一种基于多事件关联与机器学习的攻击行为检测方法技术

本发明专利技术公开了一种基于多事件关联与机器学习的攻击行为检测方法，包括：获取分布式虚拟网络中的流量数据，将所述流量数据输入预先训练好的异常评分模型中，获取异常事件；根据所述异常事件判断是否存在非独立攻击事件；在确定存在非独立攻击事件时，将所述非独立攻击事件输入到关联模型中根据攻击关联度进行聚类，生成复杂攻击事件，得到复杂攻击事件所处攻击场景的报警信息集合；将每一个攻击场景的报警信息与预设的攻击模式库进行关联分析，获取预测攻击事件。对多个攻击者产生的攻击进行聚合及关联，准确识别入侵者的真正意图，进而采取对应的阻断措施，提高了阻断的成功率，进而实现了网络安全。

【技术实现步骤摘要】
一种基于多事件关联与机器学习的攻击行为检测方法
本专利技术涉及计算机
，特别涉及一种基于多事件关联与机器学习的攻击行为检测方法。
技术介绍
近几年，随着计算机网络技术的不断发展，防护网络在同一时间段内可能遭受多个攻击者的入侵，而网络被多个攻击者攻击要比被一个攻击者攻击更加危险，如防护网络中某个主机的root权限被多个攻击者获得比仅被一个攻击者获得的威胁程度更大。现有技术中，对网络入侵的检测通过对整个网络分别进行监控，通过设置不同的检测点进行检测，检测具有严重的时间滞后性及人工依赖性，同时对多个攻击者的入侵容易出现漏检测的发生，对抵御入侵带来了巨大的挑战，同时对多个攻击者产生的攻击缺乏聚合及关联，不能准确识别入侵者的真正意图，进而不能采取对应的阻断措施，造成了网络不安全。因此，需要将融合得到的安全事件聚类到不同的攻击场景中，并识别攻击者。
技术实现思路
本专利技术旨在至少一定程度上解决上述技术中的技术问题之一。为此，本专利技术的目的在于提出一种基于多事件关联与机器学习的攻击行为检测方法，提高检测的及时性及准确性，通过多事件关联与机器学习消除对人工的依赖性，避免在多个攻击者入侵时漏检测情况的发生，对多个攻击者产生的攻击进行聚合及关联，准确识别入侵者的真正意图，进而采取对应的阻断措施，提高了阻断的成功率，进而实现了网络安全。为达到上述目的，本专利技术实施例提出了一种基于多事件关联与机器学习的攻击行为检测方法，包括：获取分布式虚拟网络中的流量数据，将所述流量数据输入预先训练好的异常评分模型中，获取异常事件；根据所述异常事件判断是否存在非独立攻击事件；在确定存在非独立攻击事件时，将所述非独立攻击事件输入到关联模型中根据攻击关联度进行聚类，生成复杂攻击事件，得到复杂攻击事件所处攻击场景的报警信息集合；将每一个攻击场景的报警信息与预设的攻击模式库进行关联分析，获取预测攻击事件。根据本专利技术的一些实施例，在所述获取预测攻击事件后，还包括：根据所述复杂攻击事件及所述预测攻击事件生成所述攻击场景中的攻击序列信息，所述攻击序列信息包括攻击链、攻击节点、攻击方式；根据所述攻击序列信息获得多组数据；将所述多组数据映射至多个映射空间内，每组数据对应一个映射空间；在所述映射空间根据视窗参数生成视图，根据生成的各个视图拼接成攻击序列图并进行显示；根据所述攻击序列图确定对各个攻击节点的阻断措施。根据本专利技术的一些实施例，根据所述异常事件判断是否存在非独立攻击事件，包括：获取历史流量数据，根据历史流量数据确定历史异常事件；获取历史异常事件的特征向量，生成特征相似度矩阵；根据特征相似度矩阵生成异常事件识别模型；获取异常事件的特征向量，将所述特征向量输入异常事件识别模型中，得到异常事件类型，根据类型的一致性原则，得到关联的异常事件的集合；获取集合中异常事件的数量及各异常事件间的聚合度并进行排序，判断所述数量是否大于预设数量且最大聚合度是否大于预设聚合度，在确定所述数量大于预设数量且所述最大聚合度大于预设聚合度时，确定存在非独立攻击事件。根据本专利技术的一些实施例，所述根据所述攻击序列图确定对各个攻击节点的阻断措施，包括：统计各个攻击节点受到的攻击次数；所述攻击次数为攻击节点的已经受到的攻击次数与预估的将在预设时间内受到的攻击次数之和；根据攻击次数确定对所述各个攻击节点的阻断优先级；根据所述阻断优先级对各个攻击节点进行阻断。根据本专利技术的一些实施例，还包括：在对攻击节点实现阻断措施后，通过抓包的方式检测所述攻击节点是否在传输数据；在确定所述攻击节点在传输数据时，重新检测攻击节点受到的攻击事件的类型及获取所述传输数据的流向，进而对所述阻断措施进行修正。根据本专利技术的一些实施例，还包括：在确定所述攻击节点不在传输数据时，获取攻击节点的相关信息；根据所述相关信息构建节点向量；获取所述节点向量的安全等级，在确定所述安全等级小于预设安全等级时，对所述节点向量的安全等级进行升级。根据本专利技术的一些实施例，还包括：在确定不存在非独立攻击事件时，获取各个异常事件中的异常行为及所处的攻击场景；根据异常行为及所处的攻击场景获取独立攻击事件的特征参数；根据所述特征参数获取相对应的解决方法；将所述特征参数及解决方法存储在独立攻击事件数据库中。根据本专利技术的一些实施例，在根据所述复杂攻击事件及所述预测攻击事件生成所述攻击场景中的攻击序列信息前，还包括：剔除所述复杂攻击事件造成入侵的网络区域，得到新的网络区域；根据新的网络区域，计算对攻击节点的定位误差，在确定所述定位误差大于预设定位误差时，发出报警提示。根据本专利技术的一些实施例，所述计算对攻击节点的定位误差，包括：计算对攻击节点定位时发生第i次定位错误的概率：；其中，C为组合符号；m为在进行定位时的定位步骤的数量；为对攻击节点定位时在区分攻击节点类别时的最大分类错误率；根据对攻击节点定位时发生第i次定位错误的概率，计算对攻击节点的定位误差W：；其中，Z为攻击节点类别总数；U为新的网络区域；D为在发生第i次定位错误时的路径差值。本专利技术的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本专利技术而了解。本专利技术的目的和其他优点可通过在所写的说明书以及附图中所特别指出的结构来实现和获得。下面通过附图和实施例，对本专利技术的技术方案做进一步的详细描述。附图说明附图用来提供对本专利技术的进一步理解，并且构成说明书的一部分，与本专利技术的实施例一起用于解释本专利技术，并不构成对本专利技术的限制。在附图中：图1是根据本专利技术第一个实施例的一种基于多事件关联与机器学习的攻击行为检测方法的框图；图2是根据本专利技术第二个实施例的一种基于多事件关联与机器学习的攻击行为检测方法的框图；图3是根据本专利技术第三个实施例的一种基于多事件关联与机器学习的攻击行为检测方法的框图。具体实施方式以下结合附图对本专利技术的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本专利技术，并不用于限定本专利技术。如图1所示，本专利技术实施例提出了一种基于多事件关联与机器学习的攻击行为检测方法，包括步骤S1-S4：S1、获取分布式虚拟网络中的流量数据，将所述流量数据输入预先训练好的异常评分模型中，获取异常事件；S2、根据所述异常事件判断是否存在非独立攻击事件；S3、在确定存在非独立攻击事件时，将所述非独立攻击事件输入到关联模型中根据攻击关联度进行聚类，生成复杂攻击事件，得到复杂攻击事件所处攻击场景的报警信息集合；S4、将每一个攻击场景的报警信息与预设的攻击模式库进行关联分析，获取预测攻击事件。上述技术方案的工作原理：获本文档来自技高网...

