CN113852597B

CN113852597B - 一种网络威胁溯源迭代分析方法、计算机设备及存储介质

Info

Publication number: CN113852597B
Application number: CN202110883416.2A
Authority: CN
Inventors: 万抒; 伍荣; 王邦礼; 王进; 尚旭; 赖德刚
Original assignee: CETC 30 Research Institute
Current assignee: CETC 30 Research Institute
Priority date: 2021-08-03
Filing date: 2021-08-03
Publication date: 2023-05-23
Anticipated expiration: 2041-08-03
Also published as: CN113852597A

Abstract

本发明公开了一种网络威胁溯源迭代分析方法、计算机设备及存储介质，其中分析方法包括生成资产受损特征链、构建资产受损特征矩阵、生成相似资产运行特征矩阵、生成相似资产运行特征变化矩阵、生成相似资产操作行为矩阵、生成相似资产网络行为矩阵、复盘分析网络攻击链这七个步骤。本发明以资产作为关联分析的主线，基于多维安全大数据融合分析的思想，采用安全数字矩阵的关联追踪分析方法，以具备相似受损特征的资产集为追踪分析的起点，构建相似资产运行特征矩阵、相似资产操作行为矩阵到相似资产网络行为矩阵的逐级反向追踪分析机制，逐段推导网络威胁各个步骤的关联关系和行为特征，以此为基础实现整个网络攻击链的智能化分析和复盘。

Description

一种网络威胁溯源迭代分析方法、计算机设备及存储介质

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络威胁溯源迭代分析方法、计算机设备及存储介质。

背景技术

近年来，随着网络威胁向广域化、复杂化和组织化演进发展，网络威胁已不再局限于单区域的单一恶意动作，而是一系列恶意行为或步骤的复杂组合，国内外研究机构针对性提出了攻击链模型，也称为杀伤链模型(Cyber-Kill-Chain)，是一种基于网络威胁全生命周期的模型，采用时间顺序描述入侵者对攻击目标系统实施攻击所采取的路径及手段的集合，将网络攻击划分为“外部侦察—武器化—交付—外部利用—安装—命令和控制—行动”7个阶段，为了更好的适用于各类网络威胁，因此一些国内外的学者提出了网络威胁的攻击的衍化模型，包括LogRhythm的5阶段模型、Lan-caster的3阶段模型、SDAPT的8阶段模型等。

但从防御方的视角，难以预先、准确的知晓网络威胁全生命周期的各个步骤及具体攻击行为，需要采用逆向溯源的分析方法，从网络、资产及信息系统的各类表象中，寻找各类恶意行为或步骤之间的蛛丝马迹，复盘还原网络威胁全过程的实施步骤及相关攻击行为，这一直是网络安全领域的难点问题，本发明利用大数据分析技术，对多个维度数据进行融合关联，基于“同一威胁在不同层面的相似性破坏和相似性动作”的思想，并采用持续迭代验证和修正的机制，力求准确、全面的复盘网络威胁。

发明内容

针对缺乏有效应对复杂性、规模性、组合性网络威胁的检测方法问题，本发明以资产作为关联分析的主线，基于多维安全大数据融合分析的思想，采用安全数字矩阵的关联追踪分析方法，以具备相似受损特征的资产集为追踪分析的起点，构建相似资产运行特征矩阵、相似资产操作行为矩阵到相似资产网络行为矩阵的逐级反向追踪分析机制，逐段推导网络威胁各个步骤的关联关系和行为特征，以此为基础实现整个网络攻击链的智能化分析和复盘。

本发明采用的技术方案如下：

一种网络威胁溯源迭代分析方法，包括如下步骤：

步骤1、生成资产受损特征链：当某一资产遭受网络攻击时，对已发现该资产的多种网络攻击表象特征进行融合分析，定期形成资产受损特征链；

步骤2、构建资产受损特征矩阵：定期将多个资产的所述资产受损特征链进行关联分析，一旦发现不同资产存在多个相似的受损特征，则认为可能由相似的网络威胁引起，并组合形成资产受损特征矩阵；

步骤3、生成相似资产运行特征矩阵：对所述资产受损特征矩阵中相关的资产一段时间内的运行状态信息进行融合分析，找出存在相似度的资产集合，并将其组合形成相似资产运行特征矩阵；

