[发明专利]一种监测高级持续性网络攻击的方法和系统

说明书

本发明实施例公开了一种监测高级持续性网络攻击的方法和系统，该监测高级持续性网络攻击的方法包括：截取并存储指定的网络数据及元数据在数据中心，形成网络数据及元数据库；将获取的威胁情报进行分析，提取威胁情报中的攻击线索；以攻击线索为检索条件，在网络数据及元数据库进行检索，提取攻击原始数据；根据攻击原始数据，构建APT攻击的高阶特征；根据高阶特性，监测网络实时数据是否为APT攻击。

技术领域

本发明涉及网络空间安全技术领域，具体涉及一种监测高级持续性网络攻击的方法和系统。

背景技术

高级持续性网络攻击(英文：Advanced Persistent Threat，APT)作为一种新型的网络攻击类型，使用的技术先进、隐蔽性强、针对目标的持续时间长，到目前为止，尚未有有效的监测方法。

传统的网络攻击检测方法，如入侵检测系统、沙箱检测等，只能针对有明显数据包特征及程序运行特征的网络攻击，不能有效应对精心部署的递进式(步骤分解)、持续进行的高级持续性网络攻击。

传统的审计方法，如网络日志审计等，只能应对小型网络、短时间审计，不能做大规模或者长时间数据的审计，也不能有效应对精心部署的递进式(步骤分解)、持续进行的高级持续性网络攻击。

发明内容

本发明实施例的目的在于提供一种监测高级持续性网络攻击的方法和系统，用以解决现有技术中存在的问题。

为实现上述目的，本发明实施例提供一种监测高级持续性网络攻击的方法，该监测高级持续性网络攻击的方法包括：截取并存储指定的网络数据及元数据在数据中心，形成网络数据及元数据库；将获取的威胁情报进行分析，提取威胁情报中的攻击线索；以攻击线索为检索条件，在网络数据及元数据库进行检索，提取攻击原始数据；根据攻击原始数据，构建APT攻击的高阶特征；根据高阶特性，监测网络实时数据是否为APT攻击。

可选的，将获取的威胁情报进行分析，提取威胁情报中的攻击线索，包括：通过机器学习算法对预设类型的网络数据内容进行检测发现攻击线索，并对获取的威胁情报进行分析，以及根据分析的结果调整攻击线索。

可选的，攻击线索包括：攻击者使用的邮件标题、附件名称、恶意软件Hash值、DNS、IP、URL和策略文本内容中的一种或多种。

可选的，高阶特征包括：攻击者是否使用扫描、扫描的端口、是否通过邮件攻击、攻击方式、语言能力、正文的主题和采用流量隐藏方法中的一种或多种。

可选的，根据高阶特性，监测网络实时数据是否为APT攻击之后，该监测高级持续性网络攻击的方法还包括：当网络实时数据为正在实施的APT攻击时，生成威胁情报。

为实现上述目的，本发明实施例提供一种监测高级持续性网络攻击的系统，监测高级持续性网络攻击的系统包括：网络数据及元数据记录模块，用于截取并存储指定的网络数据及元数据；威胁情报汇集及分析平台，用于将获取的威胁情报进行分析，提取威胁情报中的攻击线索；分析平台，用于以攻击线索为检索条件，在网络数据及元数据库进行检索，提取攻击原始数据；分析平台，还用于：根据攻击原始数据，构建APT攻击的高阶特征；网络APT检测模块，用于根据高阶特性，监测网络实时数据是否为APT攻击。

可选的，威胁情报汇集及分析平台，包括：威胁情报导入单元，用于导入并格式化威胁情报；威胁情报爬虫单元，用于爬取开源威胁情报；威胁情报分析单元，对开源威胁情报进行关联和可视化分析，得出攻击线索。

可选的，网络APT检测模块，包括：平台接口单元，用于获取分析平台下发的APT攻击的高阶特征，并导入高阶特征检测单元；高阶特征检测单元，根据APT攻击的高阶特征，监测网络实时数据是否为APT攻击。

本发明实施例具有如下优点：

(1)采用了大数据框架，以全局视角审视网络事件，天然具有对抗APT攻击“分解、持续”的特点；