CN114978666A - 一种网络攻击流程还原方法、装置、设备及存储介质 - Google Patents

Abstract

本申请公开了一种网络攻击流程还原方法、装置、设备及存储介质，涉及渗透测试技术领域，包括：根据预先确定的安全事件单元和各安全事件单元的触发顺序构造相应的网络安全事件；基于预先规划的网络安全事件发生流程迭代执行网络安全事件中的各安全事件单元；基于安全事件单元迭代执行时得到的单元执行进度确定网络安全事件对应的整体事件执行进度以还原网络攻击流程。本申请基于预先规划的网络安全事件发生流程迭代执行网络安全事件中的各安全事件单元，得到整体事件执行进度以还原出当前网络安全事件的真实网络攻击流程，实现针对各类网络拓扑下的网络攻击流程的编辑可控，提供对网络安全事件分析溯源的完整思路，以便开展防御失败后的复盘工作。

Description

一种网络攻击流程还原方法、装置、设备及存储介质

技术领域

本发明涉及渗透测试技术领域，特别涉及一种网络攻击流程还原方法、装置、设备及存储介质。

背景技术

当前，从网络安全人才培养角度考虑，网络安全作为一门交叉性学科，同时又作为一门技术手段，学***台和靶场产品，主要培养方向是让学习人员对靶机进行渗透以提升和考核其实战能力，其侧重点是针对相关人员在“攻击”方面的实战能力提升和验证。但在实际工作中不仅仅需要拥有卓越渗透能力的人员，同样需要拥有优秀“防守”能力的人员，即对现有网络环境进行安全加固以抵御攻击，或者是在发生安全事件后能够快速响应定位安全事件源头进行阻断，尽可能降低安全事件带来的损失，但是当前针对安全运维、应急响应人员可实操的学习环境较少，主要是因为该领域配套的实操环境需要有实时且有效的安全事件产生来验证其相关动作的可行性和有效性，但是现有的方法例如扫描器、仪表***、定制化脚本等都没有很好的解决这个问题。而且现有的技术方中通过流量发生器将流量发送到各个节点，这样只能验证对攻击的防御情况，并没有办法真实理解完整安全事件的前因后果，以及防御失败后的复盘工作。

综上可知，当前相关技术无法真实的还原网络安全事件在目标主机上发生的事情，无法产生真实的攻击效果。因此，如何提供一种解决上述技术问题的方案是本领域技术人员目前需要解决的问题。

发明内容

有鉴于此，本发明的目的在于提供一种网络攻击流程还原方法、装置、设备及存储介质，能够还原网络安全事件的网络攻击流程，方便理解完整网络安全事件发生的前因后果，提供对安全事件分析溯源的完整思路，从而更好地开展防御失败后的复盘工作并提升安全工作者的防御能力。其具体方案如下：

第一方面，本申请公开了一种网络攻击流程还原方法，包括：

确定安全事件单元和各所述安全事件单元的触发顺序；

根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件；

基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度；

基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

可选的，所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度之前，还包括：

获取预设靶场对应的靶场信息，并利用所述靶场信息规划网络安全事件发生流程。

可选的，所述获取预设靶场对应的靶场信息，包括：

获取预设靶场对应的靶场网络地址信息、各靶机服务信息以及各靶机关联漏洞信息；

相应地，所述利用所述靶场信息规划网络安全事件发生流程，包括：

利用所述靶场网络地址信息、各所述靶机服务信息以及各所述靶机关联漏洞信息规划网络安全事件发生流程。

可选的，所述基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度之后，还包括：

基于所述整体事件执行进度的执行情况确定是否对所述安全事件单元进行调整优化；

若所述整体事件执行进度的所述执行情况不满足预期情况，则对所述安全事件单元进行调整优化。

可选的，所述确定安全事件单元，包括：

基于靶机网络地址信息、靶机服务信息、代理信息以及针对靶机的用户自定义行为构建相应的安全事件单元。

可选的，所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度，包括：

在预先规划的网络安全事件发生流程中，根据所述安全事件单元中的所述靶机网络地址信息、所述靶机服务信息、所述代理信息确定所述安全事件单元对应的网络可达靶机信息；

基于所述网络可达靶机信息和所述预设靶场对应的所述靶机关联漏洞信息进行漏洞利用，得到相应的漏洞利用返回信息；

基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度。

可选的，所述基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度之后，还包括：

判断是否存在新的网络安全事件；

若存在新的网络安全事件，则继续执行所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度的步骤。

第二方面，本申请公开了一种网络攻击流程还原装置，包括：

事件单元确定模块，用于确定安全事件单元和各所述安全事件单元的触发顺序；

事件构造模块，用于根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件；

事件执行模块，用于基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度；

还原模块，用于基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

第三方面，本申请公开了一种电子设备，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序，以实现前述公开的网络攻击流程还原方法的步骤。

