[發(fā)明專利]基于統(tǒng)計(jì)學(xué)習(xí)的威脅情報(bào)利用與繁殖方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201811227305.0
• 申請(qǐng)日: 2018-10-22
• 公開（公告）號(hào): CN109462578B
• 公開（公告）日: 2022-01-11
• 發(fā)明（設(shè)計(jì)）人: 王志;楊帆;李昊潤(rùn);林美含;楊晨煜;劉新慧
• 申請(qǐng)（專利權(quán)）人: 南開大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 天津耀達(dá)律師事務(wù)所 12223
• 代理人: 侯力

1.基于統(tǒng)計(jì)學(xué)習(xí)的威脅情報(bào)利用與繁殖方法，其特征在于，包括：

第1、基本概念：

(1)威脅情報(bào)：是通過大數(shù)據(jù)、分布式系統(tǒng)獲取的，包括漏洞、威脅、特征、行為的一系列證據(jù)的知識(shí)集合及可操作性建議；

(2)不一致度量函數(shù)：是通過得分來評(píng)價(jià)待測(cè)樣本與已知樣本集合不一致性的函數(shù)；

描述一個(gè)樣本與一組已知樣本的不一致性，輸入是一組已知樣本和一個(gè)測(cè)試樣本，輸出是一個(gè)數(shù)值，也叫做不一致性得分，得分越高，說明待測(cè)樣本與該組樣本越不一致，得分越低，說明待測(cè)樣本與該組樣本越一致；

(3)基于閾值的檢測(cè)模型：是依據(jù)不一致度量函數(shù)給出待測(cè)樣本得分，將之與固定閾值比較，給出預(yù)測(cè)結(jié)果的模型；

(4)P-Value：是衡量當(dāng)前樣本在已知樣本集合中顯著度的統(tǒng)計(jì)量，用于多模型預(yù)測(cè)結(jié)果可信度的比較；

(5)基于Conformal Prediction的統(tǒng)計(jì)學(xué)習(xí)算法：是將檢測(cè)模型根據(jù)不一致度量函數(shù)計(jì)算的樣本得分作為輸入，通過計(jì)算得分高于或等于被檢測(cè)樣本得分的樣本數(shù)量與總數(shù)的比值得到樣本P-Value的算法；

第2、多模型不一致得分的計(jì)算，包括如下步驟：

第2.1步、提取特征矩陣

第2.1.1、設(shè)定不同的特征集合，對(duì)威脅情報(bào)提取出每個(gè)特征的特征值f；

第2.1.2、將威脅情報(bào)的所有特征值組成特征向量V(f₁,f₂,...f_n)，將多個(gè)特征向量值組成特征矩陣C(V₁,V₂,...V_n)；

第2.2步、計(jì)算不一致得分

第2.2.1、每一個(gè)異構(gòu)的檢測(cè)模型，對(duì)待測(cè)樣本x，能根據(jù)情報(bào)庫(kù)樣本集合T，利用不一致度量函數(shù)g，計(jì)算出不一致得分α；異構(gòu)模型給出的不一致得分之間不具有可比較性，不能根據(jù)不一致得分，來直接對(duì)比模型預(yù)測(cè)結(jié)果的質(zhì)量；

第2.2.2、不一致度量的輸入：情報(bào)庫(kù)樣本集合T、待測(cè)樣本集合X、不一致度量函數(shù)集合G：

①情報(bào)庫(kù)樣本集合T：包含n個(gè)情報(bào)庫(kù)樣本t_i，i∈{1,2,…,n},T＝{t₁,…,t_n}；

②待測(cè)樣本集合X：包含n’個(gè)待測(cè)樣本x_j,j∈{1,2,…,n’},X＝{x₁,…,x_n’}；

③不一致度量函數(shù)集合G：包含m個(gè)不一致度量函數(shù)g_k,k∈{1,2,…,m},G＝{g₁,…,g_m}；該函數(shù)集合的輸入均為一個(gè)待測(cè)樣本和情報(bào)庫(kù)樣本集合T，返回值均為一個(gè)實(shí)數(shù)，該實(shí)數(shù)表明待測(cè)樣本與情報(bào)庫(kù)中已知樣本的不一致性；

