一种基于图匹配的威胁狩猎方法

摘要

本发明公开了一种基于图匹配的威胁狩猎方法，包括：构建起源图：收集系统内核审计日志，根据系统内核日志中的因果关系和事件流构建出起源图；构建查询图：从网络威胁情报中提取威胁实体及各个威胁实体之间的关系，以此构建与攻击相关的查询图；图匹配：采用边分割的方法将起源图进行分片，将分片后的起源图分配到各个站点，各个站点分别进行图匹配查找，计算起源图与查询图的相似度，在起源图中找到与查询图最相似子图，即相似度分数最高为止，完成威胁狩猎；威胁预警：若相似度分数大于阈值，则立即进行警报，并将查询图匹配到的节点以及路径输出。本发明方法解决攻击者逃逸的问题，以达到准确高效狩猎的目的。