公开(公告)号：CN115277127B

公开(公告)日：2024-07-09

申请号：CN202210819896.0

申请日：2022-07-12

Applicant: 清华大学

Inventor： 万海 ,  吕永康 ,  张轩诚 ,  赵曦滨

IPC: H04L9/40

Abstract: 本发明提供的一种基于系统溯源图搜索匹配攻击模式的攻击检测方法及装置，通过将每个攻击图不重叠的划分为不定数量的攻击子图；利用子图同构算法对每一个攻击子图与所述系统溯源图进行搜索，得到对应的候选子图；对该攻击图的候选子图进行拼接，得到完整候选图，进而根据相似度分数确定是否生成告警信息。本发明通过寻找符合已知攻击模式的行为的算法，可以帮助安全人员对APT攻击进行防护，使他们通过对抽象行为模式的查询来确定可疑行为，使得安全人员可以利用过去已经累积的对外部攻击的了解，不再需要花费时间和精力手工进行核验，而是可以自动化地定期核验系统是否遭遇了过去发生过的攻击。

公开(公告)号：CN115277127A

公开(公告)日：2022-11-01

申请号：CN202210819896.0

申请日：2022-07-12

Applicant: 清华大学

Inventor： 万海 ,  吕永康 ,  张轩诚 ,  赵曦滨

IPC: H04L9/40

Abstract: 本发明提供的一种基于系统溯源图搜索匹配攻击模式的攻击检测方法及装置，通过将每个攻击图不重叠的划分为不定数量的攻击子图；利用子图同构算法对每一个攻击子图与所述系统溯源图进行搜索，得到对应的候选子图；对该攻击图的候选子图进行拼接，得到完整候选图，进而根据相似度分数确定是否生成告警信息。本发明通过寻找符合已知攻击模式的行为的算法，可以帮助安全人员对APT攻击进行防护，使他们通过对抽象行为模式的查询来确定可疑行为，使得安全人员可以利用过去已经累积的对外部攻击的了解，不再需要花费时间和精力手工进行核验，而是可以自动化地定期核验系统是否遭遇了过去发生过的攻击。