[发明专利]网络攻击识别方法、装置、计算机设备和存储介质

权利要求书

1.一种网络攻击识别方法，其特征在于，所述方法包括：

获取待处理的网络通信相关数据；

从所述网络通信相关数据中筛选与网络攻击事件相关的网络攻击数据；所述网络攻击数据包括在所述网络攻击事件中发生的至少一种网络攻击行为所对应的攻击行为数据；

获取威胁建模模型，并根据所述威胁建模模型，将所述网络攻击数据中的攻击行为数据映射成对应的攻击行为特征；

将所述网络攻击数据中的基础设施数据，转换成对应的基础设施特征；

根据所述攻击行为特征和所述基础设施特征，确定与所述网络攻击事件对应的网络攻击特征；

通过检测模型对所述网络攻击特征进行分类处理，输出与所述网络攻击事件对应的组织信息；所述组织信息用于对所述网络攻击事件进行追踪溯源；所述检测模型是通过训练数据集训练得到的具有分类功能的模型，所述训练数据集包括样本组织信息、以及与各样本组织信息分别对应的样本网络攻击数据。

2.根据权利要求1所述的方法，其特征在于，所述获取待处理的网络通信相关数据，包括：

确定部署于预设区域内的网络设备；所述网络设备包括交换机和主机设备；

获取通过所述交换机进行转发的网络流量数据；

获取所述主机设备在运行时产生的进程数据、线程数据和日志数据；

将所述网络流量数据、所述进程数据、线程数据和日志数据共同作为待处理的网络通信相关数据。

3.根据权利要求1所述的方法，其特征在于，所述从所述网络通信相关数据中筛选与网络攻击事件相关的网络攻击数据，包括：

确定所述网络通信相关数据中与不同网络行为分别对应的网络行为数据；

当所述网络行为数据为攻击行为数据时，确定产生所述攻击行为数据的发起方；

将所述网络通信相关数据中所有与所述发起方相关的网络行为数据、以及所述发起方对应的基础设施数据，作为与网络攻击事件相关的网络攻击数据。

4.根据权利要求3所述的方法，其特征在于，所述当所述网络行为数据为攻击行为数据时，确定产生所述攻击行为数据的发起方之前，所述方法还包括：

对所述网络行为数据进行分析，确定各种网络行为分别发生的频次、以及各种网络行为所对应的行为关键信息；

当所述频次大于等于阈值，或者所述行为关键信息中包括有恶意关键词时，确定相应的网络行为为网络攻击行为；

将与所述网络攻击行为相关的网络行为数据作为攻击行为数据。

5.根据权利要求1所述的方法，其特征在于，所述检测模型包括决策树模型，所述通过检测模型对所述网络攻击特征进行分类处理，输出与所述网络攻击事件对应的组织信息，包括：

获取预先构建的决策树模型；

依据所述网络攻击特征中不同特征维度各自对应的特征值，从所述决策树模型的根节点开始，不断地自上向下从所述决策树模型中查找与所述网络攻击特征相匹配的目标内部节点，直至达到目标叶子节点时为止；

将所述目标叶子节点中存储的组织信息，作为所述网络攻击事件的发起方所对应的组织信息并输出。

6.根据权利要求5所述的方法，其特征在于，所述依据所述网络攻击特征中不同特征维度各自对应的特征值，从所述决策树模型的根节点开始，不断地自上向下从所述决策树模型中查找与所述网络攻击特征相匹配的目标内部节点，直至达到目标叶子节点时为止，包括：

从所述决策树模型的根节点开始，根据所述网络攻击特征中与所述根节点所对应特征维度的特征值，确定下一层的目标内部节点；

根据所述网络攻击特征中与所述下一层的目标内部节点所对应特征维度的特征值，确定再下一层的目标内部节点，并不断往下查找与所述网络攻击特征相匹配的目标内部节点，直至达到目标叶子节点时为止。

7.根据权利要求1至6中任一项所述的方法，其特征在于，所述检测模型包括决策树模型，所述决策树模型的构建步骤包括：

获取训练数据集；

根据所述样本网络攻击数据，确定与所述样本组织信息对应的样本网络攻击特征；

通过所述样本网络攻击特征和对应的样本组织信息构建决策树模型。