[发明专利]网络信息分析方法、装置、设备及介质

权利要求书

1.一种网络信息分析方法，其特征在于，包括：

解析网络告警信息，得到多个网络攻击事件；将所述多个网络攻击事件划分为多个攻击事件组，确定每个所述攻击事件组包括的网络攻击事件的事件数量；针对每个所述攻击事件组，将其中包括的两个设备确定为两个设备节点，并根据包括的至少一个网络攻击事件构建所述两个设备节点之间的有向边，将所述两个设备节点和所述有向边组合确定为该攻击事件组对应的单位攻击关系图；将所述多个攻击事件组的多个单位攻击关系图组合得到目标攻击关系图；其中，所述目标攻击关系图由多个设备节点和多个有向边构建得到，每个所述有向边从一个设备节点指向另一个设备节点；

根据每个所述单位攻击关系图对应的攻击事件组的攻击属性信息，确定事件权重系数；将所述事件权重系数和所述事件数量的乘积确定为每个所述单位攻击关系图中有向边的边权重值；其中，每个所述有向边具有对应的边权重值；

根据所述目标攻击关系图，确定目标起始节点到目标终止节点之间的至少一条候选攻击路径；

根据各所述候选攻击路径包括的至少一条有向边的边权重值，确定所述至少一个候选攻击路径中的目标攻击路径。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若所述攻击事件组的攻击属性信息不属于预设属性信息，则将所述攻击事件组对应的有向边的边权重值设置为零；其中，所述预设属性信息包括以下 至少一种：提权信息、发现信息、初始访问信息、持久化信息、横向移动信息、凭据访问信息、渗透信息、采集信息、命令控制信息。

3.根据权利要求1所述的方法，其特征在于，所述目标起始节点为所述目标攻击关系图中入度为零的设备节点，所述目标终止节点为所述目标攻击关系图中出度为零的设备节点。

4.根据权利要求1所述的方法，其特征在于，所述根据所述目标攻击关系图，确定目标起始节点到目标终止节点之间的至少一条候选攻击路径，包括：

将所述目标攻击关系图中所述目标起始节点以及所述目标起始节点连接的全部有向边删除，得到第一中间关系图；

确定所述第一中间关系图的至少一个中间起始节点，并删除所述至少一个中间起始节点以及各所述中间起始节点连接的全部有向边，得到第二中间关系图，将所述第二中间关系图确定为新的第一中间关系图，返回执行所述确定所述新的第一中间关系图的至少一个中间起始节点，直到中间起始节点为所述目标终止节点时停止删除过程；

根据所述删除过程中的中间起始节点的至少一个删除顺序，确定至少一条候选攻击路径，每个所述删除顺序对应一个所述候选攻击路径。

5.根据权利要求1所述的方法，其特征在于，所述根据各所述候选攻击路径包括的至少一条有向边的边权重值，确定所述至少一个候选攻击路径中的目标攻击路径，包括：

将每个所述候选攻击路径包括的至少一条有向边的边权重值之和，确定为对应的路径权重值；

将所述至少一个候选攻击路径中路径权重值最大的候选攻击路径确定为目标攻击路径。