[发明专利]攻击团伙的跟踪识别方法、装置、设备及存储介质

说明书

本公开涉及一种攻击团伙的跟踪识别方法、装置、设备及存储介质，其中，方法包括：确定多个时间窗口的团伙划分结果；对于多个时间窗口中第一时间窗口中的第一团伙，从相邻的第二时间窗口对应的所有团伙中确定存在共有攻击资源实体的第二团伙；根据第一团伙和第二团伙之间所有共有攻击资源实体的归属度，确定第一团伙和第二团伙之间的演化权重，以根据演化权重确定所述第一团伙和第二团伙之间的演化关系。根据本公开的技术方案，能够提高攻击团伙演化分析过程的准确率和攻击团伙识别的准确度。

技术领域

本公开涉及网络安全技术领域，尤其涉及一种攻击团伙的跟踪识别方法、装置、设备及存储介质。

背景技术

在网络安全领域，攻击者常常使用团伙的方式进行网络攻击。攻击团伙通常分为两种，一种是使用相同的攻击方式、漏洞利用方式等进行攻击。另一种是分工明确的攻击团伙，由不同的成员负责不同的攻击阶段。无论是何种攻击团伙，为了规避检测，其所使用的攻击资源往往是动态变化的。

相关技术中，通过对上一窗口聚类得到的团伙社区中的攻击资源集合，与当前窗口聚类得到的团伙社区中的攻击资源集合进行Jaccard相似度计算，将相似度较高的标识为同一个团伙，该方式的识别准确度有待提高，因此，如何针对攻击团伙所掌握资源的动态变化情况实现对攻击团伙的持续跟踪分析，是一个亟待解决的技术问题。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开提供了一种攻击团伙的跟踪识别方法、装置、设备及存储介质。

第一方面，本公开实施例提供了一种攻击团伙的跟踪识别方法，包括：

根据多个时间窗口的网络安全数据，确定多个时间窗口的团伙划分结果，其中，每两个相邻时间窗口部分重合，每个时间窗口的团伙划分结果包括多个团伙，每个团伙由多个攻击资源实体组成；

对于所述多个时间窗口中第一时间窗口中的第一团伙，从第二时间窗口对应的所有团伙中确定存在共有攻击资源实体的第二团伙，其中，所述第一时间窗口与所述第二时间窗口相邻；

分别确定所述共有攻击资源实体对于所述第一团伙和所述第二团伙的归属度；

根据所述第一团伙和所述第二团伙之间所有共有攻击资源实体的归属度，确定所述第一团伙和所述第二团伙之间的演化权重，以根据所述演化权重确定所述第一团伙和第二团伙之间的演化关系。

可选地，所述根据多个时间窗口的网络安全数据，确定多个时间窗口的团伙划分结果，包括：

根据每个时间窗口的网络安全数据，生成攻击资源实体之间的关系图谱；

通过划分算法对所述关系图谱进行划分，确定该时间窗口的团伙划分结果。

可选地，通过如下步骤确定所述共有攻击资源实体对于所述第一团伙的归属度：

从所述关系图谱中确定所述共有攻击资源实体的邻居攻击资源实体；

获取所述邻居攻击资源实体与所述第一团伙的归属关系，根据归属于所述第一团伙的邻居攻击资源实体在所有邻居攻击资源实体的占比，确定所述归属度。

可选地，所述根据归属于所述第一团伙的邻居攻击资源实体在所有邻居攻击资源实体的占比，确定所述归属度，包括：

获取所述共有攻击资源实体的属性信息；

确定与所述属性信息匹配的属性权重；

根据所述属性权重和所述占比，确定所述归属度。

可选地，所述根据所述第一团伙和所述第二团伙之间所有共有攻击资源实体的归属度，确定所述第一团伙和所述第二团伙之间的演化权重，包括：