[发明专利]一种基于日志的威胁情报检测方法及装置

权利要求书

1.一种基于日志的威胁情报检测方法，其特征在于，包括：

获取不同文件类型的日志文件，对所述日志文件进行解析，匹配不同威胁指标IOC类型，得到解析文件，并将所述解析文件添加至检测引擎队列；

从所述检测引擎队列中获取目标解析文件，根据所述目标解析文件的IOC类型确定对应的失陷检测的目标查询方式；其中，所述失陷检测的目标查询方式包括命令和控制服务器查询、槽洞查询和特殊算法生成的DNS查询；

若根据所述目标查询方式查询到所述目标解析文件中存在威胁情报，则生成威胁告警信息；

其中，所述对所述日志文件进行解析，得到不同威胁指标IOC类型的解析文件，具体包括：

对所述日志文件进行解析，通过主键方式确定 所述日志文件的IOC类型，并检测所述日志文件中的恶意域名、IP或者恶意文件，得到不同IOC类型的解析文件。

2.根据权利要求1所述的方法，其特征在于，所述若根据所述目标查询方式查询到所述目标解析文件中存在威胁情报，则生成威胁告警信息，具体包括：

根据所述目标查询方式对所述目标解析文件进行批量查询；

若查询到所述目标解析文件中存在威胁情报，则生成威胁告警信息。

3.根据权利要求1所述的方法，其特征在于，所述获取不同文件类型的日志文件，对所述日志文件进行解析，得到不同威胁指标IOC类型的解析文件，并将所述不同IOC类型的解析文件添加至检测引擎队列之后，还包括：

若所述不同IOC类型的解析文件的数据量大于阈值，则将所述不同IOC类型的解析文件暂存至数据库。

4.根据权利要求1所述的方法，其特征在于，所述若根据所述目标查询方式查询到所述目标解析文件中存在威胁情报，则生成威胁告警信息之前，还包括：

若根据所述目标查询方式查询所述目标解析文件时存在异常，则将出现异常的值队列进行保存。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述方法还包括：

根据所述威胁告警信息的类型确定对应的显示类型，并根据所述显示类型将所述威胁告警信息发送至显示器进行显示，根据所述威胁告警信息生成告警日志，并将所述威胁告警信息和所述告警日志进行存储。

6.一种基于日志的威胁情报检测装置，其特征在于，包括：

文件解析模块，用于获取不同文件类型的日志文件，对所述日志文件进行解析，匹配不同威胁指标IOC类型，得到解析文件，并将所述解析文件添加至检测引擎队列；

对应查询模块，用于从所述检测引擎队列中获取目标解析文件，根据所述目标解析文件的IOC类型确定对应的失陷检测的目标查询方式；其中，所述失陷检测的目标查询方式包括命令和控制服务器查询、槽洞查询和特殊算法生成的DNS查询；

威胁告警模块，用于若根据所述目标查询方式查询到所述目标解析文件中存在威胁情报，则生成威胁告警信息；

其中，所述文件解析模块具体用于对所述日志文件进行解析，通过主键方式确定 所述日志文件的IOC类型，并检测所述日志文件中的恶意域名、IP或者恶意文件，得到不同IOC类型的解析文件。

7.根据权利要求6所述的装置，其特征在于，所述威胁告警模块具体用于：

根据所述目标查询方式对所述目标解析文件进行批量查询；

若查询到所述目标解析文件中存在威胁情报，则生成威胁告警信息。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

文件暂存模块，用于若所述不同IOC类型的解析文件的数据量大于阈值，则将所述不同IOC类型的解析文件暂存至数据库。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

异常保存模块，用于若根据所述目标查询方式查询所述目标解析文件时存在异常，则将出现异常的值队列进行保存。