[发明专利]一种基于策略的攻击溯源方法

说明书

本发明公开了一种基于策略的攻击溯源方法，包括：获取网络攻击数据，从网络攻击数据中采集网络攻击的源IP、目标IP以及攻击事件信息，对被攻击主机归类攻击方法以及划分主机被攻击的程度，构建规则知识库；将攻击事件与所述攻击矩阵进行匹配，确定攻击事件与攻击步骤之间的映射关系；根据根据风险指标确定具有风险的主机。本发明通过对异常访问攻击事件进行归类分析，对攻击事件按照严重程度、时序关系进行分类，获得规则知识库，基于提取攻击信息中的源IP、目的IP和攻击事件，与规则知识库匹配，能够对攻击进行溯源。

技术领域

本发明涉及计算机网络安全领域，具体涉及一种基于策略的攻击溯源方法。

背景技术

正常情况下，现有检测手段可以通过对网络流量的监测，检测到服务器、工作站或者电网安防设备之间的访问关系和攻击事件。辅助一定的策略配置，忽略电网内部生产调度维护所需的访问关系，其它的访问关系认为是异常访问。以报文形式上报给管理系统，管理系统结合可视化工具对访问关系和攻击事件进行分析处理。

随着电力系统中的业务关系拓展，网络基础设施规模日益扩大，拓扑结构越来越复杂，导致异常访问攻击事件数量庞大。同时，由于误报或阈值低的原因，进一步增加了日志量，给管理系统分析问题带来了困难，很难找到需要重点关注的攻击事件，这给电网安全运行带来了极大的隐患。

通常情况下，外来入侵会通过比较隐秘的手段隐藏自身，而且攻击手段是有计划有步骤地进行。现有手段只是检查到了大量的访问关系和攻击事件，没有对不同攻击事件之间的关联关系进行分析，访问时序也没有得到应有的关注。导致攻击事件之间比较孤立，很难通过人为分析确认攻击源头，更不能对攻击行为进行有效防御。

发明内容

本发明针对现有技术中存在的以上不足，提供了一种在电力系统网络安全管理上应用的攻击溯源方法，通过该方法，可以用来确认网络攻击者身份、位置以及其中间介质、攻击路径、攻击时序。通过溯源结果，使用者可以采用必要的策略或手段，抑制攻击源，防止网络攻击带来的安全隐患。同时，根据对攻击过程的分析，可以为司法取证提供必要依据。

本发明采用以下技术方案。

一种基于策略的攻击溯源方法，包括以下步骤：

获取网络攻击数据，从网络攻击数据中采集网络攻击的源IP、目标IP以及攻击事件信息，对被攻击主机归类攻击方法以及划分主机被攻击的程度，获得规则知识库；所述规则知识库包括攻击矩阵，所述攻击矩阵的横向表示攻击阶段，纵向表示各攻击阶段对应的攻击类型；

提取攻击信息中的源IP、目的IP和攻击事件，根据主机之间的源、目的IP确认访问关系，将攻击事件与所述攻击矩阵进行匹配，确定攻击事件与攻击步骤之间的映射关系；

根据各个攻击步骤中攻击类型及所属的攻击阶段确定攻击权重；根据各攻击步骤的权重大小以及攻击次数确定攻击风险指标，根据风险指标确定具有风险的主机。

进一步地，所述攻击阶段包括：信息收集、弱点发现、载荷投递、突防利用、通信控制以及达成目标。

再进一步地，所述信息收集的攻击阶段对应的攻击类型包括端口扫描、指纹识别、存活主机探测、外部移动介质接入以及主机扫描。

再进一步地，所述弱点发现的攻击阶段对应的攻击类型包括口令爆破、web服务漏洞挖掘、中间件服务漏洞挖掘、数据库服务漏洞挖掘以及通用服务漏洞挖掘。

再进一步地，所述载荷投递的攻击阶段对应的攻击类型上传可执行文件、上传未编译的源码、上传木马文件、通过外接设备感染恶意代码以及发送钓鱼邮件、短信、论坛回帖。

再进一步地，所述突防利用的攻击阶段对应的攻击类型包括执行恶意代码、移动恶意文件、编译恶意源码、增添文件权限以及后门漏洞利用。