将整体和细节融合，但面临越来越严重的网络安全威胁和越来越复杂的攻击手段，依然存在图形绘制效率低的问题。

发明内容

鉴于上述问题，本发明提出了一种跨空间图层映射的网络行为智能画像分析方法，基于网络地理图谱图层叠加的理论，辅以基于知识图谱的图层数据表示方式进行视角转换驱动的可视化行为分析,可有效提升网络行为智能分析的数据访问效率。

本发明实施例中提供了一种跨空间图层映射的网络行为智能画像分析方法，具体包括：

获取网络空间行为图谱，并划分网络空间一级图层；

获取网络行为日志，生成网络攻击事理；

根据所述网络空间一级图层和所述网络攻击事理生成网络空间二级图层，并保存为网络攻击事理图层；

根据所述网络攻击事理图层生成网络攻击多视角视图，所述网络攻击多视角视图包括一底N映射视图、两图层组合、1主N辅视图；

对所述一底N映射视图，进行第一视图焦点数据提取；

对所述两图层组合，进行第二视图焦点数据提取；

对所述1主N辅视图，进行第三视图焦点数据提取；

根据所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据生成多源提取数据融合信息；

根据所述多源提取数据融合信息和所述网络攻击事理图层进行画像融合、推理和补全，输出可视化融合画像。

在一个或多个实施例中，优选地，所述网络空间行为图谱包括：地理环境图谱、网络环境图谱、业务环境图谱、虚拟主体图谱。

在一个或多个实施例中，优选地，所述获取网络行为日志，生成网络攻击事理，具体包括：

获取网络行为日志，读取所述网络行为日志中的全部切片信息；

通过基础库对所述全部切片信息进行关联补全，保存为关联补全后的切片信息，其中，所述基础库包括IP定位库、恶意IP库、恶意域名库、DNS解析库、重点保护目标库、黑客库；

将所述关联补全后的切片信息进行入库保存，保存为所述网络攻击事理；

将实体要素的关系属性存储到所述网络攻击事理中的各个实体节点，其中，所述实体要素关系属性包括攻击关系、解析关系、利用关系和控制关系；

对所述网络攻击事理关系中的实体要素关系进行优化和修正，所述优化和修正包括对同图层要素的聚合分类、对相似要素的补充和对不同图层要素的推理。

在一个或多个实施例中，优选地，所述网络空间二级图层包括：攻击组织或个人、保护目标、攻击方法/手段、网络空间资源、2D或3D地图。

在一个或多个实施例中，优选地，所述根据所述网络攻击事理图层生成网络攻击多视角视图，所述网络攻击多视角视图包括一底N映射视图、两图层组合、1主N辅视图，具体包括：

根据所述网络攻击事理图层通过不断切换为用户和专家视角，呈现为不同的图谱展示视角；

通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，将所述网络攻击事理图层中一个图层作为基底，其他图层同时向所述基底的关键属性映射的视角保存为所述一底N映射视图；

通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，将所述网络攻击事理图层中任意两个图层以及图层间关系组合视图保存为所述两图层组合；

通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，所述网络攻击事理图层中将以一个图层为核心图层，通过所述核心图层与其他图层之间的主要关联关系抽取主图层要素相关信息的视图保存为1主N辅视图。

在一个或多个实施例中，优选地，所述对所述一底N映射视图，进行第一视图焦点数据提取，具体包括：

在所述一底N映射视图中，将所述基底和其它图层的公共的要素属性设置为实体属性；

通过人为手动的或根据预算规则自动的在所述基底中呈现选择公共属性值；

在所述基底上以所述公共属性值对应的点为中心，根据预设的搜索范围数值为半径采用深度优先遍历和广度优先遍历相结合方式进行实体间关系搜索；

将所有的与所述公共属性值距离小于等于预设的搜素范围数值的实体间关系保存为所述第一视图焦点数据。

在一个或多个实施例中，优选地，所述对所述两图层组合，进行第二视图焦点数据提取，具体包括：

在所述两图层组合中，通过高亮点选择一个关注要素；

根据所述关注要素进行深度优先遍历和广度优先遍历相结合方式的搜索，判断在所述两图层组合是否有满足预设条件的要素；

当获得满足所述预设条件的要素时，将该要素保存为目标要素点，并按照所述关注要素点和所述目标要素点之间的关联通路，并将所述关联通路中的每个点作为关联信息输出为所述第二视图焦点数据；