第四方面，本申请公开了一种计算机可读存储介质，用于存储计算机程序；其中，所述计算机程序被处理器执行时实现前述公开的网络攻击流程还原方法的步骤。

可见，本申请提供了一种网络攻击流程还原方法，包括：确定安全事件单元和各所述安全事件单元的触发顺序；根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件；基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度；基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。由此可见，本申请构造网络安全事件，进而基于预先规划的网络安全事件发生流程迭代执行网络安全事件中的安全事件单元，得到各安全事件单元对应的单元执行进度，上述网络安全事件中的各安全事件单元完成迭代之后，基于各安全事件单元对应的单元执行进度确定网络安全事件对应的整体事件执行进度，从而还原出当前网络安全事件的真实网络攻击流程，实现针对各类网络拓扑下的网络攻击流程的编辑可控，并且能够真实理解完整网络安全事件发生的前因后果，提供对安全事件分析溯源的完整思路，从而更好地开展防御失败后的复盘工作并提升安全工作者的防御能力。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请公开的一种网络攻击流程还原方法流程图；

图2为本申请公开的一种网络安全事件逻辑示意图；

图3为本申请公开的一种网络安全事件实现流程图；

图4为本申请公开的一种网络攻击流程还原装置结构示意图；

图5为本申请公开的一种电子设备结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

当前，当前针对安全运维、应急响应人员可实操的学习环境较少，主要是因为该领域配套的实操环境需要有实时且有效的网络安全事件产生来验证其相关动作的可行性和有效性，但是现有的方法例如扫描器、仪表***、定制化脚本等都没有很好的解决这个问题，即当前相关技术无法真实的还原网络安全事件在目标主机上发生的事情，无法产生真实的攻击效果。为此，本申请提供了一种网络攻击流程还原方案，能够还原网络安全事件的网络攻击流程，方便理解完整网络安全事件发生的前因后果，提供对安全事件分析溯源的完整思路，从而更好地开展防御失败后的复盘工作以提升安全工作者的防御能力。

本发明实施例公开了一种网络攻击流程还原方法，参见图1所示，该方法包括：

步骤S11：确定安全事件单元和各所述安全事件单元的触发顺序。

本实施例中，确定安全事件单元，也即，基于靶机网络地址信息、靶机服务信息、代理信息以及针对靶机的用户自定义行为构建相应的安全事件单元，并确定各所述安全事件单元的触发顺序。需要指出的是，上述安全事件单元是在单一靶机上发生的所有事件的安全事件单元，上述安全事件单元的信息可以包括但不限于靶机中的应用及目标服务名称、类型和版本信息，安全事件单元中被利用的IP地址、服务端口号、代理信息、针对目标靶机的利用漏洞类型以及漏洞利用成功后产生的后续攻击行为等，并且上述靶机网络地址信息主要指拓扑建立后靶机被分配到的IP地址，例如192.168.10.2，有可能目标存在多个网络地址，存在多个网络地址的时主要用于满足攻击源可达或者攻击源配合代理可达，上述靶机网络地址信息主要用于攻击源寻找攻击目标。上述靶机服务信息主要指运行在靶机上的服务相关信息，包括但不限于运行服务的类型、版本号、端口等。例如运行了一个网站，那就是该网站的框架类型、版本号、该服务所在端口，如果是一个数据库，那就是该数据库的类型、版本号、该服务所在端口。上述靶机服务信息主要用于攻击源在找到攻击目标的前提下，确认需要进行攻击的服务，网络攻击的本质是对服务发起攻击。基于该信息确认需要攻击的服务是否符合描述，若符合，则进行攻击，否则意味着攻击失败。

步骤S12：根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件。

本实施例中，构造相应的网络安全事件，例如，在各种复杂网络环境中构造针对不同拓扑的完整且可自定义的网络安全事件模拟真实网络安全事件，比如，网站被黑客篡改主页、数据库被加密、勒索病毒传播等网络安全事件。

