[发明专利]用于网络靶场的攻击行为实时跟踪分析方法

摘要

本发明公开了一种用于网络靶场的攻击行为实时跟踪分析方法，包括以下步骤：数据收集；数据分析；判断攻击行为是否是攻击杀伤链的第一步；判断攻击行为是否是攻击杀伤链的第二步，记录并计分；判断攻击行为是否是攻击杀伤链的第三步，记录并计分；判断攻击行为是否是攻击杀伤链的第四步，记录并计分；判断攻击行为是否是攻击杀伤链的第五步，记录并计分；判断攻击行为是否是攻击杀伤链的第六步，记录并计分；判断攻击行为是否是攻击杀伤链的第七步，阻断攻击，或记录并计分，结束。通过本发明，能判断是否为攻击行为的效率高，能跟踪攻击行为过程，判断是否为攻击行为的准确率高。

主权项

一种用于网络靶场的攻击行为实时跟踪分析方法，其特征在于：包括以下步骤：（1）数据收集：收集网络靶场所有用户的链路层、网络层、应用层的数据，并将其转化为syslog格式；（2）数据分析：使用“程序行为算法”，对收集到的数据进行分析，找出这些数据之间的关系，对具有相互关系的带攻击性质行为进行挖掘，判断是否是入侵行为或该入侵行为是攻击杀伤链的第几步的基础； （3）判断攻击行为是否是攻击杀伤链的第一步，即是否是侦测阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第一步并转至下一步骤；如果否，则判定该行为根本没有进入到攻击杀伤链的第一步，不是攻击行为，结束；（4）判断攻击行为是否是攻击杀伤链的第二步，即是否是武器化载体阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第二步并转至下一步骤；如果否，则判定攻击行为仅仅进行到攻击杀伤链的第一步，记录并计分，结束；（5）判断攻击行为是否是攻击杀伤链的第三步，即是否是投送阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第三步并转至下一步骤；如果否，则判定攻击行为仅仅进行到攻击杀伤链的第二步，记录并计分，结束；（6）判断攻击行为是否是攻击杀伤链的第四步，即是否是激活阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第四步并转至下一步骤；如果否，则判定攻击行为仅仅进行到攻击杀伤链的第三步，记录并计分，结束；（7）判断攻击行为是否是攻击杀伤链的第五步，即是否是命令与控制阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第五步并转至下一步骤；如果否，则判定攻击行为仅仅进行到攻击杀伤链的第四步，记录并计分，结束；（8）判断攻击行为是否是攻击杀伤链的第六步，即是否是安装阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第六步并转至下一步骤；如果否，则判定攻击行为仅仅进行到攻击杀伤链的第五步，记录并计分，结束；（9）判断攻击行为是否是攻击杀伤链的第七步，即是否是持续攻击阶段，如果是，则判定攻击行为已经进行到攻击杀伤链的第七步并阻断攻击；如果否，则判定攻击行为仅仅进行到攻击杀伤链的第六步，记录并计分，结束。