[发明专利]一种威胁报警信息生成方法及系统

权利要求书

1.一种威胁报警信息生成方法，其特征在于，包括：

根据威胁特征库，判定获取到的目标信息是否可表征网络受到威胁，其中，所述目标信息为原始采集信息或异常行为信息；

若判定所述目标信息可表征网络受到威胁，则根据所述威胁特征库、网络上下文信息和所述目标信息中的任意一种或多种，生成威胁报警信息，其中，所述威胁报警信息基于统一描述格式进行归一化描述；

根据威胁特征库，判定获取到的目标信息是否可表征网络受到威胁，之前还包括：

获取威胁行为特征和/或威胁行为关联规则，以构建威胁特征库；其中，

所述威胁行为关联规则包括异常行为属性信息、异常行为属性值、异常行为属性阈值和运算符中的任意一种或多种；

根据威胁特征库，判定获取到的目标信息是否可表征网络受到威胁，进一步包括：

对原始采集信息进行解析，生成原始采集信息解析结果；

将所述原始采集信息解析结果与所述威胁行为关联规则进行匹配，并根据匹配结果判定所述原始采集信息是否可表征网络受到威胁；

将所述原始采集信息解析结果与所述威胁行为关联规则进行匹配，并根据匹配结果判定所述原始采集信息是否可表征网络受到威胁，进一步包括：

对威胁行为关联规则进行实例化，形成实例化关联规则；

将所述实例化关联规则中的异常行为属性信息与所述原始采集信息解析结果进行匹配；

若匹配成功，则判断所述实例化关联规则是否满足第一预设条件；

若所述实例化关联规则满足所述第一预设条件，则触发状态转移；

若状态转移后为威胁状态，则将生成所述原始采集信息的原始事件定义为威胁事件，并判定所述原始采集信息可表征网络受到威胁。

2.根据权利要求1所述的方法，其特征在于，所述威胁行为特征包括威胁类型、威胁级别、威胁行为发生时间或时间区间阈值、威胁行为发生地点、威胁行为发生实体和威胁行为内容中的任意一种或多种。

3.根据权利要求1所述的方法，其特征在于，根据威胁特征库，判定获取到的目标信息是否可表征网络受到威胁，进一步包括：

对异常行为信息进行解析，生成异常行为信息解析结果；

将所述异常行为信息解析结果与所述威胁行为特征进行匹配，并根据匹配结果判定所述异常行为信息是否可表征网络受到威胁。

4.根据权利要求3所述的方法，其特征在于，将所述异常行为信息解析结果与所述威胁行为特征进行匹配，并根据匹配结果判定所述异常行为信息是否可表征网络受到威胁，进一步包括：

将所述异常行为信息解析结果与所述威胁行为特征进行匹配，若满足第一匹配条件，则将产生异常行为信息的异常行为定义为威胁事件，并判定所述异常行为信息可表征网络受到威胁。

5.根据权利要求1所述的方法，其特征在于，根据所述威胁特征库、网络上下文信息和所述目标信息中的任意一种或多种，生成威胁报警信息，进一步包括：

根据所述威胁特征库，判定是否需对威胁事件进行信息补充，并当判定结果为需对威胁事件进行信息补充时，根据网络上下文信息，对所述威胁事件进行信息补充；

基于统一描述格式对信息补充后的威胁事件进行归一化描述，生成威胁报警信息。

6.根据权利要求1所述的方法，其特征在于，所述统一描述格式包括：威胁类型、威胁对象、威胁对象特征、威胁对象表现特征、威胁范围、威胁级别、威胁起止时间、攻击者、攻击者特征、攻击方式、攻击路径、信息共享者和信息接收者中的任意一种或多种。