当不存在满足所述预设条件的要素时，将所述关注要素的关联信息输出为所述第二视图焦点数据。

在一个或多个实施例中，优选地，所述对所述1主N辅视图，进行第三视图焦点数据提取，具体包括：

在所述1主N辅视图中的所述核心图层中，选择一个要素作为核心要素；

获取用户或专家预设的目标深度和目标广度，其中，所述目标深度为N，所述目标广度为M；

以所述核心要素为基础，对所述1主N辅视图进行深度为N和广度为M的搜索提取，提取所有的关联数据保存为所述第三视图焦点数据；

在所述1主N辅视图中的所述核心图层中，反复更换使用新的核心要素并进行深度为N和广度为M的搜索提取新增关联数据，将获取的所有的新增关联数据加入所述第三视图焦点数据；

当所述核心图层不存在新的核心要素时，输出所述第三视图焦点数据。

在一个或多个实施例中，优选地，对所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据进行图谱互连，形成所述多源提取数据融合信息。

在一个或多个实施例中，优选地，所述根据所述多源提取数据融合信息进行画像融合、推理和补全，生成可视化图形画像，具体包括：

获取所述多源提取数据融合信息和所述网络攻击事理图层；

根据所述多源提取数据融合信息进行画像融合，获得保护目标画像、工具手段画像和攻击方画像；

根据所述多源提取数据融合信息进行数据推理，进行场景时序演进；

根据所述多源提取数据融合信息和所述网络攻击事理图层进行信息的补全和展示，补全网络攻击链的场景，展示网络行为在网络空间中的踪迹；

根据所述网络攻击事理图层和所述多源提取数据融合信息进行可视化图形的渲染，所述可视化图形包括所述目标画像、所述工具手段画像、所述攻击方画像。

本发明的实施例提供的技术方案可以包括以下有益效果：

1)本发明提出一种跨空间图层映射的网络行为智能画像分析方法，包括图层叠加、多角度视图和多源数据融合，提供了一种对于网络行为的画像和分析方式。

2)本发明以知识图谱的图层数据为基础，进行一底N映射视图、两图层组合的1主N辅视图的多视角转换，进行驱动可视化行为分析，可有效提升网络行为智能分析效率。

3)本发明从网络攻击通常关心的保护目标、攻击组织与个人、攻击工具与武器、网络空间资源、2D或3D地图出发，通过主图层视角关联其他图层信息对网络攻击行为关系图谱进行分析，可准确、全面地进行网络行为的分析。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法的流程图。

图2是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法的框架示意图。

图3是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的获取网络行为日志，生成网络攻击事理的流程图。

图4是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的根据所述网络攻击事理图层生成网络攻击多视角视图的流程图。

图5是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的对所述一底N映射视图，进行第一视图焦点数据提取的流程图。

图6是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的1底N映射视图中可视化图像焦点提取原理示意图。

图7是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的对所述两图层组合，进行第二视图焦点数据提取的流程图。

图8是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的两图层组合焦点数据提取原理示意图。

图9是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的对所述1主N辅视图，进行第三视图焦点数据提取的流程图。

图10是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的1主N辅视图焦点数据提取原理示意图。

图11是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的根据所述多源提取数据融合信息和所述网络攻击事理图层进行画像融合、推理和补全，输出可视化融合画像的流程图。

