[发明专利]基于IOC智能提取及共享的协同防御方法

权利要求书

1.基于IOC智能提取及共享的协同防御方法，其特征在于：包括以下步骤：

S1)、单体检测设备上的IOC提取及上传模块上送提取的最新IOC数据到云端IOC情报中心模块的IOC采集过滤模块；

单体检测设备的IOC提取及上传模块从深度机器学习和行为分析产生的告警中提取IOC数据，作为最新IOC数据；

对网络行为或系统行为使用各种现有技术进行各类深度机器学习和行为分析，并产生告警，从告警信息中提取网络行为或系统行为的关键要素；

这些IOC数据包括两个特征；特征1：属于网络行为或系统行为的关键要素，包括文件Hash、域名、源IP、目的IP、时间戳；特征2：携带单体检测设备的版本号信息；

S2)、云端IOC情报中心模块的IOC采集过滤模块将最新IOC数据与云端IOC情报中心模块中已有IOC匹配，然后通知IOC变更数据到云端IOC情报中心模块的IOC共享分发模块；

IOC采集过滤模块接收各单体检测设备的IOC提取及上传模块智能产生的最新IOC数据，最新IOC数据和共享分发IOC情报库中的已有IOC数据进行匹配；

如果共享分发IOC情报库尚未收录该最新IOC数据，则新增最新IOC数据到云端，并记录相应的版本号和时间戳信息；如果云端已经记录最新IOC数据，则和云端已有IOC数据对应版本号做比较，当云端已有IOC数据对应版本号比该最新IOC数据对应设备版本号要更旧时，把云端已有IOC数据对应版本号信息更新为该最新IOC数据对应设备版本号；通知IOC变更数据到云端IOC情报中心模块的IOC共享分发模块；

S3)、单体检测设备的IOC同步模块从云端IOC情报中心的IOC共享分发模块同步最新IOC；

单体检测设备的IOC同步模块向云端IOC情报中心的IOC共享分发模块发起IOC同步请求，IOC同步请求携带本设备版本号及最新同步的IOC时间戳；从而获取比该IOC同步请求中的设备版本号相同或更新的，且时间戳比该次请求同步的时间戳更新的所有IOC，单体检测设备的IOC同步模块获取该IOC列表后在本地记录，同时记录该次IOC列表中最新的时间戳，作为已同步IOC数据；

单体检测设备的IOC提取及上传模块提取的“最新IOC数据”、或者云端IOC情报中心IOC采集过滤模块接收的“最新IOC数据”，均指某单体检测设备通过深度机器学习和行为分析告警数据中提取的IOC数据；

S4)、单体检测设备的IOC检测模块根据IOC对网络行为进行匹配检测产生告警；

IOC同步模块将已同步IOC数据发送给IOC检测模块；IOC检测模块根据已同步IOC数据，分别形成文件Hash、域名、源IP、目的IP匹配库，对于任何网络行为或系统行为中包含文件Hash、域名、源IP或目的IP时，均进行提取并在相应的匹配库中进行搜索匹配，对于匹配上的网络行为或系统行为直接进行告警，而无需再进行深度机器学习和行为分析，以节省系统资源开销；

首次请求IOC同步时的时间戳T：单体检测设备在从未发起IOC同步请求时，本地没有任何IOC，也没有最新IOC时间戳，首次发起IOC同步时的时间戳使用1970-01-01 00:00:00；

IOC：Indicator of Compromise,威胁情报指标，一种在系统日志、网络行为或文件中发现的数据，这些数据可以识别系统或网络上潜在的恶意活动，包括DNS域名、文件Hash值、IP地址。

2.根据权利要求1所述的基于IOC智能提取及共享的协同防御方法，其特征在于：

在步骤S1)中：IOC提取及上传模块对网络行为或系统行为使用各种现有技术进行各类深度机器学习和行为分析，并产生告警，从深度机器学习和行为分析产生的告警中提取IOC数据，作为最新IOC数据。