[发明专利]威胁情报的生成方法及装置、存储介质、电子装置

权利要求书

1.一种威胁情报的生成方法，其特征在于，包括：

从业务系统采集多个恶意样本；

对所述多个恶意样本进行同源分析，确定每组恶意样本的共性特征；

根据所述共性特征生成高级持续性威胁APT攻击的威胁情报。

2.根据权利要求1所述的方法，其特征在于，对所述多个恶意样本进行同源分析，确定每组恶意样本的共性特征，包括：

对所述多个恶意样本中的已知样本进行分类，以及对所述多个恶意样本中的未知样本进行聚类；

标记分类或聚类后的每组样本，并记录每组样本的行为信息；

将相同的行为信息确定为每组恶意样本的共性特征。

3.根据权利要求2所述的方法，其特征在于，对所述多个恶意样本中的未知样本进行聚类包括：

使用K均值聚类算法按照未知样本的对象属性进行切分，其中，所述对象属性包括：hash值、编译时间、特征字符串、文件类型、导入表哈希imphash、衍生物列表，其中，所述特征字符串包括以下至少之一：程序数据库文件PDB、域名、IP地址、统一资源定位符URL，所述衍生物列表包括：针对压缩文件中的文件列表，针对非可移植的执行体PE类的结构信息列表；

计算每个未知样本的对象属性值与各个聚类中心之间的距离，将每个未知样本分配给距离最近的聚类中心，其中，每个聚类中心为一组。

4.根据权利要求2所述的方法，其特征在于，将相同的行为信息确定为每组恶意样本的共性特征包括：

通过所述行为信息中的消息摘要算法MD5值反向查找IP地址；

将在所述IP地址执行过的各类行为的执行主体确定为APT攻击的一个攻击源。

5.根据权利要求1所述的方法，其特征在于，根据所述共性特征生成APT攻击的威胁情报包括：

根据预设关联规则确定所述共性特征的上下文信息；

根据所述上下文信息识别以下情报信息至少之一：APT组织身份，攻陷指标IOC情报，战术技术程序TTP信息；

根据所述情报信息生成与所述共性特征相关的威胁情报。

6.根据权利要求1所述的方法，其特征在于，在根据所述共性特征生成高级持续性威胁APT攻击的威胁情报之后，所述方法还包括：

标记所述恶意样本的IP信息；

将所述IP信息与所述威胁情报关联后，加入威胁情报库中。

7.一种威胁情报的生成装置，其特征在于，包括：

采集模块，用于从业务系统采集多个恶意样本；

分析模块，用于对所述多个恶意样本进行同源分析，确定每组恶意样本的共性特征；

生成模块，用于根据所述共性特征生成高级持续性威胁APT攻击的威胁情报。

8.根据权利要求7所述的装置，其特征在于，所述分析模块包括：

分组单元，用于对所述多个恶意样本中的已知样本进行分类，以及对所述多个恶意样本中的未知样本进行聚类；

记录单元，用于标记分类或聚类后的每组样本，并记录每组样本的行为信息；

确定单元，用于将相同的行为信息确定为每组恶意样本的共性特征。

9.一种存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至6任一项中所述的方法。

10.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至6任一项中所述的方法。