具体实施方式

在本发明的说明书和权利要求书及上述附图中的描述的一些流程中，包含了按照特定顺序出现的多个操作，但是应该清楚了解，这些操作可以不按照其在本文中出现的顺序来执行或并行执行，操作的序号如101、102等，仅仅是用于区分开各个不同的操作，序号本身不代表任何的执行顺序。另外，这些流程可以包括更多或更少的操作，并且这些操作可以按顺序执行或并行执行。需要说明的是，本文中的“第一”、“第二”等描述，是用于区分不同的消息、设备、模块等，不代表先后顺序，也不限定“第一”和“第二”是不同的类型。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

随着信息网络空间技术飞速发展，网络虚拟空间与现实空间深度融合，天地人机一体化的网络空间正在形成，虚拟空间关系、虚拟空间与物理空间关系、虚拟空间与社会空间关系错综复杂，为了解掌握网络空间安全机理和网络安全监测与保障工作开展带来了挑战。目前用于进行网络威胁攻击行为分析的数据来源多样，数据结构差异大，数量庞大高维，且数据关系分析层面上具有关系隐式化、时间依赖强、攻击类型复杂多变等特点，网络异常行为、威胁攻击行为分析方面，面临认知负担过重、交互性不强、难以精准分析等困难。

但是，现有的进行网络威胁攻击行为分析的方式包括两类，第一类方法包括平行轴、多色地图、断层图、雷达图、流式堆叠图；第二类方法为可视屏幕瀑布水流图。对于所述第一类方法，平行轴、多色地图、断层图、雷达图、流式堆叠图在网络攻击行为分析方面具有不同程度的优越性，无法解决数据堆叠和遮挡造成的行为分析困难的问题，分析准确度低；而可视屏幕瀑布水流图方法通过颜色和形状编码展示网络安全信息元素，虽然能够将整体和细节融合，但面临越来越严重的网络安全威胁和越来越复杂的攻击手段，存在图形绘制效率低的问题。

本发明实施例中，提供了一种跨空间图层映射的网络行为智能画像分析方法，该方案通过采用网络空间地理图谱图层叠加方式，通过图层切换和可视化表达进行网络行为的智能画像与可视化推演分析，基于各类网络攻击行为在跨物理空间、网络空间、社会空间不同要素图层叠加形成的综合知识图谱，从网络攻击通常关心的业务环境-保护目标、虚拟空间-攻击组织与个人、网络环境-攻击工具与武器、网络环境-网络空间资源、地理环境-2D或3D地图五个方面出发，对网络攻击行为关系图谱进行分析，实现对网络攻击行为的智能画像与关系分析，其中，业务环境-保护目标具体表示网络空间一级图层中的业务环境与网络空间二级图层中的保护目标之间的关系，2D或3D地图为2dimension或3dimension地图，具体表示2维地图或3维地图。

图1是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法的流程图。

在一个或多个实施例中，优选地，提供了一种跨空间图层映射的网络行为智能画像分析方法，具体包括：

S101、获取网络空间行为图谱，并划分网络空间一级图层；

S102、获取网络行为日志，生成网络攻击事理；

S103、根据所述网络空间一级图层和所述网络攻击事理生成网络空间二级图层，并保存为网络攻击事理图层；

S104、根据所述网络攻击事理图层生成网络攻击多视角视图，所述网络攻击多视角视图包括一底N映射视图、两图层组合、1主N辅视图；

S105、对所述一底N映射视图，进行第一视图焦点数据提取；

S106、对所述两图层组合，进行第二视图焦点数据提取；

S107、对所述1主N辅视图，进行第三视图焦点数据提取；

S108、根据所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据生成多源提取数据融合信息；

S109、根据所述多源提取数据融合信息和所述网络攻击事理图层进行画像融合、推理和补全，输出可视化融合画像。

本发明实施例中，采用网络空间地理图谱图层叠加理念，通过图层切换与可视化表达手段进行网络行为智能画像与可视化推演分析的方法。基于各类网络攻击行为在跨物理空间、网络空间、社会空间不同要素图层叠加形成的综合知识图谱，从网络攻击通常关心的业务环境-保护目标、虚拟空间-攻击组织与个人、网络环境-攻击工具与武器、网络环境-网络空间资源、地理环境-2D/3D地图五个方面出发，通过主图层视角关联其他图层信息对网络攻击行为关系图谱进行分析，充分利用可视化图形焦点关注提取、用户关心视角提取、主-从图层视角提取等技术，实现对网络攻击行为的智能画像与关系分析。

