CN116846623B - 针对车辆安全事件的关联分析方法 - Google Patents
针对车辆安全事件的关联分析方法 Download PDFInfo
- Publication number
- CN116846623B CN116846623B CN202310768049.0A CN202310768049A CN116846623B CN 116846623 B CN116846623 B CN 116846623B CN 202310768049 A CN202310768049 A CN 202310768049A CN 116846623 B CN116846623 B CN 116846623B
- Authority
- CN
- China
- Prior art keywords
- event
- attack
- association analysis
- vehicle
- complex
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 16
- 238000010219 correlation analysis Methods 0.000 title abstract description 8
- 238000012098 association analyses Methods 0.000 claims abstract description 39
- 238000001914 filtration Methods 0.000 claims abstract description 20
- 238000004458 analytical method Methods 0.000 claims description 16
- 238000005538 encapsulation Methods 0.000 claims description 6
- 238000012097 association analysis method Methods 0.000 claims description 5
- 230000005856 abnormality Effects 0.000 abstract description 2
- 238000004806 packaging method and process Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000008447 perception Effects 0.000 description 1
- 238000000638 solvent extraction Methods 0.000 description 1
- 230000000007 visual effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Medical Informatics (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
Abstract
本发明公开了一种针对车辆安全事件的关联分析方法,包括:从车端IDPS***中获取车辆安全事件;编写关联分析规则;将车端数据进行格式化;以数据流的形式从数据库中获取车端数据,得到事件数据流;将事件数据流根据车辆VIN号进行分组,得到分组后以及窗口划分后的数据流;从数据库中获取现有的所有关联分析配置,对数据流进行匹配过滤后得到事件集合;得到事件集合代表的复杂攻击;获得关于复杂攻击的点边集;将点边集与相对应的复杂攻击进行关联;本发明为车辆网络安全人员提供一种直观地发现网络异常的方法。
Description
技术领域
本发明涉及车辆网络安全技术领域,特别是一种针对车辆安全事件的关联分析方法。
背景技术
关联分析是一种简单、实用的分析技术,就是发现存在于大量数据集中的关联性或相关性,从而描述了一个事物中某些属性同时出现的规律和模式。在常规网络环境中,关联分析是一个用于分析日志等网络信息相关性,帮助安全人员从海量数据中发现网络异常的方法。它可以提高安全团队发现网络威胁的效率,为安全人员提供整个网络安全态势的全局实时感知能力,让安全人员能够在海量安全事件中快速准确找出真正有威胁的安全事件。同样技术在车辆网络安全上使用得并不多,车辆网络安全在现有资料中缺少关联分析的步骤,技术人员没有办法对针对车辆的复杂攻击进行分析,寻找事件之间的关联也是分析复杂攻击的痛点所在。
发明内容
为解决现有技术中存在的问题,本发明的目的是提供一种针对车辆安全事件的关联分析方法,本发明为了解决车辆安全分析中的关联分析部分,将车端检测到的安全事件按照一定规则进行组装,作为复杂攻击事件进行输出,并且为安全人员展示该复杂攻击的攻击链,为车辆网络安全人员提供一种直观地发现网络异常的方法。
