CN113079153A - 网络攻击类型的预测方法、装置及存储介质 - Google Patents

Abstract

本发明实施例提供了一种网络攻击类型的预测方法、装置及存储介质，方法包括：获取多个历史时段中各历史时段内网络攻击的攻击类型列表；基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；基于衍生系数，预测网络攻击的攻击类型。可见，能够基于收集的历史时段内攻击类型列表，挖掘攻击类型之间的关联性，得到攻击类型之间的衍生系数，根据衍生系数进行网络攻击预测，能够准确预测即将发生的网络攻击的攻击类型。此外，该方法不依赖于网络拓扑关系的建立，因此网络拓扑的变化也不会影响网络攻击类型的预测。

Description

网络攻击类型的预测方法、装置及存储介质

技术领域

本发明涉及网络安全技术领域，特别是涉及一种网络攻击类型的预测方法、装置及存储介质。

背景技术

企业网络中的资产难免存在漏洞或缺陷，如果攻击者利用漏洞对资产进行攻击，不但影响资产上服务的正常运行，还能访问资产上的敏感数据。

因此，为了及时防范网络攻击，攻击预测这项研究应运而生。

现有的攻击预测通常是根据网络空间的拓扑结构构建概率图模型，根据概率图模型确定被攻击概率最高的链路。

采用上述攻击预测方式，当网络拓扑发生变化后，需要重新建立模型进行预测，并且，虽然能够预测出最可能被攻击的链路或节点，但无法预测具体是何种攻击，因此不能有针对性的进行防范。

发明内容

本发明实施例的目的在于提供一种网络攻击类型的预测方法、装置及存储介质，以实现准确预测网络攻击类型。

具体技术方案如下：

为实现上述目的，本申请实施例提供了一种网络攻击类型的预测方法，所述方法包括：

获取多个历史时段中各历史时段内网络攻击的攻击类型列表；

基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；

基于所述衍生系数，预测网络攻击的攻击类型。

可选的，所述获取多个历史时段中各历史时段内网络攻击的攻击类型列表的步骤，包括：

从入侵防御系统IPS的告警日志中获取预设时段内网络攻击的攻击事件信息；其中，每个攻击事件信息包括攻击时间和攻击类型；

基于攻击事件的攻击时间，以及预设的各历史时段的时长，将攻击事件划分至多个历史时段；

针对每个历史时段，根据该历史时段内攻击事件的攻击类型，生成该历史时段内网络攻击的攻击类型列表。

可选的，所述基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数的步骤，包括：

基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行频繁项挖掘，得到频繁攻击类型、频繁攻击类型组，以及各频繁攻击类型的支持度、各频繁攻击类型组的支持度；

将每两个频繁攻击类型进行组合，得到多个攻击类型对，并根据包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度；

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数。

可选的，所述针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数的步骤，包括：

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中第一频繁攻击类型的支持度，计算前向置信度，并基于该攻击类型对的总支持度，该攻击类型对中第二频繁攻击类型的支持度，计算后向置信度；

判断所述前向置信度和所述后向置信度的大小关系；

若所述前向置信度大于所述后向置信度，根据所述前向置信度和所述后向置信度计算前向衍生系数，并将所述前向衍生系数确定为由所述第一频繁攻击类型衍生所述第二频繁攻击类型的衍生系数，其中，所述前向衍生系数与所述前向置信度正相关，与所述后向置信度负相关；

若所述前向置信度不大于所述后向置信度，根据所述前向置信度和所述后向置信度计算后向衍生系数，并将所述后向衍生系数确定为由所述第二频繁攻击类型衍生所述第一频繁攻击类型的衍生系数，其中，所述后向衍生系数与所述前向置信度负相关，与所述后向置信度正相关。

可选的，所述根据所述前向置信度和所述后向置信度计算前向衍生系数的步骤，包括：

基于如下公式计算所述前向衍生系数：

其中，X表示所述第一频繁攻击类型，Y表示所述第二频繁攻击类型，conf(X→Y)表示所述前向置信度，conf(Y→X)表示所述后向置信度，y(X→Y)表示所述前向衍生系数；

所述根据所述前向置信度和所述后向置信度计算后向衍生系数的步骤，包括：

基于如下公式计算所述后向衍生系数：

其中，X表示所述第一频繁攻击类型，Y表示所述第二频繁攻击类型，conf(X→Y)表示所述前向置信度，conf(Y→X)表示所述后向置信度，y(Y→X)表示所述后向衍生系数。

