本公開涉及網(wǎng)絡(luò)風(fēng)險攻擊評估，尤其涉及一種網(wǎng)絡(luò)地址風(fēng)險評估方法、裝置、電子設(shè)備及存儲介質(zhì)。

背景技術(shù)：

1、目前現(xiàn)有的網(wǎng)址風(fēng)險評估方法主要是通過網(wǎng)絡(luò)入侵檢測/防護(hù)系統(tǒng)的告警日志來確定網(wǎng)絡(luò)地址的風(fēng)險，相關(guān)技術(shù)中是基于網(wǎng)絡(luò)地址本身建立一個網(wǎng)絡(luò)地址黑名單，并沒有考慮發(fā)送的數(shù)據(jù)包的內(nèi)容風(fēng)險威脅。具有以下明顯缺陷：一是告警日志數(shù)量眾多，如果由運(yùn)維人員逐條檢查每條告警日志來判斷網(wǎng)絡(luò)地址所面臨的風(fēng)險，工作量巨大且容易出錯；二是只考慮網(wǎng)址本身風(fēng)險，忽略數(shù)據(jù)包的內(nèi)容風(fēng)險，考慮的風(fēng)險維度少，降低了風(fēng)險評估的準(zhǔn)確性。

技術(shù)實現(xiàn)思路

1、本公開旨在至少在一定程度上解決相關(guān)技術(shù)中的技術(shù)問題之一。

2、為此，本公開的一個目的在于提出一種網(wǎng)絡(luò)地址風(fēng)險評估方法。

3、本公開的第二個目的在于提出一種網(wǎng)絡(luò)地址風(fēng)險評估裝置。

4、本公開的第三個目的在于提出一種電子設(shè)備。

5、本公開的第四個目的在于提出一種非瞬時計算機(jī)可讀存儲介質(zhì)。

6、本公開的第五個目的在于提出一種計算機(jī)程序產(chǎn)品。

7、為達(dá)上述目的，本公開第一方面實施方式提出了一種網(wǎng)絡(luò)地址風(fēng)險評估方法，包括：獲取網(wǎng)絡(luò)流量數(shù)據(jù)和攻擊信息，其中所述網(wǎng)絡(luò)流量數(shù)據(jù)包括至少一個候選ip接收或者發(fā)送的數(shù)據(jù)；基于所述網(wǎng)絡(luò)流量數(shù)據(jù)確定所述候選ip的風(fēng)險值，以及基于所述攻擊信息確定所述候選ip的風(fēng)險權(quán)重；基于所述風(fēng)險值和所述風(fēng)險權(quán)重，從所述候選ip中確定風(fēng)險ip。

8、根據(jù)本公開的一個實施方式，所述基于所述網(wǎng)絡(luò)流量數(shù)據(jù)確定所述候選ip的風(fēng)險值，包括：針對任一候選ip，從所述網(wǎng)絡(luò)流量數(shù)據(jù)中篩選出隸屬于所述候選ip的數(shù)據(jù)序列；基于所述數(shù)據(jù)序列確定所述候選ip的網(wǎng)絡(luò)地址本身風(fēng)險、數(shù)據(jù)包風(fēng)險；基于所述絡(luò)地址本身風(fēng)險和所述數(shù)據(jù)包風(fēng)險，確定所述候選ip的風(fēng)險值。

9、根據(jù)本公開的一個實施方式，所述基于所述數(shù)據(jù)序列確定所述候選ip的網(wǎng)絡(luò)地址本身風(fēng)險，包括：基于所述數(shù)據(jù)序列，確定所述數(shù)據(jù)序列中相鄰數(shù)據(jù)包的時間差；基于所述時間差確定所述數(shù)據(jù)序列中的至少一個數(shù)據(jù)包集合，并基于所述數(shù)據(jù)包集合確定所述候選ip的網(wǎng)絡(luò)地址本身風(fēng)險。

10、根據(jù)本公開的一個實施方式，所述基于所述數(shù)據(jù)序列，確定所述數(shù)據(jù)序列中相鄰數(shù)據(jù)包的時間差，包括：獲取所述數(shù)據(jù)序列中相鄰數(shù)據(jù)包的時刻差和方向系數(shù)；將所述時刻差和所述方向系數(shù)相乘，作為所述相鄰數(shù)據(jù)包的時間差。

11、根據(jù)本公開的一個實施方式，獲取所述數(shù)據(jù)序列中相鄰數(shù)據(jù)包的方向系數(shù)，包括：分別獲取相鄰兩個數(shù)據(jù)包的數(shù)據(jù)傳輸種類；響應(yīng)于所述相鄰兩個數(shù)據(jù)包的數(shù)據(jù)傳輸種類相同，確定所述方向系數(shù)為1；或者，響應(yīng)于所述相鄰兩個數(shù)據(jù)包的數(shù)據(jù)傳輸種類不同，確定所述方向系數(shù)為0。

