[发明专利]一种面向多样本组合攻击的溯源方法和装置

权利要求书

1.一种面向多样本组合攻击的溯源方法，其特征在于，包括：

检测到攻击触发事件；

获取至少两个待溯源的攻击样本；

对所述至少两个待溯源的攻击样本进行特征提取，获得每一个待溯源的攻击样本的特征信息；

根据所述每一个待溯源的攻击样本的特征信息和预先创建的目标贝叶斯溯源模型，得到所述至少两个待溯源的攻击样本的溯源结果；

所述目标贝叶斯溯源模型的创建方法包括：

获取至少两组历史攻击样本；其中，每一组历史攻击样本包括至少两个攻击样本；

对所述至少两组历史攻击样本进行特征提取，获得对应每一组历史攻击样本的特征集；

构建贝叶斯溯源模型；

利用所述每一组历史攻击样本的特征集对所述贝叶斯溯源模型进行训练，得到目标贝叶斯溯源模型；

所述每一组历史攻击样本的特征集中包括作为输入的特征信息以及作为输出的对该组历史攻击样本的真实溯源结果；

所述利用所述每一组历史攻击样本的特征集对所述贝叶斯溯源模型进行训练，得到目标贝叶斯溯源模型，包括：

对所构建的贝叶斯溯源模型中的参数赋予预设概率分布；

利用所述每一组历史攻击样本的特征集对所述贝叶斯溯源模型进行迭代训练，以获得所述参数的优化概率分布；

对所获得的所述每一组历史攻击样本的特征集进行随机抽样，获得测试集；

根据所述测试集和迭代训练后获得的包括所述参数的优化概率分布的贝叶斯溯源模型，得到对应所述测试集的预测溯源结果；

判断所述预测溯源结果与所述测试集中作为输出的真实溯源结果的相似度是否大于预设阈值；

如果是，则得到目标贝叶斯溯源模型；其中，所述目标贝叶斯溯源模型中的参数为所述优化概率分布。

2.根据权利要求1所述的方法，其特征在于，所述根据所述每一个待溯源的攻击样本的特征信息和预先创建的目标贝叶斯溯源模型，得到所述至少两个待溯源的攻击样本的溯源结果，包括：

对所述每一个待溯源的攻击样本的特征信息进行筛选，获得对应每一个待溯源攻击样本的目标特征子集；

将所述每一个待溯源攻击样本的目标特征子集输入所述目标贝叶斯溯源模型，得到所述至少两个待溯源的攻击样本的溯源结果。

3.根据权利要求1所述的方法，其特征在于，所述对所述至少两组历史攻击样本进行特征提取，获得对应每一组历史攻击样本的特征集，包括：

针对每一组历史攻击样本，均执行：

对该组历史攻击样本所包括的至少两个攻击样本进行特征提取，获得对应每一个攻击样本的特征信息；

对所述每一个攻击样本的特征信息进行筛选，获得对应该攻击样本的特征子集；其中，所述特征子集包括筛选后的每一个攻击样本的特征信息；

获取对应该组历史攻击样本的真实溯源结果；

将每一个攻击样本的特征子集和所述该组历史攻击样本的真实溯源结果进行组合，获得对应该组历史攻击样本的特征集。

4.根据权利要求3所述的方法，其特征在于，所述每一个攻击样本的特征信息包括对应该攻击样本的至少一个特征；

所述对所述每一个攻击样本的特征信息进行筛选，包括：

针对每一个攻击样本，均执行：

利用决策树算法获取该特征信息中的每一个特征的信息增益，并利用所述每一个特征的信息增益计算得到对应每一个特征的权重；

根据所得到的每一个特征的权重和预设权重阈值，筛选出大于预设权重阈值的权重所对应的特征，以获得对应该攻击样本的特征子集。

5.根据权利要求1至4中任一所述的方法，其特征在于，在所述得到所述至少两个待溯源的攻击样本的溯源结果之后，进一步包括：

获取至少两组历史攻击样本；其中，每一组历史攻击样本包括至少两个攻击样本；

对所获取的所述至少两组历史攻击样本进行周期性地更新；

利用更新后的所述至少两组历史攻击样本对所述目标贝叶斯溯源模型进行周期性地训练，得到优化贝叶斯溯源模型。