万 抒，冯中华，余文杰，裴 华

（中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引言

近年来，利用安全大数据分析技术发现网络攻击链中的各类恶意行为及其关联关系，逐步实现攻击链的复盘分析，一直是网络安全领域的难点问题。针对上述问题，本文提出如何构建一个层次清晰、机制完善的安全大数据融合分析架构，支持不同维度、不同类型安全数据的融合分析，通过各类安全大数据分析模型能够发现安全威胁或风险之间的关联和因果关系，进一步实现威胁图谱构建和攻击链复盘分析等能力。

1 相关工作

近年来，学术界和工业界提出了多种类型的网络攻击模型。业界一般采用攻击链模型，也称为杀伤链模型（Cyber-Kill-Chain）。它是一种基于网络攻击全生命周期的模型[1]，将网络攻击划分为目标侦察、武器化、交付和投递、外部利用、安装、命令和控制以及恶意活动7 个阶段[2]。

针对攻击链的复盘分析，平国楼等人提出了网络攻击模型生命线的分析机制[3]，刘文彦等人提出了针对网络攻击链的关联分析机制[4]。但上述机制均没有涉及安全大数据分析架构和运行机制方面的设计，未提出不同维度、不同类型安全数据的融合分析机制，也没有提出安全大数据融合分析机制和攻击链复盘分析机制的支撑关系。

2 总体模型设计

为了解决针对广域化、复杂化、组合性网络攻击链的分析和复盘问题，本文提出了一种安全大数据多维融合分析模型。首先，从病毒木马、系统漏洞、系统窃权、数据泄露、用户违规行为、网络攻击行为以及网络异常行为等维度进行独立分析，发现各个维度存在的安全威胁或安全风险；……