CN109981564A - 一种基于区块链的威胁情报交换共享方法 - Google Patents

Abstract

本发明公开了一种基于区块链的威胁情报交换共享方法，其步骤包括：1)设置一威胁情报区块链系统，其包括威胁情报区块链、同步节点和若干维护节点；用户注册成为威胁情报区块链用户，获得对应的公钥和私钥；2)威胁情报生产者在系统上设定好智能合约内容，用私钥签名后发布到威胁情报区块链上；3)威胁情报消费者同步签发的智能合约内容，并用私钥签名后通过系统进行广播；4)维护节点将该智能合约中的内容解析出来并打包到新威胁情报区块A中；5)将该区块A广播到系统中，维护节点对该区块A达成共识后将其添加到威胁情报区块链中；6)维护节点在确认智能合约的有效性后，达成共识创造新的区块B并通过系统进行广播。

Description

一种基于区块链的威胁情报交换共享方法

技术领域

本发明公开了一种基于区块链的威胁情报交换共享方法，利用区块链的去中心化机制、共识算法和不可篡改性，实现了威胁情报的置信度、时效性、匹配度和关联度等关键指标的可控性，并通过代币激励机制改变了传统的威胁情报交换共享的模式，极大地促进了威胁情报生产者供应情报的数量、质量和积极性，也极大地促进了威胁情报的有效消费和高价值利用。

背景技术

现有的威胁情报交换共享模式，主要有开源威胁情报交换共享和商用威胁情报交换共享。开源威胁情报出于公益等目的提供了大量有效情报，但是威胁情报的覆盖度、时效性、准确性等缺乏有效的评估手段；商用威胁情报生产者要由情报生产厂商、情报设备厂商等商用情报生产者提供，依然存在情报供给能力、反馈能力、应急响应能力等方面缺乏统一的、自动化的评估标准，给威胁情报消费者带来威胁情报评估效果量化标准缺失的困扰。

基于区块链的威胁情报共享方法，充分利用区块链的去中心化和共识算法优势，情报生产者提供的情报数据，自动广播到区块链全网，矿工节点进行根据自身的算力和情报信誉度、贡献度等POW+POC共识算法争夺情报数据记账权，对情报数据的置信度、时效性、匹配度和关联度等关键指标进行分析，以最后获得记账权的节点分析结果进行记账，再对验证过的情报数据进行全网广播和记录，从而实现了威胁情报的不可篡改性。

发明内容

为解决前述互联网威胁情报存在的问题，本发明基于区块链技术、智能合约设计了威胁情报区块链(威胁情报区块链由威胁情报区块连接构成，威胁情报区块的结构与传统区块结构相同)。在它的基础上可以开发去中心化的威胁情报交换共享应用，威胁情报生产者可在威胁情报区块链系统发布威胁情报需求，威胁情报消费者可选择是否订阅威胁情报，双方通过智能合约有机结合在一起，威胁情报的订阅使用情况自动记录在区块链上，威胁情报信誉具有不可篡改性，提升了威胁情报评估的自动化和客观性，也促进了威胁情报的有效利用和自动化交易。

为达到上述目的，本发明采用具体技术方案包括以下步骤：

1)威胁情报生产者和威胁情报消费者首先注册成为威胁情报区块链用户，获得一对公钥和私钥，自动成为威胁情报用户，可以属于生产者、消费者或者同时既是生产者又是消费者。

2)威胁情报生产者在威胁情报区块链系统上设定好智能合约内容(威胁情报发布和基于威胁情报消费量的奖励分发协议)，用私钥签名后发布到威胁情报区块链上。

3)威胁情报消费者从威胁情报区块链上同步签发的智能合约内容后，可选择是否与威胁情报生产者签订智能合约。如果威胁情报消费者需要签约，则只需用自己的私钥在合约中签名，然后威胁情报区块链系统会把合约以函数调用的形式，广播到威胁情报区块链系统中。

