[发明专利]威胁情报的生成方法及装置

摘要

本发明公开了一种威胁情报的生成方法及装置。该方法包括：扫描并获取样本集合中包含的多个恶意文件；根据预设的分类规则对所述多个恶意文件进行分类；根据各个类别的恶意文件的文件结构特征，提取各个类别的恶意文件中包含的域名信息；将所述域名信息存储到预设的黑集合中，根据所述黑集合生成威胁情报。由此可见，本发明实施例提供的威胁情报的生成方法及装置，至少能够解决传统的网络防御方式因实时性较差，而无法及时发现最新出现的恶意文件的技术问题。

主权项

1.一种威胁情报的生成方法，包括：扫描并获取样本集合中包含的多个恶意文件；其中，每当有新增样本时，该样本集合能够根据新增样本进行实时更新；根据预设的分类规则对所述多个恶意文件进行分类；其中，将恶意文件划分为以下类别：木马、病毒以及后门，且后门进一步划分为多个子类型；其中，预先分析各种类型的恶意文件的结构特征，并根据各种类型的恶意文件的结构特征编写相应的脚本文件，通过脚本文件自动提取恶意文件的内容并判断是否符合预设类型的结构特征，根据判断结果进行分类；根据机器学习确定的各个类别的恶意文件的文件结构特征，提取各个类别的恶意文件中包含的域名信息；其中，每个类别的恶意文件的文件结构特征中定义了该类别的恶意文件中包含域名信息的字段的位置或偏移地址；将所述域名信息存储到预设的黑集合中，并根据白文件生成白集合，根据所述黑集合以及所述白集合生成威胁情报；其中，将未知域名与预设的黑集合中存储的各个黑域名进行比较，得到第一比较结果；将未知域名与预设的白集合中存储的各个白域名进行比较，得到第二比较结果；根据第一比较结果以及第二比较结果预测未知域名是否为黑域名。