可选的，所述基于所述衍生系数进行网络攻击类型预测的步骤，包括：

确定待预测攻击类型，所述待预测攻击类型为当前发生的网络攻击的攻击类型；

确定由所述待预测攻击类型衍生其他候选攻击类型的每一衍生系数；

从所确定的衍生系数中选取最大的衍生系数，将该最大的衍生系数对应的候选攻击类型确定为所预测的攻击类型。

可选的，所述方法还包括：

针对所预测的攻击类型，执行与该攻击类型相对应的防护措施。

为实现上述目的，本申请实施例还提供了一种网络攻击类型预测装置，所述装置包括：

获取模块，用于获取多个历史时段中各历史时段内网络攻击的攻击类型列表；

挖掘模块，用于基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；

预测模块，用于基于所述衍生系数，预测网络攻击的攻击类型。

可选的，所述获取模块，具体用于：

从入侵防御系统IPS的告警日志中获取预设时段内网络攻击的攻击事件信息；其中，每个攻击事件信息包括攻击时间和攻击类型；

基于攻击事件的攻击时间，以及预设的各历史时段的时长，将攻击事件划分至多个历史时段；

针对每个历史时段，根据该历史时段内攻击事件的攻击类型，生成该历史时段内网络攻击的攻击类型列表。

可选的，所述挖掘模块，包括：

挖掘子模块，用于基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行频繁项挖掘，得到频繁攻击类型、频繁攻击类型组，以及各频繁攻击类型的支持度、各频繁攻击类型组的支持度；

组合子模块，用于将每两个频繁攻击类型进行组合，得到多个攻击类型对，并根据包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度；

计算子模块，用于针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数。

可选的，所述计算子模块，具体用于：

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中第一频繁攻击类型的支持度，计算前向置信度，并基于该攻击类型对的总支持度，该攻击类型对中第二频繁攻击类型的支持度，计算后向置信度；

判断所述前向置信度和所述后向置信度的大小关系；

若所述前向置信度大于所述后向置信度，根据所述前向置信度和所述后向置信度计算前向衍生系数，并将所述前向衍生系数确定为由所述第一频繁攻击类型衍生所述第二频繁攻击类型的衍生系数，其中，所述前向衍生系数与所述前向置信度正相关，与所述后向置信度负相关；

若所述前向置信度不大于所述后向置信度，根据所述前向置信度和所述后向置信度计算后向衍生系数，并将所述后向衍生系数确定为由所述第二频繁攻击类型衍生所述第一频繁攻击类型的衍生系数，其中，所述后向衍生系数与所述前向置信度负相关，与所述后向置信度正相关。

可选的，所述计算子模块，具体用于：

基于如下公式计算所述前向衍生系数：

其中，X表示所述第一频繁攻击类型，Y表示所述第二频繁攻击类型，conf(X→Y)表示所述前向置信度，conf(Y→X)表示所述后向置信度，y(X→Y)表示所述前向衍生系数；

基于如下公式计算所述后向衍生系数：

其中，X表示所述第一频繁攻击类型，Y表示所述第二频繁攻击类型，conf(X→Y)表示所述前向置信度，conf(Y→X)表示所述后向置信度，y(Y→X)表示所述后向衍生系数。

可选的，所述预测模块，具体用于：

确定待预测攻击类型，所述待预测攻击类型为当前发生的网络攻击的攻击类型；

确定由所述待预测攻击类型衍生其他候选攻击类型的每一衍生系数；

从所确定的衍生系数中选取最大的衍生系数，将该最大的衍生系数对应的候选攻击类型确定为所预测的攻击类型。

可选的，所述装置还包括：

防护模块，用于针对所预测的攻击类型，执行与该攻击类型相对应的防护措施。

为实现上述目的，本申请实施例还提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现上述任一方法步骤。

为实现上述目的，本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一方法步骤。

本发明实施例有益效果：

采用本申请实施例提供的网络攻击类型的预测方法、装置及存储介质，获取多个历史时段中各历史时段内网络攻击的攻击类型列表；基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；基于所述衍生系数，预测网络攻击的攻击类型。可见，能够基于收集的历史时段内攻击类型列表，挖掘攻击类型之间的关联性，得到攻击类型之间的衍生系数，根据衍生系数进行网络攻击预测，能够准确预测即将发生的网络攻击的攻击类型。此外，该方法不依赖于网络拓扑关系的建立，因此网络拓扑的变化也不会影响网络攻击类型的预测。

当然，实施本发明的任一产品或方法并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的实施例。

图1为本申请实施例提供的网络攻击类型的预测方法的一种流程示意图；

图2为本申请实施例提供的获取攻击类型列表的一种流程示意图；

图3为本申请实施例提供的攻击类型的关联挖掘的一种流程示意图；

图4为本申请实施例提供的攻击类型的频繁项挖掘的一种示意图；

图5为本申请实施例提供的计算频繁攻击类型之间衍生系数的一种流程示意图；

图6为本申请实施例提供的基于衍生系数进行网络攻击类型预测的一种流程示意图；

图7为本申请实施例提供的攻击类型之间衍生系数的一种示意图；

图8为本申请实施例提供的攻击类型的频繁项挖掘的另一种示意图；

图9为本申请实施例提供的攻击类型的频繁项挖掘的又一种示意图；

图10为本申请实施例提供的网络攻击类型的预测装置的一种结构示意图；

图11为本申请实施例提供的电子设备的一种结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员基于本申请所获得的所有其他实施例，都属于本发明保护的范围。