步骤4、生成相似资产运行特征变化矩阵：将所述相似资产运行特征矩阵中各个资产在最近一段时间的所述运行状态信息的变化进行融合分析，衍化形成相似资产运行特征变化矩阵；

步骤5、生成相似资产操作行为矩阵：基于所述相似资产运行特征变化矩阵，对引起资产运行特征变化的内部操作行为信息进行关联分析，衍化形成相似资产操作行为矩阵；

步骤6、生成相似资产网络行为矩阵：基于所述相似资产运行特征变化矩阵和所述相似资产操作行为矩阵，结合各个资产的网络行为相似度分析，形成相似资产网络行为矩阵；

步骤7、复盘分析网络攻击链：将所述相似资产网络行为矩阵中的标记的网络行为进行逐段的网络攻击链的复盘迭代分析。

进一步的，步骤6包括如下子步骤：

步骤6.1、生成相似资产直接网络行为矩阵：基于所述相似资产运行特征变化矩阵，对引起资产运行特征变化的外部网络行为信息进行关联分析，衍化形成相似资产直接网络行为矩阵；

步骤6.2、生成相似资产间接网络行为矩阵：基于所述相似资产操作行为矩阵，针对资产操作行为的所述外部网络行为信息进行关联分析，衍化形成相似资产间接网络行为矩阵；

步骤6.3、生成相似资产网络行为矩阵：将所述相似资产间接网络行为矩阵和所述相似资产间接网络行为矩阵合并，并将所有资产一段时间内的网络通信行为进行复原，之后对各个资产网络行为矩阵进行融合关联分析，找出网络行为矩阵存在相似性的相关资产，对其组合后形成所述相似资产网络行为矩阵，并对矩阵中的相似网络行为进行标记。

进一步的，步骤6.1中，所述外部网络行为信息包括文件传送、远程登陆、远程访问和数据获取。

进一步的，步骤6.3中，所述网络通信行为包括网络行为的源地址、目的地址、通信协议、通信时间和操作对象。

进一步的，步骤7包括如下子步骤：

步骤7.1、基于网络行为进行追踪分析：将所述相似资产网络行为矩阵中的标记的网络行为进行源地址追踪分析，若所有网络行为源地址均指向同一资产，则将相关网络行为认定为网络威胁行为特征，并跳转到步骤7.4；若存在多个资产，则将相关资产的运行特征进行复原，形成所述相似资产运行特征矩阵；

步骤7.2、生成相似资产网络行为矩阵：将所述相似资产运行特征矩阵中各个资产的运行特征进行融合关联分析，找出运行特征存在相似度的资产，对相关资产一段时间内的所述网络通信行为进行复原，并将其组合形成所述相似资产网络行为矩阵；

步骤7.3、生成网络威胁行为特征：抽取所述相似资产网络行为矩阵的共性特征，认定为网络威胁行为特征；

步骤7.4、复盘网络攻击链：将相关资产以及网络威胁行为特征记录到网络攻击链中，形成网络攻击链的前一步骤特征信息；若存在所述相似资产网络行为矩阵，则跳转到步骤7.1进行再次迭代分析。

进一步的，步骤3中，所述运行状态信息包括系统策略、系统用户、系统漏洞、系统文件和系统进程。

进一步的，步骤5中，所述内部操作行为信息包括进程操作、外设操作、文件操作和数据操作。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述一种网络威胁溯源迭代分析方法的步骤。

一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现上述一种网络威胁溯源迭代分析方法的步骤。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

1、以资产为关联分析的主线，采用多维度的关联融合分析机制，通过特征提取方法构建安全数字矩阵，能够全面、准确分析资产受损情况、资产运行环境、内部操作行为和外部网络行为等资产某一方面的相关特征，目前网络安全领域尚无该技术；

2、采用基于内部安全数字矩阵的关联分析机制，以分析同一威胁在多个资产的共同内部特征为思路，以资产的“受损情况—运行环境—内部行为”为关联线索，能够快速发现同一威胁在资产内部不同维度引发的特征现象，从而实现资产内部威胁追踪溯源，目前网络安全领域尚无该技术；

3、采用基于外部安全数字矩阵的关联分析方法，以分析同一威胁在多个资产之间的网络行为特征为思路，以资产的“内部特征—网络行为”为关联线索，能够快速发现同一威胁的不同网络行为的关联性现象，从而实现资产外部网络威胁追踪溯源，目前网络安全领域尚无该技术。

附图说明

图1为本发明实施例2的一种网络威胁溯源分析方法示意图；

图2为本发明实施例2的网络威胁链溯源复盘流程图；

图3为本发明实施例2的网络威胁链迭代修正流程图。

具体实施方式

为了对本发明的技术特征、目的和效果有更加清楚的理解，现说明本发明的具体实施方式。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明，即所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例1