为实现上述目的,本发明采用的技术方案是:一种针对车辆安全事件的关联分析方法,包括以下步骤:
步骤1、从车端IDPS***中获取车辆安全事件,并将所有车辆安全事件在云端进行汇总;
步骤2、编写关联分析规则;
步骤3、将车端数据进行格式化;
步骤4、使用流数据处理框架以数据流的形式从数据库中获取步骤3中得到的车端数据,得到一个事件数据流;
步骤5、确保后续事件处理是以单车上发生的事件为基础,将步骤4中得到的事件数据流根据车辆VIN号进行分组,得到分组后的数据流;
步骤6、设置时间窗口,即分析周期;以分析周期长度为窗口长度,将步骤5中得到的分组后数据流用窗口进行划分,得到划分后的分组数据流;
步骤7、从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则;使用获取到的关联分析配置对步骤6中得到的数据流进行匹配过滤后得到事件集合;
步骤8、对步骤7得到的事件集合使用深度优先遍历算法得到事件集合代表的复杂攻击;
步骤9、对多个复杂攻击的每个事件进行解析,获得关于对应复杂攻击的一个点边集,随后将此点边集存入数据库;
步骤10、将步骤9中获得的点边集与相对应的复杂攻击进行关联,并且存储此关系,保存在复杂攻击对象中;当一个分析周期完成时,将此时已获得的复杂攻击对象存储起来,结束当前时间窗口的处理,并且将当前时间窗口关闭,进入下一个时间窗口,开启新的分析周期,重复以上步骤。
作为本发明的进一步改进,在步骤2中,所述关联分析规则由识别规则链组成,识别规则部分包括:源IP、目的IP、攻击类型、设备名;关联分析规则部分包括:关联分析规则名、复杂攻击危险等级,其中,攻击类型为必填项,其余为可填项;一条关联分析规则至少由两条识别规则组成,且识别规则有先后关系。
作为本发明的进一步改进,步骤3具体如下:
将车端IDPS检测到的安全事件拆解,重新封装为事件格式,其中包含信息:源IP、目的IP、攻击类型和设备名;封装完成后存入数据库。
作为本发明的进一步改进,在步骤3中,对数据流进行匹配过滤具体如下:
根据以下条件依次进行过滤:攻击类型、设备名、源IP、目的IP;若符合条件,将事件放入一个过滤集合中;如果过滤集合中已有此事件,则将这个事件的记录数量加一,最终得到的是一个符合规则的所有事件的事件集合。
作为本发明的进一步改进,所述步骤8具体如下:
对于规则链中的每一条规则,每当找到一个时间及其他条件均符合规则链的子事件集合,将此子事件集合加入结果集合中,每个子事件集合都按照时间顺序排列;当遍历结束,获得的结果集合包含多个事件集合,每个事件集合代表一个复杂攻击。
作为本发明的进一步改进,步骤9具体如下:
对获得的多个复杂攻击的每个事件进行解析,获得事件中的源IP、目的IP、设备名、攻击类型,以及在该复杂攻击中此事件发生的次数;将源IP、目标IP使用节点对象存储,随后对节点进行去重,确保不会存储重复节点;将设备名、攻击类型、攻击次数存到边对象中,就此,获得一个关于此复杂攻击的一个点边集,随后将此点边集存入数据库。
本发明的有益效果是:
1、本发明解决了对车端大量安全事件的关联分析问题,为安全人员提供了直观的复杂攻击展示,安全人员可以以此对***中的攻击进行较早的察觉。
2、本发明为安全作人员对复杂攻击进行分类,让安全人员可以根据具体的复杂攻击采取针对性措施。
3、本发明使用规则链约束,寻找隐蔽的链状攻击,为安全人员解决复杂链状攻击的识别问题。
附图说明
图1为本发明实施例2的流程图。
具体实施方式
下面结合附图对本发明的实施例进行详细说明。
实施例1
一种针对车辆安全事件的关联分析方法,具体步骤包括:
S1:从车端IDPS***中获取车辆安全事件,并将所有车辆安全事件在云端进行汇总,以便下一步处理;
S2:编写关联分析规则。关联分析规则由识别规则链组成,识别规则部分包括:源IP、目的IP、攻击类型、设备名。关联分析规则部分包括:关联分析规则名、复杂攻击危险等级,其中,攻击类型为必填项,其余为可填项。一条关联分析规则至少由两条识别规则组成,识别规则有先后关系;
S3:将车端数据进行格式化。将车端IDPS检测到的安全事件拆解,重新封装为事件格式,其中包含信息:源IP、目的IP、攻击类型、设备名。封装完成后存入数据库;
S4:使用流数据处理框架以数据流的形式从数据库中获取步骤S3中得到的车端数据,得到一个事件数据流;
S5:确保后续事件处理是以单车上发生的事件为基础,将S4中得到的事件数据流根据车辆VIN号进行分组,得到分组后的数据流;
S6:设置时间窗口,即分析周期。以分析周期长度为窗口长度,将S5中得到的分组后数据流用窗口进行划分,得到划分后的分组数据流;