【技术保护点】
1.一种基于多事件关联与机器学习的攻击行为检测方法，其特征在于，包括：/n获取分布式虚拟网络中的流量数据，将所述流量数据输入预先训练好的异常评分模型中，获取异常事件；/n根据所述异常事件判断是否存在非独立攻击事件；/n在确定存在非独立攻击事件时，将所述非独立攻击事件输入到关联模型中根据攻击关联度进行聚类，生成复杂攻击事件，得到复杂攻击事件所处攻击场景的报警信息集合；/n将每一个攻击场景的报警信息与预设的攻击模式库进行关联分析，获取预测攻击事件。/n

【技术特征摘要】
1.一种基于多事件关联与机器学习的攻击行为检测方法，其特征在于，包括：
获取分布式虚拟网络中的流量数据，将所述流量数据输入预先训练好的异常评分模型中，获取异常事件；
根据所述异常事件判断是否存在非独立攻击事件；
在确定存在非独立攻击事件时，将所述非独立攻击事件输入到关联模型中根据攻击关联度进行聚类，生成复杂攻击事件，得到复杂攻击事件所处攻击场景的报警信息集合；
将每一个攻击场景的报警信息与预设的攻击模式库进行关联分析，获取预测攻击事件。


2.如权利要求1所述的基于多事件关联与机器学习的攻击行为检测方法，其特征在于，在所述获取预测攻击事件后，还包括：
根据所述复杂攻击事件及所述预测攻击事件生成所述攻击场景中的攻击序列信息，所述攻击序列信息包括攻击链、攻击节点、攻击方式；
根据所述攻击序列信息获得多组数据；
将所述多组数据映射至多个映射空间内，每组数据对应一个映射空间；
在所述映射空间根据视窗参数生成视图，根据生成的各个视图拼接成攻击序列图并进行显示；
根据所述攻击序列图确定对各个攻击节点的阻断措施。


3.如权利要求1所述的基于多事件关联与机器学习的攻击行为检测方法，其特征在于，根据所述异常事件判断是否存在非独立攻击事件，包括：
获取历史流量数据，根据历史流量数据确定历史异常事件；
获取历史异常事件的特征向量，生成特征相似度矩阵；
根据特征相似度矩阵生成异常事件识别模型；
获取异常事件的特征向量，将所述特征向量输入异常事件识别模型中，得到异常事件类型，根据类型的一致性原则，得到关联的异常事件的集合；
获取集合中异常事件的数量及各异常事件间的聚合度并进行排序，判断所述数量是否大于预设数量且最大聚合度是否大于预设聚合度，在确定所述数量大于预设数量且所述最大聚合度大于预设聚合度时，确定存在非独立攻击事件。


4.如权利要求2所述的基于多事件关联与机器学习的攻击行为检测方法，其特征在于，所述根据所述攻击序列图确定对各个攻击节点的阻断措施，包括：
统计各个攻击节点受到的攻击次数；所述攻击次数为攻击节点的已经受到的攻击次数与预估的将在预设时间内受到的攻击次数之和；
根据攻击次数确定对所述各...

【专利技术属性】
技术研发人员：张春林，王庆丰，李利军，刘如君，尚雪松，
申请(专利权)人：北京微智信业科技有限公司，北京东方通科技股份有限公司，北京东方通软件有限公司，北京泰策科技有限公司，
类型：发明
国别省市：北京;11