CN118555110B 一种攻击检测和溯源方法、装置、电子设备及存储介质 （国网江苏省电力有限公司信息通信分公司）

模型确定网络事件图中各交互事件信息的图嵌查找对应的交互事件信息作为攻击事件的溯源2获取目标网络环境中的实体以及所述实体之间的交互事件基于预设攻击特征识别模型确定所述网络事件图中各所述交互事件信息的图嵌入向确定所述攻击事件与所述网络事件图中剩余交互事件信息的程度查找对应的交互事件信息作为所述攻击其中，所述确定所述攻击事件与所述网络事件图将所述攻击事件以及所述网络事件图输入预设溯源模型；其中，所述通过所述预设溯源模型轮询确定所述攻击事件与所述网络事件图中至少一个剩余交基于预设攻击特征识别模型提取所述网络事件图中所述实体组成的节点矩阵以及所按照所述节点矩阵和所述图邻接矩阵确定各所述节点的节点将所述交互事件信息关联的所述节点嵌入向量进行拼接，得到所述确认各所述特征信息属于攻击事件的概率，将所述概率大所述特征信息对应的交互事件信息作为所述攻获取开源网络威胁情报，采用自然语言处理技术提取所述开源网提取网络环境的流量日志，提取所述流量日志包含的交互事件信息，将各根据每个所述第一节点与每个所述第二节点进行匹配得到匹配确定所述攻击图与所述初始攻击图的相似分数，按照所述相似获取至少一个时刻的网络环境中的实体以及所述实体之间在配置文件中提取真实网络攻击样本，将所述正样本事件3确定所述第一节点的属性信息，按照所述属性信息在所述事件将任一所述匹配节点作为起始节点，在所述事件图进行遍历查找到剩余所述匹配节确定各所述攻击路径中的节点数量，将节点数量小于或将各所述匹配节点以及所述目标攻击路径连接生成在所述攻击图中确定各所述匹配节点的连接路径，确定各所述连接路径中的节点数将所述正样本事件图和所述攻击样本作为预训练样本，将所基于预设的预训练网络损失函数确定所述预设攻击特征通过所述损失值对所述预设攻击特征识别模型进行迭代，直至到将所述真实网络攻击样本中的实体作为节点，将所述实体述真实网络攻击样本图和所述攻击标签输入预训练完成的所述预设攻击特征通过所述预设攻击特征识别模型的全连接层确定每个边属于攻击事件的概率，当确定4当确定所述攻击事件存在攻击标签的情况下确定所述攻击事件的判断标记为1，当确定所述攻击事件不存在攻击标签的情况下确定所述攻击事件当确定所述判断标记为1的情况下，确定各所述概率的自然对数与对应的所述判断标提取预设攻击特征识别模型输出的所述攻击事件以及所述预设攻击特征识别模型输将所述训练样本按照生长收缩算法确定所述训练样本中攻击事件的确定所述样本数据的样本数量以及所述样本数据与模型述样本数据与所述预设攻击特征识别模型中模型参数的贝叶斯信息基于所述贝叶斯信息量准则分数调整所述模型参数直至所述贝叶斯信息量准则分数事件图构建模块，用于获取目标网络环境中的实体以及所述实体之间的交互事件信攻击事件确定模块，用于基于预设攻击特征识别模型确定所述网信息溯源模块，用于确定所述攻击事件与所述网络事件信息溯源单元，用于通过所述预设溯源模型轮询确定所述所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1_7中任一项所述的5令，所述计算机指令用于使处理器执行时实现权利要求1_7中任一项所述的攻击检测和溯6特性与生产环境下攻击检测的溯源可解释性存在矛盾。图神经网络由大量的数据训练而技术中攻击事件监测结果不精准且无法进行正[0007]基于预设攻击特征识别模型确定所述网络事件图中各所述交互事件信息的图嵌依赖程度查找对应的交互事件信息作为所述攻7[0019]应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特[0022]图2是根据本发明实施例二提供的一种预设攻击特征识别模型训练方法的流程员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范8[0032]图1是根据本发明实施例一提供的一种攻击检测和溯源方法的流程图，本实施例环境中各个实体之间发生的事件以及实体之间关系的图示例性的，攻击事件可以包括但不限于篡改数据、分布式拒绝服务攻击(Distributed征识别模型将网络事件图进行图嵌入，得到各交互事件信息的图嵌入向量作为特征信息，9[0042]本发明实施例，通过获取目标网络环境中的实体以及实[0044]图2是根据本发明实施例二提供的一种预设攻击特征识别模型训练方法的流程报中包含的第一实体以及第一实体之间的交互事件信息，将每个第一实体作为第一节点，广自动化地生成更贴近真实网络攻击行为的将局部特征聚合作为全局特征。