[发明专利]证据图与漏洞推理相结合的网络取证方法及系统

摘要

本发明涉及数字取证领域，具体而言，涉及证据图与漏洞推理相结合的网络取证方法及系统。该方法包括：从异构数据源中收集原始数据；将所述原始数据进行存储，得到第一存储数据；采用分类识别算法从所述第一存储数据中分离出证据；对所述证据进行标记处理，得到所述证据的事件向量；将所述第一存储数据、所述证据和所述事件向量建立为证据库；根据所述证据库，按照有效时间序列构建证据图；根据所述证据图，通过VERA算法推理出嫌疑攻击节点，并模拟攻击路线。异构数据源保证了数据来源的全面性和完整性，VERA可将所得证据形象的体现出来。该方法解决了现阶段取证过程中缺乏完整性、真实性，所得证据不能形象体现的问题。

主权项

1.一种证据图与漏洞推理相结合的网络取证方法，其特征在于，包括：步骤1：从异构数据源中收集原始数据；步骤2：将所述原始数据进行存储，得到第一存储数据；步骤3：采用分类识别算法从所述第一存储数据中分离出证据；步骤4：对所述证据进行标记处理，得到所述证据的事件向量；步骤5：将所述第一存储数据、所述证据和所述事件向量建立为证据库；步骤6：根据所述证据库，按照有效时间序列构建证据图；步骤7：根据所述证据图，通过VERA算法推理出嫌疑攻击节点，并模拟攻击路线；其中：将所述证据图用邻接矩阵表示，确定所有的主机节点；通过VERA算法推理出嫌疑攻击节点：分别初始化所有主机节点的节点重要度和链接重要度的向量，其中节点重要度是指主机所包含的漏洞重要性，链接重要度是指所有指向主机的链接来源主机的漏洞重要性；根据所述邻接矩阵，经过一步以上的迭代计算，得到收敛的节点重要度和链接重要度的向量；将节点重要度的值按从大到小排列并输出；将链接重要度的值按从小到大排列并输出；根据经迭代计算后排列并输出的节点重要度的值和链接重要度的值模拟攻击路线。