[发明专利]基于异常点发现威胁组织攻击的方法、装置及存储介质

权利要求书

1.一种基于异常点发现威胁组织攻击的方法，其特征在于，包括：

采集预设采集点的网络流量及日志信息并提取当前网络特征；

将当前网络特征与威胁知识库进行匹配，并判定是否存在异常；

若存在异常，则基于异常情况形成威胁线索；

基于威胁线索并结合威胁知识库进行拓线分析，提出威胁假设；

基于威胁假设确定观测方向继续收集线索并判定威胁假设是否正确；

若威胁假设正确，则基于威胁知识库定位所有受控节点；

其中，所述威胁知识库包括：TTP和IoC。

2.如权利要求1所述的方法，其特征在于，所述基于威胁线索并结合威胁知识库进行拓线分析，提出威胁假设，具体包括：

基于威胁线索中的各项异常情况，匹配威胁知识库中与各项异常情况相关的行为特征，并提出威胁假设；

其中，异常情况包括：终端异常、日志异常、网络异常；所述威胁假设至少包括但不限于：恶意操作、恶意组织。

3.如权利要求2所述的方法，其特征在于，所述基于威胁知识库定位所有受控节点，具体包括：基于威胁假设，查询威胁知识库，获取相关恶意操作或者恶意组织的TTP信息，基于攻击习惯，按照不同的攻击阶段展开分析，定位所有受控节点。

4.如权利要求1-3任一所述的方法，其特征在于，所述采集预设采集点的网络流量及日志信息，包括：采集网段的出入口、连接重要主机的交换机处的网络流量；采集终端侧的日志信息。

5.一种基于异常点发现威胁组织攻击的装置，其特征在于，包括：

信息采集模块，用于采集预设采集点的网络流量及日志信息并提取当前网络特征；

异常点发现模块，用于将当前网络特征与威胁知识库进行匹配，并判定是否存在异常；

威胁线索构建模块，用于若存在异常，则基于异常情况形成威胁线索；

威胁假设提出模块，用于基于威胁线索并结合威胁知识库进行拓线分析，提出威胁假设；

威胁假设判定模块，基于威胁假设确定观测方向继续收集线索并判定威胁假设是否正确；

受控节点定位模块，用于若威胁假设正确，则基于威胁知识库定位所有受控节点；

其中，所述威胁知识库包括：TTP和IoC。

6.如权利要求5所述的装置，其特征在于，所述威胁假设提出模块，具体用于：

基于威胁线索中的各项异常情况，匹配威胁知识库中与各项异常情况相关的行为特征，并提出威胁假设；

其中，异常情况包括：终端异常、日志异常、网络异常；所述威胁假设至少包括但不限于：恶意操作、恶意组织。

7.如权利要求6所述的装置，其特征在于，所述基于威胁知识库定位所有受控节点，具体包括：基于威胁假设，查询威胁知识库，获取相关恶意操作或者恶意组织的TTP信息，基于攻击习惯，按照不同的攻击阶段展开分析，定位所有受控节点。

8.如权利要求5-7任一所述的装置，其特征在于，所述采集预设采集点的网络流量及日志信息，包括：采集网段的出入口、连接重要主机的交换机处的网络流量；采集终端侧的日志信息。

9.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行权利要求1-4任一所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现权利要求1-4任一所述的方法。