本实施例提供了一种网络威胁溯源迭代分析方法，包括如下步骤：

步骤3、生成相似资产运行特征矩阵：对所述资产受损特征矩阵中相关的资产一段时间内的运行状态信息进行融合分析，找出存在相似度的资产集合，并将其组合形成相似资产运行特征矩阵；优选的，所述运行状态信息包括系统策略、系统用户、系统漏洞、系统文件和系统进程；

步骤5、生成相似资产操作行为矩阵：基于所述相似资产运行特征变化矩阵，对引起资产运行特征变化的内部操作行为信息进行关联分析，衍化形成相似资产操作行为矩阵；优选的，所述内部操作行为信息包括进程操作、外设操作、文件操作和数据操作；

优选的，步骤6包括如下子步骤：

步骤6.1、生成相似资产直接网络行为矩阵：基于所述相似资产运行特征变化矩阵，对引起资产运行特征变化的外部网络行为信息进行关联分析，衍化形成相似资产直接网络行为矩阵；优选的，所述外部网络行为信息包括文件传送、远程登陆、远程访问和数据获取；

步骤6.3、生成相似资产网络行为矩阵：将所述相似资产间接网络行为矩阵和所述相似资产间接网络行为矩阵合并，并将所有资产一段时间内的网络通信行为进行复原，之后对各个资产网络行为矩阵进行融合关联分析，找出网络行为矩阵存在相似性的相关资产，对其组合后形成所述相似资产网络行为矩阵，并对矩阵中的相似网络行为进行标记。优选的，所述网络通信行为包括网络行为的源地址、目的地址、通信协议、通信时间和操作对象。

优选的，步骤7包括如下子步骤：

实施例2

本实施例在实施例1的基础上：

如图1所示，以A、B、C、D、E、F共6个资产的应用场景为例，说明多个资产的网络威胁溯源分析。本实施例的前提条件是已实现了各类安全事件以及操作行为相关的语法语义的标准化，即对病毒木马、系统漏洞、网络攻击、系统窃权、数据泄露等资产破坏行为以及相关的资产运行情况、资产内部操作、网络操作行为等已实现一致性描述。

步骤1、生成资产受损特征矩阵：依托于相应的安全检测分析手段，对病毒木马、网络攻击、系统窃权、数据泄露等资产破坏行为进行检测，定期将基于发现的问题分别形成相应的资产受损特征链，如病毒木马的资产受损链表示为AdC-Vir(A_i)＝(Event-Vir(a₁)，Event-Vir(a₂)，Event-Vir(a₃)......)，其中，Event-Vir(a_i)表示已发现的某一病毒木马事件；以此类推，网络攻击的资产受损链表示为AdC-Att(A_i)＝(Event-Att(a₁)，Event-Att(a₂)，Event-Att(a₃)......)；系统窃权的资产受损链表示为AdC-Inv(A_i)＝(Event-Inv(a₁)，Event-Inv(a₂)，Event-Inv(a₃)......)；数据泄露的资产受损链表示为AdC-Lea(A_i)＝(Event-Lea(a₁)，Event-Lea(a₂)，Event-Lea(a₃)......)。为了确保资产受损特矩阵的标准化和一致性，将只选取各个资产受损特征链的前十项重要特征，如果存在要素不够的情况，以数字O补齐，以此整合各个资产受损特征链形成资产受损特征矩阵AdM(A_i)＝[AdC-Vir(A_i),AdC-Att(A_i),AdC-Inv(A_i),AdC-Lea(A_i)]。同理，定期形成资产B、C、D、E、F......的资产受损特征矩阵AdM(B_i)、AdM(C_i)、AdM(D_i)、AdM(E_i)、AdM(F_i)......。

步骤2、关联分析资产受损特征矩阵：对资产A、B、C、D、E、F......的资产受损特征矩阵AdM(A_i)、AdM(B_i)、AdM(C_i)、AdM(D_i)、AdM(E_i)、AdM(F_i)……进行关联对比分析，若发现特征矩阵存在2个以上相同的要素，则将其划分为一组，如图1所示，发现A、B、C、D、E、F的资产受损特征矩阵存在2个以上的相同要素，将其划分“相似受损资产集”。

