[發明專利]基于情報共享的網絡威脅協同防御系統及方法

有效

• 申請號: 202010854977.5
• 申請日: 2020-08-24
• 公開（公告）號: CN112217626B
• 公開（公告）日: 2022-11-18
• 發明（設計）人: 郭淵博;方晨;琚安康;李濤
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L9/08;H04L9/40
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 周艷巧

1.一種基于情報共享的網絡威脅協同防御系統，其特征在于，包含：中心服務器和若干安全機構，其中，

若干安全機構，基于各自本地威脅情報數據庫訓練入侵檢測模型，并對模型更新參數加密處理后將密文上傳至中心服務器；

中心服務器，聚合接收到的密文通過解密獲取全局模型更新參數，并將其廣播給所有安全機構，以更新各安全機構本地入侵檢測模型。

2.根據權利要求1所述的基于情報共享的網絡威脅協同防御系統，其特征在于，還包含：迭代控制模塊，通過設置入侵檢測模型訓練的循環迭代條件來觸發各安全機構及中心服務器在每輪訓練中反復執行迭代更新過程，以獲取用于確定最終入侵檢測模型的收斂后的模型全局參數。

3.根據權利要求1所述的基于情報共享的網絡威脅系統防御系統，其特征在于，所述安全機構至少包含2個。

4.一種基于情報共享的網絡威脅協同防御方法，其特征在于，基于權利要求1所述的基于情報共享的網絡威脅協同防御系統實現，實現過程包含如下內容：

中心服務器初始化入侵檢測模型參數并分發給各安全機構；

通過設置循環條件來迭代執行模型參數更新過程，模型參數更新過程為：各安全機構基于各自的本地威脅情報數據庫訓練入侵檢測模型，并對模型更新參數加密處理后將密文上傳至中心服務器；中心服務器聚合接收到的密文，通過解密獲取全局模型更新參數，并將其廣播給所有安全機構，以各安全機構更新本地入侵檢測模型參數；

滿足循環條件后，獲取用于確定最終入侵檢測模型的收斂后的全局模型參數；

在各安全機構和中心服務器中部署并更新最終入侵檢測模型，以檢測網絡中攻擊行為。

5.根據權利要求4所述的基于情報共享的網絡威脅協同防御方法，其特征在于，各安全機構將模型更新參數上傳至中心服務器時，依據模型更新參數是否偏離模型全局收斂趨勢來移除不相關的本地更新。

6.根據權利要求4或5所述的基于情報共享的網絡威脅協同防御方法，其特征在于，在各安全機構上傳模型更新參數時，利用梯度空間稀疏化方法移除不相關本地更新，具體包含如下內容：設定用于表征各安全機構的本地模型更新優化方向的正負值符號；利用正負值符號判定各安全機構本地模型更新是否遵循全局優化方向，并衡量本地模型更新的相關性；依據相關性衡量結果來阻止不相關的本地模型更新上傳至中心服務器。

7.根據權利要求6所述的基于情報共享的網絡威脅協同防御方法，其特征在于，衡量本地模型更新的相關性過程中，設定全局更新閾值，依據上一輪循環中模型訓練的全局更新參數及安全機構在當前循環中模型訓練的本地更新參數來計算當前循環中安全機構本地更新的相關性；當該相關性小于全局更新閾值時，則視為不相關，阻止相關參數更新上傳至中心服務器。

8.根據權利要求4所述的基于情報共享的網絡威脅協同防御方法，其特征在于，模型參數更新過程中，結合秘密共享和同態加密隱藏單個安全機構的模型更新參數。

9.根據權利要求8所述的基于情報共享的網絡威脅協同防御方法，其特征在于，中心服務器初始化模型參數中，可信權威為各安全機構生成所需密鑰；安全機構對模型更新參數采用同態加密處理后上傳；中心服務器解密密文時，在至少m個安全機構的協作下進行解密，以獲取全局模型更新參數，其中，m小于或等于安全機構總數。

10.根據權利要求8所述的基于情報共享的網絡威脅協同防御方法，其特征在于，當前循環中，假設中心服務器接收到k個安全機構上傳的密文，k小于或等于安全機構總數；服務器基于加法同態性質聚合接收到的密文，并根據密碼共享協議在至少m個安全機構協作下解密密文得到全局模型更新參數，m小于等于k。