图2是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法的框架示意图。

如图2所示，在一个或多个实施例中，优选地，所述网络空间行为图谱包括：地理环境图谱、网络环境图谱、业务环境图谱、虚拟主体图谱。

在一个或多个实施例中，优选地，所述网络空间二级图层包括：攻击组织或个人、保护目标、攻击方法/手段、网络空间资源、2D或3D地图。

在一个或多个实施例中，优选地，对所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据进行图谱互连，形成所述多源提取数据融合信息。

本发明实施例中，在1底N映射视图可视化图像焦点提取第一视图焦点数据，在两图层组合中提取所述第二视图焦点数据，在1主N辅视图提取所述第三视图焦点数据，所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据均是基于相同的本体定义体系构建形成的图谱。由于采用图层叠加理念的图谱融合不会出现本体相关数据图谱，因此仅需图谱互连，基于互连形成的图谱进行相对有限范围内的推理、处理后进行输出、展示与应用。

图3是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的获取网络行为日志，生成网络攻击事理的流程图。

如图3所示，在一个或多个实施例中，优选地，所述获取网络行为日志，生成网络攻击事理，具体包括：

S301、获取网络行为日志，读取所述网络行为日志中的全部切片信息；

S302、通过基础库对所述全部切片信息进行关联补全，保存为关联补全后的切片信息，其中，所述基础库包括IP定位库、恶意IP库、恶意域名库、DNS解析库、重点保护目标库、黑客库；

其中，IP全称为InternetProtocol是指互联网协议。IP地址是IP协议提供的一种统一的地址格式，它为互联网上的每一个网络和每一台主机分配一个逻辑地址，以此来屏蔽物理地址的差异；域名系统(Domain Name System，缩写：DNS)是互联网的一项服务。DNS作为将域名和IP地址相互映射的一个分布式数据库，能够使用户更方便地访问互联网。

S303、将所述关联补全后的切片信息进行入库保存，保存为所述网络攻击事理；

S304、将实体要素的关系属性存储到所述网络攻击事理中的各个实体节点，其中，所述实体要素关系属性包括攻击关系、解析关系、利用关系和控制关系；

S305、对所述网络攻击事理关系中的实体要素关系进行优化和修正，所述优化和修正包括对同图层要素的聚合分类、对相似要素的补充和对不同图层要素的推理。

本发明实施例中，一个完整的网络攻击事件由多个有序或无序的网络攻击行为组成，每一个网络攻击行为在网络空间体现为各类网络行为日志；网络行为日志反映了不同的网络行为切片，可映射为完整或不完整的时间/时间段、攻击方资源信息、被攻击方资源信息、攻击方法/手段信息、利用资源信息等。这些信息因网络行为类型的不同呈现出不同的事理关系，如攻击与攻击关系、攻击利用关系、使用关系等；这些不同的信息经过各类补全后可映射至包括虚拟主体-攻击组织或个人、业务环境-保护目标、网络环境-攻击方法/手段、网络环境-网络空间资源、地理环境-2D或3D地图在内的网络地理图谱中的图层，图层和图层之间因要素之间关系的存在可以相互叠加，从而呈现为或简单或复杂的图谱。

图4是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的根据所述网络攻击事理图层生成网络攻击多视角视图的流程图。

如图4所示，在一个或多个实施例中，优选地，所述根据所述网络攻击事理图层生成网络攻击多视角视图，所述网络攻击多视角视图包括一底N映射视图、两图层组合、1主N辅视图，具体包括：

