[发明专利]一种网络攻击团队识别方法、装置、电子设备及存储介质

说明书

本发明公开了一种网络攻击团队识别方法、装置、电子设备及存储介质，用于解决无法从海量的告警信息中有效、准确地识别网络攻击的技术问题。本发明包括：从预设数据库中提取网络攻击日志数据；对所述网络攻击日志数据进行标准化处理，得到标准化日志数据集；对所述标准化日志数据集中的数据对象进行聚类，得到多个网络攻击团队；生成每个所述网络攻击团队的团队画像；当接收到网络异常信息时，在多个所述团队画像中匹配所述网络异常信息，确定所述网络异常信息对应的目标网络攻击团队。

技术领域

本发明涉及网络攻击识别技术领域，尤其涉及一种网络攻击团队识别方法、装置、电子设备及存储介质。

背景技术

网络攻击是指针对计算机信息系统、基础设施、计算机网络或个人计算机设备的，任何类型的进攻动作。对于计算机和计算机网络来说，破坏、揭露、修改、使软件或服务失去功能、在没有得到授权的情况下偷取或访问任何一计算机的数据，都会被视为于计算机和计算机网络中的攻击。

入侵检测是防火墙的合理补充，帮助系统对付网络攻击，扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应)，提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。

目前的入侵检测系统主要是通过监听网络流量，根据流量的特征与规则库进行对比，然后地异常的流量进行告警。由于网络上安全厂商、黑客针对互联网的扫描是时时发生的，因此会入侵检测系统会产生大量的告警信息，安全人员疲于处理大量的无意义的告警，而真正的攻击告警可能淹没在海量的告警信息中。从而无法有效、准确地防御网络攻击。

发明内容

本发明提供了一种网络攻击团队识别方法、装置、电子设备及存储介质，用于解决无法从海量的告警信息中有效、准确地识别网络攻击的技术问题。

本发明提供了一种网络攻击团队识别方法，包括：

从预设数据库中提取网络攻击日志数据；

对所述网络攻击日志数据进行标准化处理，得到标准化日志数据集；

对所述标准化日志数据集中的数据对象进行聚类，得到多个网络攻击团队；

生成每个所述网络攻击团队的团队画像；

当接收到网络异常信息时，在多个所述团队画像中匹配所述网络异常信息，确定所述网络异常信息对应的目标网络攻击团队。

可选地，所述对所述标准化日志数据集中的数据对象进行聚类，得到多个网络攻击团队的步骤，包括：

计算所述标准化日志数据集中每一个所述数据对象的第一欧拉距离和所有所述数据对象的平均距离；

根据所述第一欧拉距离和所述平均距离，从所述标准化日志数据集中提取第一样本，生成第一样本数据集；

统计所述第一样本数据集中的第一样本的数据总数；

根据所述数据总数计算第一聚类数；

基于所述第一聚类数对所述第一样本数据集中的第一样本进行聚类，得到第二样本数据集；所述第二样本数据集包含与所述第一聚类数对应的多个第一聚类簇；每个第一聚类簇对应一个第二样本；

根据所述第一聚类数计算第二聚类数；

从所述第二样本数据集中提取第二欧拉距离最小的两个第二样本，生成第二聚类簇，并将所述第二聚类簇添加进预设第三样本数据集中；

判断所述第三样本数据集中的所述第二聚类簇的数量是否等于所述第二聚类数；