[发明专利]一种攻击组织发现方法、装置、介质和设备

权利要求书

1.一种攻击组织发现方法，其特征在于，所述方法包括：

通过大数据流式消息队列，接收至少一个安全设备发送的至少两条告警数据；

基于预先建立的攻击范式化模型，针对每条告警数据生成一个包括指定信息的安全事件，所述指定信息包括安全事件对应的攻击模式信息、攻击目标信息和攻击源信息；

利用所述安全事件对应的攻击模式信息、攻击目标信息和攻击源信息对所述安全事件进行关联；

根据关联结果，基于攻击源信息构建攻击特征图，针对所述攻击特征图，利用图聚类方法进行攻击源信息聚类，每组聚类得到的攻击源信息对应一个攻击组织。

2.如权利要求1所述的方法，其特征在于，所述指定信息包括安全事件起始时间信息、安全事件结束时间信息、五元组信息、攻击源互联网协议地址地理信息、攻击目标互联网协议地址地理信息、攻击模式信息和恶意代码信息；

所述攻击模式信息包括攻击模式标识、攻击模式名称以及攻击链阶段；所述恶意代码信息包括恶意代码哈希值、恶意代码动作标识、恶意代码动作名称以及动作相关参数。

3.如权利要求2所述的方法，其特征在于，针对每条告警数据生成一个包括指定信息的安全事件之后，利用所述安全事件对应的攻击模式信息、攻击目标信息和攻击源信息对所述安全事件进行关联之前，所述方法还包括：

归并攻击模式信息相同的所述安全事件；以及，

修正指定信息中存在信息缺失的所述安全事件，并删除指定信息中存在信息矛盾的所述安全事件。

4.如权利要求3所述的方法，其特征在于，利用所述安全事件对应的攻击模式信息、攻击目标信息和攻击源信息对所述安全事件进行关联，包括：

根据每个安全事件对应的攻击模式信息，将指定时间段内，针对同一攻击目标互联网协议地址的安全事件整合为一条攻击链，并将设定时间段内整合得到的具有相同攻击源互联网协议地址的攻击链关联为一个攻击链簇；

根据关联结果，基于攻击源信息构建攻击特征图，包括：

针对每个攻击链簇，将每个攻击源互联网协议地址作为一个核心点，连接每个核心点，并以指定的至少一个特征作为特征点，将每个核心点与该核心点对应的每个特征点连接，获得一个攻击特征子图；

针对任意两个攻击特征子图，确定一个攻击特征子图的每个核心点与另一个攻击特征子图的每个核心点之间的距离，连接距离小于设定阈值的核心点，获得一个攻击特征图。

5.如权利要求4所述的方法，其特征在于，根据每个安全事件对应的攻击模式信息，将指定时间段内，针对同一攻击目标互联网协议地址的安全事件整合为一条攻击链，包括：

针对生成的一个安全事件确定该安全事件对应的指定时间段内，是否存在攻击目标互联网协议地址与该安全事件对应的攻击目标互联网协议地址一致的攻击链；

若确定存在，针对每条与该安全事件对应的攻击目标互联网协议地址一致的攻击链，确定按照该安全事件对应的攻击链阶段，将该安全事件整合到该攻击链，是否会导致该攻击链对应的各攻击链阶段错序，若不会，则将该安全事件整合到该攻击链。

6.如权利要求5所述的方法，其特征在于，所述方法还包括：若确定不存在攻击目标互联网协议地址与该安全事件对应的攻击目标互联网协议地址一致的攻击链，或者，针对存在的攻击目标互联网协议地址与该安全事件对应的攻击目标互联网协议地址一致的每条攻击链，未将该安全事件整合到其中任意一条攻击链，则：

生成一条攻击目标互联网协议地址与该安全事件对应的攻击目标互联网协议地址一致的攻击链，将该安全事件整合到该攻击链。