[发明专利]一种用于威胁情报匹配的方法、装置、电子设备及介质

说明书

本申请实施例提供一种用于威胁情报匹配的方法、装置、电子设备及介质，该方法包括：将安全日志与采集代理缓存中存储的内容进行实时匹配，判断是否匹配成功，其中，采集代理缓存为获取安全日志的进程所对应的缓存；若匹配成功，则依据所述内容对所述安全日志进行补充，获得更新安全日志；或者，若匹配不成功，则依据所述网络安全设备的缓存对所述安全日志进行补充，获得更新安全日志；存储所述更新安全日志，以使根据所述更新安全日志进行威胁告警。通过本申请的一些实施例能够减小在威胁情报匹配的过程中的系统性能消耗，从而提升威胁情报的匹配效率，保证数据的实时性。

技术领域

本申请实施例涉及网络安全领域，具体涉及一种用于威胁情报匹配的方法、装置、电子设备及介质。

背景技术

威胁情报是一种基于证据的知识，包括了情境、机制、指标、隐含和实际可行的建议。威胁情报描述了现存的、或者是即将出现的针对资产的威胁或危险，并可以用于通知主体针对相关威胁或危险采取某种响应。简言之，威胁情报可以帮助企业和组织快速了解到对方对自己的威胁信息，从而帮助他们提前做好威胁防范、更快速地进行攻击检测与响应、更高效地进行事后攻击溯源。

相关技术中，通过数据采集点采集终端获取到的安全数据，周期性的与威胁情报专家库进行匹配，获得匹配结果。但是，威胁情报匹配时效性差，导致不能及时高效的获得匹配结果。

因此，如何高效匹配威胁情报数据成为需要解决的问题。

发明内容

本申请实施例提供一种用于威胁情报匹配的方法、装置、电子设备及介质，通过本申请的一些实施例能够减小在威胁情报匹配的过程中的系统性能消耗，从而提升威胁情报的匹配效率，保证数据的实时性。

第一方面，本申请提供了一种用于威胁情报匹配的方法，应用于网络安全设备，所述方法包括：将安全日志与采集代理缓存中存储的内容进行实时匹配，判断是否匹配成功，其中，采集代理缓存为获取安全日志的进程所对应的缓存；若匹配成功，则依据所述内容对所述安全日志进行补充，获得更新安全日志；或者，若匹配不成功，则依据所述网络安全设备的缓存对所述安全日志进行补充，获得更新安全日志；存储所述更新安全日志，以使根据所述更新安全日志进行威胁告警。

因此，与相关技术中周期性的与威胁情报专家库进行匹配，获得匹配结果的方法不同的是，本申请实施例通过将安全日志在采集代理缓存中进行实时匹配，能够减小在威胁情报匹配的过程中的系统性能消耗，从而提升威胁情报的匹配效率，保证数据的实时性。

结合第一方面，在本申请的一种实施方式中，所述内容包括热点威胁情报数据，其中，所述热点威胁情报数据为历史匹配成功次数大于匹配次数阈值的威胁情报数据；所述若匹配成功，则依据所述内容对所述安全日志进行补充，获得更新安全日志，包括：若匹配成功，则在相对应的热点威胁情报数据中获取所述安全日志的补充信息，其中，所述补充信息包括所述安全日志的级别和类型；将所述补充信息添加在所述安全日志中，获得所述更新安全日志。

因此，本申请实施例通过在采集代理缓存中将安全日志与热点威胁情报数据进行匹配，能够实现不需要所有的匹配过程均从网络安全设备的缓存中获取，从而能够提升匹配的速度。

结合第一方面，在本申请的一种实施方式中，所述若匹配不成功，则依据所述网络安全设备的缓存对所述安全日志进行补充，获得更新安全日志，包括：若匹配不成功，则从所述网络安全设备的缓存中获取威胁情报数据；从所述威胁情报数据中获取与所述安全日志对应的补充信息；将所述安全日志与所述威胁情报数据进行匹配，并且确认匹配成功，则将所述补充信息添加在所述安全日志中，获得所述更新安全日志。

因此，本申请实施例通过在采集代理缓存中不存在热点威胁情报数据的情况下，再从网络安全设备的缓存中获取威胁情报数据，能够提升匹配速度。