一种网络多步攻击识别和预测方法

摘要

本发明提供的是一种网络多步攻击识别和预测方法。将入侵检测系统、防火墙和杀毒软件等多种安全设备的报警存入数据库，并将报警按照入侵检测消息交换格式进行归一化处理；将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列；统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵；对多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列；通过分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。本发明的实施不依赖于特定的网络安全设备，可广泛应用与信息安全、网络监控和网络安全态势分析等领域。

主权项

一种网络多步攻击识别和预测方法，其特征是：(1)网络报警和整理：将入侵检测系统、防火墙和杀毒软件等多种安全设备的报警存入数据库，并将报警按照入侵检测消息交换格式进行归一化处理；(2)攻击序列转化：将数据库中的报警按照攻击类型转化为多步攻击序列，并根据攻击时间滑动窗口转化为多个长度不同的子攻击序列；(3)攻击转化频率计算：统计各个子攻击序列中的攻击相互转化的频数，并生成攻击转化频率矩阵；(4)多步攻击序列挖掘：对多攻击序列进行挖掘，结合攻击转化频率矩阵，生成历史多步攻击序列；(5)新的多步攻击序列识别和预测：通过分析网络中新的报警，依据历史多步攻击序列进行匹配，识别和预测多步攻击。