为了解决现有技术中网络攻击预测依赖静态的网络拓扑关系，且无法预测攻击类型的技术问题，本申请实施例提供了一种网络攻击类型的预测方法、装置及存储介质。

为了便于理解，下面对本申请的发明构思进行简要说明。

本申请的发明人发现，当攻击者对企业网络中的资产进行攻击时，无论是手工操作，还是采用自动化渗透工具，其背后的攻击流程都具有相对固定的模式。例如，DGA(Domain Generation Algorithm，速变域名算法)攻击很可能是为后续的大规模病毒网络做准备；而文件上传异常攻击可能会引发敏感信息攻击等，这些攻击模式既能反映自动化渗透工具的工作流程，也能在一定程度上反映攻击者的手法及潜在目的。

由于攻击者的网络攻击行为具有一定的模式，因此，本申请中，对网络攻击的攻击类型进行分析，挖掘出攻击类型之间的内在联系，进而对网络攻击进行预测，从而进行有针对性的防范。

参见图1，图1为本申请实施例提供的网络攻击类型的预测方法的一种流程示意图，方法可以包括以下步骤：

S101：获取多个历史时段中各历史时段内网络攻击的攻击类型列表。

本申请实施例中，可以通过多种方式获取历史时段中网络攻击的攻击类型列表，例如，从防火墙日志中获取一定时段内网络攻击信息，并生成攻击类型列表。

在本申请的一种实施例中，可以从IPS(Intrusion-prevention system，入侵防御系统)的告警日志中获取网络攻击的攻击类型列表。

其中，IPS(Intrusion-prevention system，入侵防御系统)作为一种计算机网络安全设备，是对防病毒软件和防火墙的补充。IPS能够监视网络或网络设备的网络资料传输行为。

本申请实施例中，网络攻击的攻击类型可以是人为划分的，也可以是系统识别的。

作为一个示例，IPS可以将网络攻击的类型划分为以下11种类型，分别为拒绝服务类、扫描探测类、恶意程序类、漏洞利用类、权限获取类、系统破坏类、恶意网站访问类、数据泄露类、恶意通信类、协议合规类和内容合规类。

上述仅作为一个示例，网络攻击的攻击类型划分也可以参照其他方式。

本申请实施例中，可以根据实际需求预先设置历史时段的时长以及所需要获取的历史时段的数目。例如，每个历史时段的时长可以设置为1天，历史时段的数目设置为7，则可以获取一周内每天的网络攻击的攻击类型列表。

每个历史时段内网络攻击的攻击类型列表中包含该历史时段内发生过的所有网络攻击的攻击类型。

S102：基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数。

本申请实施例中，在得到各历史时段内网络攻击的攻击类型列表后，即可对攻击类型进行关联挖掘，即挖掘攻击类型之间的关联性，得到攻击类型之间的衍生系数。

其中，衍生系数表示在一种攻击类型存在的前提下，另外一种攻击类型存在的期望值。可见，衍生系数是具有方向性的，举例来讲，由攻击类型X衍生攻击类型Y的衍生系数表示：在攻击类型X存在的前提下，攻击类型Y存在的期望值。

S103：基于衍生系数，预测网络攻击的攻击类型。

本申请实施例中，衍生系数能够体现攻击类型之间的内在联系，因此可以用于预测网络攻击的攻击类型。

具体的，当检测到网络攻击时，确定当前网络攻击的攻击类型，并获取由该攻击类型衍生其他攻击类型的所有衍生系数，根据衍生系数即可预测后续的网络攻击的攻击类型。例如，从上述所有衍生系数中确定最大的衍生系数，将该最大的衍生系数对应的攻击类型确定为所预测的攻击类型。

采用本申请实施例提供的网络攻击类型的预测方法，获取多个历史时段中各历史时段内网络攻击的攻击类型列表；基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；基于衍生系数，预测网络攻击的攻击类型。可见，能够基于收集的历史时段内攻击类型列表，挖掘攻击类型之间的关联性，得到攻击类型之间的衍生系数，根据衍生系数进行网络攻击预测，能够准确预测即将发生的网络攻击的攻击类型。此外，该方法不依赖于网络拓扑关系的建立，因此网络拓扑的变化也不会影响网络攻击类型的预测。

在本申请的一种实施例中，参见图2，图2为本申请实施例提供的获取攻击类型列表的一种流程示意图，上述步骤S101，可以包括以下细化步骤：

S201：从IPS的告警日志中获取预设时段内网络攻击的攻击事件信息；其中，每个攻击事件信息包括攻击时间和攻击类型。

其中，预设时段可以设置为等于或大于多个历史时段的总时长。

S202：基于攻击事件的攻击时间，以及预设的各历史时段的时长，将攻击事件划分至多个历史时段。

作为一个示例，每个历史时段为一天，则将攻击时间在24小时内的所有攻击划分至同一个历史时段。

S203：针对每个历史时段，根据该历史时段内攻击事件的攻击类型，生成该历史时段内网络攻击的攻击类型列表。

作为一个示例，在将攻击事件划分至不同历史时段后，某历史时段内攻击事件的攻击类型分别为恶意程序类、漏洞利用类、权限获取类、系统破坏类，则生成该历史时段内网络攻击的攻击类型列表，该攻击类型列表中包含恶意程序类、漏洞利用类、权限获取类、系统破坏类。

