[发明专利]一种网络攻击预警方法、装置、介质和设备

权利要求书

1.一种网络攻击预警方法，其特征在于，所述方法包括：

按照预先设定的检测模板包括的检测规则，针对每个攻击特征，对网络设备至少一个组件中的攻击痕迹进行检测，所述攻击特征为针对至少一个攻击组织，预先确定出的每个攻击组织对应的至少一个攻击特征，所述攻击痕迹为网络攻击对应的攻击结果；以及，

按照所述检测模板包括的匹配方法，针对每个攻击特征，确定检测出的攻击痕迹是否与该攻击特征匹配，并将每个匹配结果保存至所述检测模板；

针对每个攻击组织，根据所述检测模板包括的匹配结果，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数；

若确定出的至少一个相关性参数高于设定值，将每个高于设定值的相关性参数对应的攻击组织作为所述网络设备中潜伏的攻击组织，针对该攻击组织进行网络攻击预警。

2.如权利要求1所述的方法，其特征在于，若每个攻击组织的每个攻击特征具有对应的权重，则针对每个攻击组织，根据所述检测模板包括的匹配结果，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数，包括：

针对每个攻击组织，根据所述检测模板包括的匹配结果以及每个攻击特征对应的权重，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数。

3.如权利要求2所述的方法，其特征在于，针对一个攻击组织，根据所述检测模板包括的匹配结果以及每个攻击特征对应的权重，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数，包括：

通过以下公式确定相关性参数S：

其中，G_p表示根据各攻击特征对应的向量值为该攻击特征对应的权重，获得的一个攻击组织对应的各攻击特征对应的向量；

G_c表示根据各与检测出的攻击痕迹不匹配的攻击特征对应的向量值为零，各与检测出的攻击痕迹匹配的攻击特征对应的向量值为该攻击特征对应的权重，获得的所述攻击组织对应的各攻击特征对应的向量；

n表示所述攻击组织对应的攻击特征数量；

G_pi表示所述G_p中第i个攻击特征对应的向量；

表示根据各攻击特征对应的向量值为该攻击特征对应的权重，获得的所述攻击组织对应的各攻击特征对应的向量之间的向量平均值；

G_ci表示所述G_c中所述第i个攻击特征对应的向量；

表示根据各与检测出的攻击痕迹不匹配的攻击特征对应的向量值为零，各与检测出的攻击痕迹匹配的攻击特征对应的向量值为该攻击特征对应的权重，获得的所述攻击组织对应的各攻击特征对应的向量之间的向量平均值。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

确定分别针对至少两个网络设备获取的，针对每个攻击特征，保存有检测出的攻击痕迹是否与该攻击特征匹配的匹配结果的至少两个检测模板，其中，所述至少两个网络设备对应同一被攻击网络；

针对每个攻击组织，根据确定出的保存有匹配结果的至少两个检测模板包括的匹配结果，确定所述被攻击网络中的攻击痕迹与该攻击组织的攻击行为的相关性参数；

若确定出的至少一个相关性参数高于设定值，将每个高于设定值的相关性参数对应的攻击组织作为所述被攻击网络中潜伏的攻击组织，针对该攻击组织进行网络攻击预警。

5.如权利要求1所述的方法，其特征在于，按照预先设定的检测模板包括的检测规则，针对每个攻击特征，对网络设备至少一个组件中的攻击痕迹进行检测，包括：

通过远程登录方式，按照预先设定的检测模板包括的检测规则，针对每个攻击特征，对网络设备至少一个组件中的攻击痕迹进行本地检测；

按照所述检测模板包括的匹配方法，针对每个攻击特征，确定检测出的攻击痕迹是否与该攻击特征匹配，包括：

接收从所述网络设备回传的检测出的攻击痕迹；

按照所述检测模板包括的匹配方法，针对每个攻击特征，确定所述检测出的攻击痕迹是否与该攻击特征匹配。