[发明专利]主机攻陷判定方法、装置、计算设备及计算机存储介质

权利要求书

1.一种主机攻陷判定方法，其特征在于，所述方法包括：

获取包含入侵者攻击信息的攻击日志和与所述攻击日志匹配的包含受害者TCP会话回包信息的回包日志；

根据所述攻击日志和所述回包日志生成有效安全事件，并标记所述有效安全事件的攻击阶段；

根据所述有效安全事件以及所述有效安全事件的攻击阶段生成主机的视图攻击链；

根据主机的所述视图攻击链应用预设的攻陷规则判定所述主机是否被攻陷。

2.根据权利要求1所述的方法，其特征在于，所述根据所述攻击日志和所述回包日志生成有效安全事件，并标记所述有效安全事件的攻击阶段，包括：

根据所述攻击日志应用预置的事件规则生成安全事件，并标记安全事件的攻击阶段；

应用预置的去噪规则滤除互斥的所述安全事件；

将所述回包日志与所述攻击日志匹配筛选出所述有效安全事件以及所述有效安全事件的攻击阶段。

3.根据权利要求2所述的方法，其特征在于，所述根据所述攻击日志应用预置的事件规则和去噪规则生成安全事件，并标记安全事件的攻击阶段，包括：

应用预置的所述事件规则提取所述攻击日志中的特征值；

根据所述特征值对所述攻击日志进行聚合生成所述安全事件；

标记所述安全事件的攻击阶段。

4.根据权利要求3所述的方法，其特征在于，所述将所述回包日志与所述攻击日志匹配筛选出所述有效安全事件以及所述有效安全事件的攻击阶段，包括：

筛选出所述攻击日志与所述回包日志匹配的所述安全事件；

根据预设的标识标志所述安全事件是否成功；

筛选出标志为成功的所述安全事件作为所述有效安全事件。

5.根据权利要求4所述的方法，其特征在于，所述根据预设的标识标志所述安全事件是否成功，包括：

根据所述回包日志中的结果标识和/或行为标识标志所述安全事件是否成功。

6.根据权利要求1所述的方法，其特征在于，所述根据所述有效安全事件以及所述有效安全事件的攻击阶段生成主机的视图攻击链，包括：

将目的IP同为所述主机IP的所述有效安全事件聚合为原始攻击链；

若所述原始攻击链存在所述攻击阶段为第一预设攻击阶段的所述有效安全事件，则获取源IP为所述主机IP的所述有效安全事件；

将源IP为所述主机IP的所述有效安全事件补充至所述原始攻击链，并标记所述有效安全事件的所述攻击阶段为第二预设攻击阶段，生成所述主机的视图攻击链。

7.根据权利要求6所述的方法，其特征在于，所述根据主机的所述视图攻击链应用预设的攻陷规则判定所述主机是否被攻陷，包括：

若主机的所述视图攻击链中至少包括所述攻击阶段不同的两个所述有效安全事件，且其中一个所述有效安全事件的所述攻击阶段为高阶攻击阶段中的任一个，则判定所述主机被攻陷。

8.一种主机攻陷判定装置，其特征在于，所述装置包括：

日志获取单元，用于获取包含入侵者攻击信息的攻击日志和与所述攻击日志匹配的包含受害者TCP会话回包信息的回包日志；

事件推理单元，用于根据所述攻击日志和所述回包日志生成有效安全事件，并标记所述有效安全事件的攻击阶段；

攻击链推理单元，用于根据所述有效安全事件以及所述有效安全事件的攻击阶段生成主机的视图攻击链；

攻陷判定单元，用于根据主机的所述视图攻击链应用预设的攻陷规则判定所述主机是否被攻陷。

9.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行根据权利要求1-7项所述主机攻陷判定方法的步骤。

10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行根据权利要求1-7项所述主机攻陷判定方法的步骤。