[發明專利]一種基于聚合信息確定威脅事件的方法及裝置

有效

• 申請號: 202010982922.2
• 申請日: 2020-09-17
• 公開（公告）號: CN112087465B
• 公開（公告）日: 2021-11-02
• 發明（設計）人: 陳杰;王蘊澎
• 申請（專利權）人: 北京微步在線科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;G06K9/62
• 代理公司: 北京金信知識產權代理有限公司 11225
• 代理人: 喻嶸

1.一種基于聚合信息確定威脅事件的方法，其特征在于，包括：

接收聚合告警信息的觸發事件；其中，所述觸發事件包括設備收到告警信息的條數大于預設閾值；

通過告警信息的預設指標對告警信息進行聚合；

通過聚合后的告警信息確定與告警信息相關的威脅事件；

其中，所述通過告警信息的預設指標對告警信息進行聚合，包括：

獲取具備相同安全外殼協議的告警信息；

獲取具備相同安全外殼協議的告警信息所對應的臨時內存信息；

具備相同安全外殼協議的告警信息所對應的臨時內存信息進行比對，并確定具有相同臨時內存的告警信息之間存在關聯關系；

將存在關聯關系的告警信息進行聚合。

2.如權利要求1所述的方法，其特征在于，還包括：

獲取告警信息的以下至少一條預設指標：

所述告警信息的基礎信息、所述告警信息的安全外殼協議、所述告警信息對應木馬文件的MD5值以及告警信息對應進程的父進程。

3.如權利要求1或2所述的方法，其特征在于，所述通過告警信息的預設指標對告警信息進行聚合，包括：

獲取威脅情報中記錄的各個告警信息的基礎信息；

確定具有至少一項相同基礎信息的告警信息之間存在關聯關系，其中，所述基礎信息包括以下至少一項信息：

告警信息對應的告警名稱、告警信息對應的病毒家族以及告警信息對應的黑客組織；

將存在關聯關系的告警信息進行聚合。

4.如權利要求1或2所述的方法，其特征在于，所述通過告警信息的預設指標對告警信息進行聚合，包括：

獲取告警信息對應的木馬文件中的MD5值；

通過對各告警信息對應的木馬文件中的MD5值進行匹配以確定由同一木馬文件引起的告警信息；

將由同一木馬文件引起的告警信息進行聚合。

5.如權利要求1或2所述的方法，其特征在于，所述通過告警信息的預設指標對告警信息進行聚合，包括：

獲取每條告警信息對應的進程；

對每條告警信息對應的進程進行至少一次回溯操作，以確定每條告警信息對應的進程所指向的父進程；

將指向同一父進程的進程所對應的告警信息進行聚合。

6.一種基于聚合信息確定威脅事件的裝置，其特征在于，包括：

接收模塊，用于接收聚合告警信息的觸發事件；其中，所述觸發事件包括設備收到告警信息的條數大于預設閾值；

聚合模塊，用于通過告警信息的預設指標對告警信息進行聚合；

確定模塊，用于通過聚合后的告警信息確定與告警信息相關的威脅事件；

其中，所述通過告警信息的預設指標對告警信息進行聚合，包括：

獲取具備相同安全外殼協議的告警信息；

獲取具備相同安全外殼協議的告警信息所對應的臨時內存信息；

具備相同安全外殼協議的告警信息所對應的臨時內存信息進行比對，并確定具有相同臨時內存的告警信息之間存在關聯關系；

將存在關聯關系的告警信息進行聚合。

7.如權利要求6所述的裝置，其特征在于，還包括：

獲取模塊，用于獲取告警信息的以下至少一條預設指標：

所述告警信息的基礎信息、所述告警信息的安全外殼協議、所述告警信息對應木馬文件的MD5值以及告警信息對應進程的父進程。

8.如權利要求6或7所述的裝置，其特征在于，所述聚合模塊，包括：

第一獲取子模塊，用于獲取威脅情報中記錄的各個告警信息的基礎信息；

第一確定子模塊，用于確定具有至少一項相同基礎信息的告警信息之間存在關聯關系，其中，所述基礎信息包括以下至少一項信息：

告警信息對應的告警名稱、告警信息對應的病毒家族以及告警信息對應的黑客組織；

第一聚合子模塊，用于將存在關聯關系的告警信息進行聚合。