[发明专利]一种攻击链拓扑的构建方法及装置

权利要求书

1.一种攻击链拓扑的构建方法，其特征在于，包括：

获取网络攻击告警信息，所述告警信息包括第一告警标识；

发送第一告警日志请求，所述第一告警日志请求包括所述第一告警标识；

获取第一告警日志，所述第一告警日志包括所述第一告警标识、第一源IP、第一目标IP、第一触发告警条件、第一触发告警时间；

根据所述第一告警日志，构建所述攻击链拓扑；

所述攻击链拓扑的构建方法还包括：发送第一资产信息请求，所述第一资产信息请求包括所述第一目标IP；获取第一资产信息，所述第一资产信息包括所述第一目标IP、第一资产标识、第一敏感数据、资产级别、第一登录账号及其授权状况；根据所述第一资产信息，完善所述攻击链拓扑；

所述攻击链拓扑的构建方法还包括：发送关联通信信息请求，所述关联通信信息请求包括所述第一源IP；

获取关联通信信息，所述关联通信信息包括所述第一源IP、与所述第一源IP通信的关联IP、所述关联IP的第二告警标识；

所述攻击链拓扑的构建方法还包括：发送第二资产信息请求，所述第二资产信息请求包括所述关联IP；获取第二资产信息，所述第二资产信息包括所述关联IP、第二资产标识、第二敏感数据、第二登录账号及其授权状况；根据所述第二资产信息，完善所述攻击链拓扑。

2.根据权利要求1所述的攻击链拓扑的构建方法，其特征在于，还包括：

发送第二告警日志请求，所述第二告警日志请求包括所述第二告警标识；

获取第二告警日志，所述第二告警日志包括所述第二告警标识、所述关联IP、第二源IP、第二触发告警条件、第二触发告警时间；

根据所述第二告警日志，完善所述攻击链拓扑。

3.根据权利要求1或2所述的攻击链拓扑的构建方法，其特征在于，还包括：

根据所述攻击链拓扑进行统计分析，生成资产风险画像，其中，所述资产风险画像包括资产类型、攻击类型、攻击数量。

4.根据权利要求1所述的攻击链拓扑的构建方法，其特征在于，所述第一告警日志还包括威胁标签，所述威胁标签包括攻击行为特征、攻击阶段信息，其中，所述攻击阶段信息用于说明当前攻击所属的攻击阶段，所述攻击阶段包括探测扫描阶段、渗透攻击阶段、攻陷入侵阶段、安装工具阶段、恶意行为阶段。

5.一种攻击链拓扑的构建装置，其特征在于，采用如权利要求1-4中任意一项所述的方法构建攻击链拓扑，包括：

获取单元，用于获取网络攻击告警信息和第一告警日志，其中，所述告警信息包括第一告警标识；所述第一告警日志包括所述第一告警标识、第一源IP、第一目标IP、第一触发告警条件、第一触发告警时间；

发送单元，用于发送第一告警日志请求，所述第一告警日志请求包括所述第一告警标识；还用于发送第一资产信息请求，所述第一资产信息请求包括所述第一目标IP；获取第一资产信息，所述第一资产信息包括所述第一目标IP、第一资产标识、第一敏感数据、资产级别、第一登录账号及其授权状况；

逻辑单元，用于根据所述第一告警日志，构建所述攻击链拓扑；还用于根据所述第一资产信息，完善所述攻击链拓扑；

其中，所述获取单元还用于获取关联通信信息和资产信息，所述关联通信信息包括所述第一源IP、与所述第一源IP通信的关联IP、所述关联IP的第二告警标识；

所述发送单元，还用于发送第二资产信息请求，所述第二资产信息请求包括所述关联IP；获取第二资产信息，所述第二资产信息包括所述关联IP、第二资产标识、第二敏感数据、第二登录账号及其授权状况；

所述逻辑单元，还用于根据所述第二资产信息，完善所述攻击链拓扑。

6.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，所述程序运行时执行上述权利要求1至4任一项中所述的方法。

7.一种电子装置，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器通过所述计算机程序执行上述权利要求1至4任一项中所述的方法。