[发明专利]一种威胁类型识别方法及装置

权利要求书

1.一种威胁类型识别方法，其特征在于，所述方法包括：

构建待识别矩阵，所述待识别矩阵包括属性矩阵和关系矩阵，所述属性矩阵包括待识别域名的属性信息以及已知威胁类型的目标域名的属性信息，所述关系矩阵包括所述待识别域名与所述目标域名的相似度，所述待识别域名与所述目标域名之间的相似度基于所述待识别域名与所述目标域名之间的关联关系确定，所述关联关系包括所述待识别域名和所述目标域名与同一个元素或同一个元素图存在关联关系的间接关系，所述元素图中包括的各元素之间存在关联关系，所述元素包括互联网协议IP地址、邮箱地址和/或恶意软件哈希值；

将所述待识别矩阵输入威胁类型识别模型；

获取所述威胁类型识别模型输出的所述待识别域名属于各威胁类型的概率，并将概率最大的威胁类型作为所述待识别域名的威胁类型，所述威胁类型识别模型用于根据所述待识别域名的属性信息、所述目标域名的属性信息以及所述待识别域名与所述目标域名之间的相似度，确定所述待识别域名属于各威胁类型的概率；

所述威胁类型识别模型通过以下步骤训练获得：

获取样本矩阵以及样本矩阵对应的多个样本域名的实际威胁类型，所述样本矩阵包括由多个样本域名的属性信息构成的属性矩阵以及用于表示所述多个样本域名中每两个样本域名之间的相似度的关系矩阵；

将所述样本矩阵输入神经网络模型，并获取神经网络模型识别的所述多个样本域名属于各威胁类型的概率；

根据神经网络模型识别的所述多个样本域名属于各威胁类型的概率和所述多个样本域名的实际威胁类型，计算损失函数值；

根据所述损失函数值，判断神经网络模型是否收敛；若神经网络模型收敛，则获得所述威胁类型识别模型；若神经网络模型未收敛，则根据所述损失函数值，调整神经网络模型的模型参数，并进行下一次训练；

所述元素还包括域名；在所述构建待识别矩阵之前，所述方法还包括：

从第一数据源中获取不同种类的节点之间的关联关系，并构建威胁情报异质图，所述威胁情报异质图中的每个节点对应一个元素，每个节点所属的种类为该节点对应的元素的种类；

所述构建待识别矩阵，包括：

获取所述待识别域名的属性信息以及所述目标域名的属性信息，并构建所述属性矩阵；

根据所述威胁情报异质图，确定所述待识别域名与所述目标域名的相似度；

根据所述待识别域名与所述目标域名的相似度，构建所述关系矩阵；

所述构建威胁情报异质图，包括：

从第二数据源中获取同一类型的节点之间的关联关系，并基于不同种类的节点之间的关联关系以及同一类型的节点之间的关联关系，构建威胁情报异质图。

2.根据权利要求1所述的方法，其特征在于，所述多个样本域名中每两个样本域名之间的相似度，通过以下公式获得：

其中，Φ_k为第k种元路径或元图，Φ_k＝{Φ_k|k＝1,2,…,n}，n为元路径和元图的种类总数，为两个域名在Φ_k下的路径数量，β_k为Φ_k的权重，并满足β_k0且MIS(v_i,v_j)为第i个域名与第j个域名之间的相似度。

3.根据权利要求1所述的方法，其特征在于，神经网络模型通过以下公式识别每个样本域名属于各威胁类型的概率：

其中，Z为该样本域名属于各威胁类型的概率，X为所述属性矩阵，B为所述关系矩阵，表示对x_i进行归一化应用在矩阵的行，ReLU(·)＝max(0,·)，I_N为单位矩阵，W⁽⁰⁾和W⁽¹⁾为神经网络模型的权重。

4.根据权利要求1所述的方法，其特征在于，所述损失函数值通过以下公式计算：

其中，H为损失函数值，N′为存在对应的威胁类型的域名的数量，K为威胁类型的数量，l_k(v_i)用于表示第i个节点v_i是否属于威胁类型k，Z_k(v_i)用于表示神经网络模型预测的第i个节点v_i属于威胁类型k的概率。