[发明专利]威胁情报的生成方法及装置

摘要

本发明公开了一种威胁情报的生成方法及装置。该方法，包括：扫描并获取样本集合中包含的多个白文件；提取各个白文件中包含的域名信息，将所述域名信息存储到预设的白集合中；当访问请求中包含未出现在所述白集合中的域名信息时，针对所述访问请求生成威胁情报。由此可见，本发明实施例提供的威胁情报的生成方法及装置，至少能够解决传统的网络防御方式因实时性较差，而无法及时发现最新出现的恶意文件的技术问题。

主权项

1.一种威胁情报的生成方法，包括：扫描并获取样本集合中包含的多个白文件；提取各个白文件中包含的域名信息，将所述域名信息存储到预设的白集合中；当访问请求中包含未出现在所述白集合中的域名信息时，针对所述访问请求生成威胁情报；其中，进一步包括步骤：获取所述样本集合中包含的多个恶意文件，根据预设的分类规则对所述多个恶意文件进行分类；根据机器学习确定的各个类别的恶意文件的文件结构特征，提取各个类别的恶意文件中包含的域名信息；将所述域名信息存储到预设的黑集合中，当访问请求中包含出现在所述黑集合中的域名信息时，针对所述访问请求生成威胁情报；其中，每个类别的恶意文件的文件结构特征中定义了该类别的恶意文件中包含域名信息的字段的位置或偏移地址；其中，将恶意文件划分为以下类别：木马、病毒以及后门，且后门进一步划分为多个子类型；其中，预先分析各种类型的恶意文件的结构特征，并根据各种类型的恶意文件的结构特征编写相应的脚本文件，通过脚本文件自动提取恶意文件的内容并判断是否符合预设类型的结构特征，根据判断结果进行分类；其中，每当有新增样本时，该样本集合能够根据新增样本进行实时更新。