CN114584351A - 一种监控方法、装置、电子设备以及存储介质 - Google Patents

Abstract

本发明公开了一种监控方法、装置、电子设备以及存储介质，属于网络空间通信技术领域。该方法包括：根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据；基于威胁检测模型，对所述异常数据进行关联分析，得到APT攻击数据；根据所述APT攻击数据确定目标攻击节点，并对所述目标攻击节点进行策反，得到策反节点；根据监控指标和实时网络数据，对所述策反节点进行监控。上述技术方案，高了APT攻击的检测准确率，实现了对攻击节点的捕获利用和策反，同时还实现了对攻击节点的长期维护，整体提高了网络空间的智能化水平。

Description

一种监控方法、装置、电子设备以及存储介质

技术领域

本发明涉及网络空间通信技术领域，尤其涉及一种监控方法、装置、电子设备以及存储介质。

背景技术

在高级持续性威胁(Advanced Persistent Threat，APT)攻击防御工作中，攻击检测是安全防护和加固的前提和依据，也是APT攻击防御中最困难的部分，因此检测技术已成为当前APT攻击防御领域的研究热点。

在整体安全防护体系中，传统攻击检测设备的作用类似于“触发器”，当检测到APT攻击的蛛丝马迹时，再利用存储的全流量数据进行事后溯源和深度分析。这些技术对APT检测准确率低，时效长，不能够对APT攻击事件进行及时的防御，且不能对APT攻击的攻击节点进行长期监控。

发明内容

本发明提供了一种监控方法、装置、电子设备以及存储介质，以实现APT攻击的快速检测，以及对攻击节点的长期监控。

根据本发明的一方面，提供了一种监控方法，该方法包括：

根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据；

基于威胁检测模型，对所述异常数据进行关联分析，得到APT攻击数据；

根据所述APT攻击数据确定目标攻击节点，并对所述目标攻击节点进行策反，得到策反节点；

根据监控指标和实时网络数据，对所述策反节点进行监控。

根据本发明的另一方面，提供了一种监控装置，该装置包括：

异常数据确定模块，用于根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据；

攻击数据确定模块，用于基于威胁检测模型，对所述异常数据进行关联分析，得到APT攻击数据；

策反节点确定模块，用于根据所述APT攻击数据确定目标攻击节点，并对所述目标攻击节点进行策反，得到策反节点；

监控模块，用于根据监控指标和实时网络数据，对所述策反节点进行监控。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的监控方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的监控方法。

本发明实施例的技术方案，通过根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据，并基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据，之后根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点，进而根据监控指标和实时网络数据，对策反节点进行监控。上述技术方案，提高了APT攻击的检测准确率，实现了对攻击节点的捕获利用和策反，同时还实现了对攻击节点的长期维护，整体提高了网络空间的智能化水平。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1A是根据本发明实施例一提供的一种监控方法的流程图；

图1B是根据本发明实施例一提供的一种基于知识图谱的威胁情报抽取的示意图；

图1C是根据本发明实施例一提供的一种基于知识图谱的APT智能识别阻断技术框架图；

图2A是根据本发明实施例二提供的一种监控方法的流程图；

图2B是根据本发明实施例二提供的一种评估框架图；

图2C是根据本发明实施例二提供的一种监控逻辑框图；

图3是根据本发明实施例三提供的一种监控装置的结构示意图；

图4是实现本发明实施例的监控方法的电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“目标”、“历史”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1A是根据本发明实施例一提供的一种监控方法的流程图。本实施例可适用于如何在网络空间对抗环境下对攻击节点进行检测和监控的情况，该方法可以由监控装置来执行，该装置可以采用硬件和/或软件的形式实现，并可集成于承载监控功能的电子设备中，如服务器中。如图1A所示，本实施例提供的监控方法包括：

S110、根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

本实施例中，数据流特征为从一次完整对话所涉及的数据中提取到的数据特征。所谓一次完整对话为源IP和目的IP之间进行数据传输时的三次挥手和四次握手的整个完整过程。

所谓目标网络数据为所监控的网络空间中进行传输的数据流。所谓目标时间段为进行网络空间安全检测的一个时间窗。所谓异常数据为对网络空间安全存在威胁的数据。

具体的，可以通过NTA设备对目标网络数据进行实时的解析，得到解析后的数据流，进而可以基于无监督的挖掘算法建立正常行为模型，根据正常行为模型对解析后的数据流进行检测，快速辨别出数据流中的异常数据。

S120、基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据。

具体的，基于威胁性检测模型，根据目标安全设备数据、目标关防出入口数据和目标节点资源数据，对异常数据进行关联分析，得到APT攻击数据。

其中，安全设备数据为通过预定义的数据接口实现与其他网络安全设备进行数据交换所涉及的数据，可以包含不限于过程历史数据、攻击节点资源信息、攻击工具信息以及其他辅助信息等。所谓关防出入口数据为从边界关口引接所需的业务数据。所谓节点资源数据为针对境内资源节点、境外资源节点、以及节点上所部属的监测程序监测到的网络流量、日志、样本等基础数据。