本实施例中可以根据确定出所述安全事件单元和各所述安全事件单元的所述触发顺序构建相应的网络安全事件，也就是说，在完整的网络安全事件中，会存在多个安全事件单元。如图2所示的假定网络结构，实线是网络联通结构，虚线是安全事件路径，通过安全事件路径看到事件发生逻辑是A—>B—>(E，F)，其中安全事件单元E、F是借助安全事件单元B作为代理，且无顺序要求。需要指出的是，一旦安全事件逻辑被获得后，只要网络结构是确认无误且是可联通的，网络安全事件发生逻辑其实和原有网络拓扑没有太多的关联，只关注和当前网络安全事件有关的靶机信息，同时在攻击顺序上，是可以通过传入参数顺序决定，即由各安全事件单元的触发顺序决定。

从仿真网络安全事件的真实性来说，在复杂拓扑中的网络安全事件在各个机器见都是存在关联的，例如，官网A遭到入侵后，入侵需要进一步入侵企业内网中的B时，真实情况下必然会在A上架设代理，然后用A作为跳板入侵B，这时候B上看到的IP地址来源是A，且在A中会生成大量痕迹。在训练安全运维、应急响应人员时，安全运维、应急响应人员不仅需要分析流量，还可以通过流量分析源地址和目的地址，同时通过对源地址靶机内的情况分析，才能完整的分析整个安全事件，这样才能更加真实的理解攻击流程，更好的完成安全加固、安全运维以及应急响应等工作。

步骤S13：基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度。

需要指出的是，获取预设靶场对应的靶场信息，并利用所述靶场信息规划网络安全事件发生流程，得到预先规划的网络安全事件发生流程。具体的，获取预设靶场对应的靶场网络地址信息、各靶机服务信息以及各靶机关联漏洞信息，进而利用所述靶场网络地址信息、各所述靶机服务信息以及各所述靶机关联漏洞信息规划网络安全事件发生流程。

本实施例中，基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度。可以理解的是，基于预先规划的网络安全事件发生流程实现构造的网络安全事件，网络安全事件形成结构化描述文件，基于结构化描述文件展开执行，以网络安全事件中的安全事件单元进行迭代。具体的，在预先规划的网络安全事件发生流程中，根据所述安全事件单元中的所述靶机网络地址信息、所述靶机服务信息、所述代理信息确定所述安全事件单元对应的网络可达靶机信息；基于所述网络可达靶机信息和所述预设靶场对应的所述靶机关联漏洞信息进行漏洞利用，得到相应的漏洞利用返回信息；基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度。完成当前网络安全事件中各安全事件单元的迭代执行后，判断是否存在新的网络安全事件；若存在新的网络安全事件，则继续执行所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度的步骤。

步骤S14：基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

本实施例中，在预先规划的网络安全事件发生流程中迭代执行各安全事件单元得到各安全事件单元对应的单元执行进度，网络安全事件在预先规划的网络安全事件发生流程中迭代执行结束后，可以基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，进而根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

本实施例中，所述基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度之后，还可以包括：基于所述整体事件执行进度的执行情况确定是否对所述安全事件单元进行调整优化；若所述整体事件执行进度的所述执行情况不满足预期情况，则对所述安全事件单元进行调整优化。可以理解的是，在实际渗透中或者在靶场中测试可能发现有需要改进的地方，则对所述安全事件单元进行调整优化，持续优化改进以完成最终目标。

可见，本申请实施例构造网络安全事件，进而基于预先规划的网络安全事件发生流程迭代执行网络安全事件中的安全事件单元，得到各安全事件单元对应的单元执行进度，上述网络安全事件中的各安全事件单元完成迭代之后，基于各安全事件单元对应的单元执行进度确定网络安全事件对应的整体事件执行进度，从而还原出当前网络安全事件的真实网络攻击流程，实现针对各类网络拓扑下的网络攻击流程的编辑可控，并且能够真实理解完整网络安全事件发生的前因后果，提供对安全事件分析溯源的完整思路，从而更好地开展防御失败后的复盘工作并提升安全工作者的防御能力。

