[发明专利]一种攻击组织发现方法、装置、介质和设备

说明书

本发明涉及一种攻击组织发现方法、装置、介质和设备。本发明方案有效利用现网中已经部署的各类安全设备产生的告警数据，结合大数据流式计算框架，定义范式化攻击模型对海量异构告警数据进行快速范式化，并利用攻击模式信息、攻击目标信息和攻击源信息进行范式化安全事件关联，再根据关联结果进行基于攻击源的攻击特征图构建，最后利用图聚类方法进行攻击源聚类，从而发现攻击组织。由于目前主流的安全设备往往都具有非常高效的原始流量识别和检测能力，基于大数据流式计算框架，直接利用安全设备告警数据作为输入数据进行实时分析，告警数据直接高效地滤除了原始流量中不需要关注的特征信息，保证了攻击组织发现的实时性、准确性和鲁棒性。

技术领域

本发明涉及网络安全技术领域，特别涉及一种攻击组织发现方法、装置、介质和设备。

背景技术

本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

在实际的网络环境当中，绝大多数的告警数据都是由少数攻击组织发起攻击时触发的，因此如何实时、快速和有效地发现攻击组织成为网络安全防护和管理中非常具有意义的工作。

目前业界进行攻击组织的追踪和发现的方法，主要包括基于网络流量进行特征建模和基于样本代码进行特征建模来进行攻击组织发现。但是由于原始流量数据量级往往过于巨大，且其中的噪声特征往往占据非常大的比例，因此直接基于原始流量构建的特征模型的鲁棒性往往不太好，某些情况下只能基于离线保存的历史数据进行分析，无法满足实时分析和追踪的需求，并且这一类方法通常需要耗费较多的人工分析成本。

发明内容

本发明实施例提供一种攻击组织发现方法、装置、介质和设备，用于解决攻击组织发现的实时性较差的问题。

第一方面，本发明提供了一种攻击组织发现方法，所述方法包括：

通过大数据流式消息队列，接收至少一个安全设备发送的至少两条告警数据；

基于预先建立的攻击范式化模型，针对每条告警数据生成一个包括指定信息的安全事件，所述指定信息包括安全事件对应的攻击模式信息、攻击目标信息和攻击源信息；

利用所述安全事件对应的攻击模式信息、攻击目标信息和攻击源信息对所述安全事件进行关联；

根据关联结果，基于攻击源信息构建攻击特征图，针对所述攻击特征图，利用图聚类方法进行攻击源信息聚类，每组聚类得到的攻击源信息对应一个攻击组织。

可选的，所述指定信息包括安全事件起始时间信息、安全事件结束时间信息、五元组信息、攻击源互联网协议地址地理信息、攻击目标互联网协议地址地理信息、攻击模式信息和恶意代码信息；

所述攻击模式信息包括攻击模式标识、攻击模式名称以及攻击链阶段；所述恶意代码信息包括恶意代码哈希值、恶意代码动作标识、恶意代码动作名称以及动作相关参数。

可选的，针对每条告警数据生成一个包括指定信息的安全事件之后，利用所述安全事件对应的攻击模式信息、攻击目标信息和攻击源信息对所述安全事件进行关联之前，所述方法还包括：

归并攻击模式信息相同的所述安全事件；以及，

修正指定信息中存在信息缺失的所述安全事件，并删除指定信息中存在信息矛盾的所述安全事件。

可选的，利用所述安全事件对应的攻击模式信息、攻击目标信息和攻击源信息对所述安全事件进行关联，包括：

根据每个安全事件对应的攻击模式信息，将指定时间段内，针对同一攻击目标互联网协议地址的安全事件整合为一条攻击链，并将设定时间段内整合得到的具有相同攻击源互联网协议地址的攻击链关联为一个攻击链簇；

根据关联结果，基于攻击源信息构建攻击特征图，包括：