4)威胁情报区块链系统维护节点接收到合约之后，会解析智能合约，把智能合约中的内容解析出来，打包到新威胁情报区块中。威胁情报区块的结构与传统区块结构相同。

5)新区块创建完会被广播到威胁情报区块链系统中，等设定比例的挖矿节点对该新威胁情报区块达成共识后被添加到威胁情报区块链中。在智能合约中包含威胁情报内容及主要参数有：威胁情报覆盖的地区范围(Range)、威胁情报发布周期(Period)、威胁情报费用(Bonus)、威胁情报需返回的参数(Returns)、基于威胁情报消费量的奖励分发协议等。若智能合约用ctiSmartContract表示，那么智能合约将携带参数发布到威胁情报区块链系统中，威胁情报区块链系统维护节点会解析智能合约并创建新的区块，形式表达如下：

威胁情报区块链系统维护节点<-ctiSmartContract(Range,Period,Bonus,Returns)

6)威胁情报区块链系统维护节点在确认智能合约的有效性后(可以根据以太坊智能合约虚拟机的校验机制确认智能合约的有效性)，达成共识创造新的威胁情报区块并发布到威胁情报区块链上，区块内合约的执行使得信息的价值可以在用户间传递。达成共识创造新的威胁情报区块将记录交易信息、智能合约和威胁情报订阅数据等信息，并保证信息的一致性和安全性。威胁情报区块链系统维护节点是系统数据的维护者，负责保证数据的一致性和安全性。

与现有技术相比，本发明的积极效果为：

本发明可以开发去中心化的威胁情报交换共享应用，威胁情报生产者可在威胁情报区块链系统发布威胁情报需求，威胁情报消费者可选择是否订阅威胁情报，双方通过智能合约有机结合在一起，威胁情报的订阅使用情况自动记录在区块链上，威胁情报信誉具有不可篡改性，提升了威胁情报评估的自动化和客观性，也促进了威胁情报的有效利用和自动化交易。

附图说明

图1为本发明整体框架图；

图2为本发明平台架构图；

图3为本发明用户节点结构；

图4为本发明节点系统结构及其模块调用流程；

图5为本发明威胁情报区块链的区块形式。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的目的、特征和优点能够更加明显易懂，下面结合附图和事例对本发明中技术核心作进一步详细的说明。

在本发明中提出了一种基于区块链进行威胁情报交换共享的方法。

如图1所示是本方法的整体框架图。共分为六个步骤：

步骤1，构造威胁情报区块链节点。为了解决PoW的挖矿效率低下，消耗资源的问题，本发明结合威胁情报区块链系统用户访问威胁情报区块链系统的行为(可以理解用户对威胁情报区块链系统的有用贡献，useful contribution，简称贡献)和区块链技术，设计和构建威胁情报区块链系统。在工作量证明的过程中充分考虑威胁情报区块链系统用户的贡献，实现了用户贡献+工作量证明的算法。为了降低系统的工作量，在节点选举过程中使用威胁情报区块链系统投票的方式(图2)。

威胁情报区块链系统包括威胁情报区块链系统用户、威胁情报生产者、威胁情报区块链、维护节点和威胁情报数据同步节点。

威胁情报区块链系统节点：用户节点(威胁情报消费者)。用户通过私钥签发智能合约，向威胁情报区块链系统发布用户行为数据用于证明自己对系统的贡献，根据其贡献获取对等的奖励(包括：威胁情报生产者支付的威胁情报费，即威胁情报激励费用，和挖矿奖励)。智能合约将封装威胁情报区块链系统的用户行为数据和随机数，并打包成一个区块，加密后广播到威胁情报区块链中，等待系统维护节点的验证。

威胁情报区块链系统节点：威胁情报节点(威胁情报生产者)。威胁情报生产者使用智能合约在威胁情报区块链系统上发布威胁情报，并把合约信息封装后发送给威胁情报区块链。威胁情报区块链系统的维护节点对信息进行解析，并对信息进行验证，验证完成后打包到新威胁情报区块并广播到威胁情报区块链系统中激发共识机制。

维护节点：即威胁情报区块链矿工，是验证威胁情报区块链系统用户贡献的重要节点，它使用贡献度证明(Proof of Contribution)+工作量证明(Proof of Work)的机制，验证威胁情报区块链系统节点的贡献，并将最终产生的新威胁情报区块广播到威胁情报区块链之中，实现系统共识。此外威胁情报矿工会把发送到威胁情报区块链上的交易和智能合约打包到新威胁情报区块中。