12、根據(jù)本公開的一個實施方式，獲取所述數(shù)據(jù)序列中相鄰數(shù)據(jù)包的時刻差，包括：基于傳輸種類，分別確定所述相鄰兩個數(shù)據(jù)包的數(shù)據(jù)發(fā)生時間；將所述相鄰兩個數(shù)據(jù)包的數(shù)據(jù)發(fā)生時間相減，以獲取所述時刻差。

13、根據(jù)本公開的一個實施方式，所述基于傳輸種類，分別確定所述相鄰兩個數(shù)據(jù)包的數(shù)據(jù)發(fā)生時間，包括：響應(yīng)于所述傳輸種類為下行傳輸，確定所述數(shù)據(jù)發(fā)生時間為數(shù)據(jù)到達(dá)檢測設(shè)備的時間；響應(yīng)于所述傳輸種類為上行傳輸，確定所述數(shù)據(jù)發(fā)生時間為所述檢測設(shè)備發(fā)送數(shù)據(jù)的時間。

14、根據(jù)本公開的一個實施方式，所述基于所述時間差確定所述數(shù)據(jù)序列中的至少一個數(shù)據(jù)包集合，包括：按照所述數(shù)據(jù)序列中的數(shù)據(jù)包排列的順序，將對應(yīng)時間差進(jìn)行排序，以生成時間差序列；將取值為0的時間差對所述時間差序列進(jìn)行間隔，以獲取多個時間差集合；將每一個所述時間差集合對應(yīng)的數(shù)據(jù)包，分別作為一個所述數(shù)據(jù)包集合。

15、根據(jù)本公開的一個實施方式，所述基于所述數(shù)據(jù)包集合確定所述候選ip的網(wǎng)絡(luò)地址本身風(fēng)險，包括：針對任一數(shù)據(jù)包集合，獲取所述數(shù)據(jù)包集合的子網(wǎng)絡(luò)地址本身風(fēng)險；將所有數(shù)據(jù)包集合的子網(wǎng)絡(luò)地址本身風(fēng)險進(jìn)行求和，并將和值作為所述候選ip的網(wǎng)絡(luò)地址本身風(fēng)險。

16、根據(jù)本公開的一個實施方式，所述獲取所述數(shù)據(jù)包集合的子網(wǎng)絡(luò)地址本身風(fēng)險，包括：獲取所述數(shù)據(jù)包集合中包含數(shù)據(jù)包的第一數(shù)據(jù)包數(shù)量和所述數(shù)據(jù)序列包含數(shù)據(jù)包的第二數(shù)據(jù)包數(shù)量，以及獲取所述數(shù)據(jù)包集合的平均時間差和所述數(shù)據(jù)序列的總歷時時間；將所述第一數(shù)據(jù)包數(shù)量和所述第二數(shù)據(jù)包數(shù)量進(jìn)行相除，并將結(jié)果作為數(shù)據(jù)包占比；以及，將所述平均時間差和所述總歷時時間進(jìn)行相除，并將結(jié)果作為時間占比；將所述數(shù)據(jù)包占比和所述時間占比的乘積作為所述數(shù)據(jù)包集合的所述子網(wǎng)絡(luò)地址本身風(fēng)險。

17、根據(jù)本公開的一個實施方式，基于所述數(shù)據(jù)序列確定所述候選ip的數(shù)據(jù)包風(fēng)險，包括：針對任一數(shù)據(jù)包集合，獲取所述數(shù)據(jù)包集合中數(shù)據(jù)包長度的第一最大值和第一最小值，以及獲取數(shù)據(jù)序列中數(shù)據(jù)包長度的第二最大值和第二最小值；將所述第一最大值、所述第一最小值和所述數(shù)據(jù)包集合中包含數(shù)據(jù)包的第一數(shù)據(jù)包數(shù)量的乘積，除以所述第二最大值、第二最小值和所述數(shù)據(jù)序列包含數(shù)據(jù)包的第二數(shù)據(jù)包數(shù)量的乘積，以獲取所述數(shù)據(jù)包集合的數(shù)據(jù)影響值；基于所述數(shù)據(jù)影響值，確定所述候選ip的數(shù)據(jù)包風(fēng)險。