步骤3、生成相似资产运行特征矩阵：依托于相应的安全检测和安全审计手段，对“相似受损资产集”中相关的资产一段时间内的运行信息进行融合分析，包括系统策略、系统用户、系统漏洞、系统进程等运行状态信息，定期提取相关特征分别形成相应的资产运行特征链，如系统策略的资产运行特征链表示为AeC-Str(A_i)＝(Event-Str(a₁)，Event-Str(a₂)，Event-Str(a₃)......)，系统用户的资产运行特征链表示为AeC-Usr(A_i)＝(Event-Usr(a₁)，Event-Usr(a₂)，Event-Usr(a₃)......)，系统漏洞的资产运行特征链表示为AeC-Vul(A_i)＝(Event-Vul(a₁)，Event-Vul(a₂)，Event-Vul(a₃)……)，系统进程的资产运行特征链表示为AeC-Pro(A_i)＝(Event-Pro(a1)，Event-Pro(a₂)，Event-Pro(a₃)......)。为了确保相似资产运行特征矩阵的标准化和一致性，将只选取各个资产运行特征链的前十项重要特征，如果存在要素不够的情况，以数字0补齐，以此整合各个资产运行特征链形成相似资产运行特征矩阵，AeM(A_i)＝[AeC-Str(A_i)，AeC-Usr(A_i)，AeC-Vul(A_i)，AdC-Lea(A_i)]。同理，定期形成资产B、C、D、E、F......的资产受损特征矩阵AeM(B_i)、AeM(C_i)、AeM(D_i)、AeM(E_i)、AeM(F_i)......。

步骤4、生成相似资产操作行为矩阵：依托于相应的安全检测和安全审计手段，对“相似受损资产集”中相关的资产一段时间内的内部操作行为进行融合分析，包括策略操作、外设操作、进程操作、数据操作等操作行为信息，定期提取相关特征分别形成相应的资产操作行为链，如进程操作的资产操作行为链表示为AoC-Str(A_i)＝(Event-Str(a₁)，Event-Str(a₂)，Event-Str(a₃)......)，外设操作的资产操作行为链表示为AoC-Dev(A_i)＝(Event-Dev(a₁)，Event-Dev(a₂)，Event-Dev(a₃)……)，进程操作的资产操作行为链表示为AoC-Pro(A_i)＝(Event-Pro(a₁)，Event-Pro(a₂)，Event-Pro(a₃)......)，数据操作的资产操作行为链表示为AoC-Dat(A_i)＝(Event-Dat(a₁)，Event-Dat(a₂)，Event-Dat(a₃)……)。为了确保相似资产运行特征矩阵的标准化和一致性，将只选取各个资产网络行为链的前十项重要特征，如果存在要素不够的情况，以数字0补齐，以此整合各个资产操作行为链形成相似资产操作行为矩阵AoM(A_i)＝[AoC-Str(A_i),AoC-Dev(A_i),AoC-Pro(A_i),AoC-Dat(A_i)]。同理，定期形成资产B、C、D、E、F......的资产受损特征矩阵AoM(B_i)、AoM(C_i)、AoM(D_i)、AoM(E_i)、AoM(F_i)……。

步骤5、资产内部威胁溯源：基于安全大数据分析技术，通过发现同一网络威胁在不同资产的受损特征、运行特征和操作行为等面的相似性，逐步追溯还原网络威胁在不同阶段的外在特征，如图2所示，资产A、B、C、D、E、F已形成了-个“相似受损资产集”，以此为例实施后续相关数据分析。优选的，步骤5包括以下子步骤：

步骤5.1、生成“相似运行特征资产集”：以“相似受损资产集”中的时刻为起点，反向追踪分析集合中A、B、C、D、E、F在一段时间内所有的相似资产运行特征矩阵，以1个小时为时间间隔，反向追踪资产A、B、C、D、E、F在过去24小时内的相似资产运行特征矩阵，即对{AeM(A_i)、AeM(A_i-1)......AeM(A_i-23)}、{AeM(B_i)、AeM(B_i-1)......AeM(B_i-23)}、{AeM(C_i)、AeM(C_i-1)......AeM(C_i-23)}、{AeM(D_i)、AeM(D_i-1)......AeM(D_i-23)}、{AeM(E_i)、AeM(E_i-1)……AeM(E_i-23)}、{AeM(F_i)、AeM(F_i-1)……AeM(F_i-23)}进行对比关联分析，发现资产A、B、C、D存在相同的运行特征要素，将其划分为“相似运行特征资产集”，并形成“相似资产运行特征矩阵集”为{AeM(A_i)、AeM(B_i-5)、AeM(C_i-9)、AeM(D_i-7)}；

