(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111644219.1 (22)申请日 2021.12.2 9 (71)申请人 北京永信至诚科技股份有限公司 地址 100094 北京市海淀区丰豪东路9号院 6号楼103 (72)发明人 蔡晶晶　陈俊　张凯　程磊　 (74)专利代理 机构 北京天方智力知识产权代理 事务所(普通 合伙) 11719 代理人 路远 (51)Int.Cl. G06F 21/55(2013.01) G06F 21/56(2013.01) G06K 9/62(2022.01) G06V 10/762(2022.01) (54)发明名称 一种蜜罐攻击者的画像分析方法及装置 (57)摘要 本申请公开了一种蜜罐攻击者的画像分析 方法， 该方法可以提取蜜罐攻击设备的特征数 据， 以及对蜜罐攻击设备的特征数据进行整合聚 类处理， 并根据聚类结果确定蜜罐攻击设备的画 像， 这样， 本申请所提供的方法便实现了从攻击 者画像的构建触发， 利用蜜罐攻击设备的特征数 据的聚类结果快速实现蜜罐攻击设备的标签的 定义， 生成了多维度、 多层次的蜜罐攻击者的画 像， 以便于蜜罐安全分析人员全面了解攻击者 (即蜜罐攻击者)态势， 积极主动采取各项安全措 施， 并且， 安全分析人员可以掌控全局， 获得更多 的决策主动权 。 权利要求书2页 说明书12页 附图2页 CN 114398633 A 2022.04.26 CN 114398633 A 1.一种蜜罐攻击者的画像分析 方法， 其特 征在于， 所述方法包括： 获取蜜罐攻击设备的特 征数据； 根据所述特征数据， 生成全局特征图； 其中， 所述全局特征图中的各个节点分别表示所 述特征数据中的各个特 征； 对所述全局特 征图的节点进行聚类， 得到节点聚类结果； 根据所述节点聚类结果， 确定目标节点； 根据所述目标节点对应的特 征， 确定所述蜜罐攻击设备的画像。 2.根据权利要求1所述的方法， 其特 征在于， 所述获取蜜罐攻击设备的特 征数据， 包括： 获取攻击设备的多源数据； 对所述网络安全事件数据和所述主机安全事件数据进行预处理， 得到所述攻击设备的 特征数据。 3.根据权利要求1所述的方法， 其特征在于， 所述特征数据包括所述蜜罐攻击设备的攻 击IP地址、 所述 攻击IP地址的属性； 所述 根据所述特 征数据， 生成全局特 征图， 包括： 将所述蜜罐攻击设备的攻击IP地址、 所述 攻击IP地址的各个属性均 作为节点； 根据各个节点之间的关系类型， 确定各个节点之间的边； 根据所确定的各个节点以及各个节点之间的边， 确定全局特 征图。 4.根据权利要求1所述的方法， 其特征在于， 所述对所述全局特征图的节点进行聚类， 得到节点聚类结果， 包括： 利用Louvain算法对所述全局特 征图的节点进行聚类， 得到若干个社区； 将所述若干个社区作为节点聚类结果。 5.根据权利要求4所述的方法， 其特征在于， 所述根据所述节点聚类结果， 确定目标节 点， 包括： 若社区的模块度大于或等于预设模块度阈值， 则将所述社区中的节点作为目标节点； 若社区的模块度小于所述预设模块度阈值， 采用iForest算法计算所述社区中各个节 点的异常值； 以及， 根据所述社区中各个节点的异常值， 确定所述社区中的目标节点。 6.根据权利要求1所述的方法， 其特征在于， 所述根据所述目标节点对应的特征， 确定 所述蜜罐攻击设备的画像， 包括： 根据所述目标节点对应的特 征， 确定所述蜜罐攻击设备的标签； 根据所述蜜罐攻击设备的标签， 生成所述蜜罐攻击设备的画像。 7.根据权利要求1 ‑6中任一所述的方法， 其特征在于， 所述特征数据包括所述蜜罐攻击 设备的攻击IP地址、 所述攻击IP地址所属国家、 所述攻击IP地址所属省份、 所述攻击IP地址 所属地市、 所述攻击IP地址所属区县、 攻击协议、 攻击端口、 攻击时间、 攻击行为类别、 攻击 阶段、 威胁等级、 攻击结果、 攻击 详情、 被攻击IP地址 。 8.一种蜜罐攻击者的画像分析装置， 其特 征在于， 所述装置包括： 获取单元， 用于获取蜜罐攻击设备的特 征数据； 生成单元， 用于根据所述特征数据， 生成全局特征图； 其中， 所述全局特征图中的各个 节点分别表示所述特 征数据中的各个特 征； 聚类单元， 用于对所述全局特 征图的节点进行聚类， 得到节点聚类结果； 节点确定单 元， 用于根据所述节点聚类结果， 确定目标节点；权　利　要　求　书 1/2 页 2 CN 114398633 A 2画像确定单 元， 用于根据所述目标节点对应的特 征， 确定所述蜜罐攻击设备的画像。 9.一种可读介质， 其特征在于， 所述可读介质包括执行指令， 当电子设备的处理器执行 所述执行指令时， 所述电子设备 执行如权利要求1 ‑7中任一所述的方法。 10.一种电子设备， 其特征在于， 所述电子设备包括处理器以及存储有执行指令的存储 器， 当所述处理器执行所述存储器存储的所述执行指 令时， 所述处理器执行如权利要求 1‑7 中任一所述的方法。权　利　要　求　书 2/2 页 3 CN 114398633 A 3