威胁情报数据同步节点：一般为小型PC，从威胁情报区块链同步下载最新智能合约数据和用户钱包数据到终端节点上，方便附近的终端用户同步下载相关数据。

步骤2，构造威胁情报区块链系统用户节点。威胁情报消费者通过订阅威胁情报，触发与威胁情报生产者之间签订智能合约的动作，成为某个威胁情报传播的贡献者。用户通过威胁情报区块链系统节点，把其贡献和威胁情报区块链系统生成的随机数通过智能合约封装，最后加密打包生成区块广播到威胁情报区块链系统中，等待系统维护节点统计并返回某个威胁情报的激励和部分区块奖励。假设随机数是RandNum，需要传递的参数还有周期period，地点place和价格price(即节点的贡献)，威胁情报区块链系统客户端将对这些参数进行封装，签署智能合约，并广播到威胁情报区块链系统中。形式如下：

Step1:调用智能合约封装贡献，返回SC，SC<--SmartContract(RandNum,period,place,price)。

Step2:通过威胁情报区块链系统客户端发送封装后的消息，例如：SendtoBlockchainSevers(SC)。

Step3：通过威胁情报区块链系统客户端不断监听数据同步节点的数据(包括威胁情报及评价数据)，以更新钱包等信息。

步骤3，构造威胁情报区块链系统威胁情报节点。威胁情报生产者通过发布威胁情报，触发与威胁情报消费者之间签订智能合约的动作，成为威胁情报的生产者。威胁情报生产者通过威胁情报区块链系统发布威胁情报，把威胁情报发行周期、范围以及威胁情报奖励等参数通过智能合约进行封装，然后通过威胁情报区块链系统生成数据区块，广播到网络之中，并寻求系统维护节点把威胁情报信息写到威胁情报区块链系统中。当威胁情报信息被写入区块之后，就会把信息广播到数据同步节点，数据同步节点与威胁情报生产者签署智能合约，同步威胁情报内容，等待威胁情报区块链系统用户的访问。假设威胁情报生产者发布威胁情报需要传递的参数有周期period，地点place和价格price(即威胁情报奖励)，智能合约将把这些参数封装，签署智能合约，并广播到区块链系统中。形式如下：

Step1:调用智能合约封装威胁情报参数，威胁情报生产者返回SC，例如：SC<-SmartContract(RandNum,period,place,price)；

Step2:通过威胁情报区块链系统发送封装后的消息，例如：SendtoBlockchainSevers(SC)；

Step3:增加区块并验证区块的有效性，例如：AddBlock()and Validation()；

Step4:数据同步节点与威胁情报生产者签署智能合约，SignSmartContract()；

Step5:同步威胁情报数据DataSynchronization()。

步骤4，构造威胁情报区块链系统维护节点。威胁情报区块链系统维护节点构建系统共识，保证数据一致性和安全性。为保证威胁情报区块链系统维护节点的权益，保证其能够公平的参与记账权的分配、公平参与区块的产生，所有威胁情报区块链系统用户产生的有用贡献与随机数一起广播到网络中。威胁情报区块链系统维护节点捕获威胁情报区块链系统用户的贡献信息后，将解析威胁情报区块链系统给的随机数，由此来判断是否由自己来计算贡献度值。用RandNum(Useful contribution)表示威胁情报区块链系统产生的随机数形式如下：

威胁情报区块链系统维护节点地址＝hash(RandNum)

只有当随机数的hash运算结果与威胁情报区块链系统维护节点地址相同时，该节点获取节点数据统计权。

同时，为了让贡献度能够影响系统维护节点的挖矿能力，在工作量证明的同时，引入贡献参数。假设用D(Difficult)表示当前挖矿难度，用UCs(Useful contributions)表示系统维护节点统计的贡献总和。当且仅当当前系统维护节点的UCs高于80％的系统中的其他系统维护节点(目的是让1/5的算力参与挖矿，剩余4/5算力继续同步数据，避免算力浪费)，将有资格进行工作量证明，即：

