【技術(shù)實(shí)現(xiàn)步驟摘要】
本專利技術(shù)屬于網(wǎng)絡(luò)安全領(lǐng)域，特別涉及一種面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法和系統(tǒng)。
技術(shù)介紹
1、在電力監(jiān)控系統(tǒng)安全防護(hù)體系中，安全防護(hù)方案關(guān)注于對(duì)網(wǎng)絡(luò)邊界的加固，對(duì)外部直接的攻擊有較強(qiáng)的防護(hù)能力。在網(wǎng)絡(luò)安全事件檢測(cè)方面，側(cè)重于對(duì)非持續(xù)性的安全事件檢測(cè)。然而，在定向網(wǎng)絡(luò)攻擊中，攻擊者會(huì)對(duì)目標(biāo)網(wǎng)絡(luò)采用多種針對(duì)性的專業(yè)進(jìn)攻手段發(fā)起持續(xù)性的攻擊，在突破邊界處的防護(hù)薄弱點(diǎn)后，攻擊者會(huì)從內(nèi)部進(jìn)一步發(fā)起橫向攻擊，最終實(shí)現(xiàn)其攻擊目的。當(dāng)電力監(jiān)控系統(tǒng)面臨定向網(wǎng)絡(luò)攻擊時(shí)，現(xiàn)有的檢測(cè)手段難以識(shí)別完整的攻擊路徑。
2、現(xiàn)有的抵御定向網(wǎng)絡(luò)攻擊的技術(shù)主要集中于針對(duì)企業(yè)內(nèi)網(wǎng)的apt攻擊，著重于對(duì)攻擊活動(dòng)的層次化建模以及對(duì)攻擊者的追溯。對(duì)定向網(wǎng)絡(luò)攻擊追溯的研究目標(biāo)在于根據(jù)攻擊情報(bào)信息追蹤溯源發(fā)起攻擊的攻擊者或組織，而基礎(chǔ)的攻擊行為檢測(cè)依賴于入侵檢測(cè)系統(tǒng)。以入侵檢測(cè)系統(tǒng)為主的安全設(shè)備一般可以檢測(cè)短期的典型攻擊，然而，定向網(wǎng)絡(luò)攻擊往往以持續(xù)性的攻擊手段逃避入侵檢測(cè)系統(tǒng)的檢測(cè)，并且傳統(tǒng)方案無法從大量流量信息中檢測(cè)持續(xù)的攻擊行為并提供攻擊情報(bào)。
技術(shù)實(shí)現(xiàn)思路
1、為了解決現(xiàn)有技術(shù)中存在的不足，本專利技術(shù)提供了一種面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法和系統(tǒng)，以解決對(duì)定向網(wǎng)絡(luò)攻擊的非實(shí)時(shí)檢測(cè)的技術(shù)問題。
2、為解決上述技術(shù)問題，本專利技術(shù)采用如下的技術(shù)方案。
3、本專利技術(shù)首先公開了一種面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，該方法包括以下步驟：
4、采集預(yù)定義天數(shù)的歷史流量，基于
5、將所述異常流量與預(yù)先設(shè)置的定向網(wǎng)絡(luò)攻擊特征進(jìn)行匹配，所述定向網(wǎng)絡(luò)攻擊特征包含協(xié)議檢測(cè)、參數(shù)檢查和頻域分析，當(dāng)識(shí)別到相匹配的攻擊特征時(shí)確定對(duì)應(yīng)的定向網(wǎng)絡(luò)攻擊類型，并將異常流量信息組合成攻擊事件，生成定向網(wǎng)絡(luò)攻擊事件告警信息。
6、本專利技術(shù)進(jìn)一步包括以下優(yōu)選方案：
7、所述基于所述歷史流量在流量過濾器中提取設(shè)備間的交互特征并構(gòu)造為訓(xùn)練集，進(jìn)一步包括：
8、訓(xùn)練集是由歷史正常流量經(jīng)統(tǒng)計(jì)得到的。其中統(tǒng)計(jì)歷史正常業(yè)務(wù)場(chǎng)景下，一天時(shí)間內(nèi)各個(gè)網(wǎng)絡(luò)設(shè)備間的交互強(qiáng)度，包含源地址、目的地址、日平均會(huì)話次數(shù)，利用三元組描述一個(gè)n行n列的稀疏矩陣x，作為訓(xùn)練集，n為檢測(cè)到的網(wǎng)絡(luò)中活動(dòng)設(shè)備的數(shù)量，在所述三元組中將所述源地址和目的地址替換為相應(yīng)地址在矩陣中的行索引和列索引。
9、將所述訓(xùn)練集分解為主體模型和客體模型，進(jìn)一步包括：
10、針對(duì)三元組描述的矩陣x進(jìn)行矩陣分解，通過以下過程得到n行k列的主體矩陣u和客體矩陣v：
11、步驟101：以隨機(jī)填充方法確定主體矩陣u；
12、步驟102：基于當(dāng)前主體矩陣u，令損失函數(shù)loss對(duì)客體矩陣v的偏導(dǎo)
13、為零，更新客體矩陣v；