18、根據(jù)本公開的一個實施方式，所述基于所述數(shù)據(jù)影響值，確定所述候選ip的數(shù)據(jù)包風(fēng)險，包括：將所述數(shù)據(jù)影響值，與所述數(shù)據(jù)包集合的平均時間差和所述數(shù)據(jù)序列的總歷時時間相除的商值進(jìn)行相乘，以獲取所述數(shù)據(jù)包集合的子數(shù)據(jù)包風(fēng)險；將所有子數(shù)據(jù)包風(fēng)險進(jìn)行求和，以獲取所述候選ip的數(shù)據(jù)包風(fēng)險。

19、根據(jù)本公開的一個實施方式，所述基于所述攻擊信息確定所述候選ip的風(fēng)險權(quán)重，包括：確定所述候選ip是否出現(xiàn)在所述攻擊信息中；響應(yīng)于所述候選ip出現(xiàn)在所述攻擊信息中，確定所述候選ip的數(shù)據(jù)序列中出現(xiàn)在所述攻擊信息中的至少一個攻擊數(shù)據(jù)包；獲取所述攻擊數(shù)據(jù)包的攻擊類型，并基于所述攻擊類型，確定所述候選ip的風(fēng)險權(quán)重。

20、根據(jù)本公開的一個實施方式，所述基于所述攻擊類型，確定所述候選ip的風(fēng)險權(quán)重，包括：基于所述攻擊類型，確定所述攻擊數(shù)據(jù)包的攻擊影響值；從所有攻擊數(shù)據(jù)包的攻擊影響值中，選取最大值作為所述候選ip的風(fēng)險權(quán)重。

21、根據(jù)本公開的一個實施方式，所述方法還包括：響應(yīng)于所述候選ip未出現(xiàn)在所述攻擊信息中，確定所述候選ip的風(fēng)險權(quán)重為1。

22、根據(jù)本公開的一個實施方式，所述基于所述風(fēng)險值和所述風(fēng)險權(quán)重，從所述候選ip中確定風(fēng)險ip，包括：將所述風(fēng)險值與所述風(fēng)險權(quán)重進(jìn)行相乘，并將乘積作為所述候選ip的判斷風(fēng)險值；將所述判斷風(fēng)險值與風(fēng)險閾值進(jìn)行比較，響應(yīng)于所述風(fēng)險值大于所述風(fēng)險閾值，確定所述候選ip為所述風(fēng)險ip。

23、為達(dá)上述目的，本公開第二方面實施例提出了一種網(wǎng)絡(luò)地址風(fēng)險評估裝置，包括：獲取模塊，用于獲取網(wǎng)絡(luò)流量數(shù)據(jù)和攻擊信息，其中所述網(wǎng)絡(luò)流量數(shù)據(jù)包括至少一個候選ip接收或者發(fā)送的數(shù)據(jù)；確定模塊，用于基于所述網(wǎng)絡(luò)流量數(shù)據(jù)確定所述候選ip的風(fēng)險值，以及基于所述攻擊信息確定所述候選ip的風(fēng)險權(quán)重；基于所述風(fēng)險值和所述風(fēng)險權(quán)重，從所述候選ip中確定風(fēng)險ip。

24、為達(dá)上述目的，本公開第三方面實施例提出了一種電子設(shè)備，包括：至少一個處理器；以及與所述至少一個處理器通信連接的存儲器；其中，所述存儲器存儲有可被所述至少一個處理器執(zhí)行的指令，所述指令被所述至少一個處理器執(zhí)行，以實現(xiàn)如本公開第一方面實施例所述的網(wǎng)絡(luò)地址風(fēng)險評估方法。

25、為達(dá)上述目的，本公開第四方面實施例提出了一種存儲有計算機(jī)指令的非瞬時計算機(jī)可讀存儲介質(zhì)，其中，所述計算機(jī)指令用于實現(xiàn)如本公開第一方面實施例所述的網(wǎng)絡(luò)地址風(fēng)險評估方法。

26、為達(dá)上述目的，本公開第五方面實施例提出了一種計算機(jī)程序產(chǎn)品，包括計算機(jī)程序，所述計算機(jī)程序在被處理器執(zhí)行時用于實現(xiàn)如本公開第一方面實施例所述的網(wǎng)絡(luò)地址風(fēng)險評估方法。

27、通過對流量數(shù)據(jù)和攻擊信息進(jìn)行分析，確定候選ip的風(fēng)險值和風(fēng)險權(quán)重，進(jìn)一步確定候選ip是否為風(fēng)險ip，本方案通過同時對網(wǎng)絡(luò)流量數(shù)據(jù)和攻擊信息進(jìn)行分析確定風(fēng)險ip的方式，可以增加參考維度，提升最終確認(rèn)結(jié)果的準(zhǔn)確性和效率，降低風(fēng)險處理成本。