[发明专利]一种网络威胁检测方法、装置及网络管理设备

说明书

本申请提供一种网络威胁检测方法、装置及网络管理设备。该方法包括：接收网络安全设备上报的目标日志信息；确定所述目标日志信息对应的目标分类特征；在关于各个分类特征与预设的目标击杀链模型中各个攻击阶段的映射关系中，确定目标分类特征对应的目标攻击阶段；并且，在确定出至少两个目标攻击阶段后，当基于当前已确定出的各个目标攻击阶段判断出一网络节点符合预定威胁条件时，确定该网络节点受到网络威胁；其中，所述预定威胁条件为：在时间轴上按照时间先后顺序，发生所述目标击杀链模型中的正向顺序的阶段组合，所述阶段组合包括至少两种攻击阶段。通过本方案可以解决现有技术中检测效率较低的问题。

技术领域

本申请涉及网络安全技术领域，特别涉及一种网络威胁检测方法、装置及网络管理设备。

背景技术

安全攻防一直存在并愈演愈烈，由最初的单一攻击发展到如今的目的性强、持续时间久、分阶段发生的APT(Advanced Persistent Threat，高级持续性威胁)攻击。为了描述APT攻击出现了击杀链模型，而基于攻击者进行APT攻击的攻击思路，现有的击杀链模型由七个攻击阶段构成，即侦查、武装、分发、利用、安装、命令和控制和目标行动。

其中，击杀链模型的端到端的“链”的特征，决定了任何阶段的中断都可以导致整个过程中断。作为防御者，可以根据击杀链模型的端到端的“链”的特征建立反击杀链模型。目前的反击杀链模型，如F2T2EA(Find－Fix-Track-Target-Engage-Assess)模型，主要包括六个阶段，分别是“发现－定位－跟踪－瞄准－打击－评估”。在反击杀链模型中，发现能力是先决条件，只有发现目标，才有可能击毙目标，也就是说，网络威胁检测是反击杀过程中至关重要的第一步。

现有技术中，在网络威胁检测时，防御者所利用的网络威胁检测方法的处理思路为：通过人工方式，逐个排查现有的击杀链模型中各个攻击阶段是否存在网络威胁。

可见，尽管现有的网络威胁检测方法能够实现网络威胁的检测，但是，在检测过程中步骤较为繁琐且必须依赖于人工，这样导致检测效率较低，最终影响最佳防御时机的确定，为网络安全带来隐患。

发明内容

有鉴于此，本申请提供一种网络威胁检测方法、装置及网络管理设备，以解决现有技术中检测效率较低的问题。

具体地，本申请是通过如下技术方案实现的：

第一方面，本申请提供了一种网络威胁检测方法，应用于网络管理设备；所述方法包括：

接收网络安全设备上报的目标日志信息；其中，所述目标日志信息为关于所述网络安全设备所监控网络节点的日志信息；

确定所述目标日志信息对应的目标分类特征；其中，所述目标分类特征为所述目标日志信息中的预定属性，所述预定属性为表征事件本质的属性；

在关于各个分类特征与预设的目标击杀链模型中各个攻击阶段的映射关系中，确定所述目标分类特征对应的目标攻击阶段；其中，所述目标击杀链模型包括：对高级持续性威胁APT攻击按照时间顺序划分的多个攻击阶段；

并且，在确定出至少两个目标攻击阶段后，当基于当前已确定出的各个目标攻击阶段判断出一网络节点符合预定威胁条件时，确定该网络节点受到网络威胁；其中，所述预定威胁条件为：在时间轴上按照时间先后顺序，发生所述目标击杀链模型中的正向顺序的阶段组合，所述阶段组合包括至少两种攻击阶段。

可选地，所述多个攻击阶段包括：环境侦查、定向攻击、系统攻陷和恶意活动四个攻击阶段。

可选地，当所述目标日志信息为攻击日志、防病毒日志或分布式拒绝服务DDoS日志中的信息时，所述预定属性为表示日志类型的属性；

当所述目标日志信息为入侵防御系统IPS日志中的信息时，所述预定属性为表示攻击ID的属性；