CN111193749A - 一种攻击溯源方法、装置、电子设备和存储介质 - Google Patents

Abstract

本申请提供一种攻击溯源方法、装置、电子设备和存储介质，所述方法包括：获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；对所述待溯源攻击信息进行特征提取，获得对应的特征信息；从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。本申请实施例根据具有多个相关联的攻击信息的知识图谱，可以高效、准确地找到与待溯源攻击信息的特征信息相关联的目标特征信息，实现更加快速的攻击溯源。

Description

一种攻击溯源方法、装置、电子设备和存储介质

技术领域

本申请涉及攻击溯源领域，具体而言，涉及一种攻击溯源方法、装置、电子设备和存储介质。

背景技术

随着互联网覆盖面的不断扩大，网络已经成为人们日常生活中不可缺少的一部分。但是，随之而来基于网络的计算机攻击也愈演愈烈，同时网络攻击者大都使用伪造的IP地址，使被攻击者很难确定攻击源的位置，从而不能实施有针对性地防护策略。这些都使得逆向追踪攻击源的追踪技术成为网络主动防御体系中的重要一环。

网络截获的信息分别分布在不同的库表中，信息之间的关系较为杂乱，根据直接截获的信息，难以逆向追踪攻击源的位置。

发明内容

本申请实施例的目的在于提供一种攻击溯源方法、装置、电子设备和存储介质，用以对拦截的攻击信息进行准确溯源。

第一方面，实施例提供一种攻击溯源方法，包括：获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；对所述待溯源攻击信息进行特征提取，获得对应的特征信息；从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。

本申请实施例根据具有多个相关联的攻击信息的知识图谱，可以高效、准确地找到与待溯源攻击信息的特征信息相关联的目标特征信息，实现更加快速的攻击溯源。

在可选的实施方式中，所述特征信息包括目的IP，所述目的IP为被攻击对象的IP地址；所述从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息，包括：从所述知识图谱中获取与所述目的IP关联的目标IP链，所述目标IP链用于表征至少一个IP与所述目的IP之间的攻击信息的传递关系；所述根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源，包括：从所述目标IP链中获取与所述目的IP关联的至少一个源IP，作为所述待溯源攻击信息的攻击源，所述源IP为所述目标IP链的始端IP。

本申请实施例通过在知识图谱中，找到与待溯源攻击信息的目的IP相关联的目标IP链，可以更加准确、快速地确定出待溯源攻击信息的攻击源，实现高效的攻击溯源。

在可选的实施方式中，所述从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息之前，所述方法还包括：获取多个攻击信息以及每一攻击信息对应的规则号，所述规则号用于表征对应的攻击信息的攻击类型；根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息；根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱。在本实施方式中，在得到的知识图谱中，多个攻击信息通过对应的特征信息进行关联的，以便进行后续的攻击溯源。

在可选的实施方式中，所述根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息，包括：根据每一攻击信息对应的规则号，获取所述攻击信息对应的预设提取位置；所述预设提取位置用于表征特征信息在攻击信息中的位置；根据所述预设提取位置对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息。

本申请实施例通过规则号确定预设提取位置，可以快速、准确地提取到攻击信息的特征信息，提高攻击溯源的效率。

在可选的实施方式中，所述根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱，包括：针对多个攻击信息中所有的攻击信息顺序执行如下步骤后，选择最新的待构建知识图谱作为知识图谱；其中，针对每一个所述攻击信息执行的步骤包括：根据所述攻击信息对应的规则号，得到攻击信息对应的至少一个关系信息，所述关系信息用于表征攻击信息对应的特征信息之间的关联；获取待构建知识图谱；针对所述攻击信息对应的每一特征信息，判断待构建知识图谱中是否包含所述特征信息；若所述待构建知识图谱中包含所述特征信息，则将待构建知识图谱中的特征信息作为待关联特征信息；若所述待构建知识图谱中未包含所述特征信息，则将所述攻击信息的特征信息作为待关联特征信息存入待构建知识图谱；根据关系信息，将多个待关联特征信息进行关联，得到新的待构建知识图谱。

