[发明专利]网络威胁检测方法和装置

说明书

本文是关于一种网络威胁检测方法和装置。涉及网络安全领域，解决了派驻人员进行现场人工维护带来的成本高、效率低、反应滞后的问题。该方法包括：根据预置的威胁规则库，检测得到威胁事件；将所述威胁事件输入智能修正神经网络，获取所述威胁事件的修正分数；根据所述修正分数，对所述威胁事件进行修正，得到最终的威胁检测结果。本文提供的技术方案实现了灵活准确的威胁识别规则更新机制。

技术领域

本文涉及网络安全领域，尤其涉及一种网络威胁检测方法和装置。

背景技术

网络威胁识别产品的组成一般包括两部分：行为特征计算算法和基于特征数据的威胁判断规则库。出于对通用性和适用性等因素的考虑，预置的威胁判断规则库的召回率和准确率都不高，故在产品上线后需要对威胁判断规则库进行后续的维护调整。一般情况是乙方派技术员在甲方处驻场，了解业务后进行威胁判断规则库的定制修改，并在服务周期内持续提供威胁判断规则库的维护服务，维护成本高，效率很低，反应滞后。

发明内容

为克服相关技术中存在的问题，本文提供一种网络威胁检测方法和装置。

根据本文的第一方面，提供一种网络威胁检测方法，包括根据预置的威胁规则库，检测得到威胁事件；

将所述威胁事件输入智能修正神经网络，获取所述威胁事件的修正分数；

根据所述修正分数，对所述威胁事件进行修正，得到最终的威胁检测结果。

优选的，所述预置的威胁规则库中包含多种攻击原因对应的规则，每个攻击原因对应至少一个规则，

根据预置的威胁规则库，检测得到威胁事件的步骤包括：

在发生符合所述威胁规则库中的规则的事件时，判定发生与所述规则对应的攻击原因相关联的威胁事件。

优选的，所述威胁规则库中的各个规则还具有威胁分数，

根据预置的威胁规则库，检测得到威胁事件的步骤还包括：

获取判定发生所述威胁事件所依据的规则的威胁分数，作为所述威胁事件的威胁分数。

优选的，根据预置的威胁规则库，检测得到威胁事件的步骤之前，还包括：

收集多个根据所述威胁规则库检测得到的威胁事件；

获取针对收集得到的所述威胁事件的反馈标注，反馈标注指示所述威胁事件正确或错误；

根据所述反馈标注，生成训练样本；

使用所述训练样本训练得到所述智能修正神经网络。

优选的，根据所述反馈标注，生成训练样本的步骤包括：

为所述反馈标注指示正确的威胁事件添加第一预测分数，为所述反馈标注指示错误的威胁事件添加第二预测分数，所述第一预测分数大于所述第二预测分数；

对所述威胁事件的各项行为特征进行特征工程转化得到特征数据；

将针对同一域名下同一攻击原因的多个威胁事件的各项行为特征的特征数据、威胁事件对应的第一预测分数或第二预测分数构成作为训练样本的输入矩阵。

优选的，收集多个根据所述威胁规则库检测得到的威胁事件的步骤包括:

收集威胁分数较低的威胁事件。

优选的，将所述威胁事件输入智能修正神经网络，获取所述威胁事件的修正分数的步骤包括：

将所述威胁事件的各项行为特征输入所述智能修正神经网络，获取所述威胁事件的修正分数，所述修正分数大于等于所述第二预测分数且小于等于所述第一预测分数。