[发明专利]工控蜜罐攻击数据来源的判别方法及装置

摘要

本发明实施例提供一种工控蜜罐攻击数据来源的判别方法及装置，所述方法包括：基于工控蜜罐捕获的数据，提取所述未知攻击来源的IP地址的原始特征；对所述原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征；利用KNN分类算法计算所述IP特征与预先构建的训练数据集中每个训练样本的距离，并选定距离最近的三个训练样本作为最邻近样本，根据所述最邻近样本对应的主要攻击来源来得到所述未知攻击来源的IP地址所对应的攻击来源。本发明实施例通过提取未知攻击来源的IP地址对应的IP特征，并根据所述IP特征采用KNN分类算法获得未知攻击来源的IP地址的攻击来源，能够有效地判别攻击IP的攻击来源。

主权项

1.一种工控蜜罐攻击数据来源的判别方法，其特征在于，包括：对于一个未知攻击来源的IP地址，基于工控蜜罐捕获的与所述未知攻击来源的IP地址相关的日志信息和流量数据包，提取所述未知攻击来源的IP地址的原始特征；对所述未知攻击来源的IP地址的原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征；利用KNN分类算法计算所述未知攻击来源的IP地址的IP特征与预先构建的训练数据集中每个训练样本的距离，并选定距离最近的三个训练样本作为所述未知攻击来源的IP地址的最邻近样本，根据所述最邻近样本对应的主要攻击来源来得到所述未知攻击来源的IP地址所对应的攻击来源；其中，所述预先构建的训练数据集中的每个训练样本为已知攻击来源的IP地址的IP特征。