CN106777222A - 基于轻量级领域本体的安全设备威胁情报共享方法 - Google Patents

Abstract

本发明涉及威胁情报技术领域，公开了一种基于轻量级领域本体的安全设备威胁情报共享方法。包括以下过程：步骤1、采用轻量级本体作为设备间的信息沟通媒介，建立威胁情报通用领域本体；步骤2、情报生产者将威胁情报通用领域本体本地化，从网络空间获取原始威胁情报信息，将原始威胁情报信息转化并映射为轻量级本体知识；步骤3、情报转发者基于本体通信服务将轻量级本体知识转发给情报使用者；步骤4、情报使用者将接收到的轻量级本体知识转化并适配为本地专用策略描述并作用于网络空间的运行。提高安全设备间威胁情报共享准确度，增强设备间威胁情报交互的扩展性能力、内容关联能力、接口开放能力以及概念一致性能力，提升威胁情报共享效率。

Description

基于轻量级领域本体的安全设备威胁情报共享方法

技术领域

本发明涉及威胁情报技术领域，特别是一种基于轻量级领域本体的安全设备威胁情报共享方法。

背景技术

当前，网络空间威胁正在持续增长，网络攻击、数据盗窃和金融诈骗事件不断涌现，为网络空间的安全运行带来了极大威胁和隐患。在这一攻击者与防御者的博弈中，情报作用的重要性是不容忽视的。一方面攻击者需要掌握目标的全面信息情报才能精确、定向发动攻击；而另一方面，由于攻击具有高度不确定性，防御者更加依赖于情报的收集和处理以进行有效的部署、控制和响应。网络空间中的情报是为了保护网络空间资源免受威胁的侵害，主要应用于安全风险管理领域，指利用安全专家、专业团体的经验、技能和针对性工作生成的关于安全和威胁的相关信息。一般包括信誉情报和攻击情报两类。威胁情报将情报理论知识与网络空间安全技术结合，能够有效指导和解决网络空间防御实践中新涌现的难点性问题。与传统情报的生命周期阶段类似，威胁情报为发挥在网络空间防护中的积极作用，通常按照一个有序、连续和线性的过程运行。由于这种威胁情报体系的复杂性较大，对环节间的依赖性突出，为了最大限度的节约安全专家的人力和精力，整个威胁情报的处理过程必须尽可能以自动化的方式来进行，从而为安全设备的机器与机器之间交换可读、可理解的规范化信息内容提出了迫切的要求。当前，尽管众多安全厂商已经为设备与管理系统之间的信息交互设计了多种协议，但主要以格式要求严格、缺乏灵活性的专用、私有协议为主，无法完成威胁情报共建、共享、共用的预期目标。

目前安全设备威胁情报的交互存在以下问题：

(1)安全设备间威胁情报交互的可扩展性问题。当前协议的格式字段均在设计之初就严格限定，灵活性差，难以扩展，表达能力有限；

(2)安全设备间威胁情报交互的内容关联问题。协议的内容均以记录事实为主，基于元数据的信息与信息间孤立性强，缺乏语义和相互联系，不能进行演绎、推理从而形成新的知识；

(3)安全设备间威胁情报交互的接口开放性问题。协议主要依托厂商自行开发的专用、封闭模块实现，在多个厂商间进行信息的适配与转接工作量巨大；

(4)安全设备间威胁情报交互的概念一致性问题。协议的关键要素定义不统一，随意性较强，不同厂商的设备间难以对安全领域概念、术语和取值形成一致的约定和认知。

以上问题导致了在不同厂商的设备间进行威胁情报信息的互联互通操作极为困难，自动化流程的推进举步维艰。为了使安全设备间能够对面临风险、威胁状况和安全态势形成无歧义的、一致的、准确的认知，需要通过提炼网络安全领域知识、构建领域本体、设计语义解析器和规则映射器，构建信息共享机制，打破设备间威胁情报信息交换的瓶颈，最大化发挥威胁情报的积极作用。

因此，安全风险管理领域亟需一种表达能力强、无歧义、高效的威胁情报共享方法，既可以促进威胁情报在设备间交互的规范化、有序化，提高兼容性，又能够通过威胁情报中语义关系的确立加深设备对情报内容的深入理解，便于自动化响应策略的执行，实现安全设备间、安全设备与管理系统的无缝衔接以及功能自治，从整体上达到信息共享效率、协同能力和智能化水平显著提升的有益效果。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供了一种基于轻量级领域本体的安全设备威胁情报共享方法。