假设当前构造出的网络安全事件就是上述图2中的A—>B—>(E，F)，相当于，设定相应的参数信息，确定安全事件单元A、B、E、F，以及安全事件单元A、B、E、F的触发顺序，从而构造出A—>B—>(E，F)的网络安全事件，如图3所示，例如，从安全事件单元A开始执行，然后判断安全事件单元A中是否有代理信息；若有代理信息，检查代理联通性；若代理联通，则检测进行目标服务地址、端口扫描等扫描类工作和目标业务的功能是否正常，若代理不联通，则直接返回该安全事件单元的执行进度；若无代理信息，则直接进行目标服务地址、端口扫描等扫描类工作和目标业务的功能正常与否的检测。如果选择了目标服务地址、端口等扫描类工作，若扫描结果返回不正常，则直接返回该安全事件单元的事件执行进度。如果选择了目标服务地址、端口等扫描类工作，在该阶段返回正常后，进入基于版本和服务可生成的shell检查，其中，shell指“为使用者提供操作界面”的软件，该目的主要是为了针对已渗透目标的继续，不产生多余的动作快速进行后续步骤，如果shell已存在，直接进入后渗透利用类。如果shell不存在，则进入目标服务功能检测类，进行目标业务的功能正常与否的检测。目标服务功能检测类若返回不正常，则直接返回该安全事件单元的事件执行进度。目标服务功能检测类若返回正常，则进入对于服务和版本的漏洞利用类。服务和版本的漏洞利用类若返回不正常或者不获取shell，则直接返回该安全事件单元的事件执行进度。服务和版本的漏洞利用类若返回shell，则进入后渗透利用类。无论后渗透类利用结果如何，都执行后续步骤，返回该安全事件单元的事件执行进度，返回安全事件单元的事件执行进度后，进行后续事件检查，若有后续事件，则继续循环执行后续事件。返回安全事件单元的事件执行进度后，进行后续事件检查，若无后续事件，则返回整体安全事件进行进度，完成该网络安全事件的整体运行进度，以还原出该网络安全事件对应的网络攻击流程。然而在实际渗透中或者靶场中测试发现有需要改进阶段，则对安全事件单元进行调整优化，持续改进以完成最终目标。上述网络安全事件的实现流程是模拟了一个针对已知拓扑下的网络安全事件发生，但是如果是实际渗透可能略有不同，会出现多次安全事件单元的更新，实际渗透流程应该是先有参数A，经过A后，通过调整优化变成A—>B，在持续优化中得到最终事件的A—>B—>(E，F)，所以如果所有利用方式都是已有的，那么靶场和实际渗透的过程区别主要在于一个是初始传入的是完整的网络安全事件，一个是逐步优化调整传入安全事件单元的过程。

由此可知，本申请的技术方案能够真实的还原网络安全事件在目标主机上发生的事情，可针对复杂网络下攻击效果的真实实现，支持自定义网络攻击流程，实现针对各类拓扑下的攻击流程的编辑可控以及实现对网络安全事件发生流程中关键类的输入输出定义。在实际渗透测试中进行实时优化，在真实工作环境中能够辅助真实工作环境的渗透，不只是能够应用于预设靶场的安全测试，其中，针对真实工作环境的渗透辅助，本申请的技术方案就类似一个半自动渗透测试辅助工具，已有内容调用，没有内容快速更新，常规后渗透行为可以直接调用，极大的降低渗透难度，更好的记录渗透流程，有利于后续复测和复盘工作。并且网络安全事件中的安全事件单元易扩展，可更新编辑满足各类渗透测试需求，具备可扩展性。其中，上述可扩展性的体现主要在于在网络安全事件发生流程中将流程中各个阶段的功能进行模块化，明确了输入和输出，实现一个攻击动作和攻击后的行为任意组合调度，采用实现的是一拓扑一调用的方法，即基于目标可以选择模块调用、新增和更新以实现对目标的完整网络攻击流程。

例如，如表1所示，针对服务和版本的漏洞利用类，主要要求的传入参数为服务名称、服务类型、调用的漏洞类型，目标地址，目标端口，其他附带参数等，返回值主要考虑以下几种情况：

第一、针对获取webshell的，则返回webshell的地址和webshell的利用密码，其中，webshell是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等；

第二、针对获取反弹shell或者其他c2会话的，则返回会话接口，其中，c2(Command&Control)，即远程控制；

第三、如果是写入SSH连接密钥的，则返回SSH建立连接后的会话接口，其中，SSH(Secure Shell)，即建立在应用层基础上的安全协议；

第四、如果是非shell类型的，则直接返回命令执行后的返回结果。

表1

如表2所示，针对后渗透利用类，明确了输入和输出参数，输入参数为webshell的地址及webshell的利用密码、反弹shell或者c2会话、ssh连接会话或者其他命令执行接口，主要是获取能够在目标执行命令的权限，同时还有在有接口的前提下，还要传入基于该接口要执行的动作，例如权限提升、获取信息、权限维持、代理架设等，同时基于执行的行为，返回对应的信息。