S401、根据所述网络攻击事理图层通过不断切换为用户和专家视角，呈现为不同的图谱展示视角；

S402、通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，将所述网络攻击事理图层中一个图层作为基底，其他图层同时向所述基底的关键属性映射的视角保存为所述一底N映射视图；

S403、通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，将所述网络攻击事理图层中任意两个图层以及图层间关系组合视图保存为所述两图层组合；

S404、通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，所述网络攻击事理图层中将以一个图层为核心图层，通过所述核心图层与其他图层之间的主要关联关系抽取主图层要素相关信息的视图保存为1主N辅视图。

在一个或多个实施例中，图层构建将网络行为数据信息转为不同的信息切面，将同类实体之间关系转换为图层内部关系，不同类实体之间的关系转变为图层间的关系，多个图层共同构成了对网络空间行为的描绘，以可视化技术结合可从不同的视角呈现视图焦点数据。多视角提取根据不同图层组合视图所展现信息重点的不同，有针对性的对同一行为、事件或关键字关联信息进行提取，形成不同视角的网络行为或攻击事件信息切片，依次独特而又不失详尽的展示网络行为或攻击事件数据。

本发明实施例中，利用图层不断切换为用户、专家呈现不同的图谱展示视角，采用自动数据提取与人工标准相结合的形式，基于不同的视图实现网络行为信息的抽取，本方案中的展示视角根据图层与图层之间关系的不同分为：一底N映射视图，即以一个图层为基底，其他图层同时向底图的某关键属性映射；两图层组合，即任意两个图层以及图层间关系组合视图；一主N辅助视图，即以某个视图为核心，通过该图层与其他图层之间的主要关联关系抽取主图层要素相关信息的视图。通过上述图层视图与数据抽取的组合，可帮助用户、专家从不同图层、不同视角提取网络行为关联数据，降低从海量数据中提取高价值数据的工作复杂度。

图5是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的对所述一底N映射视图，进行第一视图焦点数据提取的流程图。

如图5所示，在一个或多个实施例中，优选地，所述对所述一底N映射视图，进行第一视图焦点数据提取，具体包括：

S501、在所述一底N映射视图中，将所述基底和其它图层的公共的要素属性设置为实体属性；

S502、通过人为手动的或根据预算规则自动的在所述基底中呈现选择公共属性值；

S503、在所述基底上以所述公共属性值对应的点为中心，根据预设的搜索范围数值为半径采用深度优先遍历和广度优先遍历相结合方式进行实体间关系搜索；

S504、将所有的与所述公共属性值距离小于等于预设的搜素范围数值的实体间关系保存为所述第一视图焦点数据。

图6是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的1底N映射视图中可视化图像焦点提取原理示意图。用作基底的图层与其他图层关联的公共要素属性，是1底N映射视图可视化图像焦点提取所重点使用的实体属性。例如：以地图为地图的视图，位置是提取所重点使用的实体属性。

本发明实施例中，在进行焦点范围提取时，首先根据基底人为或根据某种可视化规则呈现情况选择公共属性值；以基底上显示的该公共属性值对应的点为中心，设定属性半径r或者参照人视觉可关注范围为依据选定属性半径r，确定选定要素属性范围；在基底以及映射图层要素中以公共属性值为中心，r为半径进行实体及实体关系搜索，即公共要素属性值差小于等于r的所有实体及实体直接关系，搜索采用深度优先与广度优先相结合的算法进行搜索提取；最终，可将跨多个图层的数据以焦点范围跨空间图层数据图的形式输出。

图7是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的对所述两图层组合，进行第二视图焦点数据提取的流程图。

