[發明專利]一種威脅情報信息處理方法、裝置、設備及存儲介質

在審

• 申請號: 202011496421.X
• 申請日: 2020-12-17
• 公開（公告）號: CN112671744A
• 公開（公告）日: 2021-04-16
• 發明（設計）人: 范如;范淵;楊勃
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06K9/62
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 丁曼曼

1.一種威脅情報信息處理方法，其特征在于，包括：

獲取由第三方平臺產生的外源威脅情報信息；

提取所述外源威脅情報信息在多個目標維度下的外源信息特征；

將各所述外源信息特征輸入至等級分析模型，得到所述外源威脅情報信息的可信度等級；其中，所述等級分析模型基于威脅情報信息樣本的在所述目標維度下的情報信息特征樣本，以及所述威脅情報信息樣本的樣本可信度等級對GBDT模型訓練得到。

2.根據權利要求1所述的威脅情報信息處理方法，其特征在于，所述等級分析模型的生成過程包括：

獲取所述威脅情報信息樣本；

獲取所述威脅情報信息樣本的樣本可信度等級；

提取所述威脅情報信息樣本在所述目標維度下的所述情報信息特征樣本；

將所述情報信息特征樣本輸入至所述GBDT模型；

調整所述GBDT模型的模型參數，直至所述GBDT模型輸出的等級結果與所述樣本可信度等級之間的等級差值在預設差值范圍內，并將調整后的所述GBDT模型設置為所述等級分析模型。

3.根據權利要求1所述的威脅情報信息處理方法，其特征在于，所述方法還包括：

獲取本地系統產生的內源威脅情報信息；

統計所述內源威脅情報信息與所述外源威脅情報信息之間屬性值的相似度；

判斷所述相似度是否達到預設閾值；

若所述相似度達到所述預設閾值，則將所述外源威脅情報信息的可信度等級設置為所述內源威脅情報信息的可信度等級。

4.根據權利要求3所述的威脅情報信息處理方法，其特征在于，所述外源威脅情報信息以及所述內源威脅情報信息的信息格式均為STIX格式；

相應的，所述統計所述內源威脅情報信息與所述外源威脅情報信息之間屬性值的相似度，包括：

統計所述內源威脅情報信息與所述外源威脅情報信息之間，在STIX格式中各屬性維度的屬性值相同的頻次；

基于各所述屬性維度對應的頻次以及權重值生成所述相似度。

5.根據權利要求1至4任意一項所述的威脅情報信息處理方法，其特征在于，所述提取所述外源威脅情報信息在多個目標維度下的外源信息特征，包括：

提取所述外源威脅情報信息在情報可讀性、情報源權威性、相似情報數量、異常IP地址數量、異常域名數量、異常URL數量、異常文本數量、首次出現時間、最近更新時間以及最近預設次更新時刻間隔時長中，任意多個維度下的所述外源信息特征。

6.一種威脅情報信息處理裝置，其特征在于，包括：

外源情報獲取模塊，用于獲取由第三方平臺產生的外源威脅情報信息；

外源特征提取模塊，用于提取所述外源威脅情報信息在多個目標維度下的外源信息特征；

模型分析模塊，用于將各所述外源信息特征輸入至等級分析模型，得到所述外源威脅情報信息的可信度等級；其中，所述等級分析模型基于威脅情報信息樣本的在所述目標維度下的情報信息特征樣本，以及所述威脅情報信息樣本的樣本可信度等級對GBDT模型訓練得到。

7.根據權利要求6所述的威脅情報信息處理裝置，其特征在于，還包括：

樣本獲取模塊，用于獲取所述威脅情報信息樣本；

等級獲取模塊，用于獲取所述威脅情報信息樣本的樣本可信度等級；

特征樣本提取模塊，用于提取所述威脅情報信息樣本在所述目標維度下的所述情報信息特征樣本；

模型輸入模塊，用于將所述情報信息特征樣本輸入至所述GBDT模型；

調參訓練模塊，用于調整所述GBDT模型的模型參數，直至所述GBDT模型輸出的等級結果與所述樣本可信度等級之間的等級差值在預設差值范圍內，并將調整后的所述GBDT模型設置為所述等級分析模型。