威胁情报Proof(UCs,D，hash,20％)

与PoW相同，当且仅当其解hash值的速度最快，将会获取创建新块、记账的权力。

步骤5，构造威胁情报区块链。参考以太坊的区块头来设计威胁情报区块链的区块头，威胁情报区块头封装了父块Hash、版本号、系统维护节点地址、区块序号(高度)、Bloom过滤器、当前通证(Token)总量、Token使用量、难度级别、附加数据、混合摘要、随机数、交易根、状态根以及收据根等信息，其中交易根、贡献(Contributions Root)根、智能合约(Smart Contracts)根、密钥根分别是交易树、有效贡献树、智能合约树的根节点Hash值，而交易树、有效贡献度树和密钥树是由Merkle Patricia树构造而成的。交易列表保存威胁情报区块链交易信息，贡献度树保存威胁情报区块链的贡献度数据信息，这与比特币和以太坊的区块结构类似。

威胁情报区块链系统维护节点和威胁情报数据同步节点对于历史区块链信息的需求不同。威胁情报区块链系统维护节点在挖矿过程(记账过程)中需要链上的所有信息，它们会同步下载整条威胁情报区块链，从创世纪块到当前块，执行或校验其中包含的所有交易、贡献和智能合约。威胁情报数据同步节点仅仅下载威胁情报区块链的头(从创世纪块到当前威胁情报块的头)、智能合约、钱包状态数据和威胁情报内容等数据，不执行任何的交易或检索任何相关联的状态。由于威胁情报数据同步节点可以访问块的头，而头中包含了交易树、智能合约树和有效贡献树三个树的Hash，所有威胁情报数据同步节点依然可以很容易生成和接收关于交易、贡献度和智能合约三类信息的可验证答案。

取得记账权的威胁情报区块链系统维护节点将当前威胁情报块链接到前一威胁情报块，形成最新的区块主链。各个威胁情报块依次链接起来，形成了一条从初始威胁情报区块链到当前区块的最长主链，从而记录了威胁情报区块链数据的完整历史，能够提供威胁情报区块链数据的溯源和定位功能，任意数据(包括交易信息)都可以通过此链式结构顺藤摸瓜、追本溯源。如果短时间内有两个威胁情报区块链节点同时算出两个新的威胁情报块加以链接的话，威胁情报区块链主链可能会出现暂时的“分叉”现象，其解决方法是约定威胁情报区块链节点总是选择累计贡献率最大的威胁情报区块链(即每次将新生成的威胁情报区块加入到当前累计贡献率最大的威胁情报区块链分支上)。

步骤6，威胁情报贡献度计算。

Step1:划分节点类型。在威胁情报区块链中，根据节点在网络中的作用，把节点分为轻节点和重节点。轻节点包括威胁情报区块链系统节点和威胁情报数据同步节点，重节点包括威胁情报区块链系统维护节点。威胁情报区块链系统节点是安装威胁情报区块链系统的客户端，用户可以通过威胁情报区块链系统贡献威胁情报订阅行为数据。威胁情报数据同步节点负责同步最新智能合约、钱包数据和威胁情报数据。威胁情报区块链系统维护节点则负责计算威胁情报区块链系统节点的贡献度、记录节点之间的交易行为，它是具有一定计算能力的服务器。

Step2:设置记账周期。贡献度记账周期是指威胁情报区块链统计贡献度的周期。自威胁情报区块链开始运行，每隔一个贡献度记账周期，将会选举一个或多个威胁情报区块链系统维护节点来统计威胁情报区块链系统节点的贡献度，并分配威胁情报权益给威胁情报区块链系统节点。贡献度记账周期不宜设置过短，周期太短会使得系统中的节点频繁的统计贡献度，消耗大量的计算资源。贡献度记账周期也不宜设置过长，过长的记账周期会降低贡献者的积极性，不利于威胁情报区块链的建设。

交易记账周期是指对威胁情报区块链中交易记账的周期。自威胁情报区块链开始运行，每隔一个交易记账周期，将会选举一个或多个威胁情报区块链节点来统计威胁情报节点之间的交易数据，保证不会出现双重支付。相对贡献度记账周期，交易记账周期更短。过长的交易记账周期会使得系统中的交易不能够快速确认，不利威胁情报Token的流通。

