[发明专利]基于规则泛化和攻击重构网络攻击检测方法及装置

权利要求书

1.一种基于规则泛化和攻击重构网络攻击检测方法，其特征在于，包括：

获取网络流量数据；

利用入侵检测改进模型对网络流量数据进行低层次的单步攻击检测，输出低级警报，其中，入侵检测改进模型为对规则库进行泛化，根据泛化后的规则库和Snort入侵检测技术建立的入侵检测改进模型；

利用攻击重构技术，对低级警报进行关联及学习，重构出高层次的多步攻击场景，完成多步攻击检测。

2.根据权利要求1所述的基于规则泛化和攻击重构网络攻击检测方法，其特征在于，所述利用攻击重构技术，对低级警报进行关联及学习，重构出高层次的多步攻击场景，完成多步攻击检测，包括：

获取低级警报，并将低级警报关联组成候选攻击序列；

将候选攻击序列聚合形成超警报序列；

对超警报序列进行学习分析，从超警报序列中获取攻击模式；

利用交互式攻击链与顺序攻击链结合的方式构造攻击树，完成多步攻击检测。

3.根据权利要求2所述的基于规则泛化和攻击重构网络攻击检测方法，其特征在于，所述对超警报序列进行学习分析，从超警报序列中获取攻击模式，包括：

利用马尔可夫链将超警报序列中所有的超警报转换为元警报集；

设置元警报关联标准，根据元警报关联标准获取元警报集中的关键事件，其中关键事件包括两个相关联的元警报；

设置超警报关联标准，分别从两个关键事件提取超警报，根据超警报关联标准获取双成员集群，其中双成员集群包括两个相关的超警报；

分析双成员集群中包含的IP地址，将相同IP地址的双成员集群组成因果集群，其中因果集群为被攻击的宿主的攻击模式。

4.根据权利要求3所述的基于规则泛化和攻击重构网络攻击检测方法，其特征在于，所述元警报关联标准如下所示：

时,Feature₁(a,b)≥γ，Feature₂(a,b)≥γ，Feature₃(a,b)≥γ，和Feature₄(a,b)≥γ，或Feature₁(a,b)≥δ且Feature₂(a,b)≥δ，或Feature₃(a,b)≥δ且Feature₄(a,b)≥δ，则元警报a和元警报b相关联；或时,Feature₁(a,b)≥δ且Feature₂(a,b)≥δ，或Feature₃(a,b)≥δ且Feature₄(a,b)≥δ，则元警报a和元警报b相关联；

其中，a和b均为元警报；Cor(a,b)为元警报a和元警报b之间的相关强度；Feature_K(a,b)为第k个特征的值。

或/和，所述超警报关联标准为一个超警报的srcip与另一个超警报的srcip相同，且该超警报的dstip与另一个超警报的dstip相同，则两个超警报之间存在相关性；或一个超警报的srcip与另一个超警报的dstip相同，且该超警报的dstip与另一个超警报的srcip相同，则两个超警报之间存在相关性。

5.根据权利要求2至4中任意一项所述的基于规则泛化和攻击重构网络攻击检测方法，其特征在于，所述利用交互式攻击链与顺序攻击链结合的方式构造攻击树，完成多步攻击检测，包括：

将因果集群的攻击模式与攻击链进行关联；

在因果簇中绘制每个双成员簇；

将具有相同节点的不同双成员簇连接在一起形成顺序攻击链；

将具有节点类型相同且第一个节点srcip地址相同的不同双成员簇连接在一起形成顺序攻击链；

将不同因果簇的攻击链连接到攻击树中，通过添加提取的攻击模式来更新攻击树。

6.根据权利要求1至5中任意一项所述的基于规则泛化和攻击重构网络攻击检测方法，其特征在于，所述对规则库进行泛化，包括：

确定Snort规则库；

利用聚类泛化的方法对Snort规则库进行泛化；

利用最近邻的泛化方法对不能应用聚类泛化的规则点进行泛化。