[发明专利]一种基于攻击图的攻击行为检测和防护方法

摘要

本发明涉及网络信息安全，旨在提供一种基于攻击图的攻击行为检测和防护方法。该种基于攻击图的攻击行为检测和防护方法包括步骤：收集网络环境的拓扑图；扫描器扫描出网络环境中主机的各个漏洞，获取NVD数据库中各个漏洞的Attack Complexity属性值ei；根据拓扑图和漏洞信息生成攻击图；攻击行为检测和防护。本发明提高了检测和防护的准确度，降低了网络入侵报警系统对业务的影响。本发明使用邻接表存储攻击图，方便了后续遍历，减少了存储的空间。

主权项

1.一种基于攻击图的攻击行为检测和防护方法，用于防止目标网络受到来自攻击者的攻击，其特征在于，所述基于攻击图的攻击行为检测和防护方法具体包括下述步骤：(1)收集网络环境的拓扑图；网络环境是指目标网络的网络环境，包括目标网络中的防火墙、路由器和服务器；(2)扫描器扫描出网络环境中主机的各个漏洞，获取NVD数据库中各个漏洞的Attack Complexity属性值ei；(3)根据拓扑图和漏洞信息生成攻击图，攻击图的点表示目标网络和攻击者的状态，其中，目标网络和攻击者的初始状态为Network，后续状态是代表从哪个主机通过什么漏洞攻击到哪个主机；攻击图的有向边表示攻击者的行为，有向边的权值表示攻击者行为的危险度，有向边的权值取值如下：(4)攻击行为检测和防护：设定每个攻击者有一个危险度指标w，攻击者初始危险度指标为0，攻击者危险度阈值为W；网络封包进行特征串比较发现攻击行为，如果攻击者的行为是攻击图的一条有向边，则将攻击者的危险度指标的值加上这条有向边的权值，作为更新后的攻击者的危险度指标的值，否则攻击者的危险度指标的值不变；当攻击者的危险度指标的值大于设定的阈值W时，则认为该攻击者有较高的专业性和危险度，阻断该ip。