[发明专利]基于IOC智能提取及共享的协同防御方法

说明书

本发明提供一种基于IOC智能提取及共享的协同防御方法：包括以下步骤：S1)、单体检测设备上的IOC提取及上传模块上送提取的最新IOC数据到云端IOC情报中心模块的IOC采集过滤模块；S2)、云端IOC情报中心模块的IOC采集过滤模块将最新IOC数据与云端IOC情报中心模块中已有IOC匹配，更新或新增共享分发IOC情报库，通知IOC变更数据到云端IOC情报中心模块的IOC共享分发模块；S3)、单体检测设备的IOC同步模块从云端IOC情报中心的IOC共享分发模块同步最新IOC；S4)、单体检测设备的IOC检测模块根据IOC对网络行为进行匹配检测产生告警。本发明可以形成一种具有更高检测能力及更少资源消耗的协同防御体系。

技术领域

本发明涉及一种IOC智能提取及共享方法，具体涉及一种基于IOC智能提取及共享的协同防御方法。

背景技术

网络攻击趋于专业化和产业化，入侵手法也愈发多样化和复杂化，新型的网络攻击方式和未知威胁，使防御体系逐渐采用深度机器学习和行为分析等检测方法。

而无论是深度机器学习还是行为分析检测，和传统的基于已知规则的检测方式相比，都会有更多的硬件资源消耗，在同样的单体检测设备上，则体现为更差的检测性能及效能；同时，由于同一类型的不同单体检测设备上，因为维护不及时、新老版本无法平滑升级、硬件规格不同等各种原因，广泛存在版本和检测策略不统一、检测能力存在很大差异的问题。

如IDS/IPS等传统的网络安全检测防御设备，均采用内置规则库对网络流量进行匹配，这种基于已知规则的检测方式很容易被绕过，无法检测发现新型网络攻击和未知威胁，因此，深度机器学习和行为分析被引入信息安全领域，用以预测、预防检测、响应和监测，普遍适用于网络流量分析和入侵检测、端点反恶意软件及各类应用防火墙等产品的技术层。

而无论是深度机器学习还是行为分析检测，因为涉及大量分类、聚类等计算，对硬件资源要求高；以及为更多发现和捕获异常行为，需要进行长周期下各类网络或系统行为的关联分析，存在检测性能和效能较为低下的特点。

同时，同一类型的不同单体检测设备上，因为维护不及时、新老版本无法平滑升级、硬件规格不同等各种原因，广泛存在版本和检测策略不统一、检测能力存在很大差异的问题，单体检测设备所有的检测能力均来自于设备本身的计算能力，老版本、旧设备检测能力薄弱，存在漏报率高或容易被绕过的问题。

这要求各单体检测设备能够及时将检测的结果进行共享，以智能生成先验知识，其他单体检测设备根据共享的先验知识快速识别异常行为，以减少重复的深度机器学习和行为分析带来的资源消耗及检测时延。

同时，同一类型的不同单体检测设备上，通过使用共享的先验知识，可以解决老版本或相对比较陈旧的单体检测设备检测能力较为薄弱的问题。

因此，需要对现有技术进行改进。

发明内容

本发明要解决的技术问题是提供一种高效的基于IOC智能提取及共享的协同防御方法。

为解决上述技术问题，本发明提供一种基于IOC智能提取及共享的协同防御方法：包括以下步骤：

S1)、单体检测设备上的IOC提取及上传模块上送提取的最新IOC数据到云端IOC情报中心模块的IOC采集过滤模块；

S2)、云端IOC情报中心模块的IOC采集过滤模块将最新IOC数据与云端IOC情报中心模块中已有IOC匹配，更新或新增共享分发IOC情报库，通知IOC变更数据到云端IOC情报中心模块的IOC共享分发模块；

S3)、单体检测设备的IOC同步模块从云端IOC情报中心的IOC共享分发模块同步最新IOC；

S4)、单体检测设备的IOC检测模块根据IOC对网络行为进行匹配检测产生告警。

作为对本发明基于IOC智能提取及共享的协同防御方法的改进：