在本申请的一种实施例中，参见图3，图3为本申请实施例提供的攻击类型的关联挖掘的一种流程示意图，如图3所示，上述步骤S102，可以包括以下细化步骤：

S301：基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行频繁项挖掘，得到频繁攻击类型、频繁攻击类型组，以及各频繁攻击类型的支持度、各频繁攻击类型组的支持度。

本申请实施例中，可以采用频繁项挖掘算法，挖掘攻击类型的频繁项，频繁项包括频繁攻击类型和频繁攻击类型组，其中频繁攻击类型组包括两个或两个以上的攻击类型。

在进行频繁项挖掘时，需要设置最低支持度，支持度表示攻击类型或攻击类型组在所有攻击类型列表中出现的概率。

其中，频繁项挖掘算法可以为FP-Growth算法、Apriori算法或Eclat算法。

在本申请的一种实施例中，可以采用FP-Growth算法挖掘攻击类型的频繁项集。

具体的，基于各历史时段内网络攻击的攻击类型列表，计算各攻击类型在所有攻击类型列表中出现的概率，即支持度，从中剔除小于预设最小支持度的攻击类型，即可得到频繁攻击类型。

随后针对每个攻击类型列表，按照攻击类型的支持度降序排列，并根据每个重新排列的攻击类型列表构建FP树。

在构建FP树时，依次取攻击类型列表，将攻击类型列表包含的攻击类型添加至FP树中，每次遇到新的攻击类型，都在Header Table中新增一行，并指向当前新攻击类型对应的节点；若攻击类型已存在FP树的对应路径中，则将该攻击类型的支持度加1；若不存在路径中，则新建节点，将Header Table中对应攻击类型的指针继续指向当前新建节点。

在构建FP树过程中，始终保持Header Table中的数据按支持度降序排列。根据FP树生成CPB表格，该CPB表格中存储各攻击类型在FP树中所有的前置路径以及路径对应的支持度，根据CPB和Header Table对FP树进行剪枝，剔除小于最小支持度的路径，进而得到最终的频繁项，包括频繁攻击类型和频繁攻击类型组，这些频繁攻击类型和频繁攻击类型组的支持度均大于最小支持度。

作为一个示例，参见图4，图4为本申请实施例提供的攻击类型的频繁项挖掘的一种示意图，如图4所示，共有4个攻击类型列表，其中I1、I2、I3和I4表示不同攻击类型。

在挖掘频繁项的过程中，先计算各攻击类型的支持度，得到攻击类型I1、I2、I3和I4的支持度依次为0.5、0.75、0.75和1，设最小支持度为0.6，因此剔除攻击类型I1，剔除后针对每个攻击类型列表，按照支持度对攻击类型降序排列；随后建立FP树，生成CPB表格，根据CPB和Header Table对FP树进行剪枝，剔除小于最小支持度的路径，得到最终频繁项，同时确定每个频繁攻击类型的支持度和每个频繁攻击类型组的支持度。

本申请实施例中，也可以采用其他算法进行攻击类型的频繁项挖掘，具体可以参见下文。

S302：将每两个频繁攻击类型进行组合，得到多个攻击类型对，并根据包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度。

本申请实施例中，为了获取每两个频繁攻击类型之间的关联系数，可以将每两个频繁攻击类型进行组合，得到多个攻击类型对。

作为一个示例，若频繁攻击类型的数目为n，则可以组成

个攻击类型对。

每一个攻击类型对包含两个频繁攻击类型，则基于包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度。具体的，可以将包含该两个频繁攻击类型的所有频繁攻击类型组的支持度相加，作为该攻击类型对的总支持度。

S303：针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数。

本申请实施例中，攻击类型对的总支持度能够表示该攻击类型对中两个频繁攻击类型同时出现在攻击类型列表的期望，因此可以联合每个频繁攻击类型的支持度，计算该两个频繁攻击类型之间的衍生系数。

作为一个示例，设攻击类型对中包含第一频繁攻击类型X和第二频繁攻击类型Y，则可以用该攻击类型对的总支持度除以第一频繁攻击类型X的支持度，作为由第一频繁攻击类型X衍生第二频繁攻击类型Y的衍生系数，该衍生系数能够表示在第一频繁攻击类型X存在的前提下，第二频繁攻击类型Y存在的期望值。

同理，可以用该攻击类型对的总支持度除以第二频繁攻击类型Y的支持度，作为由第二频繁攻击类型Y衍生第一频繁攻击类型X的衍生系数，该衍生系数能够表示在第二频繁攻击类型Y存在的前提下，第一频繁攻击类型X存在的期望值。