如图7所示，在一个或多个实施例中，优选地，所述对所述两图层组合，进行第二视图焦点数据提取，具体包括：

S701、在所述两图层组合中，通过高亮点选择一个关注要素；

S702、根据所述关注要素进行深度优先遍历和广度优先遍历相结合方式的搜索，判断在所述两图层组合是否有满足预设条件的要素；

S703、当获得满足所述预设条件的要素时，将该要素保存为目标要素点，并按照所述关注要素点和所述目标要素点之间的关联通路，并将所述关联通路中的每个点作为关联信息输出为所述第二视图焦点数据；

S704、当不存在满足所述预设条件的要素时，将所述关注要素的关联信息输出为所述第二视图焦点数据。

图8是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的两图层组合焦点数据提取原理示意图。

在一个或多个实施例中，两图层组合可以将复杂数据关系问题暂时性的抽象为一个图层要素或要素属性在另一个图层上的映射，从而辅助用户、专家更为准确的从关联视角了解和掌握网络行为在某两个图层的映射，可提取出满足B图层限定条件的A图层中的要素和关系，对于长期从事海量数据分析的用户和专家来说可以简化错综复杂的关系，简单化数据的理解与判断。

在本发明实施例中，两图层组合视图焦点一般源于用户或专家关心的某个要素线索或行为片段，在可视化分析中可通过焦点切换或者数据标记获得；获得焦点或者标记焦点后，可综合使用深度优先遍历与广度优先遍历相结合的方法，对两图层进行搜索，获取两图层符合用户、专家预期条件的要素、关系及优先的关联要素、关系；最终，将跨多个图层的数据以焦点范围跨空间图层数据图的形式输出，以供后续网络行为融合画像。

图9是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的对所述1主N辅视图，进行第三视图焦点数据提取的流程图。

在一个或多个实施例中，优选地，所述对所述1主N辅视图，进行第三视图焦点数据提取，具体包括：

S901、在所述1主N辅视图中的所述核心图层中，选择一个要素作为核心要素；

S902、获取用户或专家预设的目标深度和目标广度，其中，所述目标深度为N，所述目标广度为M；

S903、以所述核心要素为基础，对所述1主N辅视图进行深度为N和广度为M的搜索提取，提取所有的关联数据保存为所述第三视图焦点数据；

S904、在所述1主N辅视图中的所述核心图层中，反复更换使用新的核心要素并进行深度为N和广度为M的搜索提取新增关联数据，将获取的所有的新增关联数据加入所述第三视图焦点数据；

S905、当所述核心图层不存在新的核心要素时，输出所述第三视图焦点数据。

图10是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的1主N辅视图焦点数据提取原理示意图。

在一个或多个实施例中，1主N辅视图将视角转变为以某个要素为中心的画像视角，通过其他N个图层的关联描述展示中心要素在N个图层上的呈现，是适用于网络行为要素画像的可视化分析工具，具体实现用户和专家选定关注的某图层要素出发1主N辅焦点数据提取。

本发明实施例中，根据可自动调整的n+m策略可限定N辅提取数据的深度和广度，从而确定数据关联提取的详细程度，其中，所述n+m策略为深度为N和广度为M的搜索提取策略。1+1策略是直接关联数据提取模式，数据最为准确，但容易遗漏关联信息，n和m取值过大往往存在提取误差；经过N个图层映射分别的n+m提取后，可输出主图层要素在N个图层上的关联信息，这些信息放置于一个集合后，再次进行N图层要素间的关系提取组合形成待转换的第三视图焦点数据，第三视图焦点数据通过画像轮廓适配后可直接向可视化前端输出，也可将跨多个图层的数据以焦点范围跨空间图层数据图的形式输出第三视图焦点数据，供后续网络行为融合画像。

图11是本发明一个实施例的一种跨空间图层映射的网络行为智能画像分析方法中的根据所述多源提取数据融合信息和所述网络攻击事理图层进行画像融合、推理和补全，输出可视化融合画像的流程图。

