本发明专利技术公开了一种针对车辆安全事件的关联分析方法,包括:从车端IDPS系统中获取车辆安全事件;编写关联分析规则;将车端数据进行格式化;以数据流的形式从数据库中获取车端数据,得到事件数据流;将事件数据流根据车辆VIN号进行分组,得到分组后以及窗口划分后的数据流;从数据库中获取现有的所有关联分析配置,对数据流进行匹配过滤后得到事件集合;得到事件集合代表的复杂攻击;获得关于复杂攻击的点边集;将点边集与相对应的复杂攻击进行关联;本发明专利技术为车辆网络安全人员提供一种直观地发现网络异常的方法。现网络异常的方法。现网络异常的方法。
【技术实现步骤摘要】
针对车辆安全事件的关联分析方法
[0001]本专利技术涉及车辆网络安全
,特别是一种针对车辆安全事件的关联分析方法。
技术介绍
[0002]关联分析是一种简单、实用的分析技术,就是发现存在于大量数据集中的关联性或相关性,从而描述了一个事物中某些属性同时出现的规律和模式。在常规网络环境中,关联分析是一个用于分析日志等网络信息相关性,帮助安全人员从海量数据中发现网络异常的方法。它可以提高安全团队发现网络威胁的效率,为安全人员提供整个网络安全态势的全局实时感知能力,让安全人员能够在海量安全事件中快速准确找出真正有威胁的安全事件。同样技术在车辆网络安全上使用得并不多,车辆网络安全在现有资料中缺少关联分析的步骤,技术人员没有办法对针对车辆的复杂攻击进行分析,寻找事件之间的关联也是分析复杂攻击的痛点所在。
技术实现思路
[0003]为解决现有技术中存在的问题,本专利技术的目的是提供一种针对车辆安全事件的关联分析方法,本专利技术为了解决车辆安全分析中的关联分析部分,将车端检测到的安全事件按照一定规则进行组装,作为复杂攻击事件进行输出,并且为安全人员展示该复杂攻击的攻击链,为车辆网络安全人员提供一种直观地发现网络异常的方法。
[0004]为实现上述目的,本专利技术采用的技术方案是:一种针对车辆安全事件的关联分析方法,包括以下步骤:
[0005]步骤1、从车端IDPS系统中获取车辆安全事件,并将所有车辆安全事件在云端进行汇总;
[0006]步骤2、编写关联分析规则;
[0007]步骤3、将车端数据进行格式化;
[0008]步骤4、使用流数据处理框架以数据流的形式从数据库中获取步骤3中得到的车端数据,得到一个事件数据流;
[0009]步骤5、确保后续事件处理是以单车上发生的事件为基础,将步骤4中得到的事件数据流根据车辆VIN号进行分组,得到分组后的数据流;
[0010]步骤6、设置时间窗口,即分析周期;以分析周期长度为窗口长度,将步骤5中得到的分组后数据流用窗口进行划分,得到划分后的分组数据流;
[0011]步骤7、从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则;使用获取到的关联分析配置对步骤6中得到的数据流进行匹配过滤后得到事件集合;
[0012]步骤8、对步骤7得到的事件集合使用深度优先遍历算法得到事件集合代表的复杂攻击;
[0013]步骤9、对多个复杂攻击的每个事件进行解析,获得关于对应复杂攻击的一个点边集,随后将此点边集存入数据库;
[0014]步骤10、将步骤9中获得的点边集与相对应的复杂攻击进行关联,并且存储此关系,保存在复杂攻击对象中;当一个分析周期完成时,将此时已获得的复杂攻击对象存储起来,结束当前时间窗口的处理,并且将当前时间窗口关闭,进入下一个时间窗口,开启新的分析周期,重复以上步骤。
[0015]作为本专利技术的进一步改进,在步骤2中,所述关联分析规则由识别规则链组成,识别规则部分包括:源IP、目的IP、攻击类型、设备名;关联分析规则部分包括:关联分析规则名、复杂攻击危险等级,其中,攻击类型为必填项,其余为可填项;一条关联分析规则至少由两条识别规则组成,且识别规则有先后关系。
[0016]作为本专利技术的进一步改进,步骤3具体如下:
[0017]将车端IDPS检测到的安全事件拆解,重新封装为事件格式,其中包含信息:源IP、目的IP、攻击类型和设备名;封装完成后存入数据库。
[0018]作为本专利技术的进一步改进,在步骤3中,对数据流进行匹配过滤具体如下:
[0019]根据以下条件依次进行过滤:攻击类型、设备名、源IP、目的IP;若符合条件,将事件放入一个过滤集合中;如果过滤集合中已有此事件,则将这个事件的记录数量加一,最终得到的是一个符合规则的所有事件的事件集合。
[0020]作为本专利技术的进一步改进,所述步骤8具体如下:
[0021]对于规则链中的每一条规则,每当找到一个时间及其他条件均符合规则链的子事件集合,将此子事件集合加入结果集合中,每个子事件集合都按照时间顺序排列;当遍历结束,获得的结果集合包含多个事件集合,每个事件集合代表一个复杂攻击。
