CN113067829B - 一种威胁信息处理方法及装置 - Google Patents

Abstract

本申请公开了一种威胁信息处理方法及装置，用以基于资产信息甄别接收到的信息中的威胁信息和误报信息，避免延误对威胁的处置，实现了威胁信息的有效展示。所述方法包括：接收目标信息，其中，所述目标信息为触发预设的威胁上报规则的信息；确定所述目标信息所指向的目标对象；获取所述目标对象的资产信息；根据威胁规则库确定所述目标信息所对应的资产信息；将所述目标对象的资产信息与所述目标信息所对应的资产信息进行匹配；当匹配结果符合预设条件时，确定所述目标信息为威胁信息。采用本申请所提供的方案，能够基于资产信息甄别接收到的信息中的威胁信息和误报信息，避免延误对威胁的处置，实现了威胁信息的有效展示。

Description

一种威胁信息处理方法及装置

技术领域

本申请涉及网络安全领域，特别涉及一种威胁信息处理方法及装置。

背景技术

当前网络攻击越来越多，网络安全设备在检测并阻断网络攻击起到非常大的作用，有效的阻止了黑客对计算机系统的攻击。但网络安全设备在防护过程中经常会出现大量误报，导致网络安全设备接收到大量网关设备的误报信息，无法找到真正的威胁信息，从而延误了对威胁的处置和无法实现威胁信息的有效展示。

有鉴于此，亟需提供一种威胁信息处理方法及装置，以甄别接收到的信息中的威胁信息和误报信息。

发明内容

本申请实施例的目的在于提供一种威胁信息处理方法，包括：

接收目标信息，其中，所述目标信息为触发预设的威胁上报规则的信息；

确定所述目标信息所指向的目标对象；

获取所述目标对象的资产信息；

根据威胁规则库确定所述目标信息所对应的资产信息；

将所述目标对象的资产信息与所述目标信息所对应的资产信息进行匹配；

当匹配结果符合预设条件时，确定所述目标信息为威胁信息。

本申请的有益效果在于：能够基于威胁规则库确定触发威胁上报规则的目标信息对应的资产信息与目标对象的资产信息进行匹配，当匹配结果符合预设条件时，确定所述目标信息为威胁信息，从而能够基于资产信息甄别接收到的信息中的威胁信息和误报信息，避免延误对威胁的处置，实现了威胁信息的有效展示。

在一个实施例中，确定所述目标信息所指向的目标对象，包括：

获取所述目标信息中所携带的网络地址；

根据所述网络地址确定所述目标信息所指向的目标对象。

在一个实施例中，获取所述目标对象的资产信息，包括：

根据所述目标信息中所携带的网络地址对所述目标对象进行探测，以获取所述目标对象的资产信息。

在一个实施例中，在所述目标对象为服务器的情况下，所述资产信息包括服务器的服务器类型和/或浏览器类型，在所述目标对象为计算机设备的情况下，所述资产信息包括操作系统类型和/或浏览器类型。

在一个实施例中，在所述目标对象为计算机设备的情况下，通过以下方式确定匹配结果是否符合预设条件：

判断所述目标对象的操作系统类型与所述目标信息对应的操作系统类型是否一致；

如果所述目标对象的操作系统类型与所述目标信息对应的操作系统类型一致，确定所述目标对象的操作系统版本是否与所述目标信息中对应的至少一个版本相匹配；

如果所述目标对象的操作系统版本与所述目标信息中对应的至少一个版本相匹配，确定所述匹配结果符合预设条件。

在一个实施例中，还包括：

如果所述威胁规则库中记录的操作系统类型与所述目标对象的操作系统类型不一致，确定所述匹配结果不符合预设条件。

在一个实施例中，还包括：

如果所述目标对象的操作系统版本与所述威胁规则库中记录的所有版本都不匹配，确定所述匹配结果不符合预设条件。

在一个实施例中，在确定所述目标信息为威胁信息之后，还包括：

基于所述威胁信息的类型对所述威胁信息执行相应的处理。

本申请还提供一种威胁信息处理装置，包括：

接收模块，用于接收目标信息，其中，所述目标信息为触发预设的威胁上报规则的信息；

第一确定模块，用于确定所述目标信息所指向的目标对象；

获取模块，用于获取所述目标对象的资产信息；

第二确定模块，用于根据威胁规则库确定所述目标信息所对应的资产信息；

匹配模块，用于将所述目标对象的资产信息与所述目标信息所对应的资产信息进行匹配；

第三确定模块，用于当匹配结果符合预设条件时，确定所述目标信息为威胁信息。

在一个实施例中，第一确定模块，包括：

获取子模块，用于获取所述目标信息中所携带的网络地址；

确定子模块，用于根据所述网络地址确定所述目标信息所指向的目标对象。

在一个实施例中，获取模块，包括：

探测子模块，用于根据所述目标信息中所携带的网络地址对所述目标对象进行探测，以获取所述目标对象的资产信息。

在一个实施例中，在所述目标对象为服务器的情况下，所述资产信息包括服务器的服务器类型和/或浏览器类型，在所述目标对象为计算机设备的情况下，所述资产信息包括操作系统类型和/或浏览器类型。