表2

其中，基于已经定义的接口状态，随意扩展各类漏洞利用相关模块和后渗透发生的行为动作，同时由于拼接的能力，方便流程的自定义，以解决场景模拟、渗透实战、事件及攻击复盘等需求。例如，如果使用的靶机是已经录入的***和版本，只需要修改安全事件逻辑和最小单元信息即可完成。若针对拓扑中有新增靶机且原***中没有该靶机的漏洞利用方式，只需要依照对应的目标，按照要求新增对应应用和版本信息，新增漏洞利用程序，确保该漏洞利用程序能够返回必要的信息，则该模块后续就可以进行调度使用。由于不是流量重放的形式，因此会于目标服务进行真实连接，不仅能够产生攻击流量，也会在目标机器上产生真实的攻击效果，生成相关日志，以及基于真实的行为，例如架设代理穿透等，无论从靶机上的痕迹，以及痕迹的地址联系上，也都让网络安全事件具有更加完整的渗透逻辑，不是单一的网络安全事件，能够提供网络安全事件分析溯源的完整思路，从而提升使用者的防御能力。

需要指出的是，参数传入可能会被拆分到不同阶段进行传入，或者有的参数变成非传入参数变成***的固定参数，以实现多传、少传的情况，又或者是多个阶段合并成一个阶段，然后各个阶段的内容进行重新排列组合。

相应的，本申请实施例还公开了一种网络攻击流程还原装置，参见图4所示，该装置包括：

事件单元确定模块11，用于确定安全事件单元和各所述安全事件单元的触发顺序；

事件构造模块12，用于根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件；

事件执行模块13，用于基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度；

还原模块14，用于基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

由上可见，本实施例中构造网络安全事件，进而基于预先规划的网络安全事件发生流程迭代执行网络安全事件中的安全事件单元，得到各安全事件单元对应的单元执行进度，上述网络安全事件中的各安全事件单元完成迭代之后，基于各安全事件单元对应的单元执行进度确定网络安全事件对应的整体事件执行进度，从而还原出当前网络安全事件的真实网络攻击流程，实现针对各类网络拓扑下的网络攻击流程的编辑可控，并且能够真实理解完整网络安全事件发生的前因后果，提供对安全事件分析溯源的完整思路，从而更好地开展防御失败后的复盘工作并提升安全工作者的防御能力。

在一些具体的实施例中，所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度之前，具体可以包括：

靶场信息获取模块，用于获取预设靶场对应的靶场信息；

发生流程规划模块，用于利用所述靶场信息规划网络安全事件发生流程。

在一些具体的实施例中，所述靶场信息获取模块，具体可以包括：

靶场信息获取单元，用于获取预设靶场对应的靶场网络地址信息、各靶机服务信息以及各靶机关联漏洞信息；

相应的，所述发生流程规划模块，具体可以包括：

发生流程规划单元，利用所述靶场网络地址信息、各所述靶机服务信息以及各所述靶机关联漏洞信息规划网络安全事件发生流程。

在一些具体的实施例中，所述基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度之后，具体可以包括：

优化确定模块，用于基于所述整体事件执行进度的执行情况确定是否对所述安全事件单元进行调整优化；

调整优化模块，用于当所述整体事件执行进度的所述执行情况不满足预期情况，则对所述安全事件单元进行调整优化。

在一些具体的实施例中，所述事件单元确定模块11，具体可以包括：

构建单元，用于基于靶机网络地址信息、靶机服务信息、代理信息以及针对靶机的用户自定义行为构建相应的安全事件单元。

在一些具体的实施例中，所述事件执行模块13，具体可以包括：

靶机信息确定单元，用于在预先规划的网络安全事件发生流程中，根据所述安全事件单元中的所述靶机网络地址信息、所述靶机服务信息、所述代理信息确定所述安全事件单元对应的网络可达靶机信息；