第2.2.3、不一致度量的輸出：待測(cè)樣本的不一致得分集合；

第3、基于統(tǒng)計(jì)學(xué)習(xí)的威脅情報(bào)利用與繁殖方法，包括如下步驟：

第3.1步、計(jì)算P-Value

第3.1.1、每個(gè)檢測(cè)模型將對(duì)待測(cè)樣本x進(jìn)行不一致度量得到對(duì)應(yīng)的不一致得分α，多個(gè)檢測(cè)模型從不同角度對(duì)待測(cè)樣本x進(jìn)行度量，得到不一致得分集合{α₁,α₂,…,α_m}；

第3.1.2、將待測(cè)樣本x的不一致得分α放入黑名單情報(bào)庫(kù)樣本的不一致得分集合中，黑名單中P-Value值P_{nj_m}是小于或等于該待測(cè)樣本x不一致得分的黑名單情報(bào)庫(kù)樣本數(shù)量與總數(shù)的比值；將待測(cè)樣本x的不一致得分α放入白名單情報(bào)庫(kù)樣本的不一致得分集合中，白名單中P-Value值P_{nj_b}是高于或等于該待測(cè)樣本x不一致得分的白名單情報(bào)庫(kù)樣本數(shù)量與總數(shù)的比值；

第3.1.3、P-Value值越大說明該待測(cè)樣本x在白名單或黑名單中的顯著度越高；不同檢測(cè)模型中，待測(cè)樣本x的所有P_{nj_m}和P_{nj_b}是可以比較的；

第3.2步、基于統(tǒng)計(jì)學(xué)習(xí)預(yù)測(cè)待測(cè)樣本

第3.2.1、若P-Value值取值于P_{nj_m}的最大值，則預(yù)測(cè)該待測(cè)樣本x為惡意樣本；若P-Value值取值于P_{nj_b}的最大值，則預(yù)測(cè)該待測(cè)樣本x為正常樣本；

第3.2.2、輸入：可接受最大出錯(cuò)概率ε，由用戶提供，表明用戶能夠接受的最大出錯(cuò)概率；

第3.2.3、輸出：預(yù)測(cè)結(jié)果；

第3.2.4、算法流程：

第3.3步、基于時(shí)間窗的情報(bào)繁殖

采用滑動(dòng)時(shí)間窗對(duì)情報(bào)庫(kù)進(jìn)行繁殖，根據(jù)待測(cè)樣本的檢測(cè)在時(shí)間軸上的分布密度和檢測(cè)時(shí)長(zhǎng)設(shè)定滑動(dòng)時(shí)間窗；時(shí)間窗的設(shè)定能夠快速吸收新發(fā)現(xiàn)的威脅情報(bào)，并依據(jù)遺忘規(guī)則有效遺忘時(shí)間窗外的過期情報(bào)；

在待測(cè)樣本的時(shí)間窗內(nèi)，其P-Value值是基于上一個(gè)時(shí)間窗的情報(bào)庫(kù)的樣本集合計(jì)算得到的；在一個(gè)時(shí)間窗內(nèi)，若待測(cè)樣本被判斷為惡意，同時(shí)在用戶可接受的最大出錯(cuò)概率內(nèi)，可將該待測(cè)樣本吸收進(jìn)情報(bào)庫(kù)，實(shí)現(xiàn)威脅情報(bào)的繁殖；

在當(dāng)前時(shí)間窗結(jié)束后，下一個(gè)時(shí)間窗開始前，遺忘新時(shí)間窗之外的過期威脅情報(bào)，對(duì)新的威脅情報(bào)庫(kù)重新建模。