本发明采用的技术方案如下：一种基于轻量级领域本体的安全设备威胁情报共享方法,具体包括以下过程：步骤1、采用轻量级本体作为设备间的信息沟通媒介，建立威胁情报通用领域本体；步骤2、情报生产者将威胁情报通用领域本体本地化，从网络空间获取原始威胁情报信息，将原始威胁情报信息转化并映射为轻量级本体知识；步骤3、情报转发者基于本体通信服务将轻量级本体知识转发给情报使用者；步骤4、情报使用者将接收到的轻量级本体知识转化并适配为本地专用策略描述并作用于网络空间的运行。

进一步的，所述步骤1的具体过程为：步骤11、对标准、规范以及业界报告进行收集和整理，根据威胁情报目的和应用范围进行本体分析，确定威胁情报领域知识；步骤12、通过概念化，将威胁情报领域知识转换形成威胁情报领域的概念模型；步骤13、通过形式化语言处理威胁情报领域知识的概念模型获得威胁情报通用领域本体；步骤14、根据清晰性、一致性、完整性、可扩展性以及最小承诺原则，评估本体是否达到应用要求；步骤15、如果达到要求，编码将本体以结构化数据的方式存储在数据库中，获得威胁情报知识库。

进一步的，所述步骤2的具体过程为：步骤21、采用Native XML的方式表示威胁情报通用领域本体，以XML文档作为基本储存单元；步骤22、建立本地数据库内部的数据模型，对本体进行储存、查询和更新，将本体本地化；步骤23、将网络环境中多类型安全设备产生的原始数据转化为原始威胁情报信息，通过预处理、消重、归并和分类的处理形成安全威胁数据；步骤24、将安全威胁数据映射为轻量级威胁本体知识。

进一步的，所述步骤24的具体过程为：(1)识别不同层次和不同时间序列的待处理的安全威胁数据，将所有的安全威胁数据提升至相同的标识层级；(2)使用RDF消除语义的不一致性；(2)建立相似度量函数，进行原语间相似性匹配；(3)建立语义关系，建立安全威胁数据原语与轻量级威胁本体知识原语中的联系。

进一步的，所述步骤3的具体过程为：步骤31、将轻量级本体知识序列化，使轻量级本体知识解析成资源描述框架(RDF)三元组，获得序列化本体；步骤32、访问序列化本体的资源，识别接口；步骤33、建立情报生产者和情报使用者之间的握手机制进行握手过程；步骤34；将序列化本体的RDF信息发送至情报使用者。

进一步的，所述接口采用REST接口.

进一步的，REST构架风格包含了统一接口概念。

进一步的，所述步骤4的具体过程为：步骤41、情报使用者将轻量级威胁本体本地化；步骤42、将本地化的轻量级威胁本体转化为威胁情报结构化数据；步骤43、依据通用的威胁情报结构化数据所指示的信息，将威胁情报结构化数据转化为专用策略描述。

进一步的，所述专用策略描述的转化过程为目标查询、功能匹配、参数调整和配置验证的步骤。

进一步的，所述基于轻量级领域本体的安全设备威胁情报共享方法还包括以下过程：情报使用者将专用策略描述作用于网络空间的运行情况通过本体通信服务反馈给情报生产者。

与现有技术相比，采用上述技术方案的有益效果为：

(1)安全设备间威胁情报交互的可扩展性能力强。通过基于轻量级本体对威胁情报进行描述，可以大大提升情报的表达能力，灵活性好，扩展性强，能够向后兼容。

(2)安全设备间威胁情报交互的内容关联能力强。基于本体概念与关系的信息与信息间具备了语义，通过语义关系的建立，能够进行演绎、推理从而形成新的知识。

(3)安全设备间威胁情报交互的接口开放能力强。基于轻量级本体的威胁情报接口使用标准化的XML和REST方式进行传输，通用性强，能够兼容多个厂商的多个设备间的信息的适配与转接工作。

(4)安全设备间威胁情报交互的概念一致性能力强。通过建立实体、关系及属性定义清晰的轻量级本体，将轻量级本体转化成结构化数据，统筹威胁情报领域的术语和知识，实现理解层面的共同认知。

