[发明专利]威胁情报数据采集处理方法、装置及存储介质

权利要求书

1.一种威胁情报数据采集处理方法，其特征在于，包括以下步骤：

S110：威胁情报运营平台采集企业的情报生产数据，所述情报生产数据至少包括企业的事件分析报告、企业IDC出口安全设备日志数据、企业提交的样本和情报数据；

S120：所述威胁情报运营平台根据所述情报生产数据来源确定待筛选威胁情报数据；

S130:所述威胁情报运营平台对所述待筛选威胁情报数据采用本地沙箱进行筛选，根据筛选结果将确认为威胁情报的数据与情报库中的已有威胁情报进行合并；

S140：所述威胁情报运营平台将S130中确认的威胁情报向所述企业进行推送，并根据所述威胁情报生成告警信息，并将所述告警信息分发给所述企业；

其中，所述威胁情报运营平台根据所述情报生产数据来源确定待筛选威胁情报数据的过程包括：

采用自然语言分析的方式，提取所述事件分析报告中的入侵威胁指标和TTP信息，并识别出情报类型，按照情报类型将所述入侵威胁指标和TTP信息保存到情报库中，生成待筛选威胁情报数据；

采用ELK系统对企业的IDC出口安全设备日志数据进行分析处理，所述ELK系统采用SPL语言，调取NGFW告警日志，统计过去预设时间内攻击参数达到预设阈值的IP作为失誉IP，保存到情报库，形成待筛选威胁情报数据。

2.如权利要求1所述的威胁情报数据采集处理方法，其特征在于，所述威胁情报运营平台采集企业的情报生产数据的过程包括：

威胁情报运营平台采集所述企业的事件分析报告，包括将所述威胁情报运营平台的API与存储有所述事件分析报告的事件记录系统对接，所述威胁情报运营平台实时获取所述事件分析报告；

威胁情报运营平台采集所述企业IDC出口安全设备日志数据，包括所述威胁情报运营平台对接企业部署在IDC出口的安全设备，基于所述安全设备的全流量分析能力和结果进行日志数据采集；

威胁情报运营平台采集所述企业提交的样本和情报数据的过程包括：企业将所述样本和情报数据包含的确定或者可疑的IP、域名信息及恶意样本信息提交到威胁情报运营平台，所述威胁情报运营平台存储所述IP、域名信息及恶意样本信息。

3.如权利要求2所述的威胁情报数据采集处理方法，其特征在于，所述威胁情报运营平台在存储所述IP、域名信息及恶意样本信息之后，通过用户评论的正反向评论比计算所述IP、域名信息的信用值，根据所述信用值和企业的信用等级，以确定待筛选威胁情报数据，保存到情报库；

将所述恶意样本推送到本地沙箱，对所述恶意样本中可识别的文件进行分析，以确定待筛选威胁情报数据，保存到情报库；

其中，所述企业的信用等级根据所述企业被评论的正向评论比、审核通过率、审核驳回率和被投诉情况确定。

4.如权利要求1所述的威胁情报数据采集处理方法，其特征在于，所述威胁情报运营平台对所述待筛选威胁情报数据采用本地沙箱进行筛选，根据筛选结果将确认为威胁情报的数据与情报库中的已有威胁情报进行合并的过程包括：

采用本地沙箱对待筛选威胁情报数据进行识别，其中，将本地沙箱识别出的待筛选威胁情报数据确认为威胁情报；

将本地沙箱无法识别的待筛选威胁情报数据分发到安全企业情报分析平台，并按照设定格式重新撰写事件分析报告，以备再次被采集到所述威胁情报运营平台；

其中，被确认为威胁情报的数据写入威胁情报运营平台中，所述写入的数据包括所述威胁情报的算法、主机特征、事件特征、TTP信息；

所述威胁情报运营平台对确认为威胁情报的主机特征与情报库中的已有威胁情报的主机特征进行比对，将具有相似主机特征的威胁情报进行关联和分类并录入所述情报库。