漏洞利用单元，用于基于所述网络可达靶机信息和所述预设靶场对应的所述靶机关联漏洞信息进行漏洞利用，得到相应的漏洞利用返回信息；

行为执行单元，用于基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度。

在一些具体的实施例中，所述基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度之后，具体可以包括：

判断单元，用于判断是否存在新的网络安全事件；

步骤执行单元，用于当存在新的网络安全事件，则继续执行所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度的步骤。

进一步的，本申请实施例还提供了一种电子设备。图5是根据一示例性实施例示出的电子设备20结构图，图中的内容不能认为是对本申请的使用范围的任何限制。

图5为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、电源23、通信接口24、输入输出接口25和通信总线26。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现前述任一实施例公开的网络攻击流程还原方法中的相关步骤。另外，本实施例中的电子设备20具体可以为电子计算机。

本实施例中，电源23用于为电子设备20上的各硬件设备提供工作电压；通信接口24能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。

另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源可以包括操作***221、计算机程序222等，存储方式可以是短暂存储或者永久存储。

其中，操作***221用于管理与控制电子设备20上的各硬件设备以及计算机程序222，其可以是Windows Server、Netware、Unix、Linux等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的网络攻击流程还原方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。

进一步的，本申请实施例还公开了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器加载并执行时，实现前述任一实施例公开的网络攻击流程还原方法步骤。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的一种网络攻击流程还原方法、装置、设备及存储介质进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种网络攻击流程还原方法，其特征在于，包括：

确定安全事件单元和各所述安全事件单元的触发顺序；

根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件；

基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度；

基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

2.根据权利要求1所述的网络攻击流程还原方法，其特征在于，所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度之前，还包括：

获取预设靶场对应的靶场信息，并利用所述靶场信息规划网络安全事件发生流程。

3.根据权利要求2所述的网络攻击流程还原方法，其特征在于，所述获取预设靶场对应的靶场信息，包括：

获取预设靶场对应的靶场网络地址信息、各靶机服务信息以及各靶机关联漏洞信息；

相应地，所述利用所述靶场信息规划网络安全事件发生流程，包括：

利用所述靶场网络地址信息、各所述靶机服务信息以及各所述靶机关联漏洞信息规划网络安全事件发生流程。

4.根据权利要求1所述的网络攻击流程还原方法，其特征在于，所述基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度之后，还包括：

基于所述整体事件执行进度的执行情况确定是否对所述安全事件单元进行调整优化；

若所述整体事件执行进度的所述执行情况不满足预期情况，则对所述安全事件单元进行调整优化。

5.根据权利要求1至4任一项所述的网络攻击流程还原方法，其特征在于，所述确定安全事件单元，包括：

基于靶机网络地址信息、靶机服务信息、代理信息以及针对靶机的用户自定义行为构建相应的安全事件单元。

6.根据权利要求5所述的网络攻击流程还原方法，其特征在于，所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度，包括：

在预先规划的网络安全事件发生流程中，根据所述安全事件单元中的所述靶机网络地址信息、所述靶机服务信息、所述代理信息确定所述安全事件单元对应的网络可达靶机信息；

基于所述网络可达靶机信息和所述预设靶场对应的所述靶机关联漏洞信息进行漏洞利用，得到相应的漏洞利用返回信息；

基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度。

7.根据权利要求6所述的网络攻击流程还原方法，其特征在于，所述基于所述漏洞利用返回信息中的漏洞可执行接口情况执行针对所述安全事件单元中的所述用户自定义行为，得到所述安全事件单元对应的单元执行进度之后，还包括：

判断是否存在新的网络安全事件；

若存在新的网络安全事件，则继续执行所述基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度的步骤。

8.一种网络攻击流程还原装置，其特征在于，包括：

事件单元确定模块，用于确定安全事件单元和各所述安全事件单元的触发顺序；

事件构造模块，用于根据所述安全事件单元和各所述安全事件单元的所述触发顺序构造相应的网络安全事件；

事件执行模块，用于基于预先规划的网络安全事件发生流程迭代执行所述网络安全事件中的各所述安全事件单元，得到各所述安全事件单元对应的单元执行进度；

还原模块，用于基于各所述安全事件单元对应的所述单元执行进度确定所述网络安全事件对应的整体事件执行进度，并根据所述整体事件执行进度还原所述网络安全事件对应的网络攻击流程。

9.一种电子设备，其特征在于，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的网络攻击流程还原方法的步骤。

10.一种计算机可读存储介质，其特征在于，用于存储计算机程序；其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的网络攻击流程还原方法的步骤。

Images