附图说明

图1是本发明安全设备威胁情报共享方法角色构成图。

图2是本发明安全设备威胁情报共享方法作用时机图。

图3是本发明威胁情报领域轻量级本体概念图。

图4是本发明威胁情报领域轻量级本体构建流程图。

具体实施方式

下面结合附图对本发明做进一步描述。

如图1所示本发明的整体构架由情报生产者、情报转发者和情报使用者使用三类不同的角色构成。情报生产者一般是专业的安全分析机构，通过感知接口在攻击者对信息资源发起攻击后接收受害者上报的信息，经过处理、分析、编排后形成情报并发布；生产者还承担着侦测攻击者，以及接收监管者指令并执行的职能。情报转发者是情报信息按照用户需求精确汇集、路由、分发，以及传递使用者需求反馈的生态要素，传递者一般由情报服务门户、情报知识库及情报传递链路构成，是联结情报使用者与情报生产者的有机纽带。情报使用者是情报的最终用户，在角色构成中，情报使用者可以是N个，N是大于1的自然数，在通过人工或自动方式解析了情报内容后，能够通过控制接口对自有信息资源进行控制以达到防御配置、攻击免疫的效果；使用者对情报使用情况进行评估后反馈给生产者，帮助生产者改进情报质量；在企业将信息安全工作完全外包的情况下，生产者将直接对目标信息资源进行配置以达到防护目标。

如图2所示，一种基于轻量级领域本体的安全设备威胁情报共享方法，具体包括以下过程：步骤1、采用轻量级本体作为设备间的信息沟通媒介，建立威胁情报通用领域本体；步骤2、情报生产者将威胁情报通用领域本体本地化，从网络空间获取原始威胁情报信息，将原始威胁情报信息转化并映射为轻量级本体知识；步骤3、情报转发者基于本体通信服务将轻量级本体知识转发给情报使用者；步骤4、情报使用者将接收到的轻量级本体知识转化并适配为本地专用策略描述并作用于网络空间的运行。上述过程共同构建和形成完整的基于轻量级本体的安全设备威胁情报共享方法，能够有效支撑整体安全系统的感知、控制功能，在建立威胁情报通用领域本体的前提下，情报生产者和情报使用者能够传递网络空间的获取的信息，与网络空间其它实体进行信息和能量交互，在管理者的组织下，更好地应对攻击者层出不穷的网络威胁而持续、高效运行。

如图3-4所示，所述步骤1的具体过程为：步骤11、对标准、规范以及业界报告进行收集和整理，根据威胁情报目的和应用范围进行本体分析，确定威胁情报领域知识；步骤12、通过概念化，将威胁情报领域知识转换形成威胁情报领域的概念模型；步骤13、通过形式化语言处理威胁情报领域知识的概念模型获得威胁情报通用领域本体；步骤14、根据清晰性、一致性、完整性、可扩展性以及最小承诺，评估本体是否达到应用要求；步骤15、如果达到要求，编码将本体以结构化数据的方式存储在数据库中，获得威胁情报知识库。上述过程是针对信息安全的威胁情报这一特定领域，基于轻量级本体建立能够在安全设备间共享知识的通用本体过程。轻量级本体是一种层次简化、关系清晰。易于操作的本体表达形式，同样遵循明晰、一致、可扩展、最小编码和最小承诺的设计原则。对威胁情报本体的建设首先从核心元素相关类、属性、关系等方面出发逐步进行完善。本实施列的威胁情报的轻量级本体主要由类、关系、个体、约束、公理构成，形式化语言可以基于框架的逻辑或者一阶谓词逻辑或者描述逻辑，本实施列采用描述逻辑作为形式化语言，去描述要研究的威胁情报领域知识，并形成威胁情报通用领域本体以及威胁情报知识库。威胁情报领域知识库主要包括TBox和ABox，其中TBox是术语集，即应用领域的词汇；ABox是采用词汇对个体的断言。

威胁情报一般包括信誉情报(“坏”的IP地址、URL、域名等，比如C2服务器相关信息)、攻击情报(攻击源、攻击工具、利用的漏洞、该采取的方式)。在运行过程中，首先描述威胁情报领域的重要概念：资产、威胁、脆弱性、对策等；然后建立这些概念之间的相互约束关系，包括类与实例的关系、类之间的关系、类的属性约束，由此形成研究领域的知识库并用来表示本体；再依据推理算法和知识表示领域的公理，推出被研究领域没有被显示定义的类之间的包含被包含关系、实例的断言问题和所定义知识库内部的一致性问题。