在本申请的一种实施例中，为了得到更有效的衍生系数，参见图5，图5为本申请实施例提供的计算频繁攻击类型之间衍生系数的一种流程示意图，如图5所示，上述步骤S303具体可以包括以下步骤：

S501：针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中第一频繁攻击类型的支持度，计算前向置信度，并基于该攻击类型对的总支持度，该攻击类型对中第二频繁攻击类型的支持度，计算后向置信度。

作为一个示例，设攻击类型对中包含第一频繁攻击类型X和第二频繁攻击类型Y，则可以采用如下公式计算前向置信度：

其中，P(XY)表示由第一频繁攻击类型X和第二频繁攻击类型Y组成的攻击类型对的支持度，P(X)表示第一频繁攻击类型X的支持度，conf(X→Y)表示前向置信度。

可以采用如下公式计算后向置信度：

其中，P(XY)表示由第一频繁攻击类型X和第二频繁攻击类型Y组成的攻击类型对的支持度，P(Y)表示第一频繁攻击类型Y的支持度，conf(Y→X)表示后向置信度。

S502：判断前向置信度和后向置信度的大小关系；若前向置信度大于后向置信度，则执行S503；若前向置信度不大于后向置信度，则执行S504。

本申请实施例中，前向置信度能够在一定程度上体现：在第一频繁攻击类型X存在的前提下，第二频繁攻击类型Y存在的期望值；反向置信度能够在一定程度上体现：在第二频繁攻击类型Y存在的前提下，第一频繁攻击类型X存在的期望值。

为了能够得到更为准确的衍生方向，可以判断前向置信度和后向置信度的大小关系，当前向置信度大于后向置信度时，说明由第一频繁攻击类型X推算第二频繁攻击类型Y的期望，可靠度更高，因此可以只计算前向衍生系数，该前向衍生系数即表示由第一频繁攻击类型X衍生第二频繁攻击类型Y的衍生系数。

反之，当后向置信度大于前向置信度时，说明由第二频繁攻击类型Y推算第一频繁攻击类型X的期望，可靠度更高，因此可以只计算后向衍生系数，该前向衍生系数即表示由第二频繁攻击类型Y衍生第一频繁攻击类型X的衍生系数。

S503：根据前向置信度和后向置信度计算前向衍生系数，并将前向衍生系数确定为由第一频繁攻击类型衍生第二频繁攻击类型的衍生系数，其中，前向衍生系数与前向置信度正相关，与后向置信度负相关。

本申请实施例中，为了得到更为有效的衍生系数，可以联合前向置信度和后向置信度计算衍生系数，其中，前向衍生系数与前向置信度正相关，与后向置信度负相关。

作为一个示例，可以基于如下公式计算前向衍生系数：

其中，X表示第一频繁攻击类型，Y表示第二频繁攻击类型，conf(X→Y)表示前向置信度，conf(Y→X)表示后向置信度，y(X→Y)表示前向衍生系数。

上述仅作为一个示例，本申请实施例中也可以合理采用其他方式计算前向衍生系数，只要符合前向衍生系数与前向置信度正相关，与后向置信度负相关。例如，还可以基于如下公式计算前向衍生系数：

S504：根据前向置信度和后向置信度计算后向衍生系数，并将后向衍生系数确定为由第二频繁攻击类型衍生第一频繁攻击类型的衍生系数，其中，后向衍生系数与前向置信度负相关，与后向置信度正相关。

同理，在计算后向衍生系数时，后向衍生系数与前向置信度负相关，与后向置信度正相关。

作为一个示例，基于如下公式计算后向衍生系数：

其中，X表示第一频繁攻击类型，Y表示第二频繁攻击类型，conf(X→Y)表示前向置信度，conf(Y→X)表示后向置信度，y(Y→X)表示后向衍生系数。

作为另一个示例，还可以基于如下公式计算前向衍生系数：

可见，本申请实施例中，为了更有效的体现不同攻击类型之间关联的方向性，确定攻击类型对中两个频繁攻击类型之间的衍生方向，能够得到更为有效的衍生系数，提高后续预测的准确性。

在本申请的一种实施例中，为了进一步提高衍生系数的有效性，可以预先设定衍生系数阈值，根据衍生系数阈值对计算得到的每一衍生系数进行筛选。由于较小的衍生系数表示由一个攻击类型推算另一个攻击类型是否存在的期望不够可靠，因此可以将小于衍生系数阈值的衍生系数删除，仅保留大于衍生系数阈值的衍生系数。在进行攻击类型预测时，仅考虑大于衍生系数阈值的衍生系数。

