一种基于杀伤链和模糊聚类的APT攻击场景挖掘方法

摘要

本发明公开一种基于杀伤链和模糊聚类的APT攻击场景挖掘方法，可用于挖掘入侵检测系统(IDS)日志中APT攻击场景。包括：入侵检测系统警报收集归一化；基于杀伤链模型分析警报日志中攻击事件的行为特征，对攻击事件进行分类；对警报日志进行模糊聚类形成攻击序列集合；分析攻击序列集，删除不完整的序列，将每个攻击序列转换为有向图，挖掘不同攻击事件间的转移概率矩阵，进而转换为带有概率的APT攻击场景图。本发明通过挖掘真实报警中的APT攻击图，为APT的检测和防御提供了理论依据。