[发明专利]一种基于聚类分析的网络入侵场景图生成方法

权利要求书

1、一种基于聚类分析的网络入侵场景图生成方法，输入经过特征类相关性分析后得到的入侵场景的原始告警关系对，其特征在于再进行如下步骤的操作：

(1)输入经过特征类相关性分析后得到入的侵场景原始关系对，计算其所有告警的入度；

(2)从0入度开始，将同一入度下具有相同的规则标识、攻击源IP地址和攻击目的IP地址告警属性的告警合并成为一个新的聚合告警；该聚合告警的标识为形成该聚合告警时被合并告警中的任一告警的ID号，产生时间和结束时间分别对应为所有被合并告警的最小产生时间和最大结束时间，该聚合告警的层次为当前的入度数加1，攻击次数为被合并告警的个数；被合并的告警的后件关系叠加在它所在的聚合告警的后件中；

(3)对0入度的告警的后件告警入度减1后，重新计算入度，循环(2)的操作，直到遍历完所有告警完成聚类合并，得到聚合告警及聚合告警关系对；

(4)依次取出每一个聚合告警，分别得到聚合告警所有后件的入度，对有多个不同入度的后件，在保持连通图连通的条件下进行去除跨层关系操作，生成网络入侵场景图。

2、根据权利要求1所述的一种基于聚类分析的网络入侵场景图生成方法，其特征在于：所述的去除跨层关系操作，其步骤为：先保存当前状态和跨层关系，再采用深度优先遍历的方式判断聚合告警连通图的状态，若移除跨层关系后该聚合告警关系对仍为连通状态，则进行去除该聚合告警的跨层关系的操作；若移除跨层连线后，该聚合告警关系对为非连通状态，则返回到去除跨层关系前的状态，取出该聚合告警的下一个跨层关系重复进行判断该聚合告警连通图的状态步骤，直到所有的聚合告警都完成了去除跨层关系操作。