所述步骤2的具体过程为：步骤21、采用Native XML的方式表示威胁情报通用领域本体，以XML文档作为基本储存单元；步骤22、建立本地数据库内部的数据模型，对本体进行储存、查询和更新以提高系统效率、降低实现的复杂度，将本体本地化；本体本地化是设备根据自身的计算、存储及平台架构，将威胁情报通用领域本体的类、关系、个体、约束、公理以本地化方式表示的过程，本体本地化的主要任务是本体及检索引擎的存储，包括操作空间准备、存储空间准备、本体导入、校验四个步骤；步骤23、将网络环境中多类型安全设备产生的专有安全状态、信息和事件描述等原始数据转化为原始威胁情报信息，通过预处理、消重、归并和分类的处理形成安全威胁数据，形成的安全威胁数据价值较高，有效的达到威胁情报信息的质量要求；步骤24、将安全威胁数据映射为轻量级威胁本体知识。

本体概念结构的映射是将多类型安全设备产生并转换的安全威胁数据映射为格式均一化、语义标准化、表达一致化的轻量级威胁本体知识的过程，在不同的知识域中建立语义桥，使其代表的知识实现共同的理解和沟通。所述步骤24的具体过程为：(1)识别不同层次和不同时间序列的待处理的安全威胁数据，识别过程中数据处理的难度在于：第一是不同层次件的信息，而且需要考虑环境和目标描述；第二是时间序列上的不同，大多数情况多元异构安全数据的时间坐标是非线性的，其中的时间异构直接影响数据的质量和时空校准。将所有的安全威胁数据提升至相同的标识层级，该相同的标识层级包括相同的空间层和一个线性时间层(2)使用RDF消除语义的不一致性；(2)建立相似度量函数，根据协同行为、依赖性、源和目标在原语间建立相似性，进行原语间相似性匹配；(3)建立语义关系，建立源本体原语即安全威胁数据原语与目标本体原语即轻量级威胁本体知识原语中的联系；通过建立语义关系来完成该项过程。

情报转发者基于本体通信服务将轻量级本体知识转发给情报使用者，是面向情报生产者、情报转发者和情报使用者间的情报传递和路由需求。基于本体通信服务接口的定义、信息交互流程的规范和对威胁情报本体语义的分析实现威胁情报的正确交付。所述步骤3的具体过程为：步骤31、将轻量级本体知识序列化，将轻量级本体知识解析成资源描述框架(RDF)三元组，获得序列化本体；RDF是基于XML的资源描述框架规范，可以很好地表达威胁情报领域本体；RDF看作是资源、属性和陈述三元组的语法形式，所有通过RDF描述的对象(Object)都看作是一个资源，资源可以是一个对象、一个地址或一个概念，资源用URI加以标示；属性是描述资源的某个方面的特征、属性和关系；一个资源加上一个特性以及该特性的值(Value)就构成了一个陈述，一个陈述有3个独立的组成部分:主体(subject)、谓词(predicate)、客体(object)；步骤32、访问序列化本体的资源，识别接口；步骤33、建立情报生产者和情报使用者之间的握手机制进行握手过程；步骤34；将序列化本体的RDF信息发送至情报使用者。

所述接口采用REST接口；接口的服务化是以请求—应答的方式通过网络在安全设备间建立本体知识连接的支撑技术，本方法使用基于RESTful的方法进行信息的共享，能够使延迟和网络交互最小化，同时使组件实现的独立性和扩展性最大化。

资源是REST中最关键的抽象概念，它们是能够被远程访问的应用程序对象；一个资源就是一个标识单位，任何可以被访问或被远程操纵的东西都可能是一个资源；资源可以是静态的，也就是该资源的状态永远不会改变；相反，某些资源的状态可能随着时间推移呈现很大的可变性。为了简化整体系统架构，REST架构风格包含了统一接口的概念；统一接口包含一组受限的良定义的操作，由它们进行资源的访问和操作；不论什么资源，都使用相同的接口。