本申请实例通过对每一攻击信息建立对应的待关联特征信息之间的关联，可以快速、准确地得到多个攻击信息对应的知识图谱，使得知识图谱可以更加直观地显示多个攻击信息之间的关联，以便进行后续的攻击溯源。

第二方面，实施例提供一种攻击溯源装置，包括：获取模块，用于获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；特征提取模块，用于对所述待溯源攻击信息进行特征提取，获得对应的特征信息；查找模块，用于从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；溯源模块，用于根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。

本申请实施例利用查找模块根据具有多个相关联的攻击信息的知识图谱，可以高效、准确地找到与待溯源攻击信息的特征信息相关联的目标特征信息，以使溯源模块可以实现更加快速的攻击溯源。

在可选的实施方式中，所述特征信息包括目的IP，所述目的IP为被攻击对象的IP地址；所述查找模块具体用于：从所述知识图谱中获取与所述目的IP关联的目标IP链，所述目标IP链用于表征至少一个IP与所述目的IP之间的攻击信息的传递关系；所述溯源模块具体用于：从所述目标IP链中获取与所述目的IP关联的至少一个源IP，作为所述待溯源攻击信息的攻击源，所述源IP为所述目标IP链的始端IP。

本申请实施例利用查找模块通过在知识图谱中，找到与待溯源攻击信息的目的IP相关联的目标IP链，再通过溯源模块可以更加准确、快速地确定出待溯源攻击信息的攻击源，实现高效的攻击溯源。

在可选的实施方式中，所述攻击溯源装置还包括图谱建立模块，用于：获取多个攻击信息以及每一攻击信息对应的规则号，所述规则号用于表征对应的攻击信息的攻击类型；根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息；根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱。在本实施方式中得到的知识图谱中，多个攻击信息通过对应的特征信息进行关联，便进行后续的攻击溯源。

第三方面，实施例提供一种电子设备，包括：处理器、存储器和总线，其中，所述处理器和所述存储器通过所述总线完成相互间的通信；所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如前述实施方式任一项所述的方法。

第四方面，实施例提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行如前述实施方式任一项所述的方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种攻击溯源方法的流程示意图；

图2为本申请实施例提供的一种知识图谱的特征信息关系示意图；

图3为本申请实施例提供的一种攻击溯源装置的结构示意图；

图4为一种可应用于本申请实施例中的电子设备的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

图1为本申请实施例提供的一种攻击溯源方法的流程示意图，所述方法包括：

步骤110：获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息。

其中，待溯源攻击信息可以为对某一节点进行网络攻击的数据包中携带的信息，进行网络攻击的数据包可以通过拦截软件进行拦截。为了实现对网络的保护，可以在网络的路由端设置拦截软件。拦截软件对每一经过路由器传输的数据包进行匹配，如果数据包中的内容与预先存储的样本规则号匹配成功，则将该数据包中携带的信息作为攻击信息进行拦截。拦截软件中预先存储的样本规则号可以是通过对多个样本攻击信息进行类型分析，得到的表征样本攻击信息的攻击类型的正则表达式，不同的样本规则号可以表征不同的样本攻击信息对应的攻击类型。

再者，待溯源攻击信息以及样本攻击信息对应的攻击类型有多种，可以为后门攻击，木马僵尸、仿冒网站等，具体的攻击类型可以根据实际的攻击溯源需求进行调整。

步骤120：对所述待溯源攻击信息进行特征提取，获得对应的特征信息。

其中，每一攻击信息中携带有多个特征信息，攻击信息中的多个特征信息可以包括：IP地址、规则号、目标域名、恶意链接、规则号等特征信息的多个的组合。对于同一种类型的特征信息，不同的攻击信息对应的特征信息的内容可以相同，也可以不同。例如，对于恶意代码这类特征信息来说，不同攻击信息对应的恶意代码的代码内容可以是相同的，也可以是不同的。

