[发明专利]一种网络攻击预警方法、装置、介质和设备

说明书

本发明涉及一种网络攻击预警方法、装置、介质和设备。可以根据配置有检测规则的检测模板，针对每个攻击组织的每个攻击特征，对网络设备组件中对应的攻击痕迹进行检测，并可以根据检测模板中配置的匹配方法，确定网络设备组件中的攻击痕迹是否与攻击特征匹配，进而可以根据每个攻击组织的每个攻击特征与网络设备组件中的攻击痕迹的匹配结果，确定每个攻击组织的攻击行为与网络设备中的攻击痕迹的相关性，针对相关性较高的攻击组织进行网络攻击预警，确保在攻击组织的潜伏阶段，也可以有效地发现潜伏的攻击组织，实现网络攻击的预警。

技术领域

本发明涉及网络安全技术领域，特别涉及一种网络攻击预警方法、装置、介质和设备。

背景技术

本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

随着网络攻防战的白热化，很多网络攻击常常不是立即发生的。攻击组织(网络攻击的发起方)常常会提前部署并潜伏，从而在必要的时刻发动关键的网络攻击。例如，很多攻击组织会提前在政府机关和企业单位的网络设备中进行部署，在部署之后潜伏较长时间才会在必要的时刻发动关键的网络攻击，时间短的潜伏时间可以长达半年，时间长的潜伏时间甚至可以长达十年之久。

现有的网络攻击发现方案中，需要在每台网络设备中安装终端进行日志收集，收集大量日志配合高性能计算资源对日志进行分析，实现对网络攻击的发现和分析。

但是由于只有在网络攻击发生时，才会产生相应的日志，因此现有方案如果在攻击组织的部署阶段没有发现攻击组织的网络攻击，那么只有在该攻击组织发动关键的网络攻击时，才能进行网络攻击发现和分析，而无法在攻击组织的潜伏阶段，对可能发生的网络攻击进行预警。

需要进一步说明的是，在每台网络设备中安装终端的方式，还会对网络设备造成一定的影响，且终端的可移植性较差，如果有些硬件不支持终端安装，该网络设备将无法被终端覆盖。另外，攻击组织会针对终端进行绕过操作，避免网络攻击被发现，使得终端对网络攻击的发现的可靠性降低。此外，一旦网络攻击对应的攻击手段发生改变或产生了新的网络攻击，需要对终端进行升级，否则就会存在网络攻击漏检的风险，由此导致实现比较复杂。

发明内容

本发明实施例提供一种网络攻击预警方法、装置、介质和设备，用于解决在攻击组织的潜伏阶段，无法对网络攻击进行预警的问题。

第一方面，本发明提供了一种网络攻击预警方法，所述方法包括：

按照预先设定的检测模板包括的检测规则，针对每个攻击特征，对网络设备至少一个组件中的攻击痕迹进行检测，所述攻击特征为针对至少一个攻击组织，预先确定出的每个攻击组织对应的至少一个攻击特征，所述攻击痕迹为网络攻击对应的攻击结果；以及，

按照所述检测模板包括的匹配方法，针对每个攻击特征，确定检测出的攻击痕迹是否与该攻击特征匹配，并将每个匹配结果保存至所述检测模板；

针对每个攻击组织，根据所述检测模板包括的匹配结果，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数；

若确定出的至少一个相关性参数高于设定值，将每个高于设定值的相关性参数对应的攻击组织作为所述网络设备中潜伏的攻击组织，针对该攻击组织进行网络攻击预警。

可选的，若每个攻击组织的每个攻击特征具有对应的权重，则针对每个攻击组织，根据所述检测模板包括的匹配结果，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数，包括：

针对每个攻击组织，根据所述检测模板包括的匹配结果以及每个攻击特征对应的权重，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数。

可选的，针对一个攻击组织，根据所述检测模板包括的匹配结果以及每个攻击特征对应的权重，确定所述网络设备中的攻击痕迹与该攻击组织的攻击行为的相关性参数，包括：