[发明专利]网络攻击溯源方法及装置

权利要求书

1.一种网络攻击溯源方法，其特征在于，包括：

获取各异常主机，以及获取各异常主机的登录行为关系图，其中，所述登录行为关系图中包括所述异常主机与行为关联主机之间发生的登录行为，其中，所述异常主机为发生网络异常的主机，所述行为关联主机为登录所述异常主机的主机，和/或，所述行为关联主机为被所述异常主机登录的主机；

获取每个所述异常主机生成的子攻击图，其中，所述子攻击图中包括从启动进程到攻击进程的链路；

根据每个所述异常主机的子攻击图以及所述登录行为关系图，生成网络攻击图，其中，所述网络攻击图中包括所述异常主机的子攻击图，且不同的所述异常主机的所述子攻击图，按照所述行为关联主机与所述异常主机之间的发生的登录行为连接。

2.根据权利要求1所述的网络攻击溯源方法，其特征在于，获取各异常主机，以及获取各异常主机的登录行为关系图，包括：

获取主机的登录日志表；

根据所述登录日志表，获得被网络攻击源攻击的主机，作为所述异常主机；

根据所述登录日志表，获得被所述异常主机登录过的主机，以及获得登录过所述异常主机的主机，作为所述行为关联主机；

根据所述登录日志表，获得所述网络攻击源在各所述异常主机以及所述行为关联主机之间的攻击顺序，根据所述攻击顺序连接所述异常主机以及所述行为关联主机，得到所述登录行为关系图。

3.根据权利要求2所述的网络攻击溯源方法，其特征在于，获取每个所述异常主机生成的子攻击图，包括：

获取所述异常主机的进程调用记录表；

解析所述异常主机的进程调用记录表，获得攻击进程，并以追溯父进程的方式从所述攻击进程追溯到启动进程，并建立所述启动进程到所述攻击进程的链路，得到所述异常主机的子攻击图。

4.根据权利要求3所述的网络攻击溯源方法，其特征在于，根据每个所述异常主机的子攻击图以及所述登录行为关系图，生成网络攻击图，包括：

获取所述登录行为关系图中，不同的所述异常主机之间跨接的所述行为关联主机之间的连接方式，按照所述连接方式连接所述不同的所述异常主机的子攻击图，在将每个所述异常主机的子攻击图连接后，得到所述网络攻击图。

5.根据权利要求4所述的网络攻击溯源方法，其特征在于，所述方法还包括：

获取各所述异常主机的登录权限关系图，其中，所述登录权限关系图中包括所述异常主机与权限关联主机之间的连接，其中，所述权限关联主机为具有登录所述异常主机权限的主机，和/或，所述权限关联主机为能够被所述异常主机登录的主机；

按照所述登录权限关系图，在所述网络攻击图中不同的所述异常主机之间，增加所述异常主机与所述权限关联主机之间的连接。

6.一种网络攻击溯源装置，其特征在于，包括：

第一获取模块，用于获取各异常主机，以及获取各异常主机的登录行为关系图，其中，所述登录行为关系图中包括所述异常主机与行为关联主机之间发生的登录行为，其中，所述异常主机为发生网络异常的主机，所述行为关联主机为登录所述异常主机的主机，和/或，所述行为关联主机为被所述异常主机登录的主机；

第二获取模块，用于获取每个所述异常主机生成的子攻击图，其中，所述子攻击图中包括从启动进程到攻击进程的链路；

处理模块，用于根据每个所述异常主机的子攻击图以及所述登录行为关系图，生成网络攻击图，其中，所述网络攻击图中包括所述异常主机的子攻击图，且不同的所述异常主机的所述子攻击图，按照所述行为关联主机与所述异常主机之间的发生的登录行为连接。

7.根据权利要求6所述的网络攻击溯源装置，其特征在于，所述第一获取模块具体用于：

获取主机的登录日志表；

根据所述登录日志表，获得被网络攻击源攻击的主机，作为所述异常主机；

根据所述登录日志表，获得被所述异常主机登录过的主机，以及获得登录过所述异常主机的主机，作为所述行为关联主机；

根据所述登录日志表，获得所述网络攻击源在各所述异常主机以及所述行为关联主机之间的攻击顺序，根据所述攻击顺序连接所述异常主机以及所述行为关联主机，得到所述登录行为关系图。