值得说明的是，攻击信息通常包括两个IP地址，分为源IP地址和目的IP地址，攻击信息对应的源IP地址为发出该攻击信息的IP地址，攻击信息对应的目的IP地址为待接收该攻击信息的IP地址。并且，根据攻击信息对应的目标域名，可以确定出攻击信息对应的根域名，根域名也可以为一种特征信息。

再者，不同攻击类型对应的攻击信息包括的特征信息的种类也可以不同，例如：攻击类型为后门攻击的攻击信息，其对应的特征信息包括：IP地址、规则号、目标域名和恶意链接。攻击类型为木马僵尸的攻击信息，其对应的特征信息包括：IP地址和规则号。攻击类型为仿冒网站的攻击信息，其对应的特征信息包括：IP地址、规则号、目标域名、恶意链接以及恶意代码。特征信息的具体种类可以根据实际的攻击溯源需求进行调整。

步骤130：从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联。

其中，知识图谱中存储有多个攻击信息对应的特征信息，对于每一个攻击信息中的多个特征信息来说，一个特征信息至少与另一个特征信息关联，相关联的两个特征信息可以是对应的是同一攻击信息，也可以对应的是不同的攻击信息。以一个攻击信息中的目标域名这一特征信息为例，攻击信息中的目标域名可以与同一攻击信息的特征信息关联，例如同一攻击信息的IP地址；也可以与不同攻击信息中内容相似或相同的特征信息进行关联，例如不同攻击信息中内容相同的目标域名。

同时，在知识图谱中，不同的攻击信息之间可以通过内容相同的特征信息进行关联。例如，在知识图谱中，两个攻击信息对应的恶意代码的代码内容相同，则这两个攻击信息可以通过恶意代码这一相同的特征信息进行关联。由此，可以根据待溯源的特征信息，在知识图谱中找到与该特征信息内容关联的至少一个目标特征信息。

步骤140：根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。

其中，根据关联的至少一个目标特征信息，可以找到每一目标特征信息对应的目标攻击信息，再对至少一个目标攻击信息进行溯源分析，可以确定出所述待溯源攻击信息的攻击源。由此，本实施例根据具有多个相关联的攻击信息的知识图谱，可以高效、准确地找到与待溯源攻击信息的特征信息相关联的目标特征信息，以便实现更加快速的攻击溯源。

再者，攻击源可以通过向其他节点发送数据包的形式进行网络攻击，同时，被攻击的节点可能会作为攻击源的通信管道和隐藏身份的节点；也可能会被控制向其他节点发送数据包进行网络攻击。由此，该待溯源攻击信息的攻击源为最初发送数据包进行网络攻击的网络节点。同时，待溯源攻击信息的攻击源可以有一个也可以有多个，即可能有多个攻击源攻击了与待溯源攻击信息对应的节点。

并且，对于根据特征信息从知识图谱中获取目标特征信息，可以选择攻击信息中的目的IP作为特征信息进行目标特征信息的获取，也可以选择目标域名作为特征信息进行目标特征信息的获取，所述待溯源攻击信息的特征信息的类型不限定，可以根据实际的攻击溯源需求进行选择。下述会以特征信息中的目的IP为例进行举例说明。

作为本申请的一种实施方式，所述特征信息包括目的IP，所述目的IP为被攻击对象的IP地址，步骤130可以具体包括：从所述知识图谱中获取与所述目的IP关联的目标IP链，所述目标IP链用于表征至少一个IP与所述目的IP之间的攻击信息的传递关系。并且，步骤140可以具体包括：从所述目标IP链中获取与所述目的IP关联的至少一个源IP，作为所述待溯源攻击信息的攻击源，所述源IP为所述目标IP链的始端IP。

其中，在知识图谱中会存储有至少一条IP链，每一IP链上有多个IP地址，每一IP地址至少与一个其他IP地址关联。同时，IP链具有方向性，可以表征IP之间攻击信息的传递方向以及传递关系。例如，假设有三个IP地址，IP 20，IP 30和IP 40按照从前到后的顺序依次排列在IP链上，IP链上IP之间的攻击信息的传递方向是依次从IP 20到IP 30，从IP 30到IP40的方向，攻击信息的传递关系可以为IP20向IP 30发送了攻击信息，IP 30向IP 40发送了攻击信息。由此，根据知识图谱中IP链上IP之间攻击信息的传递关系，可以更加快速地、直观地进行攻击溯源。并且，根据IP链还可以查找出对应的网络攻击的攻击态势，即为明确当前网络攻击的发展情况，以便对后续的网络攻击进行预防。

