[发明专利]恶意失陷指标的确定方法、装置、存储介质及电子设备

说明书

本发明公开了一种恶意失陷指标的确定方法、装置、存储介质及电子设备。该方法包括：获取目标检测样本的样本检测报告，其中，所述样本检测报告包括：用于指示网络通信行为的多个失陷指标；按照预设规则对所述多个失陷指标进行分组，得到多个通信分组；确定所述多个通信分组的分组类型，从所述多个通信分组中确定分组类型为可疑通信分组的第一通信分组，其中，所述第一通信分组中的所有失陷指标均为可疑失陷指标；根据恶意判定指标确定所有所述第一通信分组包括的可疑失陷指标的失陷得分，将失陷得分大于第一预设阈值的可疑失陷指标确定为恶意失陷指标。本发明可解决相关技术中，无法确定除检测样本自身外其他通信失陷指标的判定结果的技术问题。

技术领域

本发明涉及计算机领域，具体而言，涉及一种恶意失陷指标的确定方法、装置、存储介质及电子设备。

背景技术

近些年随着挖矿病毒、勒索病毒、APT攻击事件的数量不断增加，网络攻击手段随着场景多元化发展，致使威胁检测方法不断升级，威胁情报是发现网络威胁的高效方式，任何威胁都来源于样本，所以从样本中找出恶意IOC并作为威胁情报是有效且精准的方式。

目前针对样本中动静态行为提取一般是通过人工分析和沙箱检测两种方式，人工分析相比于沙箱检测会更灵活但效率低，无法应对大规模的样本分析，所以需要通过沙箱解决海量检测样本分析的需求，但沙箱只能检测出样本的判定结果和动静态行为信息，无法给出除检测样本自身外其他通信失陷指标IOC(域名、IP、URL)的判定结果。

针对相关技术中，无法确定除检测样本自身外其他通信失陷指标的判定结果的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种恶意失陷指标的确定方法、装置、存储介质及电子设备，以至少解决相关技术中，无法确定除检测样本自身外其他通信失陷指标的判定结果的技术问题。

根据本发明实施例的一个实施例，提供了一种恶意失陷指标的确定方法，包括：获取目标检测样本的样本检测报告，其中，所述样本检测报告包括：用于指示网络通信行为的多个失陷指标；按照预设规则对所述多个失陷指标进行分组，得到多个通信分组，其中，任一失陷指标仅被划分在所述多个通信分组中的一个通信分组；确定所述多个通信分组的分组类型，从所述多个通信分组中确定分组类型为可疑通信分组的第一通信分组，其中，所述第一通信分组中的所有失陷指标均为可疑失陷指标；根据恶意判定指标确定所有所述第一通信分组包括的可疑失陷指标的失陷得分，将失陷得分大于第一预设阈值的可疑失陷指标确定为恶意失陷指标。

根据本发明实施例的另一实施例，还提供了一种恶意失陷指标的确定装置，包括：获取模块，用于获取目标检测样本的样本检测报告，其中，所述样本检测报告包括：用于指示网络通信行为的多个失陷指标；分组模块，用于按照预设规则对所述多个失陷指标进行分组，得到多个通信分组；第一确定模块，用于确定所述多个通信分组的分组类型，从所述多个通信分组中确定分组类型为可疑通信分组的第一通信分组，其中，所述第一通信分组中的所有失陷指标均为可疑失陷指标；第二确定模块，用于根据恶意判定指标确定所有所述第一通信分组包括的可疑失陷指标的失陷得分，将失陷得分大于第一预设阈值的可疑失陷指标确定为恶意失陷指标。

根据本申请实施例的又一个实施例，提供一种计算机可读的存储介质，其特征在于，所述计算机可读的存储介质包括存储的程序，其中，所述程序运行时执行如以上恶意失陷指标的确定方法。

根据本发明实施例的又一实施例，还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，所述处理器通过计算机程序执行所述的恶意失陷指标的确定方法。