[发明专利]一种基于多源数据的攻击行为画像装置及方法

权利要求书

1.一种基于多源数据的攻击行为画像装置及方法，其特征在于：其包括依次连接的数据收集与整理模块、本体构建模块和相似行为聚类模块；

数据收集与整理模块：收集经多种协议接入的数据，并对所得数据进行清洗和预处理成属性数据收集和标签化工作形成攻击画像仓库；

本体构建模块：对风险数据的攻击属性进行属性数据收集和标签化，建立属性信息与攻击行为画像的沟通桥梁；

相似行为聚类模块：计算攻击行为画像间的相似度，将相似度高的攻击行为画像分为一类，得到行为模式相近的攻击群。

2.根据权利要求1所述的一种基于多源数据的攻击行为画像装置，其特征在于：数据收集与整理模块支持syslog、http、webservice、socket 多种协议数据接入，且数据接入程序支持分布式。

3.根据权利要求1所述的一种基于多源数据的攻击行为画像装置，其特征在于：数据收集与整理模块对数据中无法真实表现攻击特点的数据进行清理，理顺信息之间包含关系和消除模棱两可概念的歧义和不确定性；再将无法完全量化的指标按照实际情况进行等级划分。

4.根据权利要求1所述的一种基于多源数据的攻击行为画像装置，其特征在于：相似行为聚类模块进行攻击行为画像之间的相似度计算时结合定量相似度和定性相似度来进行计算。

5.一种基于多源数据的攻击行为画像方法，权利要求1至4之一所述的一种基于多源数据的攻击行为画像装置，其特征在于：方法包括以下步骤：

步骤1，通过多种数据接入协议获取多源数据，

步骤2，对所得数据进行清洗和预处理完成属性数据收集和标签化工作形成攻击画像仓库；

步骤3，对风险数据进行特征细节的提取，基于特征细节以攻击为基本单位进行攻击行为本体构建；

步骤4，计算攻击行为画像间的相似度，将相似度高的攻击行为画像分为一类，得到行为模式相近的攻击群。

6.根据权利要求5所述的一种基于多源数据的攻击行为画像方法，其特征在于：步骤1支持syslog、http、webservice、socket 多种协议数据接入，且数据接入程序支持分布式。

7.根据权利要求5所述的一种基于多源数据的攻击行为画像方法，其特征在于：步骤2的具体步骤为：首先对数据中无法真实表现攻击特点的数据进行清理；理顺信息之间包含关系和消除模棱两可概念的歧义和不确定性；将无法完全量化的指标，按照实际情况进行等级划分。

8.根据权利要求5所述的一种基于多源数据的攻击行为画像方法，其特征在于：步骤3利用隐马尔可夫模型和单分类支持向量机集群构建集成学习方法，组成一个提取攻击画像、计算攻击行为异常得分。

9.根据权利要求5所述的一种基于多源数据的攻击行为画像方法，其特征在于：步骤4中攻击行为画像之间的相似度计算需要结合定量相似度和定性相似度来进行计算。