[发明专利]基于报警聚合的网络取证方法及装置

说明书

本发明属于网络安全技术领域，特别涉及一种基于报警聚合的网络取证方法及装置，该方法包含：构建攻击图；并获取网络关键节点的入侵检测数据，将该入侵检测数据作为网络取证分析的报警证据集；将报警证据集合中报警证据映射到攻击图中，并获取报警证据链；对报警证据链进行聚类，构建网络入侵场景，恢复网络犯罪现场。本发明针对利用入侵检测系统进行网络取证时存在的漏报和误报问题，通过进行报警证据映射、证据链生成、证据链聚类和入侵场景构建，能准确完整地展现攻击者的入侵全貌，提高网络取证效率；与入侵场景相关报警数据成为重要电子证据，具有较强的实用性和可操作性，为收集网络数据证据，重返犯罪现场及诉讼案件提供可靠依据。

技术领域

本发明属于网络安全技术领域，特别涉及一种基于报警聚合的网络取证方法及装置。

背景技术

随着网络攻击水平的不断提高和攻击工具、攻击方法的日新月异，利用计算机网络进行犯罪的行为越来越严重，网络取证对于打击网络犯罪具有重要意义。网络取证本质上属于动态取证，即在攻击事件进行时或在证据数据的传输途中进行截获，通过收集网络报警证据数据，重构网络攻击的犯罪场景，为诉讼案件提供准确有效的证据。

目前，网络取证的方法主要有两种：一种是基于蜜阱的方法，另一种是通过分析入侵检测系统报警证据的方法。蜜阱是指以蜜罐和蜜网等诱骗技术为核心的网络安全技术，由于蜜阱是一种诱骗系统，提供的是一些非真实性的信息，这些信息能否作为证据使用还值得商榷。第二种针对入侵检测系统的报警进行分析，通过得到的证据来还原入侵者采取的一系列攻击步骤，目前的网络取证方法大多采用这种方法。然而，受入侵检测系统准确性的限制，影响了网络取证结果的准确性，如何消除误报和漏报证据对取证结果的影响，是这些方法面临的一个难题。同时，入侵检测依赖于捕获的网络数据片段，所获得的证据很可能不够完整，如何通过报警去冗余和遗漏证据补充来消除误报和漏报的影响，保证证据链的完整性，识别出属于同一犯罪现场的一条或多条网络入侵证据链，反映入侵全貌，成为亟待解决的技术难题。

发明内容

为此，本发明提供一种基于报警聚合的网络取证方法及装置，通过对报警数据进行证据映射、证据链生成、证据链聚类和入侵场景构建，还原网络犯罪现场，具有较强的实用性和可操作性。

按照本发明所提供的设计方案，一种基于报警聚合的网络取证方法，包含如下内容：

A)构建攻击图；并获取网络关键节点的入侵检测数据，将该入侵检测数据作为网络取证分析的报警证据集；

B)将报警证据集合中报警证据映射到攻击图中，并获取报警证据链；

C)对报警证据链进行聚类，构建网络入侵场景，恢复网络犯罪现场。

上述的，A)中，通过枚举攻击者所有入侵路径，构建有向无环图，作为攻击图；并通过网络各关键节点的开源入侵检测系统分析并抓取数据包，得到报警证据集合。

上述的，B)中，选择报警证据的类型、源地址和目标地址属性，将报警证据定位关联到相应攻击图节点上；根据攻击者攻击步骤所产生的报警证据序列获取报警证据链，将该报警证据链作为构建入侵场景的最小单元。

优选的，B)中根据攻击者攻击步骤所产生的报警证据序列获取报警证据链，包含如下内容：首先，将报警证据链集置为空集；然后，针对报警证据集中每个报警证据，判断其是否存在于报警证据链集，若不存在，则添加新的报警证据链至报警证据链集，并将该报警证据加入该新的报警证据链中；若存在，则根据报警证据产生时间上的父子关系，将报警证据集中的报警证据逐个加入报警证据链中，使得该报警证据链中的各个报警证据具有前后因果关系，直至该报警证据链长度不再增加位置，将该报警证据链并入到报警证据链集中。

上述的，C)中，获取报警证据链间的相似度，将相似的报警证据链进行聚类，构建初步入侵场景集合；对初步入侵场景集合中的每两个入侵场景，依据两者衔接关系进行合并拼接，实现入侵场景的完全构建，恢复网络犯罪现场。