步骤5.2、生成“相似操作行为资产集”：以“相似受损资产集”中的时刻为起点，反向追踪分析集合中A、B、C、D、E、F在一段时间内所有的相似资产操作行为矩阵，以1个小时为时间间隔，反向追踪资产A、B、C、D、E、F在过去24小时内的相似资产运行特征矩阵，即对{AoM(A_i)、AoM(A_i-1)……AoM(A_i-23)}、{AoM(B_i)、AoM(B_i-1)……AoM(B_i-23)}、{AoM(C_i)、AoM(C_i-1)......AoM(C_i-23)}、{AoM(D_i)、AoM(D_i-1)......AoM(D_i-23)}、{AoM(E_i)、AoM(E_i-1)......AoM(E_i-23)}、{AoM(F_i)、AoM(F_i-1)......AoM(F_i-23)}对比关联分析，发现资产B、C、D、E存在相同的运行特征要素，将其划分为“相似操作行为资产集”，并形成“相似相似资产操作行为矩阵集”为{AoM(B_i-5)、AoM(C_i-18)、AoM(D_i-11)、AoM(E_i-3)}；

步骤5.3、资产内部威胁链溯源：取“相似运行特征资产集”和“相似操作行为资产集”的并集，形成“相似威胁特征资产集”，即资产A、B、C、D、E组合形成“相似威胁特征资产集”，之后，基于{AdM(A_i)、AdM(B_i)、AdM(C_i)、AdM(D_i)、AdM(E_i)}的相同特征要素，提取形成资产受损特征AdF(t)；基于{AeM(A_i)、AeM(B_i-5)、AeM(C_i-9)、AeM(D_i-7)}的相同特征要素，提取形成资产运行特征AeF(t)；基于{AoM(B_i-5)、AoM(C_i-18)、AoM(D_i-11)、AoM(E_i-3)}的相同特征要素，提取形成资产内部行为特征AoF(t)；以此作为资产内部某一威胁的相关步骤特征，并以此组合形成资产内部威胁链AtC-In＝{AdF(t)、AeF(t)、AoF(t)}。

步骤6、资产网络威胁溯源：基于安全大数据分析技术，通过发现同一网络威胁在不同资产的网络行为的相似性，实现从资产内部威胁到资产网络威胁追溯还原，资产A、B、C、D、E已形成了一个“相似威胁特征资产集”，以此为例实施后续相关数据分析。优选的，步骤6包括以下子步骤：

步骤6.1、生成资产网络行为矩阵：依托于相应的安全检测和安全审计手段，对“相似威胁特征资产集”中相关的资产一段时间内的网络操作行为进行融合分析，包括文件传送、远程登陆、应用访问、数据获取等操作行为信息，定期提取相关特征分别形成相应的资产网络行为链，如文件传输的资产网络行为链表示为AnC-Fil(A_i)＝(Event-Fil(a₁)，Event-Fil(a₂)，Event-Fil(a₃)……)，远程登陆的资产网络行为链表示为AnC-Log(A_i)＝(Event-Log(a₁)，Event-Log(a₂)，Event-Log(a₃)……)，应用访问的资产网络行为链表示为AnC-App(A_i)＝(Event-App(a₁)，Event-App(a₂)，Event-App(a₃)......)，数据获取的资产网络行为链表示为AnC-Dat(A_i)＝(Event-Dat(a₁)，Event-Dat(a₂)，Event-Dat(a₃)......)。为了确保相似资产运行特征矩阵的标准化和一致性，将只选取各个资产网络行为链的前十项重要特征，如果存在要素不够的情况，以数字0补齐，以此整合各个资产网络行为链形成资产网络行为矩阵，AnM(A_i)＝[AnC-Fil(A_i)，AnC-Log(A_i)，AnC-App(A_i)，AnC-Dat(A_i)]。同理，定期形成资产A、B、C、D、E的资产受损特征矩阵AnM(A_i)、AnM(B_i)、AnM(C_i)、AnM(D_i)、AnM(E_i)、。

步骤6.2、生成“相似网络行为资产集”：以“相似威胁特征资产集”中的时刻为起点，反向追踪分析集合中A、B、C、D、E在一段时间内所有的资产网络行为矩阵，以1个小时为时间间隔，反向追踪资产A、B、C、D、E在过去24小时内的相似资产运行特征矩阵，即对{AnM(A_i)、AnM(A_i-1)......AnM(A_i-23)}、{AnM(B_i)、AnM(B_i-1)......AnM(B_i-23)}、{AnM(C_i)、AnM(C_i-1)……AnM(C_i-23)}、{AnM(D_i)、AnM(D_i-1)……AnM(D_i-23)}、{AnM(E_i)、AnM(E_i-1)......AnM(E_i-23)}、{AnM(F_i)、AnM(F_i-1)......AnM(F_i-23)}对比关联分析，发现资产A、B、D、E存在相同的网络行为要素，将其划分为“相似网络行为资产集”，并形成“相似网络行为资产集”为{AnM(A_i-3)、AnM(B_i-8)、AoM(D_i-11)、AoM(E_i-6)}；