所谓目标安全设备数据为目标时间段内涉及的安全设备数据；所谓目标关防出入口数据为目标时间段内涉及的关防出入口数据；所谓目标节点资源数据为目标时间段内涉及的节点资源数据。

其中，威胁性检测模型可以基于深度学习技术或者结合杀伤链模型和ATT&CK模型确定。一种可选方式，威胁性检测模型通过如下方式确定：获取样本数据，样本数据包括样本安全设备数据、样本关防出入口数据、样本节点数据和样本APT攻击数据；采用样本数据对神经网络模型进行训练，得到威胁性检测模型。具体的，对样本数据，基于恶意代码流量行为检测技术、攻防渗透行为检测技术、自动化关联分析技术与搜索技术相结合等多种先进技术，分析识别网络空间是否被其他组织的探测扫描，发现其可能存在的漏洞，然后进行渗透控制或者干扰破坏其正常的运行。威胁分析过程中，采用深度学习的技术对威胁检测模型进行构建(例如采用样本数据对神经网络模型进行训练，得到威胁性检测模型)，从而能够使得威胁识别过程具有自学习性，能够基于已知威胁样本对未知威胁进行预测，发现攻击手段和武器并加以利用。

又一种可选方式，威胁性检测模型还可以通过如下方式确定：基于杀伤链模型和ATT&CK模型，根据历史网络数据确定威胁情报库；根据威胁情报库，构建威胁情报知识图谱；基于深度学习技术，根据威胁情报知识图谱，构建威胁性检测模型。

具体的，结合killchain杀伤链和ATT&CK模型对历史网络数据(比如各类数据、流量)进行汇总分析，确定威胁情报库，利用深度学习自动化提取实体和实体关系，从而快速地构建威胁情报知识图谱。威胁情报的知识图谱充分展示了威胁情报中知识的发展及相关联系，利用可视化技术，对威胁情报中攻击组织、攻击控制资源、攻击手段、攻击目标、攻击成员之间的关系，以攻击组织为核心进行深刻的展示和描绘。进而，基于深度学习技术，根据威胁情报知识图谱，构建威胁性检测模型。

需要说明的是，基于killchain和ATT&CK技术对威胁检测模型(APT模型)进行构建，killchain杀伤链模型将网络攻击拆分为7个步骤,包括侦察(Reconnaissance)、武器化(Weaponization)、交付(Delivery)、利用(Exploitation)、安装(Installation)、命令和控制(Command&Control)、针对目标物的活动(Actions on Objective)。ATT&CK是在大量已知APT攻击事件基础上构建出来的,从战术和技术两个维度对APT攻击进行总结归纳。战术是攻击的目的,技术是实现战术所采取的具体方法,在对技术的定义中,包含了丰富的攻击上下文语义信息，然后基于killchain和ATT&CK情报库，对知识图谱进行建立。

此外，还需要说明的是，结合killchain和att&ck建立语义规则模型如图1B所示，在图1B中P1→F1→S1→P2→F2基于killchain描述了技术的实施过程,网络实体通过操作关系连接起来。在实际远程漏洞利用过程中,常用的方法是利用漏洞攻击工具,加载特定漏洞的攻击脚本,通过网络向目标发送攻击载荷并在目标系统中执行恶意代码，F1→S1边表示漏洞利用程序通过网络向目标发送攻击载荷,在F1和S1之间隐含了一个进程实体,由于该进程并不影响整个攻击过程的完整性,如果增加它反而会提升规则匹配的复杂度,所以在此将该进程实体省略。当前数据仅限于ATT&CK攻击定义文本,对抽取的网络实体的子实体无法做到完全列举,因此,如果进一步扩充文本数据(例如APT分析报告),对网络实体的划分会更加具体,对攻击技术的语义描述更加精确。

S130、根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点。

本实施例中，目标攻击节点为APT攻击数据所攻击的节点。

具体的，利用样本分析技术对远控主机的攻击行为(APT攻击数据)指令进行逆向，获取真正的攻击源地址、攻击行为以及攻击目标(目标攻击节点)、攻击时间信息等，进而可以基于AI养殖化蜜罐节点的策反技术，根据目标攻击节点进行策反，得到策反节点。例如，模拟通信协议与远控主机进行交互，保持远控主机的连接状态，通过部署蜜罐节点进行恶意样本(APT攻击数据)的捕获，利用逆向分析技术对恶意样本(APT攻击数据)进行解析，获取攻击指令详情以及通信端口，利用获取的攻击细节信息模拟受控肉鸡。当肉鸡接收到攻击指令时，对攻击指令进行解析并与远控主机进行通信，做出攻击的及时预警并进行长期监控。

