[发明专利]一种网络攻击模式图的生成方法

摘要

本发明涉及一种网络攻击模式图的生成方法，从原始入侵检测系统日志文件数据中使用过程挖掘工具获得攻击图，检查攻击图的复杂度，对攻击图进行分割，分割攻击图中的独立子图部分，分割攻击图的长距离环，检查分割子图的复杂度，补全子图的结构信息。本发明可在保留攻击土结构的基础上有效的减少攻击图复杂度，使得攻击图信息更便于网络管理员对入侵检测系统数据分析和进一步研究。

主权项

1.一种网络攻击模式图的生成方法，其特征在于：包括以下步骤：步骤S1：获取一段时间的网络入侵检测系统的日志数据，作为生成攻击图的输入数据；步骤S2：对步骤S1获得的日志数据进行过程挖掘，得到一个包含所有攻击链的攻击图G；步骤S3：计算攻击图G的复杂度，若攻击图G的复杂度大于指定阈值，则输出G；否则将有向图G放入队列Qs中，执行步骤S4；其中队列Qs用于存放待分割的有向图，初始为空队列；步骤S4：遍历队列Qs，对队列中的每个有向图G，自顶向下寻找分支点Vsplit；步骤S5：以分支点Vsplit作为分割的起始点，去除有向图G中的独立子图，然后将剩余以Vsplit为起始点的有向边加入到队列Qe中，其中队列Qe用于存放待遍历的以Vsplit为起始点的有向边，初始为空队列；步骤S6：遍历队列Qe，对遍历到的有向边e使用广度优先算法遍历并生成e的后继子图，对每个后继子图Ge，计算Ge复杂度，如果Ge不是复杂子图，将Ge加入输出队列Qoutput中；否则将Ge加入队列Qs；步骤S7：判断队列Qs是否为空，如果Qs为空，转到步骤S8；否者转到步骤S4；步骤S8：将Qoutput中的有向图G，使用分支信息补全算法处理得到有向图G'，输出G'，即为攻击模式图。