[發明專利]一種可信威脅情報的物聯網終端安全控制方法以及系統

有效

• 申請號: 202010303940.3
• 申請日: 2020-04-17
• 公開（公告）號: CN111600842B
• 公開（公告）日: 2022-05-17
• 發明（設計）人: 孫歆;孫昌華;戴樺;呂磅;李霽遠;汪自翔;韓嘉佳;李沁園;周輝
• 申請（專利權）人: 國網浙江省電力有限公司電力科學研究院
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511;H04L61/58;G06K9/62;G06N3/04;G06N3/08;G16Y40/10;G16Y40/35;G16Y40/50
• 代理公司: 浙江翔隆專利事務所(普通合伙) 33206
• 代理人: 許守金

1.一種可信威脅情報的物聯網終端安全控制方法，其特征在于，

主要包括以下步驟：

第一步，探測服務器向被檢測DNS服務器發送緩存探測請求；

第二步，從可信威脅情報庫獲取待探測域名列表；

第三步，對DNS緩存進行探測，通過在DNS請求數據包中設置關閉遞歸查詢標志位，再從待探測域名列表中獲取域名后向被檢測DNS服務器發送緩存查詢請求，并記錄和處理探測結果；

如果探測結果發現，被檢測DNS服務器存在威脅域名以及惡意程序，則進行第四步；

否則進行第七步；

第四步，對探測到的存在威脅域名以及惡意程序的情報，利用機器算法進行威脅情報可信評估，進而區分是可信情報還是不可信威脅情報，如果是可信情報，則進行第五步；

否則進行第七步；

威脅情報可信評估主要包括有情報采集、情報家族構建、情報存儲、情報知識庫、情報可信分析和情報數據交互；

第五步，通過一系列緩存更新時間來計算出DNS查詢的總平均速率；

通過對DNS查詢的到達間隔時間進行建模得到單個主機發送域名S的DNS查詢速率；

根據DNS查詢的總平均速率和單個主機發送域名S的DNS查詢速率來估測訪問域名的主機數量；

第六步，進而評估出一段時間內網絡中有多少終端訪問了某一個威脅域名，或是感染了同類的惡意程序；

第七步，當前網絡環境安全，繼續對網絡中威脅域名和惡意程序威脅態勢進行監控、評估、預警。

2.如權利要求1所述的一種可信威脅情報的物聯網終端安全控制方法，其特征在于，

所述第一步，在網絡中架設緩存檢測服務器并進行抓包，探測服務器首先向緩存檢測服務器發送約定過的DNS請求數據，如緩存檢測服務器接收到由探測服務器發送的約定過的DNS請求數據后，則判斷通信鏈路中不存在運營商DNS緩存劫持，進而探測服務器向被檢測DNS服務器發送緩存探測請求；

如緩存檢測服務器在單位時間內未能收到約定的DNS請求數據，緩存檢測服務器則通知探測服務器存在運營商DNS緩存劫持，此時緩存探測服務器將開啟全局代理模式，通過預設的無運營商DNS緩存劫持鏈路向被檢測DNS服務器發送緩存探測請求。

3.如權利要求1所述的一種可信威脅情報的物聯網終端安全控制方法，其特征在于，

所述第四步，所述機器算法為TransE算法和RNN算法；利用TransE算法和RNN算法來區分可信情報和不可信威脅情報，從而達到威脅情報置信度判斷。

4.如權利要求3所述的一種可信威脅情報的物聯網終端安全控制方法，其特征在于，

可信威脅情報判斷實現步驟如下：

步驟1：對多個共享平臺的威脅情報文檔進行分析和數據預處理，劃分訓練樣本和測試樣本集；

步驟2：將威脅情報轉化為三元組結構化數據，從時間、內容和領域知識三個維度，結合TransE計算方法提取特征向量，構造輸入特征空間中；

步驟3：訓練集通過非監督貪婪逐層方法預訓練，其中RNN算法逐層進行訓練，得到每一層的參數用于初始化，頂層設置BP網絡，通過反向傳播網絡將誤差自頂向下傳播，微調整個TransE網絡直至收斂，得到基于TransE算法和RNN算法結合的可信判別分類器；

步驟4：將得到的特征空間輸入到可信判別分類器中，得到威脅情報的二分類可信判別結果。

5.如權利要求1所述的一種可信威脅情報的物聯網終端安全控制方法，其特征在于，

所述第五步，緩存的更新時間被記錄在一個一維數組中，對數組中所有元素，計算數組后一個元素和前一個元素之間的差，并對這些差值求和。