Step3:贡献度计算。威胁情报区块链系统节点贡献订阅行为流量，然后把流量广播到网络中。威胁情报区块链系统维护节点捕获威胁情报区块链系统节点广播的流量数据，然后根据流量计算各威胁情报区块链系统节点的贡献度，并按贡献度比例分配威胁情报费用和区块奖励给威胁情报区块链系统节点。在此过程中威胁情报区块链系统维护节点会打包贡献度信息到新威胁情报区块中，并记录到威胁情报区块链中。

本发明可以根据威胁情报区块链系统节点在一个记账周期内的威胁情报订阅行为(actions)来计算该威胁情报区块链系统节点的贡献度，并定义关于贡献行为的效用函数，用来计算威胁情报区块链系统节点在T时刻的贡献度：

Contribution(T)＝U(actions)

贡献度是关于订阅威胁情报行为或流量的函数。

可选取凸函数、凹函数或者线性函数作为效用函数。若威胁情报订阅行为较为平均，可以选取线性效用函数。若系统中存在刷威胁情报订阅行为次数行为的威胁情报区块链系统节点，为了防止这些节点刷威胁情报订阅行为量的行为，可以采用凹函数作为效用函数，即随着威胁情报订阅行为次数的增加，这些节点因威胁情报订阅行为次数增加带来的贡献度增量降低至0。

为了鼓励威胁情报区块链系统节点长期、稳定的贡献，增加对威胁情报区块链的黏性，引入贡献度年化利息θ的概念。威胁情报区块链系统节点使用威胁情报区块链软件的时间越长，其获得的收益越高。威胁情报区块链系统节点在T时刻的复利贡献量记为WContribution(T)。设贡献度记账周期为Δt_c天，T时刻威胁情报区块链节点的贡献量为Contribution(T)，之前的贡献量为Contribution(t)(t＝1,2,…,T-1)，年化利率为θ，那么T时刻威胁情报区块链节点的复利贡献量WContribution(T)定义为：

其中是威胁情报区块链威胁情报区块链系统节点持续为系统贡献威胁情报订阅行为或情报获取的额外收益，相当于威胁情报区块链系统节点的贡献率利息。

Step4:记账节点选举。威胁情报区块链中的记账节点必须要有足够的计算能力、存储空间和带宽才有资格被选举为记账节点。假设记账周期产生的数据总量(DataVolumn)共计X千字节，若威胁情报区块链节点的计算能力≤X千字节，那么该威胁情报区块链节点将不具有资格参选记账节点。与PoS的思想相似，重节点代表一系列威胁情报区块链系统节点的权益，其代表的威胁情报区块链系统节点越多，被选择作为记账节点的可能性越高。假设T时刻威胁情报区块链节重节点i记录的复利贡献量总量为iTWContribution(T)，那么它是否有资格记账由下面的公式来确定：

π是贡献度的阈值，用来确定记账资格，选出少数的具有记账能力的记账节点。可以选取20％的重节点来记账，并通过PoW挖矿机制来从20％的重节点中选出记账节点，即用于计算工作量证明的维护节点。

Step5:权益分配。被选举来记账的威胁情报区块链系统维护节点将同步所有其他威胁情报区块链系统维护节点的贡献量数据，并统计T时刻威胁情报区块链所有威胁情报区块链系统节点的总复利贡献量WContribution(T)，它等于所有威胁情报区块链节点的贡献量之和，即：

其中iTWContribution为第i个威胁情报区块链系统维护节点记录的总贡献量，n为总的威胁情报区块链系统维护节点数。

在完成权益分配之后，记账节点将把计算结果封装到贡献度记账区块中，并广播到到网络中，待其他记账节点验证后获得记账奖励。

以上步骤完整地描述了基于区块链的威胁情报交换共享方法的具体实施方式。

尽管为说明目的公开了本发明的具体内容、实施算法以及附图，其目的在于帮助理解本发明的内容并据以实施，但是本领域的技术人员可以理解：在不脱离本发明及所附的权利要求的精神和范围内，各种替换、变化和修改都是可能的。本发明不应局限于本说明书最佳实施例和附图所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (10)