同时，目标IP链对应的源IP为所述目标IP链的始端IP，由于IP链可以为没有分支的链状，也可以为有多个分支的树状，即为IP链的始端IP地址可以为一个，也可以为多个。因此，目的IP对应的源IP可以为一个，也可以为多个，即为待溯源攻击信息的攻击源可以有一个，也可以有多个。

作为本申请的一种实施方式，在步骤130之前，所述方法还包括：获取多个攻击信息以及每一攻击信息对应的规则号，所述规则号用于表征对应的攻击信息的攻击类型；根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息；根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱。

其中，规则号是通过在对攻击信息进行拦截的过程中，根据匹配成功的样本规则号确定的。根据攻击信息的规则号，可以明确对应的攻击信息的攻击类型，再按照攻击信息的攻击类型进行特征提取，可以更加准确地得到攻击信息对应的特征信息。一种攻击类型可以对应一个规则号，也可以对应多个规则号，例如，后门攻击可以包括网页后门攻击、扩展后门攻击等攻击方式，每一攻击方式可以对应一个规则号，则后门攻击可以对应多个规则号。

同理，步骤120可以具体包括：获取待溯源攻击信息对应的规则号，根据待溯源攻击信息对应的规则号对所述待溯源攻击信息进行信息提取，得到所述待溯源攻击信息对应的特征信息。

同时，对于一个攻击信息的多个特征信息，根据的攻击类型可以将多个特征信息中至少两个进行关联，使得一个特征信息至少对应另一个特征信息。对于多个攻击信息，则可以根据特征信息的内容进行关联，以得到知识图谱。

值得说明的是，可以在拦截到新的攻击信息后，根据新的攻击信息对应的规则号，将新的攻击信息对应的多个特征信息进行关联，对知识图谱进行更新，以便扩大知识图谱的数据容量，使得后续的攻击溯源更加准确。

作为本申请的一种实施方式，所述根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息，包括：根据每一攻击信息对应的规则号，获取所述攻击信息对应的预设提取位置；所述预设提取位置用于表征特征信息在攻击信息中的位置；根据所述预设提取位置对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息。

其中，根据攻击信息对应的规则号，可以明确攻击信息对应的攻击类型，根据攻击类型可以确定出攻击信息的格式，根据攻击信息的格式可以确定出特征信息的放置位置，即为预设提取位置。由此，直接根据预设提取位置来对攻击信息进信息提取，可以快速、准确地提取到每一攻击信息的特征信息，提高攻击溯源的效率。

作为本申请的有一种实施方式，所述根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱，包括：针对多个攻击信息中所有的攻击信息顺序执行如下步骤后，选择最新的待构建知识图谱作为知识图谱；其中，针对每一个所述攻击信息执行的步骤包括：

根据所述攻击信息对应的规则号，得到攻击信息对应的至少一个关系信息，所述关系信息用于表征攻击信息对应的特征信息之间的关联；获取待构建知识图谱；针对所述攻击信息对应的每一特征信息，判断待构建知识图谱中是否包含所述特征信息；若所述待构建知识图谱中包含所述特征信息，则将待构建知识图谱中的特征信息作为待关联特征信息；若所述待构建知识图谱中未包含所述特征信息，则将所述攻击信息的特征信息作为待关联特征信息存入待构建知识图谱；根据关系信息，将多个待关联特征信息进行关联，得到新的待构建知识图谱。

