[发明专利]基于威胁情报的攻击检测方法、系统及电子设备

权利要求书

1.一种基于威胁情报的攻击检测方法，其特征在于，应用于云端的图数据引擎，所述方法包括：

获取威胁情报库，所述威胁情报库中包括实时获取的由多个本地图数据引擎实时发送的多个威胁情报信息，所述威胁情报信息用于表征攻击者对被攻击者进行攻击的攻击威胁；

对所述威胁情报库中的多个威胁情报信息进行处理，得到多个关联图，所述关联图用于表示所述攻击者和所述被攻击者之间的关联关系；

在多个关联图中确定与目标本地图数据引擎相对应的目标关联图，并向所述目标本地图数据引擎发送所述目标关联图，以使所述目标本地图数据引擎根据所述目标关联图检测新的攻击威胁，所述目标本地图数据引擎为多个所述本地图数据引擎中的一个。

2.根据权利要求1所述的方法，其特征在于，在所述多个关联图中确定与目标本地图数据引擎相对应的目标关联图包括：

获取所述目标本地图数据引擎的定制需求；

基于所述定制需求向所述目标本地图数据引擎发送所述目标关联图，以使所述目标本地图数据引擎根据所述目标关联图检测所述新的攻击威胁，其中，所述目标关联图为所述多个关联图中满足所述定制需求的部分关联图。

3.根据权利要求1所述的方法，其特征在于，对所述威胁情报库中的多个威胁情报信息进行处理，得到多个关联图包括：

扫描所述威胁情报信息，得到所述威胁情报信息的要素信息，其中，所述要素信息包括：源信息，事件信息，目标信息；

根据所述事件信息构建所述源信息与所述目标信息之间的关联图；

保存所述关联图。

4.根据权利要求1所述的方法，其特征在于，获取威胁情报库包括：

获取所述多个本地图数据引擎发送的新的威胁情报信息；

基于所述新的威胁情报信息对历史威胁情报库进行更新，得到所述威胁情报库。

5.根据权利要求1所述的方法，其特征在于，在所述目标本地图数据引擎根据所述目标关联图检测新的攻击威胁之后，所述方法还包括：

在所述威胁情报库中同步所述目标本地图数据引擎收集的新的攻击威胁的情报信息，其中，所述目标本地图数据引擎检测到所述新的攻击威胁后，存储所述新的攻击威胁的情报信息。

6.根据权利要求1所述的方法，其特征在于，所述威胁情报信息至少包括：IP地址信息，域名信息，僵尸主机信息，操作系统信息，应用程序信息，服务信息，端口信息，黑页信息，暗链信息，后门信息，木马信息，反政府信息，钓鱼信息，赌博信息，恶意文件样本信息，WEB攻击样本信息，IDC信息，IP段信息，暴力破解信息。

7.根据权利要求2所述的方法，其特征在于，所述定制需求中至少包括：IP集合，域名集合。

8.一种基于威胁情报的攻击检测系统，其特征在于，应用于云端的图数据引擎，所述系统包括：

获取模块，用于获取威胁情报库，所述威胁情报库中包括实时获取的由多个本地图数据引擎实时发送的多个威胁情报信息，所述威胁情报信息用于表征攻击者对被攻击者进行攻击的攻击威胁；

处理模块，用于对所述威胁情报库中的多个威胁情报信息进行处理，得到多个关联图，所述关联图用于表示所述攻击者和所述被攻击者之间的关联关系；

发送模块，用于在多个关联图中确定与目标本地图数据引擎相对应的目标关联图，并向所述目标本地图数据引擎发送所述目标关联图，以使所述目标本地图数据引擎根据所述目标关联图检测新的攻击威胁，所述目标本地图数据引擎为多个所述本地图数据引擎中的一个。

9.根据权利要求8所述的系统，其特征在于，所述发送模块包括：

第一获取单元，用于获取所述目标本地图数据引擎的定制需求；

发送单元，用于基于所述定制需求向所述目标本地图数据引擎发送所述目标关联图，以使所述目标本地图数据引擎根据所述目标关联图检测所述新的攻击威胁，其中，所述目标关联图为所述多个关联图中满足所述定制需求的部分关联图。

10.一种电子设备，包括存储器、处理器，所述存储器上存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述权利要求1至7中任一项所述的方法的步骤。