S7:从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则。使用获取到的关联分析配置对S6中得到的数据流进行匹配过滤,具体来说,根据以下条件依次进行过滤:攻击类型、设备名、源IP、目的IP。若符合条件,将事件放入一个过滤集合中。如果过滤集合中已有此事件,则将这个事件的记录数量加一,最终得到的是一个符合规则的所有事件的事件集合;
S8:对S7得到的事件集合使用深度优先遍历算法,具体来说,对于规则链中的每一条规则,每当找到一个时间及其他条件均符合规则链的子事件集合,将此子事件集合加入结果集合中,每个子事件集合都按照时间顺序排列。当遍历结束,获得的结果集合包含多个事件集合,每个事件集合代表一个复杂攻击;
S9:S8中获得的多个复杂攻击,对其中的每个事件进行解析,获得事件中的源IP、目的IP、设备名、攻击类型,以及在该复杂攻击中此事件发生的次数。将源IP、目标IP使用节点对象存储,随后对节点进行去重,确保不会存储重复节点。将设备名、攻击类型、攻击次数存到边对象中,就此,获得一个关于此复杂攻击的一个点边集,随后将此点边集存入数据库;
S10:将S9中获得的点边集与相对应的复杂攻击进行关联,并且存储此关系,保存在复杂攻击对象中。当一个分析周期完成时,将此时已获得的复杂攻击对象存储起来,结束当前时间窗口的处理,并且将当前时间窗口关闭,进入下一个时间窗口,开启新的分析周期,重复以上步骤。
本实施例针对车辆安全事件的关联分析方法,根据人工设置的规则链条,周期性对车端检测到的安全事件进行处理,得到符合规则链的链状攻击式的复杂攻击并进行存储,同时为用户展示攻击链条。
实施例2
如图1所示,一种针对车辆安全事件的关联分析方法,具体步骤包括:
S101:接收并包装车端数据:
由车端IDPS检测数据,将数据输入车端数据处理程序,车端数据处理程序负责将检测数据进行包装,将包装后的事件数据输入数据库待分析。
S102:编写复杂攻击关联分析链状规则:
在分析平台上安全人员可以编写需要的复杂攻击关联分析链状规则。关联分析规则由识别规则链组成,识别规则部分包括:源IP、目的IP、攻击类型、设备名。关联分析规则部分包括:关联分析规则名、复杂攻击危险等级,其中,攻击类型为必填项,其余为可填项。安全人员可根据过往经验、事件总结或者其他已知信息进行规则编写。
S103:流数据分组以及窗口划分:
S101中获得的包装后的事件数据以数据流获取到流数据处理框架中,使用流数据处理框架对此数据流根据车辆VIN号进行分组,随后,对分组后的流数据按照分析周期进行窗口划分,得到划分后的分组数据流。
S104:根据现有规则对数据流中的事件进行初步过滤:
从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则。使用获取到的关联分析配置对步骤S101中得到的数据流进行匹配过滤。具体来说,根据以下条件依次进行过滤:攻击类型、设备名、源IP、目的IP。若符合条件,将事件放入一个过滤集合中。如果过滤集合中已有此事件,则将这个事件的记录数量加一,得到符合规则的所有事件的事件集合。
S105:使用深度优先遍历算法从分组数据中获取复杂攻击:
对于S104中读取的规则链中的每一条规则,使用深度优先遍历算法寻找符合该规则链的链状事件:每当找到一个时间及其他条件均符合规则链的子事件集合,将此子事件集合加入结果集合中,每个子事件集合都按照时间顺序排列。当遍历结束,获得的结果集合包含多个事件集合,每个事件集合代表一个复杂攻击。
S106:保存复杂攻击以及生成攻击链:
读取保存的复杂攻击中的基础事件数据,将基础事件数据中的源IP与目的IP进行去重,并作为节点保存进数据库。同时,将基础事件作为边保存进数据库,以保存的点边集,可以构造出该复杂攻击的攻击链图像。
以上所述实施例仅表达了本发明的具体实施方式,其描述较为具体和详细,但并不能因此而理解为对本发明专利范围的限制。应当指出的是,对于本领域的普通技术人员来说,在不脱离本发明构思的前提下,还可以做出若干变形和改进,这些都属于本发明的保护范围。
Claims (6)
1.一种针对车辆安全事件的关联分析方法,其特征在于,包括以下步骤:
步骤1、从车端IDPS***中获取车辆安全事件,并将所有车辆安全事件在云端进行汇总;
步骤2、编写关联分析规则;
步骤3、将云端汇总的所有车辆安全事件的车端数据进行格式化;
步骤4、使用流数据处理框架以数据流的形式从数据库中获取步骤3中得到的车端数据,得到一个事件数据流;
步骤5、确保后续事件处理是以单车上发生的事件为基础,将步骤4中得到的事件数据流根据车辆VIN号进行分组,得到分组后的数据流;
步骤6、设置时间窗口,即分析周期;以分析周期长度为窗口长度,将步骤5中得到的分组后数据流用窗口进行划分,得到划分后的分组数据流;
