CN119420492A 数字化变电站的apt攻击检测方法及装置、介质、电子设备 （国家电网有限公司华东分部）

数字化变电站的APT攻击检测方法及装置、本申请公开了一种数字化变电站的APT攻击APT攻击进行有效检测，进而导致难以保证数字图用于记录系统活动所包含的各个系统实体之化处理用于标记系统实体的进程类型以及文件文件类型标签以及事件流向确定各个系统实体的APT攻击阶段标签；若目标系统活动所包含的2获取数字化变电站的系统活动数据溯源图，所述系统活动数据溯对所述系统活动数据溯源图中所包含的各个系统实体进行标签初始分别根据各个所述系统实体的进程类型标签、文件类型标若目标系统活动所包含的APT攻击阶段标签涵盖全部APT攻击阶段，将所述系统实体的当前进程描述与预设进程描述进行匹配，确定目标3.根据权利要求1或2所述的方法，其特征在将所述系统实体的进程类型标签、文件类型标签以及事件流向分别与APT攻击阶段推获取数字化变电站的系统活动数据集，并基于所述系统活动数为所述原始系统活动数据溯源图中所包含的各个系统实体分别创建第一版本系统实5.根据权利要求1或4所述的方法，其特统计所述系统活动数据溯源图中所包含的各个系统实体作为起始系统实体时的全部根据交互事件的起始系统实体获取对应的结束系统实体集合，并3基于上述步骤对所述系统活动数据溯源图进行压缩处理，得到压获取所述压缩后的系统活动数据溯源图中所包含的各个交互事件的结束系统实体的若所述最新版本系统实体无子系统实体，则删除所述交互事件基于上述步骤对所述压缩后的系统活动数据溯源图进行二次压缩所述对所述系统活动数据溯源图中所包含的各个系统实体进行标对所述二次压缩后的系统活动数据溯源图中所包含的各个系统实体进行标签初始化7.根据权利要求1_6任一所述的方法，其特征在将所述目标系统活动所包含的各个系统实体的进程类型标签以及文件类型标签与预获取系统活动数据溯源图模块，用于获取数字化变电站的系统活动数据溯源图用于记录系统活动所包含的各标签初始化模块，用于对所述系统活动数据溯源图中所包含的各个系APT攻击判定模块，用于若目标系统活动所包含的APT攻击阶段标签涵盖全部APT攻击行指令使处理器执行如权利要求1_7中任一项所述的数字化变电站的APT攻击检测方法对所述存储器用于存放至少一条可执行指令，其特征在于，所述可执行器执行如权利要求1_7中任一项所述的数字化变电站的APT攻击4[0001]本申请涉及计算机网络安全技术领域，特别是涉及一种数字化变电站的APT攻击[0003]现有技术中，数字化变电站通常通过配置网络安全防护设备对APT攻击进行拦截致基于恶意代码签名的探测器也无法对其进行有效检测；同时，由于APT攻击具有长期潜标签初始化处理用于标记所述系统实体的进程类型以及文始化处理，所述对所述系统活动数据溯源图中所包含的各个系统实体进行标签初始化处[0011]将所述系统实体的当前进程描述与预设进程描述进行匹5[0014]将所述系统实体的进程类型标签、文件类型标签以及事件流向分别与APT攻击阶[0017]为所述原始系统活动数据溯源图中所包含的各个系统实体分别创建第一版本系[0020]统计所述系统活动数据溯源图中所包含的各个系统实体作为起始系统实体时的[0027]获取所述压缩后的系统活动数据溯源图中所包含的各个交互事件的结束系统实[0028]若所述最新版本系统实体无子系统实体，则删除所述交[0030]所述对所述系统活动数据溯源图中所包含的各个系统实[0031]对所述二次压缩后的系统活动数据溯源图中所包含的各个系统实体进行标签初6[0032]优选的，所述若目标系统活动所包含的APT攻击阶段标签涵[0033]将所述目标系统活动所包含的各个系统实体的进程类型标签以及文件类型标签[0035]获取系统活动数据溯源图模块，用于获取数字化变电站所述系统活动数据溯源图用于记录系统活动所包含的各个系统实体之间的交互签以及事件流向确定各个所述系统实体的APT攻[0038]APT攻击判定模块，用于若目标系统活动所包含的APT攻击阶段标签涵盖全部APT[0040]将所述系统实体的当前进程描述与预设进程描述进行匹[0043