[发明专利]数据处理方法、装置和计算设备及介质

权利要求书

1.一种数据处理方法，用于网络攻击者分析，包括：

获取攻击告警信息，所述攻击告警信息包括源IP信息及攻击信息；

至少基于所述源IP信息对所述攻击告警信息进行切片，得到攻击告警切片信息；

对所述攻击告警切片信息进行富化，得到所述攻击告警切片信息的关联信息，所述攻击告警切片信息的关联信息具有至少一个特征标签，其中，所述关联信息与所述源IP信息和/或所述攻击信息相关联，所述关联信息包括以下任意一种或多种：攻击者及使用终端的历史信息、源IP信息的网络活动信息、源IP信息相关的攻击告警信息、源IP信息的域名解析请求记录、攻击类型信息或者攻击工具信息；

基于所述至少一个特征标签进行聚类，得到至少一个集合，其中，所述至少一个集合中的每个集合对应一个攻击者或者一个攻击组织；

获取所述攻击者的关联信息的特征信息，包括获取每个集合的特征信息；以及

基于所述攻击者的关联信息的特征信息获取所述攻击者的画像；

其中，所述至少基于所述源IP信息对所述攻击告警信息进行切片包括基于指定的时间粒度和/或端口信息对所述攻击告警信息进行切片。

2.根据权利要求1所述的方法，其中，所述对所述攻击告警切片信息进行富化包括以下任意一种或多种：

基于所述攻击告警切片信息的源IP信息和/或所述攻击信息在攻击者信息库中进行匹配，得到攻击者及使用终端的历史信息；

获取所述攻击告警切片信息的源IP信息的网络活动信息；

获取所述攻击告警切片信息的源IP信息相关的攻击告警信息；

获取所述攻击告警切片信息的源IP信息的域名解析请求记录；

获取所述攻击告警切片信息的攻击类型信息；

获取所述攻击告警切片信息的攻击工具信息。

3.根据权利要求1所述的方法，其中，所述基于所述攻击者的关联信息的特征信息获取所述攻击者的画像包括：

对所述至少一个集合中的每个集合的特征信息进行特征分析和/或时序关联分析，得到攻击者的画像。

4.根据权利要求1所述的方法，其中，所述特征信息包括：资产属性信息、日常活动信息、恶意活动信息或者终端信息中的至少一种。

5.根据权利要求1所述的方法，其中：

所述获取所述攻击者的关联信息的特征信息包括：对所述攻击者的关联信息进行指纹识别、字典识别、漏洞识别或者工具识别中至少一种识别方式，得到特征信息，其中，

所述指纹识别用于识别攻击者使用的终端的信息，

所述字典识别用于识别攻击者的攻击模式信息，

所述漏洞识别用于识别攻击者利用的漏洞信息及学习能力，以及

所述工具识别用于识别攻击者利用的工具。

6.根据权利要求1所述的方法，还包括：

将所述攻击者的画像存储至攻击者信息库；并且/或者

更新所述攻击者信息库。