买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

龙图腾网恭喜珠海横琴跨境说网络科技有限公司申请的专利一种基于知识图谱的网络攻击链还原方法获国家发明授权专利权，本发明授权专利权由国家知识产权局授予，授权公告号为：CN116112211B 。

龙图腾网通过国家知识产权局官网在2025-06-17发布的发明授权授权公告中获悉：该发明授权的专利申请号/专利号为：202211564513.6，技术领域涉及：H04L9/40；该发明授权一种基于知识图谱的网络攻击链还原方法是由蒋风浪;周运贤;吕燕;叶思迪;张郁璇;张轩诚;易大勇设计研发完成，并于2022-12-07向国家知识产权局提交的专利申请。

本一种基于知识图谱的网络攻击链还原方法在说明书摘要公布了：本发明公开了一种基于知识图谱的网络攻击链还原方法及系统，该方法包括以下步骤：知识抽取步骤，解析系统日志以及情报文本，封装为统一格式的JSON文件；告警识别步骤，结合EDR等安全设备识别出日志中的告警信息；安全知识图谱构建步骤，利用日志数据结合外在情报信息对安全知识图谱进行实例化，并在图谱上进行标注告警信息；局部攻击链识别步骤，根据告警信息找到攻击入口点，进一步在安全知识图谱上识别局部攻击链；告警误报消除步骤，利用外在情报信息对告警本身进行评分，从而对局部攻击链打分，并依据专家阈值过滤误报；局部攻击链合并技术，按照局部攻击链的重合实体合并既有攻击链，同时找到不同攻击链间潜在的关联信息。本发明在传统的攻击溯源技术的基础上，引入了知识图谱技术，以增加底层日志中系统实体间交互行为的语义信息，实现了更为精准且可读的攻击链还原。

本发明授权一种基于知识图谱的网络攻击链还原方法在权利要求书中公布了：1.一种基于知识图谱的网络攻击链还原方法，其特征在于，包括如下步骤： 步骤1、知识抽取，获取日志或情报文本中的实体与关系，使用采集Windows系统中的ETW日志、Linux系统中的Auditd日志以及开源的情报与信息； 步骤2、告警识别，使用可疑信息流关联识别方法，识别日志中的告警事件，通过基于专家模型的检测规则库以及EDR工具； 步骤3、安全知识图谱构建，在NoSQL数据库中实例化图谱，使用Neo4j数据库； 步骤4、局部攻击链识别，找到最早的告警作为攻击入口，在图谱的系统实体网络中划分出更准确与小规模的攻击路径，从而生成一个攻击子图； 步骤5、告警误报消除，使用异常路径评分方法，对识别出的局部攻击链进行评分，区分不同攻击链的危险程度与可疑程度，并基于专家经验阈值过滤掉其中可能存在的误报； 步骤6、局部攻击链合并，将存在相同实体或有隐式关联关系的攻击链合并为一条，得到还原后的攻击链； 步骤5中，对单个告警的评分定义为： ThreatScoretechnique＝a*SeverityScore+b*LikelihoodScore其中，SeverityScore与LikelihoodScore分别为CAPECCommonAttackPatternEnumerationandClassification情报包含的两个风险评估指标，根据VeryLow,Low,Medium,High,VeryHigh的级别向1-5进行了量化； 步骤5中，考虑告警事件之间的偏序关系，将依据UKCUnifiedKillChain的战术图来寻找ADPAlertDependencyPath攻击流的子序列，选取其中符合UKC顺序的最长子序列中得分最高的那一个； UKC的评分定义为： 其中，UKCi代表着第i条UKC子链，代表着该子链上的第j个告警事件，代表该子链上的第j个告警事件的评分，lenUKCi代表该子链的长度； 步骤5中，引入惩罚因子来刻画潜在误报对于ADP得分的影响，通过ADP的攻击流中出现的UKC阶段的重复个数来降低得分； 惩罚因子的定义为： 其中，lenADP代表了ADP的长度，ni代表着ADP中第i个UKC步骤对应的告警数量； 步骤5中，ADP的评分为： 其中，是ADP根据UKC模型划分出的所有最长子序列集合。

如需购买、转让、实施、许可或投资类似专利技术，可联系本专利的申请人或专利权人珠海横琴跨境说网络科技有限公司，其通讯地址为：519000 广东省珠海市横琴新区环岛东路1889号(横琴创意谷)17栋17-A2至17-A8,234-245室；或者联系龙图腾网官方客服，联系龙图腾网可拨打电话0551-65771310或微信搜索“龙图腾网”。