[发明专利]一种基于APT攻击意图的操作权限控制方法

说明书

本发明公开了一种基于APT攻击意图的操作权限控制方法，包括步骤：一、获取网络及系统日志，识别APT攻击行为；二、针对APT攻击行为进行攻击检查，获取APT攻击内容并发出报警信息；三、根据获取到的APT攻击内容，对其攻击的目标文件、目标操作和目标操作权限，建立攻击意图逻辑关系，并根据攻击意图逻辑关系和报警信息预测下一步的攻击意图；四、基于知识图谱技术生成针对攻击意图的操作指导知识图谱，显示在操作界面上，管理员根据操作指导知识图谱进行操作，避开APT攻击威胁。本发明具有更高的可控性，对攻击意图的识别更精准，不会导致人工工作量过高,降低了工作的难度，实现了操作的安全性和便利性。

技术领域

本发明属于计算机领域中的网络安全技术领域，具体涉及一种基于APT攻击意图的操作权限控制方法。

背景技术

APT(Advanced Persistent Threat，高级持续性威胁)通常是由专业的黑客组织发动有针对性的攻击，APT攻击往往具有一个完整的、精心策划的攻击过程。

APT攻击的特点是：攻击目的越来越明确，攻击范围越来越专注，攻击领域广，攻击行为难以侦测，具有极强隐蔽性且长期持续，严重地威胁着国家安全和公民权益。

APT攻击的最大原因在于，具有系统权限的矛盾性，当程序具有较高的操作权限时，容易进行攻击行为，而当程序权限少时，用户操作会变得困难，需要大量的进行认证。因此，如果能够识别攻击意图，针对性的在攻击概率小的操作上，进行权限的放开控制，在攻击概率大的操作进行严格操作，就能够更好的控制攻击行为，这个不断变化权限的操作很多时候是很复杂的，需要针对性的获得具体的攻击方向，以及给出权限控制的修改意见。

鉴于APT攻击的特殊性，传统的网络安全防御机制难以在和APT的对抗中起到作用，因此，挖掘出攻击行为，进一步识别出攻击意图，预测关联到下一步可能会攻击的目标，要针对性的加强防护。

发明内容

本发明所要解决的技术问题在于针对上述现有技术中的不足，提供一种基于APT攻击意图的操作权限控制方法，本发明具有更高的可控性，对攻击意图的识别更精准，不会导致人工工作量过高,降低了工作的难度，实现了操作的安全性和便利性。

为解决上述技术问题，本发明采用的技术方案是：一种基于APT攻击意图的操作权限控制方法，该方法包括以下步骤：

步骤一、获取网络及系统日志，识别APT攻击行为；

步骤二、针对APT攻击行为，包括攻击的目标文件、目标操作和目标操作权限，进行攻击检查，获取APT攻击内容并发出报警信息；

步骤三、根据获取到的APT攻击内容，对其攻击的目标文件、目标操作和目标操作权限，建立攻击意图逻辑关系，并根据攻击意图逻辑关系和报警信息预测下一步的攻击意图；

步骤四、根据预测出来的下一步的攻击意图，生成攻击意图描述，基于知识图谱技术生成针对攻击意图的操作指导知识图谱，显示在操作界面上，管理员根据操作指导知识图谱进行操作，避开APT攻击威胁。

上述的一种基于APT攻击意图的操作权限控制方法，步骤一中所述获取网络及系统日志，识别APT攻击行为的具体过程为：

步骤1A1、收集网络及系统日志，通过网络日志获取网络链接日志记录，通过dns日志从网络及系统日志中获得相关信息数据的域名进而查询其源IP地址，针对具体某一IP地址的访问，dns日志解析其源IP地址，包括访问参数、访问内容和dns服务器的返回数据；

步骤1A2、基于DBSCAN聚类分析的日志挖掘，找出异常操作的日志，识别为APT攻击行为。

上述的一种基于APT攻击意图的操作权限控制方法，步骤1A2中所述基于DBSCAN聚类分析的日志挖掘，找出异常操作的日志的具体过程为：