[发明专利]一种基于威胁情报的网络安全检测方法及系统

说明书

技术领域

本发明涉及网络安全领域，尤其涉及一种基于威胁情报的网络安全检测方法及系统。

背景技术

随着以APT为典型代表的新型威胁和攻击的不断增长，企业和组织在防范外部的攻击过程中越发需要依靠充分、有效的安全威胁情报作为支撑，以帮助其更好的应对这些新型威胁。安全威胁情报分析市场应运而生，并蓬勃发展。

目前的威胁情报系统只是作为一个数据共享和交换的平台，主要关注各个安全厂商的威胁情报数据，忽略了部分分布于互联网各个论坛、网站的威胁情报数据，利用单一维度的威胁情报库匹配客户的流量，比如：IP地址、域名、URL等。

现有方案中，仅仅是利用单一维度的威胁情报库匹配客户的流量，比如：IP地址、域名、URL等，单一维度的威胁情报库匹配，没有对各个维度的威胁情报数据做关联分析、有效性分析，匹配的准确率相对较低，匹配错误时，在用户侧很容易引起误报。

发明内容

本发明实施例提供了一种基于威胁情报的网络安全检测方法及系统，用于提高网络安全检测的准确率。

本发明实施例第一方面提供了一种基于威胁情报的网络安全检测方法，其特征在于，可包括：

从至少一个预置网站周期性的采集威胁情报数据；

按照预置规则将所述威胁情报数据中相关联的数据进行分组，形成至少一组威胁情报组，所述威胁情报组包含至少一种类型的威胁情报数据，且每种类型的威胁情报数据包含一条或多条；

将采集到的目标终端的网络访问数据与所述威胁情报组中的威胁情报数据进行多维度匹配，并统计匹配成功的目标威胁情报数据，若所述匹配成功的目标威胁情报数据超过预置数量，则判定所述目标终端感染病毒。

可选的，作为一种可能的实施方式，该方法还包括：

为每一条所述威胁情报数据分配对应的加权值；

计算所述匹配成功的目标威胁情报数据对应的加权值之和作为所述目标终端的网络安全威胁值。

可选的，作为一种可能的实施方式，所述目标终端的网络访问数据，包括DNS数据、URL访问数据、IP地址、文件hash值、日志信息中的一种或多种；

可选的，作为一种可能的实施方式，所述威胁情报数据类型包括病毒样本、恶意域名、恶意域名whois信息、恶意IP地址、恶意URL信息、yara规则、恶意文件hash值中的一种或多种。

可选的，作为一种可能的实施方式，所述按照预置规则将所述威胁情报数据中相关联的数据进行分组，包括：

采用图聚类算法对所述威胁情报数据进行聚类分析，将关联度达到预置阀值的威胁情报数据分为一组，并采用图形数据库存储所述威胁情报组。

可选的，作为一种可能的实施方式，所述预置网站的类型，包括：

安全论坛、安全资讯网站、病毒分析论坛、安全厂商的威胁情报数据网站。

本发明实施例中第二方面提供了一种基于威胁情报的网络安全检测系统，其特征在于，包括：

数据采集单元，用于从至少一个预置网站周期性的采集威胁情报数据；

分组单元，用于按照预置规则将所述威胁情报数据中相关联的数据进行分组，形成至少一组威胁情报组，所述威胁情报组包含至少一种类型的威胁情报数据，且每种类型的威胁情报数据包含一条或多条；

匹配单元，用于将采集到的目标终端的网络访问数据与所述威胁情报组中的威胁情报数据进行匹配，并统计匹配成功的目标威胁情报数据，若所述匹配成功的目标威胁情报数据超过预置数量，则判定所述目标终端感染病毒。

可选的，作为一种可能的实施方式，该系统还包括：

权值分配单元，用于为每一条所述威胁情报数据分配对应的加权值；

计算单元，用于计算所述匹配成功的目标威胁情报数据对应的加权值之和作为所述目标终端的网络安全威胁值。

可选的，作为一种可能的实施方式，所述目标终端的网络访问数据，包括DNS数据、URL访问数据、IP地址、文件hash值、日志信息中的一种或多种；

可选的，作为一种可能的实施方式，所述威胁情报数据类型包括病毒样本、恶意域名、恶意域名whois信息、恶意IP地址、恶意URL信息、yara规则、恶意文件hash值中的一种或多种。

可选的，作为一种可能的实施方式，所述分组单元，包括：

聚类模块，用于采用图聚类算法对所述威胁情报数据进行聚类分析，将关联度达到预置阀值的威胁情报数据分为一组；

存储模块，用于采用图形数据库存储所述威胁情报组。