[发明专利]攻击信息预测方法和预测装置

权利要求书

1.一种攻击信息预测方法，其特征在于，包括：

收集待预测攻击IP对的攻击手法的集合，攻击IP对包括攻击者IP和攻击目标IP；

根据当前收集的待预测攻击IP对的攻击手法的集合以及各攻击手法所属的攻击阶段，形成待预测攻击IP对的第一攻击链；

将第一攻击链与已知攻击链进行完全匹配和模糊匹配，得到匹配攻击链，其中，模糊匹配是指第一攻击链的至少部分节点与已知攻击链的相应节点不同、但已知攻击链的该部分节点的攻击手法包括第一攻击链相应节点的攻击手法，并且第一攻击链的其他节点与已知攻击链的相应节点相同；

从匹配攻击链中选择最优匹配攻击链，作为预测的待预测攻击IP对的攻击链。

2.根据权利要求1所述的方法，其特征在于，

攻击链的每个节点能够表征该节点所属的攻击阶段和该节点采用的攻击手法。

3.根据权利要求1所述的方法，其特征在于，

攻击阶段和攻击手法的每种组合对应一个主编号，其中，如果任一第一组合与任一第二组合的攻击阶段相同、且第二组合的攻击手法包括第一组合的攻击手法，第二组合还对应一个子编号，第二组合的子编号的值为第一组合的主编号；

将当前收集的待预测攻击IP对的各攻击手法和相应的攻击阶段的各个组合的主编号，按照攻击阶段的次序顺序串联起来，形成待预测攻击IP对的第一攻击链。

4.根据权利要求3所述的方法，其特征在于，将第一攻击链与已知攻击链进行完全匹配和模糊匹配，得到匹配攻击链包括：

将与第一攻击链的各个主编号完全匹配的已知攻击链，作为完全匹配攻击链；

如果第一攻击链的至少部分节点与已知攻击链的相应节点的主编号不同、但第一攻击链的该部分节点的主编号存在于已知攻击链的相应节点的子编号，并且第一攻击链的其他节点与已知攻击链的相应节点的主编号相同，将符合前述条件的已知攻击链作为模糊匹配攻击链。

5.根据权利要求1所述的方法，其特征在于，从匹配攻击链中选择最优匹配攻击链包括：

如果匹配攻击链有多个，比较多个匹配攻击链的发生次数，将发生次数最多的匹配攻击链作为最优匹配攻击链。

6.根据权利要求5所述的方法，其特征在于，从匹配攻击链中选择最优匹配攻击链还包括：

如果发生次数最多的匹配攻击链有多个，比较匹配攻击链中下一阶段攻击手法的发生次数，将下一阶段攻击手法的发生次数最多的匹配攻击链作为最优匹配攻击链。

7.根据权利要求1所述的方法，其特征在于，

在各攻击阶段中设置有攻击前序阶段，针对攻击前序阶段进行所述模糊匹配。

8.根据权利要求1所述的方法，其特征在于，

设置有模糊系数，按照所述模糊系数对相应数量的攻击阶段进行所述模糊匹配。

9.根据权利要求7所述的方法，其特征在于，

各攻击阶段包括侦测阶段、载荷投送阶段、攻击渗透阶段、安装工具阶段、恶意活动阶段；

攻击前序阶段包括侦测阶段、载荷投送阶段。

10.根据权利要求1-9任一项所述的方法，其特征在于，

将最优匹配攻击链中的下一阶段攻击手法，作为预测的攻击者IP下一阶段的攻击行为。

11.一种攻击信息预测装置，包括：

存储器；以及

耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行权利要求1-10中任一项所述的攻击信息预测方法。

12.一种非瞬时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现权利要求1-10中任一项攻击信息预测方法的方法的步骤。