[发明专利]一种APT攻击识别及防御方法

说明书

本发明公开了一种APT攻击识别及防御方法，包括步骤：一、获取网络及系统日志，识别APT攻击行为；二、基于网络日志挖掘攻击主体，确定出不同目标的攻击主体；三、统计不同目标的各个攻击主体的攻击时间线，预测不同目标的各个攻击主体的下一次攻击时间；四、获取各个不同目标的攻击主体所期待的攻击文件类型，制造虚假的同类型文件，按照预测出的不同目标的各个攻击主体的下一次攻击时间，提供给APT攻击者，进行APT攻击防御。本发明能识别APT攻击，挖掘出APT攻击的攻击主体，预测攻击时间线，自动生成和篡改大量的错误文件混淆视听，在攻击时间线过后自动将错误文件删除，恢复文件内容信息，能从根本上解决APT攻击的问题。

技术领域

本发明属于计算机网络安全技术领域，具体涉及一种APT攻击识别及防御方法。

背景技术

目前，国家机构或者大公司都经常遇到APT攻击，这种攻击目的是为了窃取高价值的保密信息或者一些产品信息内部资料等，它的攻击源有时候甚至不只来源于一种攻击主体，因为对重要机构的破坏，具有很高的利益需求，会有多个机构都具备APT攻击的动机。例如，国际上公开的攻击机构就有13个之多，每个攻击源，都有自己的目标，因此如何区别多个攻击源，并且根据不同的攻击源，针对性保护对应的内部文件内容的安全，成为一个重要的研究方向。

现有技术中，文件生成上技术还是比较成熟的，例如，申请号为201811307873.1的发明专利提出了一种文件名生成方法，所述方法包括：获取待命名文件夹中的用于管理组织样本图的病理标签图；对所述病理标签图进行标签信息提取，得到所述组织样本图对应的病人标识号；将所述病人标识号作为所述待命名文件夹的文件名，它的目标是进行病人标号的自动生成，但是目标不是用于混淆病毒攻击，因此生成内容无需全量存储和删除。

现有技术中还缺乏可靠且实用性强的APT攻击识别及防御方法。

发明内容

本发明所要解决的技术问题在于针对上述现有技术中的不足，提供一种APT攻击识别及防御方法，本发明能够识别APT攻击，挖掘出APT攻击的攻击主体，预测攻击时间线，自动生成和篡改大量的错误文件混淆视听，在攻击时间线过后自动将错误文件删除，恢复文件内容信息，能够从根本上解决APT攻击的问题。

为解决上述技术问题，本发明采用的技术方案是：一种APT攻击识别及防御方法，该包括以下步骤：

步骤一、获取网络及系统日志，识别APT攻击行为；

步骤二、基于网络日志采用关联挖掘算法挖掘攻击主体，确定出不同目标的攻击主体；所述不同目标的攻击主体包括窃取口令攻击、社会工程伪装攻击、认证攻击、协议攻击、信息泄露攻击和拒绝服务攻击；

步骤三、根据不同目标的攻击主体的分类，统计不同目标的各个攻击主体的攻击时间线，预测不同目标的各个攻击主体的下一次攻击时间；

步骤四、获取各个不同目标的攻击主体所期待的攻击文件类型，制造虚假的同类型文件，按照预测出的不同目标的各个攻击主体的下一次攻击时间，提供给APT攻击者，进行APT攻击防御。

上述的一种APT攻击识别及防御方法，步骤四中制造出虚假的同类型文件后，还对虚假的同类型文件插入虚假文件标签；步骤四之后还包括步骤五、在攻击时间过了之后，删除虚假文件。

上述的一种APT攻击识别及防御方法，步骤一中所述获取网络及系统日志，识别APT攻击行为的具体过程为：

步骤1A1、收集网络及系统日志，通过网络日志获取网络链接日志记录，通过dns日志从网络及系统日志中获得相关信息数据的域名进而查询其源IP地址，针对具体某一IP地址的访问，dns日志解析其源IP地址，包括访问参数、访问内容和dns服务器的返回数据；

步骤1A2、基于DBSCAN聚类分析的日志挖掘，找出异常操作的日志，识别为APT攻击行为；具体过程为：