所述步骤4的具体过程为：步骤41、情报使用者将轻量级威胁本体本地化；采用Native XML的方式表示威胁情报通用领域本体，以XML文档作为基本储存单元；建立本地数据库内部的数据模型，对本体进行储存、查询和更新以提高系统效率、降低实现的复杂度，将本体本地化；步骤42、在作为情报使用者的安全设备上，将接受到的本地化的轻量级威胁本体转化为威胁情报结构化数据；步骤43、依据通用的威胁情报结构化数据所指示的信息，将威胁情报结构化数据转化为专用策略描述。实现响应指令、更改配置或更新策略的过程。所述专用策略描述的转化过程为目标查询、功能匹配、参数调整和配置验证的步骤。

情报使用者将专用策略描述作用于网络空间的运行情况通过本体通信服务反馈给情报生产者，帮助情报生产者改进情报质量

本发明并不局限于前述的具体实施方式。本发明扩展到任何在本说明书中披露的新特征或任何新的组合，以及披露的任一新的方法或过程的步骤或任何新的组合。如果本领域技术人员，在不脱离本发明的精神所做的非实质性改变或改进，都应该属于本发明权利要求保护的范围。

Claims (10)

1.一种基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，包括以下过程：步骤1、采用轻量级本体作为设备间的信息沟通媒介，建立威胁情报通用领域本体；步骤2、情报生产者将威胁情报通用领域本体本地化，从网络空间获取原始威胁情报信息，将原始威胁情报信息转化并映射为轻量级本体知识；步骤3、情报转发者基于本体通信服务将轻量级本体知识转发给情报使用者；步骤4、情报使用者将接收到的轻量级本体知识转化并适配为本地专用策略描述并作用于网络空间的运行。

2.如权利要求1所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述步骤1的具体过程为：步骤11、对标准、规范以及业界报告进行收集和整理，根据威胁情报目的和应用范围进行本体分析，确定威胁情报领域知识；步骤12、通过概念化，将威胁情报领域知识转换形成威胁情报领域的概念模型；步骤13、通过形式化语言处理威胁情报领域知识的概念模型获得威胁情报通用领域本体；步骤14、根据清晰性、一致性、完整性、可扩展性以及最小承诺原则，评估本体是否达到应用要求；步骤15、如果达到要求，编码将本体以结构化数据的方式存储在数据库中，获得威胁情报知识库。

3.如权利要求2所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述步骤2的具体过程为：步骤21、采用Native XML的方式表示威胁情报通用领域本体，以XML文档作为基本储存单元；步骤22、建立本地数据库内部的数据模型，对本体进行储存、查询和更新，将本体本地化；步骤23、将网络环境中多类型安全设备产生的原始数据转化为原始威胁情报信息，通过预处理、消重、归并和分类的处理形成安全威胁数据；步骤24、将安全威胁数据映射为轻量级威胁本体知识。

4.如权利要求3所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述步骤24的具体过程为：(1)识别不同层次和不同时间序列的待处理的安全威胁数据，将所有的安全威胁数据提升至相同的标识层级；(2)使用RDF消除语义的不一致性；(2)建立相似度量函数，进行原语间相似性匹配；(3)建立语义关系，建立安全威胁数据原语与轻量级威胁本体知识原语中的联系。

5.如权利要求4所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述步骤3的具体过程为：步骤31、将轻量级本体知识序列化，使轻量级本体知识解析成资源描述框架(RDF)三元组，获得序列化本体；步骤32、访问序列化本体的资源，识别接口；步骤33、建立情报生产者和情报使用者之间的握手机制进行握手过程；步骤34；将序列化本体的RDF信息发送至情报使用者。

6.如权利要求5所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述接口采用REST接口。

7.如权利要求6所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述REST构架风格包含了统一接口概念。

8.如权利要求7所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述步骤4的具体过程为：步骤41、情报使用者将轻量级威胁本体本地化；步骤42、将本地化的轻量级威胁本体转化为威胁情报结构化数据；步骤43、依据通用的威胁情报结构化数据所指示的信息，将威胁情报结构化数据转化为专用策略描述。

9.如权利要求8所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，所述专用策略描述的转化过程为目标查询、功能匹配、参数调整和配置验证的步骤。

10.如权利要求1或者9所述的基于轻量级领域本体的安全设备威胁情报共享方法,其特征在于，还包括以下过程：情报使用者将专用策略描述作用于网络空间的运行情况通过本体通信服务反馈给情报生产者。