[发明专利]威胁情报的生成方法及装置、存储介质、电子装置

说明书

本发明提供了一种威胁情报的生成方法及装置、存储介质、电子装置，其中，该方法包括：从业务系统采集多个恶意样本；对所述多个恶意样本进行同源分析，确定每组恶意样本的共性特征；根据所述共性特征生成高级持续性威胁APT攻击的威胁情报。通过本发明，解决了相关技术中生产APT攻击的威胁情报效率低下的技术问题。

技术领域

本发明涉及网络安全领域，具体而言，涉及一种威胁情报的生成方法及装置、存储介质、电子装置。

背景技术

网络攻击是黑客或者病毒木马等对电子设备发起的攻击，通过窃取文件等给用户带来了巨大损失。

在对高级持续性威胁(Advanced Persistent Threat，APT)团伙进行追踪发现时，主要依据网络传播中的恶意文件、钓鱼邮件等攻击进行上下文关联分析。攻击者利用恶意程序对网络及信息系统进行入侵控制，达到窃取敏感数据和破坏系统和网络环境的目的，亟待提高对企业网络中传播的恶意样本检测率和批量分析能力。

相关技术中，在计算机安全领域内，目前网络攻击变得越来越专业化和针对性。面对这样的攻击事件，往往缺少对该攻击事件的整体认识，而对其防御也是各自为战，并没有形成一个很好的防御体系。比如APT(高级持续性威胁)攻击或者“震网”病毒，这种攻击是有目的性和针对性的，只对特定的行业或者某些目标系统才具有攻击性。而目前没有方案当这些攻击事件在小范围内发生时，能够提前获得威胁情报，并在大范围内进行预警和防御。导致网络攻击的防御滞后。

针对相关技术中存在的上述问题，目前尚未发现有效的解决方案。

发明内容

本发明实施例提供了一种威胁情报的生成方法及装置、存储介质、电子装置。

根据本发明的一个实施例，提供了一种威胁情报的生成方法，包括：从业务系统采集多个恶意样本；对所述多个恶意样本进行同源分析，确定每组恶意样本的共性特征；根据所述共性特征生成高级持续性威胁APT攻击的威胁情报。

可选的，对所述多个恶意样本进行同源分析，确定每组恶意样本的共性特征，包括：对所述多个恶意样本中的已知样本进行分类，以及对所述多个恶意样本中的未知样本进行聚类；标记分类或聚类后的每组样本，并记录每组样本的行为信息；将相同的行为信息确定为每组恶意样本的共性特征。

可选的，对所述多个恶意样本中的未知样本进行聚类包括：使用K均值聚类算法按照未知样本的对象属性进行切分，其中，所述对象属性包括：hash值、编译时间、特征字符串、文件类型、导入表哈希imphash、衍生物列表，其中，所述特征字符串包括以下至少之一：程序数据库文件PDB、域名、IP地址、统一资源定位符URL，所述衍生物列表包括：针对压缩文件中的文件列表，针对非可移植的执行体PE类的结构信息列表；计算每个未知样本的对象属性值与各个聚类中心之间的距离，将每个未知样本分配给距离最近的聚类中心，其中，每个聚类中心为一组。

可选的，将相同的行为信息确定为每组恶意样本的共性特征包括：通过所述行为信息中的消息摘要算法MD5值反向查找IP地址；将在所述IP地址执行过的各类行为的执行主体确定为APT攻击的一个攻击源。

可选的，根据所述共性特征生成APT攻击的威胁情报包括：根据预设关联规则确定所述共性特征的上下文信息；根据所述上下文信息识别以下情报信息至少之一：APT组织身份，攻陷指标IOC情报，战术技术程序TTP信息；根据所述情报信息生成与所述共性特征相关的威胁情报。

可选的，在根据所述共性特征生成高级持续性威胁APT攻击的威胁情报之后，所述方法还包括：标记所述恶意样本的IP信息；将所述IP信息与所述威胁情报关联后，加入威胁情报库中。