如图11所示，在一个或多个实施例中，优选地，所述根据所述多源提取数据融合信息进行画像融合、推理和补全，生成可视化图形画像，具体包括：

S1101、获取所述多源提取数据融合信息和所述网络攻击事理图层；

S1102、根据所述多源提取数据融合信息进行画像融合，获得保护目标画像、工具手段画像和攻击方画像；

S1103、根据所述多源提取数据融合信息进行数据推理，进行场景时序演进；

S1104、根据所述多源提取数据融合信息和所述网络攻击事理图层进行信息的补全和展示，补全网络攻击链的场景，展示网络行为在网络空间中的踪迹；

S1105、根据所述网络攻击事理图层和所述多源提取数据融合信息进行可视化图形的渲染，所述可视化图形包括所述目标画像、所述工具手段画像、所述攻击方画像。

本发明实施例中，从各个视角关联抽取的数据是从不同的维度出发所抽取的网络行为相关的数据，是行为画像所需的关键数据，这些数据采用基于不同的画像轮廓进行融合、补全、模型适配与可视化呈现后可最终输出网络行为综合画像，包括但不限于行为场景时序演进融合、基于攻击链场景融合、网络空间踪迹融合、保护目标画像、工具手段画像、攻击方画像等。本发明方案与传统网络空间画像不同的是这里采用可视化手段为辅助，将不同维度可视化数据，经过重组、补全的循环后，输出的画像可更加直观、全方位的描述网络行为和网络攻击行为。

本发明的实施例提供的技术方案可以包括以下有益效果：

1)本发明提出一种跨空间图层映射的网络行为智能画像分析方法，包括图层叠加、多角度视图和多源数据融合，提供了一种对于网络行为的画像和分析方式。

2)本发明以知识图谱的图层数据为基础，进行一底N映射视图、两图层组合的1主N辅视图的多视角转换，进行驱动可视化行为分析，可有效提升网络行为智能分析效率。

3)本发明从网络攻击通常关心的保护目标、攻击组织与个人、攻击工具与武器、网络空间资源、2D或3D地图出发，通过主图层视角关联其他图层信息对网络攻击行为关系图谱进行分析，可准确、全面地进行网络行为的分析。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，包括：

获取网络空间行为图谱，并划分网络空间一级图层；

获取网络行为日志，生成网络攻击事理；

根据所述网络空间一级图层和所述网络攻击事理生成网络空间二级图层，并保存为网络攻击事理图层；

根据所述网络攻击事理图层生成网络攻击多视角视图，所述网络攻击多视角视图包括一底N映射视图、两图层组合、1主N辅视图；

对所述一底N映射视图，进行第一视图焦点数据提取；

对所述两图层组合，进行第二视图焦点数据提取；

对所述1主N辅视图，进行第三视图焦点数据提取；

根据所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据生成多源提取数据融合信息；

根据所述多源提取数据融合信息和所述网络攻击事理图层进行画像融合、推理和补全，输出可视化融合画像。

2.如权利要求1所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述网络空间行为图谱包括：地理环境图谱、网络环境图谱、业务环境图谱、虚拟主体图谱。

3.如权利要求1所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述获取网络行为日志，生成网络攻击事理，具体包括：

获取网络行为日志，读取所述网络行为日志中的全部切片信息；

通过基础库对所述全部切片信息进行关联补全，保存为关联补全后的切片信息，其中，所述基础库包括IP定位库、恶意IP库、恶意域名库、DNS解析库、重点保护目标库、黑客库；

将所述关联补全后的切片信息进行入库保存，保存为所述网络攻击事理；

将实体要素的关系属性存储到所述网络攻击事理中的各个实体节点，其中，所述实体要素关系属性包括攻击关系、解析关系、利用关系和控制关系；

对所述网络攻击事理关系中的实体要素关系进行优化和修正，所述优化和修正包括对同图层要素的聚合分类、对相似要素的补充和对不同图层要素的推理。

4.如权利要求1所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述网络空间二级图层包括：攻击组织或个人、保护目标、攻击方法/手段、网络空间资源、2D或3D地图。

