[发明专利]一种网络威胁事件攻击场景交互式自动还原方法

说明书

本发明公开了一种网络威胁事件攻击场景交互式自动还原方法，从多种类型的结构化及非结构化数据中抽取关键信息要点并构建多维威胁事件攻击场景统一描述框架；对上述描述框架增强数据挖掘深度，并抽取实体及实体关系，形成关键信息序列，按照层次化，结构化方式进行分类；并使用层级结构对威胁事件的整个攻击生命周期构建符合逻辑的时空序列威胁事件描述模型；将上述时空序列威胁事件描述模型，以可视化交互式方式进行攻击场景还原。本发明可以将网络威胁事件在攻击生命周期内对攻击场景进行自动、准确和全面的呈现，帮助及时识别存在恶意攻击行为的攻击者/攻击组织，提高网络威胁分析人员分析攻击事件的效率和追踪溯源的准确性。

技术领域

本发明涉及网络安全技术领域，具体为一种网络威胁事件攻击场景交互式自动还原方法。

背景技术

网络攻防，亦称“网络对抗”。网络攻击与网络防护的合称。网络攻击指综合利用目标网络存在的漏洞和安全缺陷对该网络系统的硬件、软件及其系统中的数据进行攻击，主要包括踩点、扫描、获取访问权限、权限提升、控制信息、掩盖痕迹、创建后门等步骤；网络防护指综合利用己方网络系统功能和技术手段保护己方网络和设备，使信息数据在存储和传输过程中不被截获、仿冒、窃取、篡改或消除，包括加密技术、访问控制、检测技术、监控技术、审计技术等。网络攻击和网络防护是一对“矛”和“盾”的关系，网络攻击一般超前于网络防护。

近年来，网络攻防对抗日趋激烈，网络攻击事件越来越多，攻击手段也在不断演化，随着攻击手段的多样化，攻击团队的专业化、组织化。攻击场景还原作为工业信息安全防护体系的重要组成部分,能够为安全加固提供有力的信息支撑,已逐渐成为科研人员的研究重点。攻防不对等加剧，企业用户所部署的大量传统的安全设备，还是难以有效应对日益严峻的威胁形势，对某个攻击事件进行追踪溯源十分困难。不仅需要较多专业的安全分析及运维人员大量人工查找，比对，而且追踪溯源效率较低，精确性较差。

发明内容

针对上述问题，本发明的目的在于提供一种对网络威胁事件攻击场景交互式自动还原方法，可以对网络威胁事件的攻击生命周期进行准确和全面的呈现，可以从对象、阶段、行为三个维度对事件的攻击场景进行自动还原，可提高网络威胁分析人员分析攻击事件的效率。技术方案如下：

一种网络威胁事件攻击场景交互式自动构建方法，包括以下步骤：

S1：从多种类型的结构化及非结构化数据中抽取关键信息要点，构建多维威胁信息攻击场景统一描述框架；

S2：对上述描述框架增强数据挖掘深度，从关键信息要点中自动抽取关键实体及实体关系，形成关键信息序列，按照层次化，结构化方式进行分类，构建实体分类关联关系网；

S3：使用该实体分类关系网的层级结构对威胁事件的整个攻击生命周期构建符合逻辑的时空序列威胁事件攻击场景描述模型；

S4：将上述时空序列威胁事件描述模型，以交互式可视化方式对威胁事件攻击场景还原；

S5：对各类网络威胁事件的攻击场景还原过程进行统计和评估，便于同类事件的预测与溯源。

进一步的，所述S1中构建多维威胁信息攻击场景统一描述框架，具体包括：从威胁事件的目标对象和事件攻击步骤，以及所反应出的攻击行为特征这几方面，将复杂的攻击上下文信息进行统一的结构化描述，将攻击链融入到整体威胁事件中，进而构建出能有效刻画完整攻击周期的多维威胁信息攻击场景统一描述框架。

更进一步的，所述S2中从关键信息要点中自动抽取关键实体及实体关系，形成关键信息序列，按照层次化，结构化方式进行分类，构建实体分类关联关系网，具体包括：

S21：对各类数据进行清洗与抽取实体及实体关系，确定威胁事件的核心攻击步骤，关键技术及实现细节的层次性分级实体；

S22：采用实体分析系统自动抽取关键实体及实体关系，形成关键信息序列，构建实体分类关联关系网；