在本申请的一种实施例中，参见图6，图6为本申请实施例提供的基于衍生系数进行网络攻击类型预测的一种流程示意图，上述步骤S103，可以包括以下细化步骤：

S601：确定待预测攻击类型，待预测攻击类型为当前发生的网络攻击的攻击类型。

本申请实施例中，待预测攻击类型可以是当前正在发生的网络攻击的攻击类型，也可以是近期已发生的网络攻击的攻击类型。

作为一个示例，当检测到当前发生网络攻击，则确定网络攻击的攻击类型，该攻击类型即为待预测攻击类型。

S602：确定由待预测攻击类型衍生其他候选攻击类型的每一衍生系数。

S603：从所确定的衍生系数中选取最大的衍生系数，将该最大的衍生系数对应的候选攻击类型确定为所预测的攻击类型。

作为一个示例，参见图7，图7为本申请实施例提供的攻击类型之间衍生系数的一种示意图，如图7所示，图7示出了部分攻击类型之间的衍生系数，箭头方向表示衍生方向。

若当前待预测攻击类型为恶意通信类，则可以获取由恶意通信类衍生其他候选攻击类型的每一衍生系数，包括恶意通信类衍生扫描探测类的衍生系数269.17，恶意通信类衍生漏洞利用类的衍生系数17.51，恶意通信类衍生内容合规类的衍生系数628.1。可见，候选攻击类型包括扫描探测类、漏洞利用类和内容合规类，则进行预测时，可以直接选取最大的衍生系数对应的候选攻击类型，即将内容合规类确定为所预测的攻击类型。此外，也可以基于各个衍生系数进行概率抽取，得到所预测的攻击类型。

在本申请的一种实施例中，为了更针对性的防范网络攻击，在预测完成后，可以针对所预测的攻击类型，执行与该攻击类型相对应的防护措施。

本申请实施例中，除了FP-Growth算法，还可以采用其他算法挖掘攻击类型的频繁项，例如Apriori算法或Eclat算法，下面分别举例进行说明。

采用Apriori算法挖掘攻击类型的频繁项的过程为：计算各攻击类型在攻击类型列表中的支持度，剔除小于最小支持度的攻击类型。将剔除后的各攻击类型进行穷举组合，得到候选项集，计算候选项集中候选项的支持度，剔除小于最小支持度的候选项，得到频繁攻击类型组。

作为一个示例，参见图8，图8为本申请实施例提供的攻击类型的频繁项挖掘的另一种示意图，如图8所示，共有4个攻击类型列表，其中I1、I2、I3和I4表示不同攻击类型。在挖掘频繁项的过程中，先计算各攻击类型的支持度，得到攻击类型I1、I2、I3和I4的支持度依次为0.5、0.75、0.75和1，设最小支持度为0.6，因此剔除攻击类型I1，将剔除后的各攻击类型进行穷举组合，得到候选项集，分别计算候选项集中候选项的支持度，剔除小于最小支持度的候选项，得到频繁攻击类型组。

采用Eclat算法挖掘攻击类型的频繁项的过程为：将攻击类型列表的横向数据转为纵向数据，得到每个攻击类型所属的攻击类型列表。根据每个攻击类型所属的攻击类型列表的数目降序排列，将攻击类型两两组合，剔除小于最小支持度的组合。递归处理，直到没有新增的频繁项集元素。

作为一个示例，参见图9，图9为本申请实施例提供的攻击类型的频繁项挖掘的又一种示意图，如图9所示，共有4个攻击类型列表，其中I1、I2、I3和I4表示不同攻击类型。在挖掘频繁项的过程中，将攻击类型列表的横向数据转为纵向数据，得到每个攻击类型所属的攻击类型列表。根据每个攻击类型所属的攻击类型列表的数目降序排列，将攻击类型两两组合，剔除小于最小支持度的组合，随后继续递归处理，直到没有新增的频繁项集元素，得到频繁攻击类型和频繁攻击类型组。

相应于本申请实施例提供的网络攻击类型的预测方法实施例，本申请实施例还提供了一种网络攻击类型的预测装置，参见图10，装置可以包括以下模块：

获取模块1001，用于获取多个历史时段中各历史时段内网络攻击的攻击类型列表；

挖掘模块1002，用于基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；

预测模块1003，用于基于衍生系数，预测网络攻击的攻击类型。

采用本申请实施例提供的网络攻击类型的预测装置，获取多个历史时段中各历史时段内网络攻击的攻击类型列表；基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；基于衍生系数，预测网络攻击的攻击类型。可见，能够基于收集的历史时段内攻击类型列表，挖掘攻击类型之间的关联性，得到攻击类型之间的衍生系数，根据衍生系数进行网络攻击预测，能够准确预测即将发生的网络攻击的攻击类型。此外，该方法不依赖于网络拓扑关系的建立，因此网络拓扑的变化也不会影响网络攻击类型的预测。

在本申请的一种实施例中，获取模块1001，具体可以用于：

从入侵防御系统IPS的告警日志中获取预设时段内网络攻击的攻击事件信息；其中，每个攻击事件信息包括攻击时间和攻击类型；

基于攻击事件的攻击时间，以及预设的各历史时段的时长，将攻击事件划分至多个历史时段；

针对每个历史时段，根据该历史时段内攻击事件的攻击类型，生成该历史时段内网络攻击的攻击类型列表。

在本申请的一种实施例中，挖掘模块1002，可以包括：

挖掘子模块，用于基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行频繁项挖掘，得到频繁攻击类型、频繁攻击类型组，以及各频繁攻击类型的支持度、各频繁攻击类型组的支持度；

