[發(fā)明專利]網絡安全情報威脅度的檢測方法、裝置和電子裝置

有效

• 申請?zhí)枺?/td>: 202010782330.6
• 申請日: 2020-08-06
• 公開（公告）號: CN112019519B
• 公開（公告）日: 2023-04-07
• 發(fā)明（設計）人: 溫延龍;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 杭州華進聯(lián)浙知識產權代理有限公司 33250
• 代理人: 聶磊

1.一種網絡安全情報威脅度的?檢測方法，其特征在于包括：

從多個數(shù)據(jù)源獲取網絡安全情報數(shù)據(jù)；

從所述網絡安全情報數(shù)據(jù)中提取多個網絡安全情報的特征，并整合所述多個網絡安全情報中第一網絡安全情報的特征，得到所述第一網絡安全情報的特征信息；

通過網絡安全情報置信度評估模型處理所述第一網絡安全情報的特征信息，得到所述第一網絡安全情報的第一置信度，其中，所述網絡安全情報置信度評估模型是被訓練為根據(jù)網絡安全情報的特征信息評估網絡安全情報屬于威脅情報的置信度的機器學習模型；

通過以下方式獲取所述第一網絡安全情報的第二置信度：在預設沙箱中運行所述第一網絡安全情報的特征信息中的惡意文件，并根據(jù)所述惡意文件是否存在惡意通信行為確定所述第一網絡安全情報的第三置信度；在預設情報庫中匹配所述第一網絡安全情報，并根據(jù)匹配結果確定所述第一網絡安全情報的第四置信度；根據(jù)所述第一網絡安全情報的特征信息中的發(fā)現(xiàn)時間，根據(jù)所述第一網絡安全情報是否為失效情報確定所述第一網絡安全情報的第五置信度；所述第二置信度為所述第三置信度、所述第四置信度以及所述第五置信度的和；

根據(jù)所述第一置信度和所述第二置信度，判斷所述第一網絡安全情報是否為威脅情報；

在所述第一網絡安全情報為威脅情報的情況下，將所述第一網絡安全情報存儲至威脅情報數(shù)據(jù)庫。

2.根據(jù)權利要求1所述的網絡安全情報威脅度的檢測方法，其特征在于，通過網絡安全情報置信度評估模型處理所述第一網絡安全情報的特征信息，得到所述第一網絡安全情報的第一置信度包括：

分別從所述多個數(shù)據(jù)源獲取所述第一網絡安全情報的輔助信息，其中，所述輔助信息包括以下至少之一：IP位置、域名的關聯(lián)子域名、域名的備案信息、IP關聯(lián)的域名信息；

在預設白名單庫中匹配所述輔助信息；

在所述預設白名單庫中未匹配到所述輔助信息的情況下，通過網絡安全情報置信度評估模型處理所述第一網絡安全情報的特征信息，得到與所述第一網絡安全情報的特征信息對應的第一置信度。

3.根據(jù)權利要求2所述的網絡安全情報威脅度的檢測方法，其特征在于，所述方法還包括：

在所述預設白名單庫中匹配到所述輔助信息的情況下，將所述第一網絡安全情報標記為安全情報。

4.根據(jù)權利要求1所述的網絡安全情報威脅度的檢測方法，其特征在于，根據(jù)所述第一置信度和所述第二置信度，判斷所述第一網絡安全情報是否為威脅情報包括：

確定所述第一置信度和所述第二置信度的加權和，得到所述第一網絡安全情報的第六置信度；

在所述第一網絡安全情報的第六置信度高于預設值的情況下，確定所述第一網絡安全情報為威脅情報。

5.根據(jù)權利要求1至4中任一項所述的網絡安全情報威脅度的檢測方法，其特征在于，在從多個數(shù)據(jù)源獲取網絡安全情報數(shù)據(jù)之后，所述方法還包括：

將所述網絡安全情報數(shù)據(jù)進行標準化處理，得到標準化處理后的網絡安全情報數(shù)據(jù)。