[发明专利]一种基于行为模式的APT事件同源判定方法

说明书

本发明公开了一种基于行为模式的APT事件同源判定方法，其步骤包括：构建基于行为模式的APT事件关联图；对APT事件关联图进行节点属性扩展；对APT事件关联图中的节点进行属性标注；对APT事件关联图中的节点进行属性标注，得到APT事件关联图节点的行为标签或线索标签；对APT事件关联图进行相似性判别；对APT事件关联图进行相似性判别，完成APT事件的同源判定；采用子图相似性度量函数，比较两个APT事件关联图结构数据的拓扑结构信息和节点属性信息，来确定两个APT事件关联图的同源性或相似性。本发明方法解决了现有APT事件同源分析中恶意样本分析结果片面、人工同源判定效率低的问题。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于行为模式的APT事件同源判定方法。

背景技术

近年来，随着网络空间主权博弈的日益加剧，以高级持续性威胁(AdvancedPersistent Threat，APT)为代表的网络攻击行为日益盛行，成为最严重的网络空间安全威胁之一，各国均将APT防御提升到国家安全角度。

APT事件同源分析是APT防御中溯源分析的重要分支，其主要内涵是根据不同的APT攻击事件的攻击手法、攻击工具、攻击载荷等判定多个攻击事件是否存在相似性，是否为同一组织或黑客发动的APT攻击。目前，针对APT攻击事件的同源性分析主要基于恶意样本动静态行为分析，根据代码结构特征、回传行为、编程语言风格等判断攻击来源，但是恶意样本作为攻击工具的一种，其分析结果较为片面，再加上攻击工具或攻击武器的公开化，单纯利用恶意样本分析很难追溯到真正的攻击者。APT事件同源分析的另一种常用方法是人工研判，即根据攻击事件的攻击路径、攻击手法、攻击载荷等构建攻击证据链模型，结合领域专家知识判定攻击事件是否具有相似性，该方法虽然同源判定的可信度较高，但是其实现效率较为低下，事件同源判断的可信度局限于专家知识。

发明内容

针对现有APT事件同源分析中恶意样本分析结果片面、人工同源判定效率低的问题，本发明公开了一种基于行为模式的APT事件同源判定方法。该方法结合杀伤链模型的攻击链阶段和ATTCK模型中丰富的攻击技战术知识库归纳总结攻击行为模式，然后根据APT事理图谱建立基于行为模式的APT事件关联图，利用事件关联图的相似性判别解决APT事件的同源判定问题。

本发明公开了一种基于行为模式的APT事件同源判定方法，其步骤包括：

S1，构建基于行为模式的APT事件关联图；

从多渠道获得的非结构化数据中抽取APT事件线索信息，从杀伤链模型提取APT事件的攻击链数据，从ATTCK模型中的攻击技战术知识中提取本次APT事件的技战术信息，将攻击线索和攻击技战术抽象为APT事件行为模式实体，APT攻击技术手段抽象为行为模式实体属性，以攻击线索和攻击技战术间的连接关系和通信关系为实体间关系，依据杀伤链模型的攻击链条步骤或ATTCK模型中的攻击战术知识，利用实体抽取和关系识别方法，构建基于行为模式的APT事件关联图。多渠道包括公开网页、移动终端、公开的技术文章等。杀伤链模型包括攻击链条步骤；APT事件关联图包括APT事件关联图节点和连接边，APT事件行为模式实体为APT事件关联图节点，实体间关系为连接边；

S2，对APT事件关联图进行节点属性扩展；

利用APT事件关联图中事件的属性、行为和组织之间的关系，作为当前具体APT事件的有效知识补充，通过事件属性匹配、行为模式扩展、攻击线索拓线等手段，对APT事件关联图进行节点属性扩展；

所述的事件属性匹配，是根据APT事理图谱中APT事件节点的属性信息,作为APT事件行为模式实体节点的新增属性信息，从而增加APT事件关联图中对应节点的属性信息；APT事理图谱是包含APT事件基本属性、组织关系数据、APT事件行为特征、攻击行为关联关系在内的资源的合集，用于描述APT事件、属性、行为和组织之间的关系；