组合子模块，用于将每两个频繁攻击类型进行组合，得到多个攻击类型对，并根据包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度；

计算子模块，用于针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数。

在本申请的一种实施例中，计算子模块，具体可以用于：

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中第一频繁攻击类型的支持度，计算前向置信度，并基于该攻击类型对的总支持度，该攻击类型对中第二频繁攻击类型的支持度，计算后向置信度；

判断前向置信度和后向置信度的大小关系；

若前向置信度大于后向置信度，根据前向置信度和后向置信度计算前向衍生系数，并将前向衍生系数确定为由第一频繁攻击类型衍生第二频繁攻击类型的衍生系数，其中，前向衍生系数与前向置信度正相关，与后向置信度负相关；

若前向置信度不大于后向置信度，根据前向置信度和后向置信度计算后向衍生系数，并将后向衍生系数确定为由第二频繁攻击类型衍生第一频繁攻击类型的衍生系数，其中，后向衍生系数与前向置信度负相关，与后向置信度正相关。

在本申请的一种实施例中，计算子模块，具体可以用于：

基于如下公式计算前向衍生系数：

其中，X表示第一频繁攻击类型，Y表示第二频繁攻击类型，conf(X→Y)表示前向置信度，conf(Y→X)表示后向置信度，y(X→Y)表示前向衍生系数；

基于如下公式计算后向衍生系数：

其中，X表示第一频繁攻击类型，Y表示第二频繁攻击类型，conf(X→Y)表示前向置信度，conf(Y→X)表示后向置信度，y(Y→X)表示后向衍生系数。

在本申请的一种实施例中，预测模块1003，具体可以用于：

确定待预测攻击类型，待预测攻击类型为当前发生的网络攻击的攻击类型；

确定由待预测攻击类型衍生其他候选攻击类型的每一衍生系数；

从所确定的衍生系数中选取最大的衍生系数，将该最大的衍生系数对应的候选攻击类型确定为所预测的攻击类型。

在本申请的一种实施例中，在图10所示装置基础上，还可以包括：

防护模块，用于针对所预测的攻击类型，执行与该攻击类型相对应的防护措施。

其中，方法和装置是基于同一申请构思的，由于方法和装置解决问题的原理相似，因此装置和方法的实施可以相互参见，重复之处不再赘述。

本申请实施例还提供了一种电子设备，如图11所示，包括处理器1101、通信接口1102、存储器1103和通信总线1104，其中，处理器1101，通信接口1102，存储器1103通过通信总线1104完成相互间的通信，

存储器1103，用于存放计算机程序；

处理器1101，用于执行存储器1103上所存放的程序时，实现如下步骤：

获取多个历史时段中各历史时段内网络攻击的攻击类型列表；

基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；

基于衍生系数，预测网络攻击的攻击类型。

上述电子设备提到的通信总线可以是外设部件互连标准(Peripheral ComponentInterconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口用于上述电子设备与其他设备之间的通信。

存储器可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

采用本申请实施例提供的网络攻击类型的电子设备，获取多个历史时段中各历史时段内网络攻击的攻击类型列表；基于各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；基于衍生系数，预测网络攻击的攻击类型。可见，能够基于收集的历史时段内攻击类型列表，挖掘攻击类型之间的关联性，得到攻击类型之间的衍生系数，根据衍生系数进行网络攻击预测，能够准确预测即将发生的网络攻击的攻击类型。此外，该方法不依赖于网络拓扑关系的建立，因此网络拓扑的变化也不会影响网络攻击类型的预测。

在本申请提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，计算机程序被处理器执行时实现上述任一网络攻击类型的预测方法步骤。

在本申请提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一网络攻击类型的预测方法步骤。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于网络攻击类型的预测装置、电子设备、计算机可读存储介质及计算机程序产品实施例而言，由于其基本相似于网络攻击类型的预测方法实施例，所以描述的比较简单，相关之处参见网络攻击类型的预测方法实施例的部分说明即可。

以上所述仅为本申请的较佳实施例，并非用于限定本申请的保护范围。凡在本申请的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本申请的保护范围内。

Claims (10)

1.一种网络攻击类型的预测方法，其特征在于，所述方法包括：

获取多个历史时段中各历史时段内网络攻击的攻击类型列表；

基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；

基于所述衍生系数，预测网络攻击的攻击类型。

2.根据权利要求1所述的方法，其特征在于，所述获取多个历史时段中各历史时段内网络攻击的攻击类型列表的步骤，包括：

从入侵防御系统IPS的告警日志中获取预设时段内网络攻击的攻击事件信息；其中，每个攻击事件信息包括攻击时间和攻击类型；

基于攻击事件的攻击时间，以及预设的各历史时段的时长，将攻击事件划分至多个历史时段；

针对每个历史时段，根据该历史时段内攻击事件的攻击类型，生成该历史时段内网络攻击的攻击类型列表。

3.根据权利要求1所述的方法，其特征在于，所述基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数的步骤，包括：