步骤6.3、生成网络威胁链：基于“相似网络行为资产集”{AnM(A_i-3)、AnM(B_i-8)、AoM(D_i-11)、AoM(E_i-6)}的相同特征要素，即资产网络行为集{AnAct(t₁)、AnAct(t₂)、AnAct(t₃)......}；之后，将资产网络行为集和“资产内部威胁链”进行相关性分析，若存在强相关行为，则提取相关特征作为资产网络威胁特征AnF(t)，以此组合形成网络威胁链AtC(t)＝{AdF(t)、AeF(t)、AoF(t)、AnF(t)}。

步骤7、基于威胁情报持续迭代：可将构建的网络威胁链作为威胁情报实现全网共享，并借助于后续的数据融合分析能力实现持续的迭代验证和修正。优选的，步骤7包括如下子步骤：

步骤7.1、网络威胁情报发布：基于网络威胁链AtC(t)的网络行为关系进行回溯定位分析，将网络威胁源头资产H、I作为可疑资产，之后将网络威胁链和相关可疑终端作为网络威胁情报，实现全网发布和共享；

步骤7.2、持续验证和迭代修正：如图3所示，后续的网络威胁溯源分析过程中，可利用网络威胁链AtC(t)和可疑资产H、I作为威胁情报辅助进行分析，同时，持续利用后续更多的数据样本，持续验证网络威胁链的特征是否准确且全面，可疑终端是否再次发生类似威胁行为，基于相关验证数据迭代修正上述威胁情报，持续提升其准确性。

实施例3

本实施例在实施例1和2任一例的基础上：

本实施例提供了一种计算机设备，包括存储器和处理器，该存储器存储有计算机程序，该处理器执行该计算机程序时实现实施例1或2的网络威胁溯源迭代分析方法的步骤。

其中，计算机程序可以为源代码形式、对象代码形式、可执行文件或者某些中间形式等。

实施例4

本实施例在实施例1和2任一例的基础上：

本实施例提供了一种计算机可读存储介质，存储有计算机程序，该计算机程序被处理器执行时实现实施例1或2的网络威胁溯源迭代分析方法的步骤。

其中，计算机程序可以为源代码形式、对象代码形式、可执行文件或者某些中间形式等。存储介质包括：能够携带计算机程序代码的任何实体或装置、记录介质、计算机存储器、只读存储器(ROM)、随机存取存储器(RAM)、电载波信号、电信信号以及软件分发介质等。需要说明的是，存储介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，存储介质不包括电载波信号和电信信号。

需要说明的是，对于前述的方法实施例，为了简便描述，故将其表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

Claims

1.一种网络威胁溯源迭代分析方法，其特征在于，包括如下步骤：

步骤7、复盘分析网络攻击链：将所述相似资产网络行为矩阵中的标记的网络行为进行逐段的网络攻击链的复盘迭代分析；

步骤6包括如下子步骤：

2.根据权利要求1所述的一种网络威胁溯源迭代分析方法，其特征在于，步骤6.1中，所述外部网络行为信息包括文件传送、远程登陆、远程访问和数据获取。

3.根据权利要求1所述的一种网络威胁溯源迭代分析方法，其特征在于，步骤6.3中，所述网络通信行为包括网络行为的源地址、目的地址、通信协议、通信时间和操作对象。

4.根据权利要求1所述的一种网络威胁溯源迭代分析方法，其特征在于，步骤7包括如下子步骤：

5.根据权利要求1所述的一种网络威胁溯源迭代分析方法，其特征在于，步骤3中，所述运行状态信息包括系统策略、系统用户、系统漏洞、系统文件和系统进程。

6.根据权利要求1所述的一种网络威胁溯源迭代分析方法，其特征在于，步骤5中，所述内部操作行为信息包括进程操作、外设操作、文件操作和数据操作。

7.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1-6任一项所述的一种网络威胁溯源迭代分析方法的步骤。

8.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1-6任一项所述的一种网络威胁溯源迭代分析方法的步骤。