]将所述系统实体的进程类型标签、文件类型标签以及事件流向分别与APT攻击阶[0046]为所述原始系统活动数据溯源图中所包含的各个系统实体分别创建第一版本系[0049]统计所述系统活动数据溯源图中所包含的各个系统实体作为起始系统实体时的7[0056]获取所述压缩后的系统活动数据溯源图中所包含的各个交互事件的结束系统实[0057]若所述最新版本系统实体无子系统实体，则删除所述交[0060]对所述二次压缩后的系统活动数据溯源图中所包含的各个系统实体进行标签初可执行指令，所述可执行指令使处理器执行如上述数字化变电站的APT攻击检测方法对应8[0068]上述说明仅是本申请技术方案的概述，为了能够更清楚[0085]本申请实施例可以应用于计算机系统/服务器，其可与众多其它通用或专用计算9[0086]计算机系统/服务器可以在由计算机系统执行的计算机系统可执行指令(诸如程目录(R2)中的文本文档代表高价值数据流，而这两个文件读取事件的语义是不同的，在段的系统活动判定为APT攻击，通过标签的推断和聚合，有效的识别出数字化变电站中的[0103]为了使得后续处理得到的系统活动数据溯源图与本申请实施例中的系统活动数各个交互事件的结束系统实体的最新版本系统实体；若最新版本系统实体无子系统实体，[0124]204、对二次压缩后的系统活动数据溯源图中所包含的各个系统实体进行标签初后的系统活动数据溯源图中所包含的各个系统实体进行进程类型标签初始化处理，具体基于目标进程描述所对应的进程类型标签标记系统实体，得到系统实体的进程类型标签，系统实体的当前文件描述为“包含来自网络的数据”，匹配到表2中预设文件描述的第2行[0132]由于一些带有特定标签的系统实体可能直接或间接地对数字化变电站的安全造系统实体的进程类型标签、文件类型标签以及事件流向推断各个系统实体的APT攻击阶段标签以及事件流向分别与表2中的预设进程类型标签及事件流向分别与APT攻击阶段推断规则中的预设进程类型标签、预设文件类型标签以及[0141]需要说明的是，为了使得用户在接收到APT攻击警报时可以快速的知晓攻击的具型标签以及文件类型标签与表4中的预设警报规则(即判断规则)进行匹配，确定目标警报规则后，将该目标警报规则对应的标签情况以及报警栏信息作为警报信息向用户发出警[0146]本申请提供了一种数字化变电站的APT攻击检测方法，首先获取数字化变电站的体的APT攻击阶段标签；最后若目标系统活动所包含的APT攻击阶段标签涵盖全部APT攻击根据系统实体的进程类型标签、文件类型标签以及事件流向确定各个系统实体的APT攻击[0149]获取系统活动数据溯源图模块31，用于获取数字化变电站的系统活动数据溯源行标签初始化处理，所述标签初始化处理用于标记所述系统实体的进程类型以及文件类标签以及事件流向确定各个所述系统实体的APT攻击阶[0152]APT攻击判定模块34，用于若目标系统活动所包含的APT攻击阶段标签涵盖全部[0154]将所述系统实体的当前进程描述与预设进程描述进行匹[0157]将所述系统实体的进程类型标签、文件类型标签以及事件流向分别与APT攻击阶[0160]为所述原始系统活动数据溯源图中所包含的各个系统实体分别创建第一版本系[0163]统计所述系统活动数据溯源图中所包含的各个系统实体作为起始系统实体时的[0170]获取所述压缩后的系统活动数据溯源图中所包含的各个交互事件的结束系统实[0171]若所述最新版本系统实体无子系统实体，则删除所述交[0174]对所述二次压缩后的系统活动数据溯源图中所包含的各个系统实体进行标签初[0177]本申请提供了一种数字化变电站的APT攻击检测装置，首先获取数字化变电站的体的APT攻击阶段标签；最后若目标系统活动所包含的APT攻击阶段标签涵盖全部APT攻击根据系统实体的进程类型标签、文件类型标签以及事件流向确定各个系统实体的APT攻击行指令，该计算机可执行指令可执行上述任意方法实施例中的数字化变电站的APT攻击检[0186]处理器402可能是中央处理器CPU，或者是特定集成电路ASIC(Application标签初始化处理用于标记所述系统实体的进程类型以