基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行频繁项挖掘，得到频繁攻击类型、频繁攻击类型组，以及各频繁攻击类型的支持度、各频繁攻击类型组的支持度；

将每两个频繁攻击类型进行组合，得到多个攻击类型对，并根据包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度；

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数。

4.根据权利要求3所述的方法，其特征在于，所述针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数的步骤，包括：

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中第一频繁攻击类型的支持度，计算前向置信度，并基于该攻击类型对的总支持度，该攻击类型对中第二频繁攻击类型的支持度，计算后向置信度；

判断所述前向置信度和所述后向置信度的大小关系；

若所述前向置信度大于所述后向置信度，根据所述前向置信度和所述后向置信度计算前向衍生系数，并将所述前向衍生系数确定为由所述第一频繁攻击类型衍生所述第二频繁攻击类型的衍生系数，其中，所述前向衍生系数与所述前向置信度正相关，与所述后向置信度负相关；

若所述前向置信度不大于所述后向置信度，根据所述前向置信度和所述后向置信度计算后向衍生系数，并将所述后向衍生系数确定为由所述第二频繁攻击类型衍生所述第一频繁攻击类型的衍生系数，其中，所述后向衍生系数与所述前向置信度负相关，与所述后向置信度正相关。

5.根据权利要求4所述的方法，其特征在于，所述根据所述前向置信度和所述后向置信度计算前向衍生系数的步骤，包括：

基于如下公式计算所述前向衍生系数：

其中，X表示所述第一频繁攻击类型，Y表示所述第二频繁攻击类型，conf(X→Y)表示所述前向置信度，conf(Y→X)表示所述后向置信度，y(X→Y)表示所述前向衍生系数；

所述根据所述前向置信度和所述后向置信度计算后向衍生系数的步骤，包括：

基于如下公式计算所述后向衍生系数：

其中，X表示所述第一频繁攻击类型，Y表示所述第二频繁攻击类型，conf(X→Y)表示所述前向置信度，conf(Y→X)表示所述后向置信度，y(Y→X)表示所述后向衍生系数。

6.根据权利要求1所述的方法，其特征在于，所述基于所述衍生系数进行网络攻击类型预测的步骤，包括：

确定待预测攻击类型，所述待预测攻击类型为当前发生的网络攻击的攻击类型；

确定由所述待预测攻击类型衍生其他候选攻击类型的每一衍生系数；

从所确定的衍生系数中选取最大的衍生系数，将该最大的衍生系数对应的候选攻击类型确定为所预测的攻击类型。

7.一种网络攻击类型预测装置，其特征在于，所述装置包括：

获取模块，用于获取多个历史时段中各历史时段内网络攻击的攻击类型列表；

挖掘模块，用于基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行关联挖掘，得到攻击类型之间的衍生系数；

预测模块，用于基于所述衍生系数，预测网络攻击的攻击类型。

8.根据权利要求7所述的装置，其特征在于，所述挖掘模块，包括：

挖掘子模块，用于基于所述各历史时段内网络攻击的攻击类型列表，对攻击类型进行频繁项挖掘，得到频繁攻击类型、频繁攻击类型组，以及各频繁攻击类型的支持度、各频繁攻击类型组的支持度；

组合子模块，用于将每两个频繁攻击类型进行组合，得到多个攻击类型对，并根据包含该两个频繁攻击类型的所有频繁攻击类型组的支持度，计算每一攻击类型对的总支持度；

计算子模块，用于针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中每个频繁攻击类型的支持度，计算该攻击类型对中两个频繁攻击类型之间的衍生系数。

9.根据权利要求8所述的装置，其特征在于，所述计算子模块，具体用于：

针对每个攻击类型对，基于该攻击类型对的总支持度，该攻击类型对中第一频繁攻击类型的支持度，计算前向置信度，并基于该攻击类型对的总支持度，该攻击类型对中第二频繁攻击类型的支持度，计算后向置信度；

判断所述前向置信度和所述后向置信度的大小关系；

若所述前向置信度大于所述后向置信度，根据所述前向置信度和所述后向置信度计算前向衍生系数，并将所述前向衍生系数确定为由所述第一频繁攻击类型衍生所述第二频繁攻击类型的衍生系数，其中，所述前向衍生系数与所述前向置信度正相关，与所述后向置信度负相关；

若所述前向置信度不大于所述后向置信度，根据所述前向置信度和所述后向置信度计算后向衍生系数，并将所述后向衍生系数确定为由所述第二频繁攻击类型衍生所述第一频繁攻击类型的衍生系数，其中，所述后向衍生系数与所述前向置信度负相关，与所述后向置信度正相关。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-6任一所述的方法步骤。

Images