步骤7、从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则;使用获取到的关联分析配置对步骤6中得到的数据流进行匹配过滤后得到事件集合;
步骤8、对步骤7得到的事件集合使用深度优先遍历算法得到事件集合代表的复杂攻击;
步骤9、对多个复杂攻击的每个事件进行解析,获得关于对应复杂攻击的一个点边集,随后将此点边集存入数据库;
步骤10、将步骤9中获得的点边集与相对应的复杂攻击进行关联,并且存储此关系,保存在复杂攻击对象中;当一个分析周期完成时,将此时已获得的复杂攻击对象存储起来,结束当前时间窗口的处理,并且将当前时间窗口关闭,进入下一个时间窗口,开启新的分析周期,重复以上步骤。
2.根据权利要求1所述的针对车辆安全事件的关联分析方法,其特征在于,在步骤2中,所述关联分析规则由识别规则链组成,识别规则包括:源IP、目的IP、攻击类型、设备名;关联分析规则包括:关联分析规则名、复杂攻击危险等级,其中,攻击类型为必填项,其余为可填项;一条关联分析规则至少由两条识别规则组成,且识别规则有先后关系。
3.根据权利要求2所述的针对车辆安全事件的关联分析方法,其特征在于,步骤3具体如下:
将车端IDPS检测到的安全事件拆解,重新封装为事件格式,其中包含信息:源IP、目的IP、攻击类型和设备名;封装完成后存入数据库。
4.根据权利要求3所述的针对车辆安全事件的关联分析方法,其特征在于,在步骤7中,对数据流进行匹配过滤具体如下:
根据以下条件依次进行过滤:攻击类型、设备名、源IP、目的IP;若符合条件,将事件放入一个过滤集合中;如果过滤集合中已有此事件,则将这个事件的记录数量加一,最终得到的是一个符合规则的所有事件的事件集合。
5.根据权利要求4所述的针对车辆安全事件的关联分析方法,其特征在于,所述步骤8具体如下:
对于规则链中的每一条规则,每当找到一个时间及其他条件均符合规则链的子事件集合,将此子事件集合加入结果集合中,每个子事件集合都按照时间顺序排列;当遍历结束,获得的结果集合包含多个事件集合,每个事件集合代表一个复杂攻击。
6.根据权利要求5所述的针对车辆安全事件的关联分析方法,其特征在于,步骤9具体如下:
对获得的多个复杂攻击的每个事件进行解析,获得事件中的源IP、目的IP、设备名、攻击类型,以及在该复杂攻击中此事件发生的次数;将源IP、目标IP使用节点对象存储,随后对节点进行去重,确保不会存储重复节点;将设备名、攻击类型、攻击次数存到边对象中,就此,获得一个关于此复杂攻击的一个点边集,随后将此点边集存入数据库。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202310768049.0A CN116846623B (zh) | 2023-06-27 | 2023-06-27 | 针对车辆安全事件的关联分析方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202310768049.0A CN116846623B (zh) | 2023-06-27 | 2023-06-27 | 针对车辆安全事件的关联分析方法 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN116846623A CN116846623A (zh) | 2023-10-03 |
CN116846623B true CN116846623B (zh) | 2024-05-03 |
Family
ID=88159255
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN202310768049.0A Active CN116846623B (zh) | 2023-06-27 | 2023-06-27 | 针对车辆安全事件的关联分析方法 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN116846623B (zh) |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN114143020A (zh) * | 2021-09-06 | 2022-03-04 | 北京许继电气有限公司 | 一种基于规则的网络安全事件关联分析方法和*** |
CN115603944A (zh) * | 2022-09-09 | 2023-01-13 | 中汽创智科技有限公司(Cn) | 一种基于车联网的车辆数据安全管理方法 |
CN115776668A (zh) * | 2022-11-03 | 2023-03-10 | 智己汽车科技有限公司 | 一种车辆网络安全监控***及其监控方法 |