14、步驟103：基于當(dāng)前客體矩陣v，令損失函數(shù)loss對(duì)主體矩陣u的偏導(dǎo)
15、為零，更新主體矩陣u；
16、步驟104：計(jì)算損失函數(shù)loss并判斷是否收斂，如果損失函數(shù)未收斂，則回到步驟102，如果損失函數(shù)收斂則結(jié)束。
17、所述損失函數(shù)loss為：
18、
19、式中k是訓(xùn)練集中已知的元素所對(duì)應(yīng)的行列號(hào)的集合，xi,j是訓(xùn)練集中的第i行第j列的元素值，ui和vj分別為主體矩陣第i行和客體矩陣第j行的行向量，λ是正則系數(shù)，所述損失函數(shù)值由誤差項(xiàng)和正則項(xiàng)求和得到，所述誤差項(xiàng)描述當(dāng)前主體矩陣和客體矩陣對(duì)所述訓(xùn)練集的差距，正則項(xiàng)防止過擬合。
20、所述過濾出異常流量，進(jìn)一步包括：
21、針對(duì)每日的流量，在當(dāng)日的流量中按照會(huì)話主體分組；
22、對(duì)每個(gè)主體當(dāng)日的流量，利用正常流量模型計(jì)算每個(gè)主體-客體的正常會(huì)話次數(shù)預(yù)測(cè)值，首先根據(jù)源地址和目的地址確定在正常流量模型中對(duì)應(yīng)的索引；其次根據(jù)索引提取主體矩陣和客體矩陣中所對(duì)應(yīng)的行向量，得到兩個(gè)k維向量；最后計(jì)算兩個(gè)向量的內(nèi)積得到正常流量模型中的矩陣元素的預(yù)測(cè)值：
23、
24、計(jì)算實(shí)際值和預(yù)測(cè)值的誤差所占預(yù)測(cè)值的百分比，如果百分比大于預(yù)先設(shè)置的閾值，確定其中存在異常流量，將具體源地址、目的地址、日期記錄到異常流量記錄隊(duì)列中；
25、根據(jù)異常流量記錄隊(duì)列，從待檢測(cè)流量信息中提取所有相關(guān)流量；根據(jù)異常流量隊(duì)列中每一條異常信息，提取當(dāng)日所有的源地址到目的地址的流量信息，作為異常流量過濾結(jié)果。
26、所述將所述異常流量與預(yù)先設(shè)置的定向網(wǎng)絡(luò)攻擊特征進(jìn)行匹配，進(jìn)一步包括：
27、將得到的所有異常流量按照源地址進(jìn)行分組，得到每個(gè)異常設(shè)備的異常流量信息；
28、分別對(duì)當(dāng)前設(shè)備的每日流量執(zhí)行協(xié)議檢測(cè)，如果滿足端口掃描類型的攻擊特征，則根據(jù)攻擊流量中的具體信息記錄具體的攻擊事件，記錄格式為：{當(dāng)前設(shè)備地址，{被攻擊設(shè)備地址}，“端口掃描”，當(dāng)天日期}；
29、分別對(duì)當(dāng)前設(shè)備的每日流量執(zhí)行參數(shù)檢查，如果滿足sql注入類型的攻擊特征，則根據(jù)攻擊流量中的具體信息記錄具體的攻擊事件，記錄格式為：{當(dāng)前設(shè)備地址，{被攻擊設(shè)備地址}，“sql注入”，當(dāng)天日期}；
30、分別對(duì)當(dāng)前設(shè)備的每日流量執(zhí)行頻域分析，如果滿足流量泄露類型的攻擊特征，則根據(jù)當(dāng)前設(shè)備的具體信息記錄攻擊事件，記錄格式為：{當(dāng)前設(shè)備地址，{}，“流量泄露”，當(dāng)天日期}。
31、所述將異常流量信息組合成攻擊事件，生成定向網(wǎng)絡(luò)攻擊事件告警信息，進(jìn)一步包括：
32、整合得到的所有攻擊記錄；如果出現(xiàn)攻擊事件同時(shí)滿足攻擊設(shè)備相同、攻擊類型相同、攻擊日期相鄰，則將這些攻擊事件合并為一條攻擊事件，格式為{攻擊發(fā)起設(shè)備地址，{被攻擊設(shè)備地址}，攻擊類型，攻擊起始日期，攻擊結(jié)束日期}；
33、如果攻擊事件被合并，被攻擊設(shè)備地址的集合為合并集合的并集，攻擊起始日期為合并的最早日期，攻擊結(jié)束日期為合并的最晚日期；
34、如果攻擊事件沒有合并，則攻擊起始日期和攻擊結(jié)束日期相同；
35、將最終合并的事件集合作為定向網(wǎng)絡(luò)攻擊告警信息輸出。
36、本專利技術(shù)同時(shí)公開了一種利用前述面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別系統(tǒng)，包括：
37、流量過濾模塊，用于采集預(yù)定義天數(shù)的歷史流量，基于所述歷史流量在流量過濾器中提取設(shè)備間的交互特征并構(gòu)造為訓(xùn)練集，將所述訓(xùn)練集分解為主體模型和客體模型，利用所述主體模型和客體模型對(duì)待檢測(cè)流量進(jìn)行分類，過濾出異常流量；
