[发明专利]一种基于目标模型的网络攻击检测方法

摘要

本发明公开了一种基于目标模型的网络攻击检测方法，能够获得发生在与目标有关联关系的实体上的安全事件对目标的影响，从而进行网络攻击检测。该方法利用目标模型所体现的关联关系，建立扩展影响树和安全影响图；然后针对检测到的每个安全事件，根据这一树一图通过从下至上的推算方式确定安全事件与目标T之间的距离d和对目标T的安全影响H；利用距离d和安全影响H实现网络攻击检测。

主权项

一种基于目标模型的网络攻击检测方法，其特征在于，包括：步骤一、建立通用目标模型框架，通用目标模型框架中描述了可能成为网络攻击目标的实体以及实体之间的关联关系；根据待保护的目标T向通用目标模型框架中填入信息，形成目标模型；所述实体是物理的、虚拟的、逻辑的或社会的元素；步骤二、利用目标模型所体现的关联关系，建立扩展影响树和安全影响图；所述扩展影响树采用树结构记载了直接或间接访问到目标T的实体与目标T之间的关联关系以及实体之间的关联关系；所述安全影响图以节点、节点间连线的方式记载了扩展影响树所涉及到的实体之间的攻击传播通道；扩展影响树和安全影响图的节点间具有权值，表示一个节点对另一个节点的影响大小，且对于具有父子关系的节点，同一父节点下各子节点的关系有“与”以及“或”；步骤三、针对检测到的每个安全事件，确定该安全事件与目标T之间的距离d和对目标T的安全影响H；针对距离d，其组成元素至少包括安全事件终端和目标T之间的逻辑距离Ld；逻辑距离Ld的值利用扩展影响树的节点间关系和权值，从安全事件终端所在的层级向上推算，最终获得安全事件与目标T之间的逻辑距离Ld；针对安全影响H，利用安全影响图的节点间关系和权值，从安全事件终端所在的层级向上推算，获得安全事件对目标T的安全影响H；步骤四、根据各个安全事件的距离d和安全影响H进行攻击检测。