基于TTP的高风险资产发现和网络攻击溯源方法

摘要

本发明提供一种基于TTP的高风险资产发现和网络攻击溯源方法，包括以下步骤：对已经触发了TTP相关规则的进程进行进程树溯源，并查询进程树上的其他进程是否也检测到TTP威胁，之后将所有检测到的TTP信息显示到进程树上对应的进程。通过告警规则模型，来检测每一个攻击技术Techniques，检测到技术Techniques后每一个技术都对应一个Techniques编号(TTP编号)，除了Techniques编号外还有战术Tactics编号。当检测到攻击技术Techniques时，溯源这个攻击进程的进程树。分析进程树上是否覆盖了多个攻击技术Techniques，设想当一个进程树上只检测到一个攻击技术Techniques可能是检测规则的误报，若一个进程树上检测到多个攻击技术Techniques，那大概率这个设备已经沦陷，并且被攻击者控制，进行多个恶意的攻击行为。