王 涛，张 淋，邹初建

（杭州迪普信息技术有限公司，浙江 杭州 310051）

0 引 言

信息技术的蓬勃发展带来了机遇，同样也带来了挑战，大量应用系统丰富了我们的生活，由于通过网络攻击可获取更多经济利益，这一结果进一步刺激了网络攻击的泛滥。在网络空间这个战场上，攻防双方的博弈实质上是信息获取能力的对抗，只有获取更多、更全的信息才能制定有效的攻防策略，在攻防博弈中取得优势。作为防守方，需要明确谁攻击了我，用了何种手段，突破点，攻击路径，这便是攻击溯源。通过攻击溯源技术确定攻击源，以制定具有针对性的防护和反制策略，实现主动防御，抑制网络攻击产生的影响。由此可见，攻击溯源在网络攻防战中的重要作用。

攻击溯源技术发展至今，此领域已涌现出大量的溯源方案，如通过挖掘进程、文件与文件名之间的因果依赖关系的BackTracker溯源方案[1]，基于系统日志和应用日志关联溯源的OmegaLog框架[2-4]，基于威胁情报的攻击溯源方案[5]等，但这些溯源技术只是解决了一定场景中的攻击溯源，无法覆盖网络攻击的整个过程或需要大量的人工干预。

本文提出了一种基于大数据技术的攻击溯源方案，该方案用于解决网络攻击的全流程溯源场景。首先，通过对网络流量的采集、业务日志及系统日志收集，以及对主机脆弱性的检测构建网络攻击溯源数据集；其次，对数据集进行单例分析、上下文分析、主机侧与网络侧数据关联分析以及结合主机脆弱性对攻击数据进行分析和降噪；……