[发明专利]一种基于内生安全的威胁情报获取方法及装置

说明书

本申请公开了一种基于内生安全的威胁情报获取方法及装置，包括：获取多个情报源的情报数据。基于情报源对应的威胁情报模板，从多个情报源的情报数据中进行威胁情报抓取，获取待处理威胁情报。对待处理威胁情报进行数据预处理，获取处理后的威胁情报。对处理后的威胁情报进行冲突检测，获取存在冲突的至少两个威胁情报。进而对存在冲突的至少两个威胁情报进行冲突处理，获取冲突处理后的威胁情报。本申请提供了一种从多个情报源中提取并融合威胁情报的方法，基于情报源对应的威胁情报模板，对多个情报源中的情报数据进行威胁情报提取后，进行了威胁情报数据预处理和冲突处理，使得最终融合获得的威胁情报更加标准化，获得的威胁情报质量更高。

技术领域

本申请涉及互联网安全技术领域，尤其涉及一种基于内生安全的威胁情报获取方法及装置。

背景技术

威胁情报为基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，用于为企业或机构对威胁的响应或处理决策提供信息支持。例如，产生安全性威胁的域名可作为威胁情报。威胁情报生动的表达了内生体系下数据驱动安全的特点，安全内生要做到情报先行。

情报库存储威胁情报并应用威胁情报，是提供威胁情报的一个常见来源，可被称为情报源。越来越多的企业将情报库中的威胁情报加入到企业的安全保护网中。

在实际应用中，企业会获取多个不同的情报源，并利用威胁情报平台获取多个情报源中的威胁情报。但是，目前获取的多个情报源的内容参差不齐，如何对多个情报源进行数据融合是亟待解决的问题。

发明内容

为了解决上述技术问题，本申请提供了一种基于内生安全的威胁情报获取方法及装置，用于对多个情报源进行自动数据融合处理，以获取质量更好的威胁情报。

为了实现上述目的，本申请实施例提供的技术方案如下：

本申请实施例提供一种基于内生安全的威胁情报获取方法，所述方法包括：

获取多个情报源的情报数据；

基于情报源对应的威胁情报模板，从多个所述情报源的情报数据中进行威胁情报抓取，获取待处理威胁情报；

对所述待处理威胁情报进行数据预处理，获取处理后的威胁情报；

对所述处理后的威胁情报进行冲突检测，获取存在冲突的至少两个威胁情报；

对所述存在冲突的至少两个威胁情报进行冲突处理，获取冲突处理之后的威胁情报。

可选地，所述对所述存在冲突的至少两个威胁情报进行冲突处理，获取冲突处理之后的威胁情报，包括：

确定所述存在冲突的至少两个威胁情报分别所属的对象情报源；

基于所述存在冲突的至少两个威胁情报以及至少两个所述对象情报源，获取目标情报源的属性重要度值；所述目标情报源为所述对象情报源中的任一个；

基于所述目标情报源的属性重要度值，对所述对象情报源进行优先级排序，确定预设优先级排序范围内的对象情报源；

将所述存在冲突的至少两个威胁情报中的目标威胁情报进行保留，获取冲突处理之后的威胁情报；所述目标威胁情报为所述预设优先级排序范围内的对象情报源对应的威胁情报。

可选地，所述基于所述存在冲突的至少两个威胁情报以及至少两个所述对象情报源，获取目标情报源的属性重要度值，包括：

计算在目标时间段内，目标情报源的情报数量与至少两个所述对象情报源的情报总数量的比例系数；

获取所述存在冲突的至少两个威胁情报的第一数量；

确定所述目标情报源中的基础数据标签的第二数量以及丰富数据标签的第三数量；

确定所述目标情报源的置信度；