(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111409678.1 (22)申请日 2021.11.19 (71)申请人 杭州安恒信息技 术股份有限公司 地址 310000 浙江省杭州市滨江区西兴街 道联慧街18 8号 (72)发明人 王志远　范渊　刘博　 (74)专利代理 机构 北京集佳知识产权代理有限 公司 11227 代理人 冯海刚 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种勒索病毒传播路径的确定方法、 装置、 设备及介质 (57)摘要 本申请公开了一种勒索病毒传播路径的确 定方法， 通过该方法来对勒索病毒进行检测， 不 仅不需要依赖于专家系统的训练数据， 而且， 也 不需要依赖于病毒文件的有效捕获以及已知威 胁情报的数据特征， 而是直接通过对目标安全网 络的网络流量镜像所蕴含的特征数据进行分析 来确定勒索病毒及其传播路径， 所 以， 通过该方 法就可以准确识别出安全网络中的勒索病毒以 及勒索病毒的传播路径。 相应的， 本申请所提供 的一种勒索病毒传播路径的确定装置、 设备及介 质， 同样具有上述有益效果。 权利要求书2页 说明书7页 附图3页 CN 114157465 A 2022.03.08 CN 114157465 A 1.一种勒索病毒传播路径的确定方法， 其特 征在于， 包括： S11： 对目标安全网络的网络流 量镜像进行解析， 得到访问有向图； S12： 对所述访问有向图中目的端口为445端口的访问进行统计， 得到访问统计结果， 并 从所述访问统计结果中筛 选符合预设筛 选条件的目标访问源； S13： 利用图遍历算法确定所述目标访问源的所有访问路径， 得到访问路径集 合； S14： 在所述访问路径集合中， 对访问资产在各个访问路径上出现的概率进行统计， 得 到当前时刻的资产分布概 率向量； S15： 在预设时长后， 重复执行S11至S14， 并计算当前时刻与前一时刻的资产分布概率 向量之间的欧氏距离； 其中， 当前时刻与前一时刻的间隔时长为所述预设时长； S16： 重复执行S11至S15， 直至得到由N个欧氏距离组成的目标距离集合， 并根据所述目 标距离集 合中的所有欧氏距离拟合 生成目标置信区间； N≥3； S17： 若所述目标距离集合中存在欧氏距离大于所述目标置信区间的目标欧氏距离， 则 判定所述目标安全网络中存在勒索病毒； S18： 重复执 行S11至S13， 以获取 所述勒索病毒的传播路径。 2.根据权利要求1所述的确定方法， 其特征在于， 所述判定所述目标安全 网络中存在勒 索病毒的过程之后， 还 包括： 提示报警信息 。 3.根据权利要求1所述的确定方法， 其特征在于， 所述若所述目标距离集合中存在欧氏 距离大于所述目标置信区间的目标欧氏距离， 则判定所述目标安全网络中存在勒索病毒的 过程， 包括： 对所述目标距离集 合中的欧氏距离进行时序异常检测， 得到目标检测结果； 若根据所述目标检测结果判定出所述目标距离集合中存在欧氏距离大于所述目标置 信区间的所述目标欧氏距离， 则判定所述目标安全网络中存在所述勒索病毒。 4.根据权利要求3所述的确定方法， 其特征在于， 所述对所述目标距离集合中的欧氏距 离进行时序异常检测的过程， 包括： 利用ARIMA算法对所述目标距离集 合中的欧氏距离进行时序异常检测。 5.根据权利要求1至4任一项所述的确定方法， 其特征在于， 所述对目标安全网络的网 络流量镜像进行解析， 得到访问有向图的过程， 包括： 对所述目标安全网络的所述网络流量镜像进行解析， 得到源IP地址、 目的IP地址、 源端 口和目的端口； 利用所述源IP地址、 所述目的IP地址、 所述源端口和所述目的端 口生成所述访问有向 图。 6.根据权利要求5所述的确定方法， 其特征在于， 所述对所述目标安全 网络的所述网络 流量镜像进行解析的过程， 包括： 利用NetFl ow对所述目标安全网络的所述网络流 量镜像进行解析。 7.一种勒索病毒传播路径的确定装置， 其特 征在于， 包括： 流量解析模块， 用于执行S11： 对目标安全网络的网络流量镜像进行解析， 得到访问有 向图； 访问统计模块， 用于执行S12： 对所述访问有向图中目的端 口为445端 口的访问进行统权　利　要　求　书 1/2 页 2 CN 114157465 A 2计， 得到访问统计结果， 并从所述访问统计结果中筛 选符合预设筛 选条件的目标访问源； 路径确定模块， 用于执行S13： 利用图遍历算法确定所述目标访问源的所有访问路径， 得到访问路径集 合； 概率统计模块， 用于执行S14： 在所述访问路径集合中， 对访问资产在各个访问路径上 出现的概 率进行统计， 得到当前时刻的资产分布概 率向量； 距离计算模块， 用于执行S15： 在 预设时长后， 重复执行S11至S14， 并计算当前 时刻与前 一时刻的资产分布概率向量之间的欧氏距离； 其中， 当前时刻与前一时刻的间隔时长为所 述预设时长； 集合生成模块， 用于执行S16： 重复执行S11至S15， 直至得到由N个欧氏距离组成的目标 距离集合， 并根据所述目标距离集 合中的所有欧氏距离拟合 生成目标置信区间； N≥3； 病毒判定模块， 用于执行S17： 若所述目标距离集合中存在欧氏距离大于所述目标置信 区间的目标欧氏距离， 则判定所述目标安全网络中存在勒索病毒； 路径确定模块， 用于执 行S18： 重复执 行S11至S13， 以获取 所述勒索病毒的传播路径。 8.一种勒索病毒传播路径的确定设备， 其特 征在于， 包括： 存储器， 用于存 储计算机程序； 处理器， 用于执行所述计算机程序时实现如权利要求1至6任一项所述的一种勒索病 毒 传播路径的确定方法的步骤。 9.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质上存储有计算机 程序， 所述计算机程序被处理器执行时实现如权利要求 1至6任一项 所述的一种勒索病毒传 播路径的确定方法的步骤。权　利　要　求　书 2/2 页 3 CN 114157465 A 3