图2为本申请实施例提供的一种知识图谱的特征信息关系示意图，表1为一种本申请实施例提供的一种关系信息的示意表。如图2所示，不同的类型的攻击信息对应的关系信息可能不同。并且关系信息也可以有方向性，具有起点和终端。由此，表1中的一行表征一种攻击类型的攻击信息中，两个特征信息之间的关联，即为关系信息。例如，第一行表征一种攻击类型为后门攻击的攻击信息中，源IP地址与目的IP地址对应的关系为后门攻击，关系起点为源IP地址，关系终点为目的IP地址。由此，根据表格可以快速地得到每一攻击信息中多个特征信息对应的关系信息。

表1一种特征信息的对应关系示意表

表2为本申请实施例提供的一种特征信息的类型与待关联特征信息的类型对应关系示意表；值得说明的是，对于攻击信息中的源IP地址和目的IP地址来说，源IP地址和目的IP地址本质上都是IP地址，为了减少数据的重复存储，则可以在待构建知识图谱中，将源IP地址和目的IP地址均作为IP地址这一种类型待关联特征信息进行后续的关联。由此，对于不同的攻击信息，可以根据特征信息与待关联特征信息对应建立起多个攻击信息之间的关联。

表2一种特征信息的类型与待关联特征信息的类型对应关系示意表

值得说明的是，表1和表2均为本申请实施例提供的一种攻击信息的特征信息的关联的实施方式，实际攻击信息的特征信息的对应关系不限定，可以根据实际攻击溯源需求进行调整。同时，得到关系信息的步骤和得到待关联特征信息的步骤的执行顺序不限定，可以根据实际的构建需求进行调整。

以攻击类型为后门攻击的攻击信息为例进行说明，假设有攻击信息X，和攻击信息Y，在待构建知识图谱中存储有攻击信息X，攻击信息Y未存入待构建知识图谱。攻击信息X包括：源IP地址1、目的IP地址2、规则号1、目标域名1、恶意链接1；攻击信息Y包括：源IP地址2、目的IP地址3、规则号3、目标域名3、恶意链接1。

由此，可以根据攻击信息Y的规则号，得到攻击信息Y对应的至少一个关系信息，包括：表征源IP地址2与目的IP地址3关联的关系信息1，表征源IP地址2与规则号3关联的关系信息2；表征目的IP地址3与规则号3关联的关系信息3；表征目的IP地址3与目标域名3关联的关系信息4；表征目的IP地址与恶意链接1关联的攻击连接。

同时，可以判断出待构建知识图谱包含有IP地址2，与攻击信息Y中的源IP地址2一致，则将待构建知识图谱中的IP地址2作为一个待关联特征信息。其次，判断出待构建知识图谱包含有恶意链接1与攻击信息Y中的恶意链接1一致，则将待构建知识图谱中的恶意链接1作为一个待关联特征信息。同时，判断出待构建知识图谱中没有包含目的IP地址3、规则号3、和目标域名3，则将IP地址3、规则号3、和目标域名3作为待关联特征信息存入待构建知识图谱。

再根据关系信息，建立每一待关联特征信息与至少一个待关联特征信息的关联，得到新的待构建知识图谱，以便对根据下一攻击信息构建知识图谱。

值得说明的是，在最初的步骤中，初始状态的待构建知识图谱为空白图谱，即未包含特征信息，则将攻击信息的特征信息作为待关联特征信息，存入初始状态的待构建知识图谱，再进行多个待关联特征信息之间的关联。

图3为本申请实施例提供的一种攻击溯源装置的结构示意图，基于同一发明构思，本申请实施例中还提供一种攻击溯源装置300，包括：获取模块310，用于获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；特征提取模块320，用于对所述待溯源攻击信息进行特征提取，获得对应的特征信息；查找模块330，用于从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；溯源模块340，用于根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。

在上述实施例的基础上，所述特征信息包括目的IP，所述目的IP为被攻击对象的IP地址，所述查找模块330具体用于：从所述知识图谱中获取与所述目的IP关联的目标IP链，所述目标IP链用于表征至少一个IP与所述目的IP之间的攻击信息的传递关系；所述溯源模块340具体用于：从所述目标IP链中获取与所述目的IP关联的至少一个源IP，作为所述待溯源攻击信息的攻击源，所述源IP为所述目标IP链的始端IP。

