[发明专利]一种网络攻击预测方法及装置

权利要求书

1.一种网络攻击预测方法，其特征在于，包括：

根据已公开的网络攻击事件确定一条以上攻击链，所述攻击链包括两个以上按序排列的攻击阶段；

根据目标主机当前遭受的网络攻击对应的告警信息的告警内容确定当前攻击阶段；

将所述一条以上攻击链中与所述当前攻击阶段相邻且位于所述当前攻击阶段之后的攻击阶段确定为下一个攻击阶段；

在所述根据目标主机当前遭受的网络攻击对应的告警信息的告警内容确定当前攻击阶段之前，还包括：

检测所述目标主机是否受到所述网络攻击并确定所述网络攻击的攻击类型；

若所述目标主机受到所述网络攻击，则检测所述网络攻击是否成功并确定成功的网络攻击的攻击动作；

若所述网络攻击成功，则生成第一告警子信息，否则生成第二告警子信息

其中，所述检测所述网络攻击是否成功包括：

从所述网络攻击对应的网络数据中提取待比对特征；

将所述待比对特征与一个以上攻击响应规则进行比对，其中，所述攻击响应规则根据第一响应数据形成，所述第一响应数据用于受攻击主机对成功攻击请求的应答；

若所述待比对特征与所述攻击响应规则相匹配，则判定所述网络攻击成功

其中，在所述将所述待比对特征与一个以上攻击响应规则进行比对之前，还包括：

建立包含所述一个以上攻击响应规则的特征库，所述特征库包括N个子特征库，N为不小于2的整数，所述建立包含所述一个以上攻击响应规则的特征库包括：

创建N个数据库；

从两个以上第一响应数据中对应提取两个以上攻击响应特征；

对每个攻击响应特征进行确定性描述，形成两个以上攻击响应规则；

将所述两个以上攻击响应规则中属于同种攻击类型的攻击响应规则存储到相同的数据库中，获得所述子特征库。

2.根据权利要求1所述的一种网络攻击预测方法，其特征在于，所述根据目标主机当前遭受的网络攻击对应的告警信息的告警内容确定当前攻击阶段包括：

根据所述告警信息的告警内容，从预先建立的标签库中确定与所述告警信息对应的攻击链标签，其中，所述标签库中的每个攻击链标签对应表征一个攻击阶段；

将与所述告警信息对应的攻击链标签表征的攻击阶段确定为所述当前攻击阶段。

3.根据权利要求1所述的一种网络攻击预测方法，其特征在于，所述攻击链包括M级子攻击链，每级子攻击链包括两个以上按序排列的攻击阶段，且第m+1级子攻击链中的每个攻击阶段对应属于第m级子攻击链中的一个攻击阶段，其中，M为不小于2的整数，1≤m≤M-1；所述根据目标主机当前遭受的网络攻击对应的告警信息的告警内容确定当前攻击阶段包括：

根据所述告警信息的告警内容，从预先建立的标签库中确定与所述告警信息对应的攻击链标签，其中，所述标签库包括M级子标签库，每级子标签库存储两个以上攻击链标签，且第m+1级子标签库中的每个攻击链标签对应属于第m级子标签库中的一个攻击链标签，所述标签库中的每个攻击链标签对应表征一个攻击阶段；

将与所述告警信息对应的攻击链标签表征的攻击阶段确定为所述当前攻击阶段。

4.根据权利要求1所述的一种网络攻击预测方法，其特征在于，在所述将所述一条以上攻击链中与所述当前攻击阶段相邻且位于所述当前攻击阶段之后的攻击阶段确定为下一个攻击阶段之后，还包括：

生成攻击预测信息，所述攻击预测信息包括所述下一个攻击阶段；

通过邮件、短信、对话框以及即时通信中的一种或多种组合将所述攻击预测信息发送给网络管理人员。

5.根据权利要求1所述的一种网络攻击预测方法，其特征在于，所述告警信息为用于表征所述网络攻击成功的第一告警子信息或者为用于表征所述网络攻击无效的第二告警子信息；

所述第一告警子信息的告警内容包括所述网络攻击的攻击类型和所述网络攻击的攻击动作，所述第二告警子信息的告警内容包括所述网络攻击的攻击类型。