1.一种基于区块链的威胁情报交换共享方法，其步骤包括：

1)设置一威胁情报区块链系统，其包括威胁情报区块链、同步节点和若干维护节点；用户在该威胁情报区块链进行注册成为威胁情报区块链用户，获得对应的公钥和私钥；其中，威胁情报用户为威胁情报生产者、威胁情报消费者或者同时既是威胁情报生产者又是威胁情报消费者；

2)威胁情报生产者在威胁情报区块链系统上设定好智能合约内容，用私钥对该智能合约内容签名后发布到威胁情报区块链上；

3)威胁情报消费者通过同步节点从威胁情报区块链上同步签发的智能合约内容，并用自己的私钥对该智能合约签名后通过威胁情报区块链系统进行广播；

4)维护节点将该智能合约中的内容解析出来并打包到新威胁情报区块A中；

5)将该新威胁情报区块A广播到威胁情报区块链系统中，如果设定比例的维护节点对该新威胁情报区块A达成共识后将其添加到威胁情报区块链中；

6)维护节点在确认智能合约的有效性后，达成共识创造新的威胁情报区块B并通过威胁情报区块链系统进行广播；该威胁情报区块B记录交易信息、智能合约和威胁情报订阅数据。

2.如权利要求1所述的方法，其特征在于，所述智能合约中的信息包括：威胁情报内容、威胁情报覆盖的地区范围、威胁情报发布周期、威胁情报费用、威胁情报需返回的参数、基于威胁情报消费量的奖励分发协议。

3.如权利要求1所述的方法，其特征在于，步骤3)中，威胁情报消费者通过订阅威胁情报，触发与威胁情报生产者之间签订智能合约；然后将产生的威胁情报传播贡献值和威胁情报区块链系统生成的随机数通过智能合约封装，最后加密打包生成威胁情报区块广播到威胁情报区块链系统中。

4.如权利要求3所述的方法，其特征在于，所述威胁情报消费者将随机数RandNum、周期period、地点place和价格price进行封装并签署智能合约，然后加密打包生成威胁情报区块广播到威胁情报区块链系统中。

5.如权利要求3所述的方法，其特征在于，在同一记账周期内，各维护节点分别根据从该智能合约中解析出的威胁情报传播贡献值和随机数，判断是否由自己来获取威胁情报区块链系统用户节点数据统计权，并将威胁情报区块A链接到前一威胁情报块；其中，威胁情报区块链系统用户节点包括威胁情报生产者、威胁情报消费者。

6.如权利要求5所述的方法，其特征在于，维护节点根据从该智能合约中解析出的威胁情报传播贡献值生成一随机数，然后计算该随机数的哈希值，如果该哈希值与自己的地址相同，则由自己来获取威胁情报区块链系统用户节点数据统计权。

7.如权利要求1或5所述的方法，其特征在于，新威胁情报区块A包括权益分配、记账节点、贡献度。

8.如权利要求7所述的方法，其特征在于，当且仅当维护节点的UCs排名靠前的若干维护节点计算工作量证明；其中UCs表示维护节点统计的贡献总和。

9.如权利要求5所述的方法，其特征在于，维护节点根据威胁情报区块链系统用户节点在一个记账周期内的威胁情报订阅行为来计算该威胁情报区块链系统用户节点的贡献度；其中

计算贡献度的效用函数为凸函数、凹函数或者线性函数。

10.如权利要求1所述的方法，其特征在于，所述威胁情报区块链中威胁情报区块的区块头封装了父块Hash、版本号、维护节点地址、区块序号、Bloom过滤器、当前通证总量、通证使用量、难度级别、附加数据、混合摘要、随机数、交易根、贡献根、智能合约根、密钥根、状态根以及收据根；其中交易根、贡献根、智能合约根、密钥根分别是交易树、有效贡献树、智能合约树的根节点Hash值，交易树、有效贡献度树和密钥树是由Merkle Patricia树构造而成的。