在上述实施例的基础上，所述攻击溯源装置300还包括图谱建立模块，用于：获取多个攻击信息以及每一攻击信息对应的规则号，所述规则号用于表征对应的攻击信息的攻击类型；根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息；根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱。

在上述实施例的基础上，所述图谱建立模块具体用于：根据每一攻击信息对应的规则号，获取所述攻击信息对应的预设提取位置；所述预设提取位置用于表征特征信息在攻击信息中的位置；根据所述预设提取位置对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息。

在上述实施例的基础上，所述图谱建立模块具体用于：针对多个攻击信息中所有的攻击信息顺序执行如下步骤后，选择最新的待构建知识图谱作为知识图谱；其中，针对每一个所述攻击信息执行的步骤包括：根据所述攻击信息对应的规则号，得到攻击信息对应的至少一个关系信息，所述关系信息用于表征攻击信息对应的特征信息之间的关联；获取待构建知识图谱；针对所述攻击信息对应的每一特征信息，判断待构建知识图谱中是否包含所述特征信息；若所述待构建知识图谱中包含所述特征信息，则将待构建知识图谱中的特征信息作为目标特征信息；若所述待构建知识图谱中未包含所述特征信息，则将所述攻击信息的特征信息作为目标特征信息存入待构建知识图谱；根据关系信息，将多个目标特征信息进行关联，得到新的待构建知识图谱。

请参照图4，图4示出了一种可应用于本申请实施例中的电子设备10的结构框图。电子设备10可以包括存储器101、存储控制器102、处理器103、外设接口104、输入输出单元105、显示单元107。

所述存储器101、存储控制器102、处理器103、外设接口104、输入输出单元105、显示单元107各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。至少一个软件或固件(firmware)存储于所述存储器101中或固化在操作***(operating system，OS)中的软件功能模块。所述处理器103用于执行存储器101中存储的可执行模块，软件功能模块或计算机程序。

其中，存储器101可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-OnlyMemory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)等。其中，存储器101用于存储程序，所述处理器103在接收到执行指令后，执行所述程序，前述本申请实施例任一实施例揭示的方法可以应用于处理器103中，或者由处理器103实现。

处理器103可以是一种集成电路芯片，具有信号的处理能力。上述的处理器103可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器103也可以是任何常规的处理器等。

所述外设接口104将各种输入/输出装置耦合至处理器103以及存储器101。在一些实施例中，外设接口104，处理器103以及存储控制器102可以在单个芯片中实现。在其他一些实例中，他们可以分别由独立的芯片实现。

输入输出单元105用于提供给用户输入数据实现用户与所述电子设备10的交互。所述输入输出单元105可以是，但不限于，鼠标和键盘等。

显示单元107在所述电子设备10与用户之间提供一个交互界面(例如用户操作界面)或用于显示图像数据给用户参考。在本实施例中，所述显示单元107可以是液晶显示器或触控显示器。若为触控显示器，其可为支持单点和多点触控操作的电容式触控屏或电阻式触控屏等。支持单点和多点触控操作是指触控显示器能感应到来自该触控显示器上一个或多个位置处同时产生的触控操作，并将该感应到的触控操作交由处理器103进行计算和处理。

可以理解，图4所示的结构仅为示意，所述电子设备10还可包括比图4中所示更多或者更少的组件，或者具有与图4所示不同的配置。图4中所示的各组件可以采用硬件、软件或其组合实现。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置的具体工作过程，可以参考前述方法中的对应过程，在此不再过多赘述。

综上所述，本申请实施例提供一种攻击溯源方法、装置、电子设备和存储介质，所述方法包括：获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；对所述待溯源攻击信息进行特征提取，获得对应的特征信息；从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。本申请实施例根据具有多个相关联的攻击信息的知识图谱，可以高效、准确地找到与待溯源攻击信息的特征信息相关联的目标特征信息，实现更加快速的攻击溯源。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

