[发明专利]建立检测网络威胁模型的方法、装置和存储介质

权利要求书

1.一种建立检测网络威胁模型的方法，其特征在于，包括：

采集网络威胁数据流和网络安全数据流；

通过分析所述网络威胁数据流和所述网络安全数据流之间的区别，建立检测模型；

通过预设检测数据流的检测效率调整所述检测模型的参数和提供机器学习的网络威胁数据流和网络安全数据流；

其中，所述通过分析所述网络威胁数据流和所述网络安全数据流之间的区别，建立检测模型包括：

依据所述网络威胁数据流和所述网络安全数据流的超文本协议对话进行分离，得到所述网络威胁数据流和所述网络安全数据流的超文本协议会话集合；

依据所述网络威胁数据流和所述网络安全数据流的所述超文本协议会话集合进行分离，将每个超文本协议会话对应到一个已知的恶意软件家族或安全流量，其中，所述安全流量包括：家族标识；

依据每个恶意软件家族对应的所述超文本协议会话集合，和所述安全流量对应的所述超文本协议会话集，在每一个超文本协议会话中分离对应的头域信息，获取所述头域信息对应的所述恶意软件家族，和所述安全流量的数据流特征，并依据所有所述恶意软件家族的超文本协议会话集合和所述安全流量的数据流特征得到所述检测模型。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：对所述网络威胁数据流进行净化，并且对所述网络威胁数据流对应的头域集合进行分类，得到编号和建立映射得到对应所述分类的数据流特征。

3.根据权利要求2所述的方法，其特征在于，所述依据所述网络威胁数据流和所述网络安全数据流的所述超文本协议会话集合进行分离，将每个超文本协议会话对应到一个已知的恶意软件家族或安全流量包括：

判断单个超文本协议会话是否属于预存恶意软件家族；其中，所述判断单个超文本协议会话是否属于预存恶意软件家族包括：依据所述单个超文本协议会话中的验证码判断是否属于所述预存恶意软件家族；

对所有超文本协议会话,根据映射，产生网络威胁集群；所有映射到恶意软件家族的所有超文本协议会话属于同一个网络威胁集群，并对所述所有超文本协议会话分配第一分类标识；其中，所述第一分类标识，用于表示所述超文本协议会话集合属于所述恶意软件家族；

或者，

在所有映射到安全流量的所有超文本协议会话属于同一个安全网络流量集群，并对所述网络威胁集群分配第二分类标识；其中，所述第二分类标识，用于表示所述超文本协议会话集合属于所述安全网络集群。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

对所述网络威胁数据流进行净化，对第一分类标识的每个超文本协议会话，如果所述超文本协议会话的HOST或用户代理User-Agent字段是白字段；或者，所述超文本协议会话HOST字段的域名被域名信誉系统标识为白域名，则将所述超文本协议会话从所述网络威胁集群中剔除，并将所述超文本协议会话加入未知网络流量集群，并对所述超文本协议会话添加第三分类标识；其中，所述第三分类标识，用于表示不能判断所述超文本会话是否是威胁网络流量还是安全网络流量；

或者，

若在多个超文本协议会话存在多个HOST或用户代理User-Agent字段，且将所述多个超文本协议会话映射到多个不同的恶意软件家族名称，则将所述HOST或所述用户代理User-Agent字段标为未知，并将所有包含所述HOST或所述用户代理User-Agent字段的超文本协议会话从所述网络威胁集群中剔除，并对所述超文本协议会话添加所述第三分类标识。