[发明专利]IOC情报文件生成方法、装置、存储介质及电子设备

权利要求书

1.一种IOC情报文件生成方法，其特征在于，包括：

获取终端系统的各个行为事件的事件日志，并将各个所述行为事件的事件日志与预置规则进行匹配；

在当前行为事件的事件日志匹配成功时，提取所述当前行为事件的进程ID；

以所述进程ID为起点向上溯源其父进程ID，并以所述进程ID为起点向下溯源其子进程ID；

将所述进程ID、所述父进程ID，以及所述子进程ID，以父子关系生成溯源链；

根据所述终端系统当前状态下的系统数据确定所述溯源链中的有效节点，并根据所述有效节点生成IOC情报文件。

2.如权利要求1所述的IOC情报文件生成方法，其特征在于，所述将各个所述行为事件的事件日志与预置规则进行匹配的步骤包括：

将所述事件日志以预定义的字段顺序序列化为json格式；

将所述json格式的事件日志与预置的正则表达式特征规则进行匹配。

3.如权利要求1所述的IOC情报文件生成方法，其特征在于，所述根据所述终端系统当前状态下的系统数据确定所述溯源链中的有效节点的步骤包括：

逐个分析所述溯源链中的各个节点，并将各个所述节点的与所述终端系统当前状态下的数据进行匹配；

将匹配成功的所述节点确定为有效节点。

4.如权利要求1所述的IOC情报文件生成方法，其特征在于，所述以所述进程ID为起点向上溯源其父进程ID，并以所述进程ID为起点向下溯源其子进程ID的步骤包括：

根据所述进程ID向上逐级查询其父进程ID，以及根据所述进程ID向下逐级查询其子进程ID，并做进程判断或延时操作。

5.如权利要求1所述的IOC情报文件生成方法，其特征在于，所述获取终端系统的各个行为事件的事件日志的步骤包括：

通过sysmon监控终端系统的各个行为事件的事件日志。

6.如权利要求1所述的IOC情报文件生成方法，其特征在于，所述根据所述有效节点生成IOC情报文件的步骤之后还包括：

将所述IOC情报文件共享至待分析终端，以使所述待分析终端解析所述IOC情报文件并与自身系统的数据进行匹配，并当匹配度大于阈值时，确定所述IOC情报存在威胁技术共性。

7.如权利要求6所述的IOC情报文件生成方法，其特征在于，所述匹配度x的计算公式为：

其中，m为所述IOC情报文件中与另一终端系统的数据匹配一致的节点数量，n为所述IOC情报文件中节点的数量。

8.一种IOC情报文件生成装置，其特征在于，包括：

获取模块，用于获取终端系统的各个行为事件的事件日志；

匹配模块，用于将各个所述行为事件的事件日志与预置规则进行匹配；

提取模块，用于在当前行为事件的事件日志匹配成功时，提取所述当前行为事件的进程ID；

溯源模块，用于以所述进程ID为起点向上溯源其父进程ID，并以所述进程ID为起点向下溯源其子进程ID；

溯源链生成模块，用于将所述进程ID、所述父进程ID，以及所述子进程ID，以父子关系生成溯源链；

文件生成模块，用于根据所述终端系统当前状态下的系统数据确定所述溯源链中的有效节点，并根据所述有效节点生成IOC情报文件。

9.一种计算机可读存储介质，其上存储有程序，其特征在于，所述程序被处理器执行时实现如权利要求1－7任一所述的方法。

10.一种电子设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的程序，其特征在于，所述处理器执行所述程序时实现如权利要求1－7任意一项所述的方法。