[發明專利]一種安全威脅情報的構建方法、裝置、設備和存儲介質

在審

• 申請號: 202011233265.8
• 申請日: 2020-11-06
• 公開（公告）號: CN112347474A
• 公開（公告）日: 2021-02-09
• 發明（設計）人: 彭力揚;李振博;謝冉
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56;G06F11/34;G06K9/62
• 代理公司: 北京英特普羅知識產權代理有限公司 11015
• 代理人: 程超

1.一種安全威脅情報的構建方法，其特征在于，所述方法包括：

獲取用戶在預設時間范圍內的查殺日志；

解析獲取到的所述查殺日志以得到用于評估安全威脅事件的實體；

確定與所述實體關聯的用戶數，并根據確定的所述用戶數，計算任意兩個實體構成的實體對中兩個實體之間的相似度；

將相似度滿足預設相似度閾值的實體劃分為一個實體集；

在檢測到某一實體存在安全威脅時，根據存在安全威脅的實體所在的實體集中的實體構建安全威脅情報。

2.根據權利要求1所述的方法，其特征在于，所述確定與所述實體關聯的用戶數，并根據確定的所述用戶數，計算任意兩個實體構成的實體對中兩個實體之間的相似度的步驟包括：

分別確定與任意兩個實體構成的實體對關聯的第一用戶數，以及與所述實體對中每個實體關聯的第二用戶數；

計算統計出的所述第一用戶數與所述第二用戶數的比值，作為該實體對中兩個實體之間的相似度。

3.根據權利要求1所述的方法，其特征在于，根據存在安全威脅的實體所在的實體集中的實體構建安全威脅情報的步驟包括：

在解析得到的所述實體為病毒樣本時，確定存在安全威脅的病毒樣本所在的病毒樣本集中的病毒樣本；

針對確定的每個所述病毒樣本，確定與該病毒樣本交互的遠程站點；

確定所述遠程站點對應的遠程站點集；

根據確定的所述病毒樣本和所述遠程站點集構建所述安全威脅情報。

4.根據權利要求1所述的方法，其特征在于，根據所述存在安全威脅的實體所在的實體集構建安全威脅情報的步驟包括：

在解析得到的所述實體為遠程站點時，確定存在安全威脅的遠程站點所在的遠程站點集中的遠程站點；

針對確定的每個所述遠程站點，確定與該遠程站點交互的病毒樣本；

確定所述病毒樣本對應的病毒樣本集；

根據確定的所述遠程站點和所述病毒樣本集構建所述安全威脅情報。

5.根據權利要求1所述的方法，其特征在于，所述確定與所述實體關聯的用戶數的步驟包括：

在解析得到的所述實體為病毒樣本時，判斷用戶是否執行了所述病毒樣本；

在用戶執行了所述病毒樣本時，確定用戶與實體存在關聯關系；

根據該關聯關系統計與實體關聯的用戶數。

6.根據權利要求1所述的方法，其特征在于，所述確定與所述實體關聯的用戶數的步驟包括：

在解析得到的所述實體為遠程站點時，判斷用戶是否執行了與所述遠程站點交互的病毒樣本；

在用戶執行了與所述遠程站點交互的病毒樣本時，確定用戶與實體存在關聯關系；

根據該關聯關系統計與實體關聯的用戶數。

7.一種安全威脅情報的構建裝置，其特征在于，所述裝置包括：

獲取模塊，用于獲取用戶在預設時間范圍內的查殺日志；

解析模塊，用于解析獲取到的所述查殺日志以得到用于評估安全威脅事件的實體；

確定模塊，用于確定與所述實體關聯的用戶數；

計算模塊，用于根據確定的所述用戶數，計算任意兩個實體構成的實體對中兩個實體之間的相似度；

劃分模塊，用于將相似度滿足預設相似度閾值的實體劃分為一個實體集；

構建模塊，用于在檢測到某一實體存在安全威脅時，根據存在安全威脅的實體所在的實體集中的實體構建安全威脅情報。

8.根據權利要求7所述的裝置，其特征在于，

所述確定模塊分別確定與任意兩個實體構成的實體對關聯的第一用戶數，以及與所述實體對中每個實體關聯的第二用戶數；

所述計算模塊計算統計出的所述第一用戶數與所述第二用戶數的比值，作為該實體對中兩個實體之間的相似度。

9.一種計算機設備，所述計算機設備包括：存儲器、處理器以及存儲在所述存儲器上并可在所述處理器上運行的計算機程序，其特征在于，所述處理器執行所述計算機程序時實現權利要求1至6任一項所述的方法。

10.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，所述計算機程序被處理器執行時實現權利要求1至6任一項所述的方法。