本发明公开了一种基于超图的攻击检测与溯源方法及系统,方法包括:采集内核日志,并进行压缩处理得到第一起源图;根据ATT&CK攻防矩阵进行路径匹配,在第一起源图中匹配出超边,并基于超边进行超图的构建;采用基于专家经验所得的攻击行为,对超图中的每个超边进行匹配,并将匹配成功的超边标记为恶意行为,并根据超边进行溯源操作。本发明利用超图的结构进行起源图的转化,通过超边来进行攻击行为的匹配,提高检测的效率,并且能够溯源找出攻击的初始切入节点。
📄 2023106065136
📂 H04L9_40
👤 浙江工业大学
📅 2023-05-26