[发明专利]网络多步攻击意图在线识别方法

摘要

本发明提供一种网络多步攻击意图在线识别方法，该方法提取收到的安全事件告警信息的特征，根据该特征和攻击行为发生序列模式集进行模式匹配，若匹配成功，计算符合模式匹配的前后安全事件告警信息的关联度，根据关联度与关联度阈值的比较结果记录安全事件告警信息之间的网络多步攻击关系。本发明通过关联度的计算过滤掉模式匹配但不存在关联关系的安全事件，通过实时上报匹配过程和结果实现了实时的在线检测。

主权项

1、一种网络多步攻击意图在线识别方法，包括以下步骤：(1)根据历史安全事件告警信息建立反映攻击行为特征间多步攻击关系的特征序列，这些特征序列构成攻击行为发生序列模式集；(2)当收到新的安全事件告警信息A，提取安全事件告警信息A的攻击行为特征S；(3)当特征S与攻击行为发生序列模式集中的一种序列的第一个特征相同，将安全事件告警信息A单独构成一个新多步攻击告警序列{A}；(4)将特征S作为最后一个特征分别加入各个原多步攻击告警序列对应的特征序列构成新特征序列，再将各新特征序列分别与攻击行为发生序列模式集进行模式匹配，若匹配成功，进入步骤(5)，否则转入步骤(2)；(5)在匹配成功的新特征序列中，计算最后两个特征对应的安全事件告警信息之间的告警关联度；(6)若告警关联度大于或等于关联度阈值，根据该告警关联度对应的新特征序列得到对应的新多步攻击告警序列，并将该新多步攻击告警序列和步骤(3)得到的新多步攻击告警序列{A}补充作为原多步攻击告警序列，转入步骤(2)，若告警关联度小于关联度阈值，转入步骤(2)。