[发明专利]一种基于机器学习的IOC检测方法、装置、介质及设备

权利要求书

1.一种基于机器学习的IOC检测方法，其特征在于，所述方法包括如下步骤：

获取多个已知情报指标；每一所述已知情报指标具有多个对应的属性值；

使用机器学习的聚类算法，根据每一所述已知情报指标对应的属性值对每一所述已知情报指标进行聚类，生成多个族群；

根据每一所述族群中包括的所有已知情报指标以及所有属性值，生成对应的威胁判定信息；

根据所述威胁判定信息对目标行为进行检测，生成对应的检测信息。

2.根据权利要求1所述的方法，其特征在于，在根据每一所述族群中包括的所有已知情报指标以及所有属性值，生成对应的威胁判定信息之后，所述方法还包括：

每隔一个探测间隔，对当前探测周期对应的每一族群进行指标探测处理，生成下一探测周期对应的未知情报指标；

所述指标探测处理包括：

从族群中获取符合预设指标类型的已知情报指标，生成当前探测周期对应的探测指标集；

根据所述当前探测周期对应的探测指标集中的已知情报指标，获取下一探测周期对应的未知情报指标。

3.根据权利要求2所述的方法，其特征在于，所述预设指标类型为IP地址或域名；

根据所述当前探测周期对应的探测指标集中的已知情报指标，获取下一探测周期对应的未知情报指标，包括：

获取所述当前探测周期对应的探测指标集中的每一IP地址和域名分别对应的网络资源；

获取每一所述网络资源中的可执行体；

将所述可执行体作为下一探测周期对应的未知情报指标。

4.根据权利要求2所述的方法，其特征在于，所述预设指标类型为可执行体；

从族群中获取符合预设指标类型的已知情报指标，生成当前探测周期对应的探测指标集，包括：

从族群中获取预设指标类型为可执行体的第一已知情报指标；

从每一所述第一已知情报指标中的提取目标字符串；

为每一所述目标字符串，匹配对应的IP地址或域名；

将匹配到的IP地址和域名，作为当前探测周期对应的探测指标集。

5.根据权利要求2所述的方法，其特征在于，在生成下一探测周期对应的未知情报指标之后，所述方法还包括：

根据所述未知情报指标对应的属性值，对每一所述未知情报指标进行聚类，生成多个第二族群；

根据多个所述第二族群对当前探测周期对应的族群进行更新，生成下一探测周期对应的族群。

6.根据权利要求2所述的方法，其特征在于，所述探测间隔为情报指标的存活时长。

7.根据权利要求1所述的方法，其特征在于，所述机器学习的聚类算法包括K-Mean聚类算法。

8.一种基于机器学习的IOC检测装置，其特征在于，包括：

获取模块，用于获取多个已知情报指标；每一所述已知情报指标具有多个对应的属性值；

聚类模块，用于使用机器学习的聚类算法，根据每一所述已知情报指标对应的属性值对每一所述已知情报指标进行聚类，生成多个族群；

判定信息生成模块，用于根据每一所述族群中包括的所有已知情报指标以及所有属性值，生成对应的威胁判定信息；

检测信息生成模块，用于根据所述威胁判定信息对目标行为进行检测，生成对应的检测信息。

9.一种非瞬时性计算机可读存储介质，所述非瞬时性计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的一种基于机器学习的IOC检测方法。

10.一种电子设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至7任一项所述的一种基于机器学习的IOC检测方法。