WO2023048185A1 (ja) * | 2021-09-24 | 2023-03-30 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 車両セキュリティ分析装置、方法およびそのプログラム |
-
2023
- 2023-06-27 CN CN202310768049.0A patent/CN116846623B/zh active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN114143020A (zh) * | 2021-09-06 | 2022-03-04 | 北京许继电气有限公司 | 一种基于规则的网络安全事件关联分析方法和*** |
WO2023048185A1 (ja) * | 2021-09-24 | 2023-03-30 | エヌ・ティ・ティ・コミュニケーションズ株式会社 | 車両セキュリティ分析装置、方法およびそのプログラム |
CN115603944A (zh) * | 2022-09-09 | 2023-01-13 | 中汽创智科技有限公司(Cn) | 一种基于车联网的车辆数据安全管理方法 |
CN115776668A (zh) * | 2022-11-03 | 2023-03-10 | 智己汽车科技有限公司 | 一种车辆网络安全监控***及其监控方法 |
Also Published As
Publication number | Publication date |
---|---|
CN116846623A (zh) | 2023-10-03 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN114143020B (zh) | 一种基于规则的网络安全事件关联分析方法和*** | |
CN106656536B (zh) | 一种用于处理服务调用信息的方法与设备 | |
CN102158355B (zh) | 一种可并发和断续分析的日志事件关联分析方法和装置 | |
US7877399B2 (en) | Method, system, and computer program product for comparing two computer files | |
CN109284606A (zh) | 基于经验特征与卷积神经网络的数据流异常检测*** | |
CN109587125B (zh) | 一种网络安全大数据分析方法、***及相关装置 | |
CN105827422B (zh) | 一种确定网元告警关联关系的方法及装置 | |
US11221904B2 (en) | Log analysis system, log analysis method, and log analysis program | |
CN114637989B (zh) | 基于分布式***的apt攻击追溯方法、***及存储介质 | |
US20160253366A1 (en) | Analyzing a parallel data stream using a sliding frequent pattern tree | |
CN109684374B (zh) | 一种时间序列数据的键值对的提取方法及装置 | |
CN112487208B (zh) | 一种网络安全数据关联分析方法、装置、设备及存储介质 | |
CN111740884A (zh) | 一种日志处理方法及电子设备、服务器、存储介质 | |
CN104618132A (zh) | 一种应用程序识别规则生成方法和装置 | |
CN111447224A (zh) | web漏洞扫描方法及漏洞扫描器 | |
CN110377576A (zh) | 创建日志模板的方法和装置、日志分析方法 | |
CN109918296A (zh) | 软件自动化测试方法及装置 | |
CN113536770B (zh) | 基于人工智能的文本解析方法、装置、设备及存储介质 | |
CN106649344A (zh) | 一种网络日志压缩方法和装置 | |
CN116846623B (zh) | 针对车辆安全事件的关联分析方法 | |
CN106201841A (zh) | 一种应用程序运行数据的统计方法和装置 | |
CN107688619A (zh) | 一种日志数据处理方法及装置 | |
CN111385273B (zh) | 一种物联网业务流程识别方法、装置、电子设备及介质 | |
CN106375351A (zh) | 一种异常域名检测的方法及装置 | |
CN111817867A (zh) | 分布式环境下进行多日志协同分析的方法及*** |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |