一种基于时间序列的入侵攻击路径溯源算法及实践

摘要

为了抵御日趋严峻的网络攻击,大部分企业和组织在网内部署了入侵检测设备,但是入侵检测设备告警冗余度高、误告警多,且只能识别单点、单一时刻告警,无法感知复杂APT攻击.本文基于洛克希德·马丁团队的7步入侵攻击链模型,提出了一种基于时间序列还原入侵全过程的算法,通过将设备或算法检测生成的告警数据,以资产为基础,基于入侵攻击链模型,利用时序关联、攻击威胁程度、攻击阶段和资产重要程度,溯源资产的被攻击路径.该算法已应用于某企业智能安全运营平台并有较好的检测效果,实践证明算法能够有效还原系统被入侵的历史痕迹,基于资产溯源攻击树状拓扑,有效提高网络安全威胁感知和预警能力.