[发明专利]威胁情报有效性评估方法、装置、系统及计算机存储介质

说明书

本发明实施例公开了一种威胁情报有效性评估方法、装置、系统及计算机存储介质，其中，方法包括：获取威胁情报以及其信誉值影响因素，信誉值影响因素包括情报源以及其它信誉值影响因素；根据所述情报源确定所述威胁情报的基础信誉值，并根据所述其它信誉值影响因素确定所述威胁情报的修正信誉值；根据基础信誉值以及各修正信誉值确定威胁情报的信誉值；将所述威胁情报的特征向量输入到有效性预测模型中，以对所述威胁情报进行老化预测，得到所述威胁情报的有效性；其中，所述特征向量包括：威胁情报的信誉值、情报命中次数、情报准确性信息、情报发布次数、情报相关事件次数以及情报最后发布时间和当前时间的时间差，提高了威胁情报有效性的评估准确性，降低了误报率。

技术领域

本发明涉及数据安全技术领域，尤其涉及一种威胁情报有效性评估方法、装置、系统及计算机存储介质。

背景技术

威胁情报是某种基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持。

现有技术中，使用情报数据时并无统一的威胁情报信誉值评估机制和老化机制对情报数据进行评价，造成威胁情报数据存在有效性低、准确性低的问题。专利CN111212049A提供了一种威胁情报IOC信誉度分析方法，基于分析结果建立网络威胁行为活动和社区，对威胁情报进行信誉度分析，并间隔预设时间对建立的模型进行动态调优，此专利方法解决了目前市场中存在大量威胁情报源数据不准确、威胁情报缺乏失效机制，使得无论是收集第三方开源数据源，还是对自有设备中流量分析都能进行信誉度评价，体系可以随时间动态调整模型结构，确保数据失效机制。但是该方法未对情报数据的老化机制进行详细定义，未彻底解决情报数据不准确的问题。该问题不解决，则客户在使用威胁情报进行安全威胁检测时容易造成数据误报。

针对上述威胁情报的有效性确定准确度不高的问题，目前还没有出现一种有效的解决方法。

发明内容

为解决上述问题，本发明提供一种威胁情报有效性评估方法、装置、系统及计算机存储介质，综合各信誉值影响因素确定威胁情报的信誉值，再根据威胁情报的信誉值与情报特征预测威胁情报的有效性，以解决现有技术中威胁情报的有效性确定准确度不高的问题。

为达到上述目的，一方面，本发明提供了一种威胁情报有效性评估方法，包括：获取威胁情报以及其信誉值影响因素，所述信誉值影响因素包括情报源以及其它信誉值影响因素；根据所述情报源确定所述威胁情报的基础信誉值，并根据所述其它信誉值影响因素确定所述威胁情报的修正信誉值；根据所述基础信誉值以及所述修正信誉值确定所述威胁情报的信誉值；将所述威胁情报的特征向量输入到有效性预测模型中，以对所述威胁情报进行老化预测，得到所述威胁情报的有效性；其中，所述特征向量包括：威胁情报的信誉值、情报命中次数、情报准确性信息、情报发布次数、情报相关事件次数以及情报最后发布时间和当前时间的时间差。

进一步可选的，所述将所述威胁情报的特征向量输入到有效性预测模型中之前，包括：获取威胁情报训练集以及威胁情报测试集；提取所述威胁情报训练集中每个威胁情报的特征向量与有效性标签；提取所述威胁情报测试集中每个威胁情报的特征向量与有效性标签； 将所述威胁情报训练集中每个威胁情报的特征向量以及有效性标签输入至XGBoost模型进行训练，得到初始有效性预测模型；将所述威胁情报测试集中每个威胁情报的特征向量以及有效性标签输入至所述初始有效性预测模型中，并根据预测结果修正所述初始有效性预测模型，得到所述有效性预测模型。