[发明专利]一种攻击行为确定方法、装置及态势感知系统

权利要求书

1.一种攻击行为确定方法，其特征在于，所述方法包括：

根据目标访问行为的访问路径节点以及所述目标访问行为在所述访问路径节点的访问触发时刻，确定所述目标访问行为的访问路径时间轴；

判断所述访问路径时间轴是否与预设的攻击路径信息库中记录的攻击路径时间轴匹配，其中，所述攻击路径时间轴为：根据攻击行为的攻击路径节点以及所述攻击行为在所述攻击路径节点的攻击触发时刻确定的；所述判断所述访问路径时间轴是否与预设的攻击路径信息库中记录的攻击路径时间轴匹配为：将所述访问路径时间轴与预设的攻击路径信息库中记录的攻击路径时间轴逐一进行比对；

如果是，将所述目标访问行为确定为第一攻击行为。

2.根据权利要求1所述的方法，其特征在于，所述目标访问行为存在于业务系统中。

3.根据权利要求1所述的方法，其特征在于，所述预设的攻击路径信息库按照以下方式生成：

获取预设的蜜罐系统中的蜜罐日志；

确定所述蜜罐日志所对应的第二攻击行为的攻击路径时间轴；

根据所确定的第二攻击行为的攻击路径时间轴，生成所述预设的攻击路径信息库。

4.根据权利要求3所述的方法，其特征在于，所述蜜罐系统为：根据业务系统中的服务搭建的。

5.根据权利要求3所述的方法，其特征在于，所述确定所述蜜罐日志所对应的第二攻击行为的攻击路径时间轴，包括：

根据预设的攻击行为特征，确定所述蜜罐日志所对应的第二攻击行为；

根据所述第二攻击行为的目标攻击路径节点以及所述第二攻击行为在所述目标攻击路径节点的目标攻击触发时刻，确定所述第二攻击行为的攻击路径时间轴。

6.根据权利要求5所述的方法，其特征在于，所述根据所述第二攻击行为的目标攻击路径节点以及所述第二攻击行为在所述目标攻击路径节点的目标攻击触发时刻，确定所述第二攻击行为的攻击路径时间轴，包括：

根据所述蜜罐系统中的流量，确定所述第二攻击行为的目标攻击路径节点以及所述第二攻击行为在所述目标攻击路径节点的目标攻击触发时刻；

根据所述第二攻击行为的目标攻击路径节点以及所述第二攻击行为在所述目标攻击路径节点的目标攻击触发时刻，确定所述第二攻击行为的攻击路径时间轴。

7.根据权利要求3-6中任一项所述的方法，其特征在于，所述蜜罐日志为：

通过应用层替换bash记录的bash操作日志；和/或

通过内核模块补丁记录的键盘操作日志。

8.一种攻击行为确定装置，其特征在于，所述装置包括：

第一确定模块，用于根据目标访问行为的访问路径节点以及所述目标访问行为在所述访问路径节点的访问触发时刻，确定所述目标访问行为的访问路径时间轴；

判断模块，用于判断所述访问路径时间轴是否与预设的攻击路径信息库中记录的攻击路径时间轴匹配，其中，所述攻击路径时间轴为：根据攻击行为的攻击路径节点以及所述攻击行为在所述攻击路径节点的攻击触发时刻确定的；所述判断所述访问路径时间轴是否与预设的攻击路径信息库中记录的攻击路径时间轴匹配为：将所述访问路径时间轴与预设的攻击路径信息库中记录的攻击路径时间轴逐一进行比对；

第二确定模块，用于在所述判断模块判断出所述访问路径时间轴与预设的攻击路径信息库中记录的攻击路径时间轴匹配时，将所述目标访问行为确定为第一攻击行为。

9.根据权利要求8所述的装置，其特征在于，所述目标访问行为存在于业务系统中。