38、攻擊識(shí)別模塊，用于將所述異常流量與預(yù)先設(shè)置的定向網(wǎng)絡(luò)攻擊特征進(jìn)行匹配，所述定向網(wǎng)絡(luò)攻擊特征包含協(xié)議檢測(cè)、參數(shù)檢查和頻域分析，當(dāng)識(shí)別到相匹配的攻擊特征時(shí)確定對(duì)應(yīng)的定向網(wǎng)絡(luò)攻擊類型，并將異常流量信息組合成攻擊事件，生成定向網(wǎng)絡(luò)攻擊事本文檔來自技高網(wǎng)...
【技術(shù)保護(hù)點(diǎn)】
1.一種面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，包括以下步驟：
2.根據(jù)權(quán)利要求1所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，所述基于所述歷史流量在流量過濾器中提取設(shè)備間的交互特征并構(gòu)造為訓(xùn)練集，進(jìn)一步包括：
3.根據(jù)權(quán)利要求2所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，將所述訓(xùn)練集分解為主體模型和客體模型，進(jìn)一步包括：
4.根據(jù)權(quán)利要求3所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，所述損失函數(shù)Loss為：
5.根據(jù)權(quán)利要求4所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，所述過濾出異常流量，進(jìn)一步包括：
6.根據(jù)權(quán)利要求5所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別系統(tǒng)，其特征在于，所述將所述異常流量與預(yù)先設(shè)置的定向網(wǎng)絡(luò)攻擊特征進(jìn)行匹配，進(jìn)一步包括：
7.根據(jù)權(quán)利要求6所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別系統(tǒng)，其特征在于，所述將異常流量信息組合成攻擊事件，生成定向網(wǎng)絡(luò)攻擊事件告警信息，進(jìn)一步包括：
8.一種面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別系統(tǒng)，其特征在于，包括：
9.一種終端，包括處理器及存儲(chǔ)介質(zhì)；其特征在于：
10.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，該程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)權(quán)利要求1-7任一項(xiàng)所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法的步驟。
...【技術(shù)特征摘要】
1.一種面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，包括以下步驟：
2.根據(jù)權(quán)利要求1所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，所述基于所述歷史流量在流量過濾器中提取設(shè)備間的交互特征并構(gòu)造為訓(xùn)練集，進(jìn)一步包括：
3.根據(jù)權(quán)利要求2所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，將所述訓(xùn)練集分解為主體模型和客體模型，進(jìn)一步包括：
4.根據(jù)權(quán)利要求3所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，所述損失函數(shù)loss為：
5.根據(jù)權(quán)利要求4所述的面向定向網(wǎng)絡(luò)攻擊的流量過濾識(shí)別方法，其特征在于，所述過濾出異常流量，進(jìn)一步包括：
【專利技術(shù)屬性】
技術(shù)研發(fā)人員：張浩，王宣元，張雋，張昊，李膨源，梁野，呂旭輝，馬迎新，王景，徐小天，王昊，田新成，尚爾博，王雙，沈鵬，戚岳，錢雨，孫躍，張吉昌，杜金，常家樂，趙雷慶，劉宏書，杜鵬，任浩，侯鑫垚，劉景超，段西寧，
申請(qǐng)(專利權(quán))人：國網(wǎng)冀北電力有限公司，
類型：發(fā)明
國別省市：
還沒有人留言評(píng)論。發(fā)表了對(duì)其他瀏覽者有用的留言會(huì)獲得科技券。