在一具体的实现方式中，可以将正样本事件图表示为(X，为(X,A);其中是攻击样本的节点特征矩阵，a是攻击样本的邻接矩阵。编码器使用消息传递、聚合、存储更新和嵌入生成来获取正样本事件图的局部特征Hh2hn表示正样本事件图中节点的嵌入表示；攻击样本的局本事件图所有节点的局部特征平均为将R(H)作为正样本事件图全局特其中F表示鉴别器函练样本为正样本事件图的情况下，的数值较小，当预训练样本为攻击样本的情况到达迭代次数，并在迭代的过程中调整预设攻击特征识别模型的学习率以及步长等参数，络攻击样本图和攻击标签输入预训练完成的预设攻将边的嵌入映射到其属于攻击事件的概率，当确定概率大于或者等于预设阈值的情况下，定攻击事件不存在攻击标签的情况下确定攻击事件预设攻击特征识别模型的损失函数值，按照损失函数值优化预设攻击特征识别模型的参真实网络攻击样本对应的第一参数与第二参数的和作为预训练完成的预设攻击特征识别预设攻击特征识别模型的精度，以便于按照预设攻击特征识别模型更准确的判断攻击事[0093]图3是根据本发明实施例三提供的另一种攻击检测和溯源方法的流程图，本实施击特征识别模型提取网络事件图中实体组成的节点矩阵以及交互事件信息组成的图邻接[0108]本发明实施例，通过获取目标网络环境中的实体以及实轮询确定攻击事件与网络事件图中至少一个剩余交互事件信息的相关概率作为依赖程度，[0110]提取预设攻击特征识别模型输出的攻击事件以及预设攻击特征识别模型输入的[0113]基于贝叶斯信息量准则分数调整模型参数直至贝叶斯信息量准则分数到达目标然值的差值作为样本数据与预设攻击特征识别模型中模型参数的贝叶斯信息量准则分数，按照贝叶斯信息量准则分数可以调整模型参数，直到贝叶斯信息量准则分数到达目标分[0117]图4是根据本发明实施例四提供的一种攻击检测和溯源系统的训练结构框图，本[0118]获取网络环境中的各种实体，及实体间在连续时间下的各个时刻的各种交互行[0121]对于节点vi与vj之间的路径，其影响分数lv,vy的表示攻击者的最少的节点数量，其数值等于ei→ej攻击路径涉及的所有节点的最小的共同祖先节点数thr是预先设定的阈值。当Nmin(ei→ej)＞Nthr时即认为该攻击路径不可能存[0128]在一实施例中，图5是根据本发明实施例四提供的一种攻击样本的确定方法示意[0130]预设攻击特征识别模型为基于编码器一解码器范式的连负样本事件图所有节点的局部特征平均为将R(H)作为攻击样本全局特[0135]微调阶段继承预训练阶段编码器的参数，并使用真实攻击样本继续训练检测模[0139]获取预设攻击特征识别模型输出的攻击事件以及预设攻击特征识别模型输入的[0140]具体来说，针对攻击事件et(在概率图网络中对应的攻击事件变量用加粗体et表示)通过扰动生成一组扰动后采样数据Det(在概率图网络中对应的扰动后数据变量用加粗等于预设概率阈值的特征信息对应的交互事件[0161]初始图生成模块，用于根据每个第一节点与每个第二节点进行匹配得到匹配节[0181]当确定攻击事件存在攻击标签的情况下确定攻击事件的判断标记为1，当确定攻[0182]当确定判断标记为1的情况下，确定各概率的自然对数与对应的判断标记的乘积样本数据与预设攻击特征识别模型中模型参数的贝叶斯信息[0191]本发明实施例所提供的一种攻击检测和溯源装置可执行本发明任意实施例所提[0193]图8是实现本发明实施例的一种攻击检测和溯源方法的电子设备的结构示意图。至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种如因特网的计算机网络和/或各种电信网络与其他设[0196]处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理[0199]用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合机器上执行且部分地在远程机器上执行或完全在远程机器或服务面或者该网络浏览器来与此处描述的系统和技术的实施