[发明专利]一种网络威胁检测方法、装置及网络管理设备

摘要

本申请提供一种网络威胁检测方法、装置及网络管理设备。该方法包括：接收网络安全设备上报的目标日志信息；确定所述目标日志信息对应的目标分类特征；在关于各个分类特征与预设的目标击杀链模型中各个攻击阶段的映射关系中，确定目标分类特征对应的目标攻击阶段；并且，在确定出至少两个目标攻击阶段后，当基于当前已确定出的各个目标攻击阶段判断出一网络节点符合预定威胁条件时，确定该网络节点受到网络威胁；其中，所述预定威胁条件为：在时间轴上按照时间先后顺序，发生所述目标击杀链模型中的正向顺序的阶段组合，所述阶段组合包括至少两种攻击阶段。通过本方案可以解决现有技术中检测效率较低的问题。

主权项

一种网络威胁检测方法，其特征在于，应用于网络管理设备；所述方法包括：接收网络安全设备上报的目标日志信息；其中，所述目标日志信息为关于所述网络安全设备所监控网络节点的日志信息；确定所述目标日志信息对应的目标分类特征；其中，所述目标分类特征为所述目标日志信息中的预定属性，所述预定属性为表征事件本质的属性；在关于各个分类特征与预设的目标击杀链模型中各个攻击阶段的映射关系中，确定所述目标分类特征对应的目标攻击阶段；其中，所述目标击杀链模型包括：对高级持续性威胁APT攻击按照时间顺序划分的多个攻击阶段；并且，在确定出至少两个目标攻击阶段后，当基于当前已确定出的各个目标攻击阶段判断出一网络节点符合预定威胁条件时，确定该网络节点受到网络威胁；其中，所述预定威胁条件为：在时间轴上按照时间先后顺序，发生所述目标击杀链模型中的正向顺序的阶段组合，所述阶段组合包括至少两种攻击阶段。