[发明专利]主机攻陷判定方法、装置、计算设备及计算机存储介质

说明书

本发明实施例涉及网络安全技术领域，公开了一种主机攻陷判定方法、装置、计算设备及计算机存储介质，该方法包括：获取包含入侵者攻击信息的攻击日志和与所述攻击日志匹配的包含受害者TCP会话回包信息的回包日志；根据所述攻击日志和所述回包日志生成有效安全事件，并标记所述有效安全事件的攻击阶段；根据所述有效安全事件以及所述有效安全事件的攻击阶段生成主机的视图攻击链；根据主机的所述视图攻击链应用预设的攻陷规则判定所述主机是否被攻陷。通过上述方式，本发明实施例通过攻击链推理的攻陷判定方法，能够实现自动判定主机是否被攻陷，提高了判断攻陷是否成功的准确性。

技术领域

本发明实施例涉及网络安全技术领域，具体涉及一种主机攻陷判定方法、装置、计算设备及计算机存储介质。

背景技术

在现有市场上所有态势感知产品中，一般只提供攻击事件、资产威胁、风险评分等信息，但是用户最关心的“资产是否被攻陷”的信息并没有提供和展示。

设备在进行网络活动时，会产生大量流量日志。现有的主机攻陷判定方法中，大部分依靠人工进行判断，通过流量日志建立基线，将日志关联与大数据分析从海量行为数据中发现攻击，判定资产是否失陷。

在实现本发明实施例的过程中，发明人发现：现有的主机攻陷判定方法八方依赖较强的专业知识进行人工判断，主观性较强，由于通过流量日志建立基线进行的攻陷判定攻击阶段关联性弱，且存在资产被攻陷了，而流量并没有异常的现象，容易造成攻陷判定不准确。

发明内容

鉴于上述问题，本发明实施例提供了一种主机攻陷判定方法、装置、计算设备及计算机存储介质，克服了上述问题或者至少部分地解决了上述问题。

根据本发明实施例的一个方面，提供了一种主机攻陷判定方法，所述方法包括：获取包含入侵者攻击信息的攻击日志和与所述攻击日志匹配的包含受害者TCP会话回包信息的回包日志；根据所述攻击日志和所述回包日志生成有效安全事件，并标记所述有效安全事件的攻击阶段；根据所述有效安全事件以及所述有效安全事件的攻击阶段生成主机的视图攻击链；根据主机的所述视图攻击链应用预设的攻陷规则判定所述主机是否被攻陷。

在一种可选的方式中，所述根据所述攻击日志和所述回包日志生成有效安全事件，并标记所述有效安全事件的攻击阶段，包括：根据所述攻击日志应用预置的事件规则生成安全事件，并标记安全事件的攻击阶段；应用预置的去噪规则滤除互斥的所述安全事件；将所述回包日志与所述攻击日志匹配筛选出所述有效安全事件以及所述有效安全事件的攻击阶段。

在一种可选的方式中，所述根据所述攻击日志应用预置的事件规则和去噪规则生成安全事件，并标记安全事件对应的阶段数标识，包括：应用预置的所述事件规则提取所述攻击日志中的特征值；根据所述特征值对所述攻击日志进行聚合生成所述安全事件；标记所述安全事件的攻击阶段。

在一种可选的方式中，所述将所述回包日志与所述攻击日志匹配筛选出所述有效安全事件以及所述有效安全事件的攻击阶段，包括：筛选出所述攻击日志与所述回包日志匹配的所述安全事件；根据预设的标识标志所述安全事件是否成功；筛选出标志为成功的所述安全事件作为所述有效安全事件。

在一种可选的方式中，所述根据预设的标识标志所述安全事件是否成功，包括：根据所述回包日志中的结果标识和/或行为标识标志所述安全事件是否成功。

在一种可选的方式中，所述根据所述有效安全事件以及所述有效安全事件的攻击阶段生成主机的视图攻击链，包括：将目的IP同为所述主机IP的所述有效安全事件聚合为原始攻击链；若所述原始攻击链存在所述攻击阶段为第一预设攻击阶段的所述有效安全事件，则获取源IP为所述主机IP的所述有效安全事件；将源IP为所述主机IP的所述有效安全事件补充至所述原始攻击链，并标记所述有效安全事件的所述攻击阶段为第二预设攻击阶段，生成所述主机的视图攻击链。