S140、根据监控指标和实时网络数据，对策反节点进行监控。

本实施例中，监控指标为对策反节点的后期状态进行量化评估的指标。

具体的，可以基于监控模型，根据监控指标和实时网络数据，对策反节点进行监控。其中，监控模型可以基于数据分析技术确定。

本发明实施例的技术方案，通过根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据，并基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据，之后根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点，进而根据监控指标和实时网络数据，对策反节点进行监控。上述技术方案，提高了APT攻击的检测准确率，实现了对攻击节点的捕获利用和策反，同时还实现了对攻击节点的长期维护，整体提高了网络空间的智能化水平。

在上述实施例的基础上，还可以基于知识图谱对APT智能识别阻断。其中阻断框架如图1C所示，架构主要分为5部分：威胁情报知识谱管理、威胁情报数据处理、知识推理、知识呈现、知识表示。数据处理和知识推理提供数据模型关系模型支撑；数据处理进行数据解析，将结构化和非结构化文本利用深度学习模型实现端到端实体抽取和实体关系抽取等功能，表示为知识图谱可以识别的数据类型；知识推理模块通过正向推理提取分析情报数据的知识体系，预测实体之间存在的潜在关系补全知识图谱，推动知识体系演化，最后知识呈现模块运用图数据库来进行知识图谱的绘制。

实施例二

图2A是根据本发明实施例二提供的一种监控方法的流程图。在上述实施例的基础上，进一步优化，提供一种可选实施方案。如图2A所示，本实施例提供的监控方法可以包括：

S210、根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

本实施例中，可以基于数据过滤模型，根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

其中，数据过滤模型可以基于模式匹配的方式，根据误用和异常检测特征库来确定。进一步的，还可以数据流特征的挖掘分析快速从衰减时间窗口中提取出用户指定时间区间的数据集，选择合适的数据挖掘算法对数据集进行分析。当发现新的攻击类型后，可以及时提取其特征并添加到数据过滤模型中，提高过滤的有效范围。

具体的，可以根据数据过滤模型中已有的攻击类型的数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

需要说明的是，在得到异常数据后，将目标网络数据中剩余的数据通过数据流特征模型进行学习，可以得到新的攻击手段，从而保证保证较高的检测正确率，还可以极大的降低后续模块需要处理的数据量，进而提高检测系统的运行效率。其中，数据流特征模型可以基于神经网络模型得到。

S220、基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据。

S230、根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点。

S240、根据监控指标和实时网络数据，对策反节点进行监控。

本实施例中，监控指标可以包括包括可靠性、隐蔽性、暴露状态和行动状态中的至少两种。

根据不同监控维度的监控指标，对策反节点的安全状态进行监控。具体的，为了对被策反的节点和已被利用的武器库进行长期维护，针对攻击节点资源、攻击目标、已利用攻击节点进行三个维度的等级评估。等级评估基于这三类节点的可靠性、隐蔽性、暴露状态、行动状态四个维度的指标，如图2B所示。

针对目标攻击节点利用主动防御技术以及现有的数据资源和线路资源，对远控主机进行反控，监控其攻击行为，有效收集攻击手法以及攻击目标，并将攻击事件进行图形化的数据分析展示，以攻为守，有效地减少攻击行为带来的危害。具体的，可以基于现有的探针抓取的C&C主机列表，与远程C&C建立通信。在建立联系之后，对远控主机的僵尸节点进行仿真，监听攻击数据包，识别被攻击主机以及攻击行为，利用SPLUNK数据分析平台进行事件分析。监控全程都是通过远程终端作为代理保护本地主机安全。例如，如图2C所示，整个流程划分为两个部分：连接建立过程、攻击命令截获与解析过程。首先，控制台向远程终端发送与C&C连接任务，然后，远程终端转发连接任务给监控节点，监控节点与C&C建立连接。连接过程结束，连接成功。通信建立后，监控节点实时监控远控主机，发现攻击命令后，对命令规则进行解析，解析后将解析结果传递给远程终端，控制台从远程终端接受结果后利用SPLUNK数据分析平台进行可视化平台分析展示。

本发明实施例的技术方案，通过根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据，并基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据，之后根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点，进而根据监控指标和实时网络数据，对策反节点进行监控。上述技术方案，提高了APT攻击的检测准确率，实现了对攻击节点的捕获利用和策反，同时还实现了对攻击节点的长期维护，整体提高了网络空间的智能化水平。

实施例三

图3是根据本发明实施例三提供的一种监控装置的结构示意图。本实施例可适用于如何在网络空间对抗环境下对攻击节点进行检测和监控的情况，该装置可以采用硬件和/或软件的形式实现，并可集成于承载监控功能的电子设备中，如服务器中。如图3所示，本实施例提供的监控装置可以包括：

