[发明专利]一种APT攻击溯源图分析方法

说明书

本发明涉及网络安全技术领域，尤其涉及一种APT攻击溯源图分析方法。所述方法包括以下步骤：对银行信息系统进行日志采集并利用日志转换算法进行格式转换，得到溯源图统一格式日志；构建溯源图日志数据库，对溯源图统一格式日志进行抽取和加工处理并将加工处理后的溯源图统一格式日志保存至溯源图日志数据库中，得到整体溯源图日志；通过预设的日志分类算法模型对整体溯源图日志进行分类处理，得到溯源图日志类型数据；利用重要权度挖掘算法对溯源图日志类型数据进行关键特征提取，得到溯源图日志关键特征。本发明通过门控循环单元算法发现异常攻击行为并发出报警信号，为银行信息系统提供精准的攻击目标和攻击行为识别能力。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种APT攻击溯源图分析方法。

背景技术

APT攻击也称为定向威胁攻击，是针对特定目标开展的持续性攻击，所使用的方法、手段多样，不同于常规单一类型的攻击，更加呈现出工具自动化、利用漏洞武器化、入侵途径多样化的特点，因此对于APT攻击的防御是网络安全领域的一个难点。

银行信息系统属于关键基础设施，承载了大量甚至巨量的金融服务，并保管海量客户信息及经营管理信息。在当下复杂的安全形势下，极易成为国内外各种势力开展APT攻击的目标。银行系统一旦发生大规模网络安全事件，将带来巨大损失及影响。由于APT攻击的特异性和隐蔽性，常规的安全监测和漏洞分析系统较难发现并进行系统化分析；同时由于APT攻击的连续性同时具有间歇性和不确定性，较难形成一个完整的溯源分析过程。因此，需要构建一个系统化的流程和自动化的方案，采用较强分析识别能力的算法和模型，对APT攻击进行持续监测和报警。

发明内容

基于此，本发明有必要提供一种APT攻击溯源图分析方法，以解决至少一个上述技术问题。

为实现上述目的，一种APT攻击溯源图分析方法，包括以下步骤：

步骤S1：对银行信息系统进行日志采集并利用日志转换算法进行格式转换，得到溯源图统一格式日志；构建溯源图日志数据库，对溯源图统一格式日志进行抽取和加工处理并将加工处理后的溯源图统一格式日志保存至溯源图日志数据库中，得到整体溯源图日志；

步骤S2：通过预设的日志分类算法模型对整体溯源图日志进行分类处理，得到溯源图日志类型数据；利用重要权度挖掘算法对溯源图日志类型数据进行关键特征提取，以得到溯源图日志关键特征；

步骤S3：根据溯源图日志关键特征构建溯源图，得到溯源图序列；利用门控循环单元算法对溯源图序列进行异常行为检测，得到攻击目标数据；

步骤S4：利用图论算法对攻击目标数据进行溯源图构建，以生成APT攻击溯源图，其中APT攻击溯源图包括攻击行为和攻击链；通过预设的机器学习算法模型对APT攻击溯源图中的攻击行为进行模型训练和自主学习，并提取攻击链的关系特征，得到攻击关系链；

步骤S5：根据路径分析算法和关联规则挖掘算法相结合的方法识别攻击关系链中的攻击路径和攻击方法，以得到攻击规则信息；

步骤S6：通过攻击溯源算法对攻击规则信息进行溯源计算，得到攻击溯源度；根据预设的攻击异常阈值对攻击溯源度进行行为判断，得到报警信号；根据报警信号绘制行为图谱以执行相应的防御策略。