5.如权利要求1所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述根据所述网络攻击事理图层生成网络攻击多视角视图，所述网络攻击多视角视图包括一底N映射视图、两图层组合、1主N辅视图，具体包括：

根据所述网络攻击事理图层通过不断切换为用户和专家视角，呈现为不同的图谱展示视角；

通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，将所述网络攻击事理图层中一个图层作为基底，其他图层同时向所述基底的关键属性映射的视角保存为所述一底N映射视图；

通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，将所述网络攻击事理图层中任意两个图层以及图层间关系组合视图保存为所述两图层组合；

通过自动数据提取与人工提取结合方式，对所述不同的图谱展示视角进行网络行为信息的抽取，所述网络攻击事理图层中将以一个图层为核心图层，通过所述核心图层与其他图层之间的主要关联关系抽取主图层要素相关信息的视图保存为1主N辅视图。

6.如权利要求5所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述对所述一底N映射视图，进行第一视图焦点数据提取，具体包括：

在所述一底N映射视图中，将所述基底和其它图层的公共的要素属性设置为实体属性；

通过人为手动的或根据预算规则自动的在所述基底中呈现选择公共属性值；

在所述基底上以所述公共属性值对应的点为中心，根据预设的搜索范围数值为半径采用深度优先遍历和广度优先遍历相结合方式进行实体间关系搜索；

将所有的与所述公共属性值距离小于等于预设的搜素范围数值的实体间关系保存为所述第一视图焦点数据。

7.如权利要求5所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述对所述两图层组合，进行第二视图焦点数据提取，具体包括：

在所述两图层组合中，通过高亮点选择一个关注要素；

根据所述关注要素进行深度优先遍历和广度优先遍历相结合方式的搜索，判断在所述两图层组合是否有满足预设条件的要素；

当获得满足所述预设条件的要素时，将该要素保存为目标要素点，并按照所述关注要素点和所述目标要素点之间的关联通路，并将所述关联通路中的每个点作为关联信息输出为所述第二视图焦点数据；

当不存在满足所述预设条件的要素时，将所述关注要素的关联信息输出为所述第二视图焦点数据。

8.如权利要求5所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述对所述1主N辅视图，进行第三视图焦点数据提取，具体包括：

在所述1主N辅视图中的所述核心图层中，选择一个要素作为核心要素；

获取用户或专家预设的目标深度和目标广度，其中，所述目标深度为N，所述目标广度为M；

以所述核心要素为基础，对所述1主N辅视图进行深度为N和广度为M的搜索提取，提取所有的关联数据保存为所述第三视图焦点数据；

在所述1主N辅视图中的所述核心图层中，反复更换使用新的核心要素并进行深度为N和广度为M的搜索提取新增关联数据，将获取的所有的新增关联数据加入所述第三视图焦点数据；

当所述核心图层不存在新的核心要素时，输出所述第三视图焦点数据。

9.如权利要求1所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，对所述第一视图焦点数据、所述第二视图焦点数据和所述第三视图焦点数据进行图谱互连，形成所述多源提取数据融合信息。

10.如权利要求1所述的一种跨空间图层映射的网络行为智能画像分析方法，其特征在于，所述根据所述多源提取数据融合信息进行画像融合、推理和补全，生成可视化图形画像，具体包括：

获取所述多源提取数据融合信息和所述网络攻击事理图层；

根据所述多源提取数据融合信息进行画像融合，获得保护目标画像、工具手段画像和攻击方画像；

根据所述多源提取数据融合信息进行数据推理，进行场景时序演进；

根据所述多源提取数据融合信息和所述网络攻击事理图层进行信息的补全和展示，补全网络攻击链的场景，展示网络行为在网络空间中的踪迹；

根据所述网络攻击事理图层和所述多源提取数据融合信息进行可视化图形的渲染，所述可视化图形包括所述目标画像、所述工具手段画像、所述攻击方画像。

Images