需要说明的是，功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种攻击溯源方法，其特征在于，包括：

获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；

对所述待溯源攻击信息进行特征提取，获得对应的特征信息；

从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；

根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。

2.根据权利要求1所述的攻击溯源方法，其特征在于，所述特征信息包括目的IP，所述目的IP为被攻击对象的IP地址；所述从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息，包括：

从所述知识图谱中获取与所述目的IP关联的目标IP链，所述目标IP链用于表征至少一个IP与所述目的IP之间的攻击信息的传递关系；

所述根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源，包括：

从所述目标IP链中获取与所述目的IP关联的至少一个源IP，作为所述待溯源攻击信息的攻击源，所述源IP为所述目标IP链的始端IP。

3.根据权利要求1所述的攻击溯源方法，其特征在于，所述从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息之前，所述方法还包括：

获取多个攻击信息以及每一攻击信息对应的规则号，所述规则号用于表征对应的攻击信息的攻击类型；

根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息；

根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱。

4.根据权利要求3所述的攻击溯源方法，其特征在于，所述根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息，包括：

根据每一攻击信息对应的规则号，获取所述攻击信息对应的预设提取位置；所述预设提取位置用于表征特征信息在攻击信息中的位置；

根据所述预设提取位置对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息。

5.根据权利要求3所述的攻击溯源方法，其特征在于，所述根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱，包括：

针对多个攻击信息中所有的攻击信息顺序执行如下步骤后，选择最新的待构建知识图谱作为知识图谱；

其中，针对每一个所述攻击信息执行的步骤包括：

根据所述攻击信息对应的规则号，得到攻击信息对应的至少一个关系信息，所述关系信息用于表征攻击信息对应的特征信息之间的关联；

获取待构建知识图谱；

针对所述攻击信息对应的每一特征信息，判断待构建知识图谱中是否包含所述特征信息；

若所述待构建知识图谱中包含所述特征信息，则将待构建知识图谱中的特征信息作为待关联特征信息；

若所述待构建知识图谱中未包含所述特征信息，则将所述攻击信息的特征信息作为待关联特征信息存入待构建知识图谱；

根据关系信息，将多个待关联特征信息进行关联，得到新的待构建知识图谱。

6.一种攻击溯源装置，其特征在于，包括：

获取模块，用于获取待溯源攻击信息，所述待溯源攻击信息为拦截的攻击信息；

特征提取模块，用于对所述待溯源攻击信息进行特征提取，获得对应的特征信息；

查找模块，用于从预先建立的知识图谱中获取与所述特征信息关联的至少一个目标特征信息；所述知识图谱中存储有多个攻击信息的特征信息，每一特征信息与至少一其他特征信息关联；

溯源模块，用于根据所述关联的至少一个目标特征信息，确定所述待溯源攻击信息的攻击源。

7.根据权利要求6所述的攻击溯源装置，其特征在于，所述特征信息包括目的IP，所述目的IP为被攻击对象的IP地址；所述查找模块具体用于：

从所述知识图谱中获取与所述目的IP关联的目标IP链，所述目标IP链用于表征至少一个IP与所述目的IP之间的攻击信息的传递关系；

所述溯源模块具体用于：从所述目标IP链中获取与所述目的IP关联的至少一个源IP，作为所述待溯源攻击信息的攻击源，所述源IP为所述目标IP链的始端IP。

8.根据权利要求6所述的攻击溯源装置，其特征在于，所述攻击溯源装置还包括图谱建立模块，用于：

获取多个攻击信息以及每一攻击信息对应的规则号，所述规则号用于表征对应的攻击信息的攻击类型；

根据每一攻击信息对应的规则号，对所述攻击信息进行信息提取，得到所述攻击信息对应的多个特征信息；

根据每一攻击信息对应的规则号，将多个特征信息进行关联，得到所述知识图谱。

9.一种电子设备，其特征在于，包括：处理器、存储器和总线，其中，

所述处理器和所述存储器通过所述总线完成相互间的通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如权利要求1-5任一项所述的方法。

10.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行如权利要求1-5任一项所述的方法。

Images