[发明专利]特征库的确定方法和装置、存储介质及电子装置

说明书

本申请公开了一种特征库的确定方法和装置、存储介质及电子装置，其中，上述方法包括：根据目标对象的检测需求，从预设威胁框架库中确定出目标威胁框架，根据所述目标威胁框架从第一攻击样本中提取第一样本特征，其中，所述第一样本特征包括：静态特征和/或动态特征；通过预设映射算法对所述第一样本特征与所述目标威胁框架进行框架技术映射，得到映射后的第一威胁技术特征；根据所述第一威胁技术特征和所述第一样本特征形成所述第一攻击样本对应的威胁技术特征库；采用上述技术方案，解决了相关技术中特征库的建立需要大量的样本与模型进行训练，特征库的构建效率不高等问题。

技术领域

本申请涉及网络安全领域，具体而言，涉及一种特征库的确定方法和装置、存储介质及电子装置。

背景技术

相关技术中，在未知定向威胁攻击APT(高级长期威胁，Advanced PersistentThreat)的威胁检测上，大多数采用了智能检测、机器学习的办法，但是这种办法需要大量的样本和时间进行模型/特征库的训练建立，而且检测效果也并不明显。

针对相关技术中，特征库的建立需要大量的样本与模型进行训练，构建效率不高等问题，尚未提出有效的解决方案。

发明内容

本申请实施例提供了一种特征库的确定方法和装置、存储介质及电子装置，以至少解决相关技术中特征库的建立需要大量的样本与模型进行训练，构建效率不高等问题。

根据本申请的一个实施例，提供了一种特征库的确定方法，包括：根据目标对象的检测需求，从预设威胁框架库中确定出目标威胁框架，根据所述目标威胁框架从第一攻击样本中提取第一样本特征，其中，所述第一样本特征包括：静态特征和/或动态特征；通过预设映射算法对所述第一样本特征与所述目标威胁框架进行框架技术映射，得到映射后的第一威胁技术特征；根据所述第一威胁技术特征和所述第一样本特征形成所述第一攻击样本对应的威胁技术特征库。

在一个示例性实施例中，根据所述威胁技术特征形成所述第一攻击样本对应的威胁技术特征库之后，所述方法还包括：确定多个第二攻击样本的第二样本特征，得到第二样本特征集合；通过预设映射算法对所述第二样本特征集合与所述目标威胁框架进行框架技术映射，得到映射后的第二威胁技术特征；使用所述第二威胁技术特征更新所述威胁技术特征库。

在一个示例性实施例中，所述方法还包括：若获取到未知威胁的未知攻击样本，确定所述未知攻击样本对应的第三样本特征；通过预设映射算法对所述第三样本特征与所述目标威胁框架进行框架技术映射，得到映射后的第三威胁技术特征；确定所述第三威胁技术特征与所述威胁技术特征库中的威胁技术特征的匹配度；若所述匹配度大于预设匹配度，对所述未知攻击样本进行威胁分析。

在一个示例性实施例中，若所述匹配度大于预设匹配度，对所述未知攻击样本进行威胁分析之后，所述方法还包括：将所述未知攻击样本发送至目标对象进行样本分析；获取所述目标对象针对所述未知攻击样本确定的分析结果；对所述分析结果进行解析，以确定是否使用所述未知攻击样本对所述威胁技术特征库进行补充。

在一个示例性实施例中，对所述分析结果进行解析，以确定是否使用所述未知攻击样本对所述威胁技术特征库进行补充，包括：若所述分析结果指示所述未知攻击样本的样本类型为高级持续威胁样本，确定使用所述未知攻击样本对所述威胁技术特征库进行补充；若所述分析结果指示所述未知攻击样本的样本类型不为高级持续威胁样本，确定不使用所述未知攻击样本对所述威胁技术特征库进行补充。

在一个示例性实施例中，确定使用所述未知攻击样本对所述威胁技术特征库进行补充，包括：确定所述未知攻击样本对应的目标特征向量，其中，所述目标特征向量包括：所述未知攻击样本对应的第三样本特征以及第三威胁技术特征；使用所述目标特征向量补充已有特征向量，以对所述威胁技术特征库进行补充，其中，所述已有特征向量用于指示所述威胁技术特征库中存在的向量。