CN115412328B 基于机器学习的攻击路径溯源和攻击源头检测方法 （广州大学）

基于机器学习的攻击路径溯源和攻击源头本发明公开了一种基于机器学习的攻击路接矩阵找出源主机和目标主机之间所有可达路行初始化，利用路径排序算法计算攻击源头概2构建大型网络有向攻击图，针对不同的源主机和目标主对实际可行路径的权重进行初始化，利用路径排序算法计算攻击对求出的每条可达路径Pij所经过的所有相邻中间路径的路径概率与路径权重相乘得通过粒子群优化算法对计算攻击源头概率过程中路径权重不断迭代寻2.如权利要求1所述的基于机器学习的攻击路径溯源和攻击源头检测方法，其特征在于，所述利用深度优先遍历算法和二维邻接矩阵找出源主机和目标主机之间所有可达路3.如权利要求1所述的基于机器学习的攻击路径溯源和攻击源头检测方法，其特征在于，所述将求出的所有可达路径的单条路径概率求和作为最终的攻击源头概率score(i；34.如权利要求1所述的基于机器学习的攻击路径溯源和攻击源头检测方法，其特征在5.如权利要求4所述的基于机器学习的攻击路径溯源和攻击源头检测方法，其特征在将单个粒子位置更新的位置作为对应路径的权重，其余路径权重6.如权利要求5所述的基于机器学习的攻击路径溯源和攻击源头检测方法，其特征在45度优先遍历算法和粒子群优化算法的优点进行结合，通过粒子群优化算法来优化路径权[0014]图1为本发明实施例提供的基于机器学习的攻击路径溯源和攻击源头检测方法流[0015]图2为本发明实施例提供的通过深度优先遍历算法寻找可达路径方法流程示意[0016]图3为本发明实施例提供的基于PRA算法计算某个节点是另一个节点的攻击源头[0017]图4为本发明实施例提供的通过粒子群优化算法确定PRA算法中的路径权重原理的本发明各个实施方式中所涉及的技术特征只要彼此之间未构成冲突就[0022]参见图1，本发明实施例提供的基于机器学习的攻击路径溯源和攻击源头检测方[0024]基于Windows的身份验证事件数据依据主机之间的访问方向构建大型网络有向攻[0025]然后通过使用深度优先遍历算法，枚举出源主机和目标主机之间所有可达路径6[0031]通过深度优先遍历算法并结合时间参数和递归的方式来筛选出实际的攻击路径[0033]接下来引入事件发生的时间参数并使用递归地方式从枚举的所有可达路径中筛选出实际有效的可行路径(此处将筛选出所有符合中间路径依照时间递增关系的有效路i到主机Cj的可行关系路径P需要满足所有中间路径Tpm依照时间顺序有序排列，[0036]参见图3实施例所示的基于PRA算法计算某个节点是另一个节点的攻击源头概率C4达路径Pij所经过的所有相邻中间路径的路径概率与路径权重相乘得到单条路径概率score(onePij)，最终将求出的所有可达路径的单条路径概率求和作为最终的攻击源头概率7Pij)会有很多种，需要把所有的单条路径概率求和才是真正的主机Ci可能是主机Cj的攻击[0042]通过PRA算法将攻击图中相邻节点路径的路径概率与路径权重相乘得到单条路径[0043]S104、通过粒子群优化算法对计算攻击源头概率过程中前路径权重值使用上一步所述的攻击源头概率计算方式计算主机是另一个主机的攻击源头的概率以此作为此时的局部最优值并与历史最优值进行比较。所有粒子的位置都更新8[0052]本发明使用上述方法基于洛斯阿拉莫斯国家实验室(LANL)收集的基于Windows的明使用15分钟的数据构建了一个含有10143个节点和273279条边[0053]通过仿真实验对比本发明的攻击源头检测结果和攻击路径溯源结果皆与实际数C528对应的攻击源头分别是主机C18436和主机C10494。并得出主机C1843在该攻击事件中9