[发明专利]一种基于攻击链攻击规则挖掘的APT入侵检测方法

说明书

本发明涉及一种基于攻击链攻击规则挖掘的APT入侵检测方法，包括以下步骤：S1.对样本数据进行预处理；S2.采用分类算法对样本数据进行分类，识别出样本数据的应用类型；S3.将分类后的数据进行合并，并将合并后的数据作为关联规则处理的事务；S4.采用关联规则算法对合并后的数据进行攻击规则的挖掘，建立攻击规则库；S5.对攻击规则进行分析，建立相应的解决方案集；S6.将攻击规则库和解决方案集部署在入侵检测系统中，用于实时监测攻击。

技术领域

本发明涉及通信网专用网的技术领域，特别是涉及一种基于攻击链攻击规则挖掘的APT入侵检测方法。

背景技术

目前，随着互联网的迅速发展，网络攻击者的攻击策略也不断改进。为了获取更大利益，攻击者将入侵目标从攻击个人PC以获取个人隐私转移到攻击大型核心工业系统、政府以及企业的内部专用网络上，目前，越来越多的攻击者根据攻击链技术，将攻击过程分为多个阶段，在每个阶段采取的攻击行为通常具有较大的隐蔽性，甚至与正常流量无异，通常将这类攻击成为APT攻击。传统的“一攻一报”形式的网络入侵检测系统难以发现这些攻击事件，甚至有时将正常流量当做异常流量处理，造成报警的准确率较低，误报率较高。现有技术中，未结合攻击链知识考虑攻击者发起的前后攻击流量之间的关系，会生成大量无用的规则，造成资源的浪费；同时，只能针对单一攻击流量进行匹配，无法识别多阶段的攻击流量其次，没有考虑基于攻击链攻击行为的特征，因此无法检测出多阶段的攻击流量。

发明内容

本发明为克服上述所述的不足，提供一种提高实时入侵检测的准确率，识别传统入侵检测系统无法发现的隐蔽的、持续时间久的APT攻击过程的基于攻击链攻击规则挖掘的APT入侵检测方法。

为解决上述技术问题，本发明采用的技术方案是：

一种基于攻击链攻击规则挖掘的APT入侵检测方法，包括以下步骤：

S1.对样本数据进行预处理；

S2.采用分类算法对样本数据进行分类，识别出样本数据的应用类型；

S3.将分类后的数据进行合并，并将合并后的数据作为关联规则处理的事务；

S4.采用关联规则算法对合并后的数据进行攻击规则的挖掘，建立攻击规则库；

S5.对攻击规则进行分析，建立相应的解决方案集；

S6.将攻击规则库和解决方案集部署在入侵检测系统中，用于实时监测攻击。

在上述方案中，首先，对样本数据进行预处理；然后，采用分类算法对样本数据进行分类，识别出样本数据的应用类型；进一步的，将分类后的数据进行合并，并将合并后的数据作为关联规则处理的事务；同时，采用关联规则算法对合并后的数据进行攻击规则的挖掘，建立攻击规则库；然后，对攻击规则进行分析，建立相应的解决方案集；最后，将攻击规则库和解决方案集部署在入侵检测系统中，用于实时监测攻击；在本技术方案中，通过对样本数据进行与处理，在进行分类处理，将分类后的数据合并进行相应的操作，对合并后的数据进行分析，最后找到相应的解决方案，整个操作过程中，提高实时入侵检测的准确率，识别传统入侵检测系统无法发现的隐蔽的、持续时间久的APT攻击过程。

优选的，所述的步骤S1具体步骤如下：

S11.手机网络中告警设备识别的异常流量的样本信息；

S12.对样本信息进行去除错误、冗余的流量数据操作；

S13.将数据格式进行规范化处理；

S14.处理后的数据存入数据库中。

优选的，所述的步骤S2具体步骤如下：

S21.采用决策树C4.5算法对规范化的流量数据进行分类；