[0022]作为本专利技术的进一步改进,步骤9具体如下:
[0023]对获得的多个复杂攻击的每个事件进行解析,获得事件中的源IP、目的IP、设备名、攻击类型,以及在该复杂攻击中此事件发生的次数;将源IP、目标IP使用节点对象存储,随后对节点进行去重,确保不会存储重复节点;将设备名、攻击类型、攻击次数存到边对象中,就此,获得一个关于此复杂攻击的一个点边集,随后将此点边集存入数据库。
[0024]本专利技术的有益效果是:
[0025]1、本专利技术解决了对车端大量安全事件的关联分析问题,为安全人员提供了直观的复杂攻击展示,安全人员可以以此对系统中的攻击进行较早的察觉。
[0026]2、本专利技术为安全作人员对复杂攻击进行分类,让安全人员可以根据具体的复杂攻击采取针对性措施。
[0027]3、本专利技术使用规则链约束,寻找隐蔽的链状攻击,为安全人员解决复杂链状攻击的识别问题。
附图说明
[0028]图1为本专利技术实施例2的流程图。
具体实施方式
[0029]下面结合附图对本专利技术的实施例进行详细说明。
[0030]实施例1
[0031]一种针对车辆安全事件的关联分析方法,具体步骤包括:
[0032]S1:从车端IDPS系统中获取车辆安全事件,并将所有车辆安全事件在云端进行汇总,以便下一步处理;
[0033]S2:编写关联分析规则。关联分析规则由识别规则链组成,识别规则部分包括:源IP、目的IP、攻击类型、设备名。关联分析规则部分包括:关联分析规则名、复杂攻击危险等级,其中,攻击类型为必填项,其余为可填项。一条关联分析规则至少由两条识别规则组成,识别规则有先后关系;
[0034]S3:将车端数据进行格式化。将车端IDPS检测到的安全事件拆解,重新封装为事件格式,其中包含信息:源IP、目的IP、攻击类型、设备名。封装完成后存入数据库;
[0035]S4:使用流数据处理框架以数据流的形式从数据库中获取步骤S3中得到的车端数据,得到一个事件数据流;
[0036]S5:确保后续事件处理是以单车上发生的事件为基础,将S4中得到的事件数据流根据车辆VIN号进行分组,得到分组后的数据流;
[0037]S6:设置时间窗口,即分析周期。以分析周期长度为窗口长度,将S5中得到的分组后数据流用窗口进行划分,得到划分后的分组数据流;
[0038]S7:从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则。使用获取到的关联分析配置对S6中得到的数据流进行匹配过滤,具体来说,根据以下条件依次进行过滤:攻击类型、设备名、源IP、目的IP。若符合条件,将事件放入一个过滤集合中。如果过滤集合中已本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种针对车辆安全事件的关联分析方法,其特征在于,包括以下步骤:步骤1、从车端IDPS系统中获取车辆安全事件,并将所有车辆安全事件在云端进行汇总;步骤2、编写关联分析规则;步骤3、将车端数据进行格式化;步骤4、使用流数据处理框架以数据流的形式从数据库中获取步骤3中得到的车端数据,得到一个事件数据流;步骤5、确保后续事件处理是以单车上发生的事件为基础,将步骤4中得到的事件数据流根据车辆VIN号进行分组,得到分组后的数据流;步骤6、设置时间窗口,即分析周期;以分析周期长度为窗口长度,将步骤5中得到的分组后数据流用窗口进行划分,得到划分后的分组数据流;步骤7、从数据库中获取现有的所有关联分析配置,每个关联分析配置为一条规则链,一条规则链中包含了多个规则;使用获取到的关联分析配置对步骤6中得到的数据流进行匹配过滤后得到事件集合;步骤8、对步骤7得到的事件集合使用深度优先遍历算法得到事件集合代表的复杂攻击;步骤9、对多个复杂攻击的每个事件进行解析,获得关于对应复杂攻击的一个点边集,随后将此点边集存入数据库;步骤10、将步骤9中获得的点边集与相对应的复杂攻击进行关联,并且存储此关系,保存在复杂攻击对象中;当一个分析周期完成时,将此时已获得的复杂攻击对象存储起来,结束当前时间窗口的处理,并且将当前时间窗口关闭,进入下一个时间窗口,开启新的分析周期,重复以上步骤。2.根据权利要求1所述的针对车辆安全事件的关联分析方法,其特征在于,在步骤2中,所述关联分析规则由识别规则链组成,识别规则部分包括:源IP、目的IP、攻击类型、设备名;关联分析规则部分包括:关联分析规则...
【专利技术属性】
技术研发人员:陈太升,曾凡,熊平海,赵焕宇,宋雪冬,王程,
申请(专利权)人:广东为辰信息科技有限公司,
类型:发明
国别省市:
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。