[发明专利]一种基于图算法的攻击路径还原方法及系统

权利要求书

1.一种基于图算法的攻击路径还原方法，其特征在于，包括：

获取工控现场的原始告警日志；所述原始告警日志包括工业主机数据和业务应用数据；

根据所述原始告警日志分别构建异构图和有向带权图；所述有向带权图为表示设备和平台之间的连接关系和攻击次数的图结构；将工控场景中的告警事件收集起来，用异构图形式表达；

根据所述异构图和元路径确定同构图；所述同构图的节点为事件；所述同构图表示事件类型和事件之间的连接关系；

根据所述同构图利用图卷积网络算法计算事件的嵌入表示；

根据所述有向带权图利用大规模信息网络嵌入算法计算设备的嵌入表示；

分别根据所述事件的嵌入表示和所述设备的嵌入表示利用相似性算法确定事件类型节点相似度和设备IP节点相似度，或者确定事件类型节点相似度和平台IP节点相似度；

当确定所述事件类型节点相似度和所述设备IP节点相似度时，根据所述事件类型节点相似度和所述设备IP节点相似度对同一时间窗口内的所述原始告警日志进行遍历回溯，得到攻击路径；当确定所述事件类型节点相似度和所述平台IP节点相似度时，根据所述事件类型节点相似度和所述平台IP节点相似度对同一时间窗口内的所述原始告警日志进行遍历回溯，得到攻击路径。

2.根据权利要求1所述的基于图算法的攻击路径还原方法，其特征在于，所述根据所述原始告警日志分别构建异构图和有向带权图，具体包括：

将所述原始告警日志中的所有设备和事件映射为图结构的节点，以所述告警日志中的告警事件是否在设备上发生作为图结构的边，构建异构图；

将所述原始告警日志中的每个设备映射为图结构的节点，基于所有连接关系和权重，构建有向带权图；所述连接关系包括设备和设备、设备和平台以及平台和平台之间的连接关系；所述权重包括设备和设备、设备和平台以及平台和平台之间的权重。

3.根据权利要求1所述的基于图算法的攻击路径还原方法，其特征在于，所述根据所述有向带权图利用大规模信息网络嵌入算法计算设备的嵌入表示，具体包括：

根据所述有向带权图利用大规模信息网络嵌入算法中的二阶相似性计算设备的嵌入表示。

4.根据权利要求1所述的基于图算法的攻击路径还原方法，其特征在于，所述当确定所述事件类型节点相似度和所述设备IP节点相似度时，根据所述事件类型节点相似度和所述设备IP节点相似度对同一时间窗口内的所述原始告警日志进行遍历回溯，得到攻击路径，具体包括：

当确定所述事件类型节点相似度和所述设备IP节点相似度时，根据所述事件类型节点相似度和所述设备IP节点相似度对同一时间窗口内的所述原始告警日志利用spark分区方法进行遍历，得到攻击路径表；

根据所述攻击路径表确定攻击路径。

5.根据权利要求1所述的基于图算法的攻击路径还原方法，其特征在于，所述当确定所述事件类型节点相似度和所述平台IP节点相似度时，根据所述事件类型节点相似度和所述平台IP节点相似度对同一时间窗口内的所述原始告警日志进行遍历回溯，得到攻击路径，具体包括：

当确定所述事件类型节点相似度和所述平台IP节点相似度时，根据所述事件类型节点相似度和所述平台IP节点相似度对同一时间窗口内的所述原始告警日志利用spark分区方法进行遍历，得到攻击路径表；

根据所述攻击路径表确定攻击路径。