[发明专利]一种用于威胁情报匹配的方法、装置、电子设备及介质

权利要求书

1.一种用于威胁情报匹配的方法，其特征在于，应用于网络安全设备，所述方法包括：

将安全日志与采集代理缓存中存储的内容进行实时匹配，判断是否匹配成功，其中，采集代理缓存为获取安全日志的进程所对应的缓存；

若匹配成功，则依据所述内容对所述安全日志进行补充，获得更新安全日志；或者，若匹配不成功，则依据所述网络安全设备的缓存对所述安全日志进行补充，获得更新安全日志；

存储所述更新安全日志，以使根据所述更新安全日志进行威胁告警。

2.根据权利要求1所述的方法，其特征在于，所述内容包括热点威胁情报数据，其中，所述热点威胁情报数据为历史匹配成功次数大于匹配次数阈值的威胁情报数据；

所述若匹配成功，则依据所述内容对所述安全日志进行补充，获得更新安全日志，包括：

若匹配成功，则在相对应的热点威胁情报数据中获取所述安全日志的补充信息，其中，所述补充信息包括所述安全日志的级别和类型；

将所述补充信息添加在所述安全日志中，获得所述更新安全日志。

3.根据权利要求1所述的方法，其特征在于，所述若匹配不成功，则依据所述网络安全设备的缓存对所述安全日志进行补充，获得更新安全日志，包括：

若匹配不成功，则从所述网络安全设备的缓存中获取威胁情报数据；

从所述威胁情报数据中获取与所述安全日志对应的补充信息；

将所述安全日志与所述威胁情报数据进行匹配，并且确认匹配成功，则将所述补充信息添加在所述安全日志中，获得所述更新安全日志。

4.根据权利要求3所述的方法，其特征在于，在所述将所述安全日志与所述威胁情报数据进行匹配，并且确认匹配成功之后，所述方法还包括：

确认所述威胁情报数据的匹配成功次数大于匹配次数阈值，则将所述威胁情报数据确定为热点威胁情报数据；

将所述热点威胁情报数据存储至所述采集代理缓存。

5.根据权利要求4所述的方法，其特征在于，在所述将所述热点威胁情报数据存储至所述采集代理缓存之前，所述方法还包括：

获取所述采集代理缓存中已经存在的热点威胁情报数据的数量；

在所述热点威胁情报数据的数量大于情报数量阈值的情况下，获取所述热点威胁情报数据的匹配成功次数的排序；

按照所述排序释放排在所述情报数量阈值之后的热点威胁情报数据。

6.根据权利要求1-5任一项所述的方法，其特征在于，在所述将安全日志与采集代理缓存中存储的内容进行实时匹配，判断是否匹配成功之前，所述方法还包括：

建立所有威胁情报数据的索引；

所述将安全日志与采集代理缓存中存储的内容进行匹配，判断是否匹配成功，包括：

按照所述索引将所述安全日志与所述采集代理缓存中存储的内容进行匹配，判断是否匹配成功。

7.根据权利要求1-5任一项所述的方法，其特征在于，在所述将安全日志与采集代理缓存中存储的内容进行实时匹配，判断是否匹配成功之前，所述方法还包括：

基于历史安全日志进行日志画像分析，得到待添加的日志画像；

将所述待添加的日志画像与威胁情报库进行匹配，若匹配成功，则将所述待添加的日志画像作为威胁情报数据，存储在所述网络安全设备的缓存中。

8.一种用于威胁情报匹配的装置，其特征在于，应用于网络安全设备，所述装置包括：

安全日志匹配模块，被配置为将安全日志与采集代理缓存中存储的内容进行实时匹配，判断是否匹配成功，其中，采集代理缓存为获取安全日志的进程所对应的缓存；

安全日志更新模块，被配置为若匹配成功，则依据所述内容对所述安全日志进行补充，获得更新安全日志；或者，若匹配不成功，则依据所述网络安全设备的缓存对所述安全日志进行补充，获得更新安全日志；

安全日志存储模块，被配置为存储所述更新安全日志，以使根据所述更新安全日志进行威胁告警。