(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111399665.0 (22)申请日 2021.11.19 (71)申请人 北京安天网络安全技 术有限公司 地址 100195 北京市海淀区玉泉山闵庄路3 号清华科技园 ·玉泉慧谷1号楼地上 一层西侧、 二层(地上两侧) (72)发明人 王杉　卢鹏　 (74)专利代理 机构 北京格允知识产权代理有限 公司 11609 代理人 王文雅 (51)Int.Cl. H04L 9/40(2022.01) H04L 41/142(2022.01) (54)发明名称 网络攻防推演方法、 装置、 计算设备及存储 介质 (57)摘要 本发明提供了一种网络攻防推演方法、 装 置、 计算设备及存储介质， 其中方法包括： 导控 方 基于构建的网络攻防推演地形， 对用于进行网络 攻防推演的推演算子配置对应的算子属性， 形成 推演算子之间的映射关系； 推演算子包括： 信息 资产节点、 安全设备节点、 脆弱性、 凭据、 靶标、 攻 击技术手段和防御技术手段； 攻击方和防守方在 网络攻防推演地形中进行对抗式动态推演， 每当 达到攻击 行动的判定条件时， 由导控 方根据映射 关系生成当前攻击行动的判定结果； 当对抗式动 态推演满足结束条件时， 由导控 方生成网络攻防 推演结果。 本方案， 能够高度还原真实网络攻防 对抗场景中的对抗逻辑， 从而提高了网络攻防推 演的拟真度， 得到的网络攻防推演结果更具有参 考价值。 权利要求书2页 说明书12页 附图2页 CN 114095262 A 2022.02.25 CN 114095262 A 1.一种网络攻防推演方法， 其特 征在于， 包括： 导控方基于构建的网络攻防推演地形， 对用于进行网络攻防推演的推演算子配置对应 的算子属性， 并根据配置的算子属性形成推演算子之间的映射关系； 所述推演算子包括： 信 息资产节点、 安全设备节点、 脆弱性、 凭据、 靶标、 攻击技 术手段和防御技 术手段； 攻击方和防守方在所述网络攻防推演地形中进行对抗式动态推演， 在所述对抗式动态 推演过程中每当达到攻击行动的判定条件时， 由所述导控方根据所述映射关系生成当前攻 击行动的判定结果； 当对抗式动态推演满足结束条件时， 由所述导控方根据每一个攻击行动的判定结果生 成网络攻防推演结果。 2.根据权利要求1所述的方法， 其特征在于， 在所述对抗式动态推演过程中， 由所述导 控方控制向所述攻击方暴露的所述网络攻防推演地形中信息资产 节点的可见范围， 以使 所 述攻击方对所述可 见范围内的信息资产节点进行攻击 。 3.根据权利要求2所述的方法， 其特 征在于， 在所述导控方根据所述映射关系生成当前攻击行动的判定结果之后， 还包括： 根据所 述判定结果对所述当前攻击行动所攻击的信息资产节点的受控状态进行 更新； 所述导控方控制向所述攻击方暴露的所述网络攻防推演地形中信息资产节点的可见 范围， 包括： 所述导控方确定所述网络攻防推演地形中各信 息资产节点的受控状态， 根据 各信息资 产节点的受控状态计算向所述攻击方暴露的所述网络攻防推演地形中信息资产节点的可 见范围。 4.根据权利要求1所述的方法， 其特征在于， 所述攻击技术手段的算子属性包括前置攻 击条件； 所述前置攻击条件包括： 在实施该攻击技术手段之前实施的前序攻击技术手段成 功实施， 和/或， 在实施该攻击技术手段对被攻击信息 资产节点进行攻击之前该被攻击信息 资产节点处于目标受控状态； 在所述导控方根据所述映射关系生成当前攻击行动的判定结果之前， 还 包括： 确定所述当前攻击行动对应实施的目标攻击技 术手段； 确定所述目标攻击技术手段的前置攻击条件是否满足； 若满足， 则执行所述根据所述 映射关系生成当前攻击行动的判定结果； 否则， 生成当前攻击行动未成功的判定结果。 5.根据权利要求4所述的方法， 其特征在于， 在所述确定所述当前攻击行动对应实施的 目标攻击技术手段之后， 确定所述 目标攻击技术手段的前置攻击条件是否满足之前， 还包 括： 确定所述目标攻击技术手段是否为已知攻击技术手段， 若否， 则由导控方手动输入所 述当前攻击行动的判定结果。 6.根据权利要求1 ‑5中任一所述的方法， 其特征在于， 所述导控方根据 所述映射关系生 成当前攻击行动的判定结果， 包括： 确定所述当前攻击行动对应 被攻击的目标信息资产节点； 根据所述映射关系确定对所述目标信息资产节点进行防护的目标安全设备节点； 根据目标安全设备节点的防护能力确定所述当前攻击行动是否被阻断； 若否， 则根据 与所述目标信息资产节点相映射的脆弱性以及所述当前攻击行动对应实施的目标攻击技权　利　要　求　书 1/2 页 2 CN 114095262 A 2术手段的算子属性， 计算所述当前攻击行动的判定结果。 7.根据权利要求1 ‑5中任一所述的方法， 其特征在于， 所述导控方根据每一个攻击行动 的判定结果 生成网络攻防推演结果， 包括： 根据所述映射关系确定与靶标 具有映射关系的关键信息资产节点； 根据每一个攻击行动的判定结果确定每一个关键信息资产节点的受控状态； 根据每一个关键信息资产节点的受控状态确定被获取靶标的关键信息资产节点； 根据预先对被获取靶标的关键信 息资产节点设定的靶标分值， 计算用于表征网络攻防 推演结果的总靶标分值。 8.一种网络攻防推演装置， 其特 征在于， 包括： 导控方， 基于构建的网络攻防推演地形， 对用于进行网络攻防推演的推演算子配置对 应的算子属性， 并根据配置的算子属性形成推演算子之 间的映射关系； 所述推演算子包括： 信息资产节点、 安全设备节点、 脆弱性、 凭据、 靶标、 攻击技 术手段和防御技 术手段； 攻击方和防守方， 分别在所述网络攻防推演地形中进行对抗式动态推演， 在所述对抗 式动态推演过程中每当达到攻击行动的判定条件时， 由所述导控方根据所述映射关系生成 当前攻击行动的判定结果； 所述导控方， 还用于当对抗式动态推演满足结束条件时， 根据每一个攻击行动的判定 结果生成网络攻防推演结果。 9.一种计算设备， 包括存储器和处理器， 所述存储器中存储有计算机程序， 所述处理器 执行所述计算机程序时， 实现如权利要求1 ‑7中任一项所述的方法。 10.一种计算机可读存储介质， 其上存储有计算机程序， 当所述计算机程序在计算机中 执行时， 令计算机执 行权利要求1 ‑7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 114095262 A 3