[发明专利]威胁情报数据采集处理方法、装置及存储介质

说明书

本发明涉及数据安全技术领域，具体涉及一种威胁情报数据采集处理方法、装置及存储介质，方法包括S110：威胁情报运营平台采集企业的情报生产数据；S120：所述威胁情报运营平台根据所述情报生产数据来源确定待筛选威胁情报数据；S130:所述威胁情报运营平台对所述待筛选威胁情报数据采用本地沙箱进行筛选，根据筛选结果将确认为威胁情报的数据与情报库中的已有威胁情报进行合并；S140：所述威胁情报运营平台将S130中确认的威胁情报向所述企业进行推送，并根据所述威胁情报生成告警信息，并将所述告警信息分发给所述企业。本发明建立面向大型集团企业的“情报社区”，使企业成为情报的“生产者”，可以在“情报社区”实时地提供情报、及时地在行业分享情报。

技术领域

本发明涉及数据安全技术领域，更为具体地，涉及一种威胁情报数据采集处理方法、装置及存储介质。

背景技术

所谓威胁情报，是某种基于一定证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持。企业和机构使用威胁情报，以达到更好的满足其应对自身相关的安全威胁和进行更有效的安全防御为目的。

市面上现有的威胁情报系统，类似于360、绿盟、微步等等，都是基于推送和集中式情报提供模式，大型企业都是情报的“消费者”，不能及时地提供某行业的“自生产”情报，在企业威胁情报使用上存在一定的缺陷。

现阶段各安全厂商推出的威胁情报，由于厂商之间的商业和技术壁垒、以及缺乏统一交流标准等因素，威胁情报数据交换仍然非常少，导致情报的使用价值难以充分发挥。

在情报采集环节，现有安全厂商的数据采集一般通过反恶意软件实现，采集数据的规模和行业依赖于反恶意软件的部署情况，存在数据采集覆盖面不全、采集环境不一致等情况。对于流量层面的采集，安全厂商往往依赖与电信运营商的合作来进行，这中间存在客户隐私层面的隔阂，从而导致不能采集全量的情报数据。

在情报处理环节，由于安全厂商采集数据环境不一致、覆盖不全等问题，从样本(原始数据)到生成情报要投入大量的人力。

发明内容

鉴于上述问题，本发明的目的是提供一种威胁情报数据采集处理方法，采用这种方法能够建立面向大型集团企业的“情报社区”，使企业、用户成为情报的“生产者”，可以在“情报社区”实时地提供情报、及时地在行业分享情报，并借助云端的情报能力和评估筛选，对这些情报进行筛选、合并等，形成有效的行业情报。

根据本发明的一个方面，提供了一种威胁情报数据采集处理方法，包括以下步骤：

S110：威胁情报运营平台采集企业的情报生产数据，所述情报生产数据至少包括企业的事件分析报告、企业IDC出口安全设备日志数据、企业提交的样本和情报数据；

S120：所述威胁情报运营平台根据所述情报生产数据来源确定待筛选威胁情报数据；

S130:所述威胁情报运营平台对所述待筛选威胁情报数据采用本地沙箱进行筛选，根据筛选结果将确认为威胁情报的数据与情报库中的已有威胁情报进行合并；

S140：所述威胁情报运营平台将S130中确认的威胁情报向所述企业进行推送，并根据所述威胁情报生成告警信息，并将所述告警信息分发给所述企业。

具体的，所述威胁情报运营平台采集企业的情报生产数据的过程包括：

威胁情报运营平台采集所述企业的事件分析报告，包括将所述威胁情报运营平台的API与存储有所述事件分析报告的事件记录系统对接，所述威胁情报运营平台实时获取所述事件分析报告；

威胁情报运营平台采集所述企业IDC出口安全设备日志数据，包括所述威胁情报运营平台对接企业部署在IDC出口的安全设备，基于所述安全设备的全流量分析能力和结果进行日志数据采集；