异常数据确定模块310，用于根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据；

攻击数据确定模块320，用于基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据；

策反节点确定模块330，用于根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点；

监控模块340，用于根据监控指标和实时网络数据，对策反节点进行监控。

本发明实施例的技术方案，通过根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据，并基于威胁检测模型，对异常数据进行关联分析，得到APT攻击数据，之后根据APT攻击数据确定目标攻击节点，并对目标攻击节点进行策反，得到策反节点，进而根据监控指标和实时网络数据，对策反节点进行监控。上述技术方案，提高了APT攻击的检测准确率，实现了对攻击节点的捕获利用和策反，同时还实现了对攻击节点的长期维护，整体提高了网络空间的智能化水平。

可选的，异常数据确定模块310具体用于：

基于数据过滤模型，根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

可选的，攻击数据确定模块320具体用于：

基于威胁性检测模型，根据目标安全设备数据、目标关防出入口数据和目标节点资源数据，对异常数据进行关联分析，得到APT攻击数据。

可选的，威胁性检测模型通过如下方式确定：

获取样本数据，样本数据包括样本安全设备数据、样本关防出入口数据、样本节点数据和样本APT攻击数据；

采用样本数据对神经网络模型进行训练，得到威胁性检测模型。

可选的，威胁性检测模型还可以通过如下方式确定：

基于杀伤链模型和ATT&CK模型，根据历史网络数据确定威胁情报库；

根据威胁情报库，构建威胁情报知识图谱；

基于深度学习技术，根据威胁情报知识图谱，构建威胁性检测模型。

可选的，监控模块340具体用于：

根据不同监控维度的监控指标，对策反节点的安全状态进行监控；监控维度包括可靠性、隐蔽性、暴露状态和行动状态中的至少两种。

本发明实施例所提供的监控装置可执行本发明任意实施例所提供的监控方法，具备执行方法相应的功能模块和有益效果。

实施例四

图4是实现本发明实施例的监控方法的电子设备的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图4所示，电子设备10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储电子设备10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。

电子设备10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许电子设备10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如监控方法。

在一些实施例中，监控方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM12和/或通信单元19而被载入和/或安装到电子设备10上。当计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的监控方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行监控方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种监控方法，其特征在于，包括：

根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据；

基于威胁检测模型，对所述异常数据进行关联分析，得到APT攻击数据；

根据所述APT攻击数据确定目标攻击节点，并对所述目标攻击节点进行策反，得到策反节点；

根据监控指标和实时网络数据，对所述策反节点进行监控。

2.根据权利要求1所述的方法，其特征在于，所述根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据，包括：

基于数据过滤模型，根据所述数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

3.根据权利要求1所述的方法，其特征在于，所述基于威胁检测模型，对所述异常数据进行关联分析，得到APT攻击数据，包括：

基于威胁性检测模型，根据目标安全设备数据、目标关防出入口数据和目标节点资源数据，对所述异常数据进行关联分析，得到APT攻击数据。

4.根据权利要求3所述的方法，其特征在于，所述威胁性检测模型通过如下方式确定：

获取样本数据，所述样本数据包括样本安全设备数据、样本关防出入口数据、样本节点数据和样本APT攻击数据；

采用所述样本数据对神经网络模型进行训练，得到威胁性检测模型。

5.根据权利要求3所述的方法，其特征在于，所述威胁性检测模型通过如下方式确定：

基于杀伤链模型和ATT&CK模型，根据历史网络数据确定威胁情报库；

根据所述威胁情报库，构建威胁情报知识图谱；

基于深度学习技术，根据所述威胁情报知识图谱，构建威胁性检测模型。

6.根据权利要求1所述的方法，其特征在于，所述根据监控指标和实时网络数据，对所述策反节点进行监控，包括：

根据不同监控维度的监控指标，对所述策反节点的安全状态进行监控；所述监控维度包括可靠性、隐蔽性、暴露状态和行动状态中的至少两种。

7.一种监控装置，其特征在于，包括：

异常数据确定模块，用于根据数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据；

攻击数据确定模块，用于基于威胁检测模型，对所述异常数据进行关联分析，得到APT攻击数据；

策反节点确定模块，用于根据所述APT攻击数据确定目标攻击节点，并对所述目标攻击节点进行策反，得到策反节点；

监控模块，用于根据监控指标和实时网络数据，对所述策反节点进行监控。

8.根据权利要求7所述的装置，其特征在于，所述异常数据确定模块具体用于：

基于数据过滤模型，根据所述数据流特征，对目标时间段的目标网络数据进行检测，得到异常数据。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-6中任一项所述的监控方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-6中任一项所述的攻击节点的监控方法。

Images