在一个实施例中，在所述目标对象为计算机设备的情况下，通过以下方式确定匹配结果是否符合预设条件：

判断所述目标对象的操作系统类型与所述目标信息对应的操作系统类型是否一致；

如果所述目标对象的操作系统类型与所述目标信息对应的操作系统类型一致，确定所述目标对象的操作系统版本是否与所述目标信息中对应的至少一个版本相匹配；

如果所述目标对象的操作系统版本与所述目标信息中对应的至少一个版本相匹配，确定所述匹配结果符合预设条件。

在一个实施例中，还包括：

第四确定模块，用于如果所述目标信息对应的操作系统类型与所述目标对象的操作系统类型不一致，确定所述匹配结果不符合预设条件。

在一个实施例中，还包括：

第五确定模块，用于如果所述目标对象的操作系统版本与所述目标信息对应的所有版本都不匹配，确定所述匹配结果不符合预设条件。

在一个实施例中，还包括：

处理模块，用于在确定所述目标信息为威胁信息之后，基于所述威胁信息的类型对所述威胁信息执行相应的处理。

附图说明

图1为本申请一实施例中一种威胁信息处理方法的流程图；

图2为资产属性信息表生成过程的流程示意图；

图3为威胁规则库中属性信息表的生成过程的流程示意图；

图4为本申请一实施例中威胁检测过程的流程示意图；

图5为本申请另一实施例中一种威胁信息处理方法的流程图；

图6为本申请实施例的一种威胁信息处理装置的框图；

图7为本申请另一实施例的一种威胁信息处理装置的框图。

具体实施方式

此处参考附图描述本申请的各种方案以及特征。

应理解的是，可以对此处申请的实施例做出各种修改。因此，上述说明书不应该视为限制，而仅是作为实施例的范例。本领域的技术人员将想到在本申请的范围和精神内的其他修改。

包含在说明书中并构成说明书的一部分的附图示出了本申请的实施例，并且与上面给出的对本申请的大致描述以及下面给出的对实施例的详细描述一起用于解释本申请的原理。

通过下面参照附图对给定为非限制性实例的实施例的优选形式的描述，本申请的这些和其它特性将会变得显而易见。

还应当理解，尽管已经参照一些具体实例对本申请进行了描述，但本领域技术人员能够确定地实现本申请的很多其它等效形式。

当结合附图时，鉴于以下详细说明，本申请的上述和其他方面、特征和优势将变得更为显而易见。

此后参照附图描述本申请的具体实施例；然而，应当理解，所申请的实施例仅仅是本申请的实例，其可采用多种方式实施。熟知和/或重复的功能和结构并未详细描述以避免不必要或多余的细节使得本申请模糊不清。因此，本文所申请的具体的结构性和功能性细节并非意在限定，而是仅仅作为权利要求的基础和代表性基础用于教导本领域技术人员以实质上任意合适的详细结构多样地使用本申请。

本说明书可使用词组“在一种实施例中”、“在另一个实施例中”、“在又一实施例中”或“在其他实施例中”，其均可指代根据本申请的相同或不同实施例中的一个或多个。

图1为本申请实施例的一种威胁信息处理方法的流程图，该方法包括以下步骤S11-S16：

在步骤S11中，接收目标信息，其中，目标信息为触发预设的威胁上报规则的信息；

在步骤S12中，确定目标信息所指向的目标对象；

在步骤S13中，获取目标对象的资产信息；

在步骤S14中，根据威胁规则库确定目标信息所对应的资产信息；

在步骤S15中，将目标对象的资产信息与目标信息所对应的资产信息进行匹配；

在步骤S16中，当匹配结果符合预设条件时，确定目标信息为威胁信息。

在本实施例中，接收目标信息，其中，目标信息为触发预设的威胁上报规则的信息；例如，该方案的执行主体为防护系统，目标信息是防护系统或者网关设备检测到的疑似威胁信息的信息。

确定目标信息所指向的目标对象；该目标对象可以是指任意可能被威胁信息所攻击的硬件设备，例如计算机设备，服务器等。

获取目标对象的资产信息；该资产信息可以是指服务器的类型，计算机操作系统，浏览器类型等。

需要说明的是，在获取目标对象的资产信息时，可以生成一资产属性信息表，该资产属性信息表生成过程如图2，通过主动探测目标对象获取资产信息，例如，向目标对象发出探测信号，目标对象接收到该探测信号时，可以将自身的资产属性信息反馈给发出探测信号的设备。在基于主动探测获取资产信息之后，判断是否成功获取资产属性信息，若成功获取资产属性信息，则生成资产属性信息表，若没有成功获取资产属性信息，则可以提示用户进行人工输入，并基于人工输入的内容生成资产属性信息表。

根据威胁规则库确定目标信息所对应的资产信息；不同类型的威胁信息所针对的服务器类型或操作系统不同，对应的浏览器类型也不同。因此，威胁规则库可以用于记录不同威胁信息能够针对的操作系统类型或服务器类型。该威胁规则库也可以由上述各个属性信息表组成，每个属性信息表中包含一类威胁信息，该类威胁信息对应的操作系统属性或服务器类型，以及浏览器属性，威胁规则库中属性信息表的生成方式如图3所示。

将威胁规则库中记录的资产信息与目标对象的资产信息进行匹配；当匹配结果符合预设条件时，确定目标信息为威胁信息。

例如，目标对象为计算机设备，在判断匹配结果是否符合预设规则时，判断目标对象的操作系统类型与目标信息对应的操作系统类型是否一致；如果目标对象的操作系统类型与目标信息对应的操作系统类型一致，确定目标对象的操作系统版本是否与目标信息中对应的至少一个版本相匹配；如果目标对象的操作系统版本与目标信息中对应的至少一个版本相匹配，确定匹配结果符合预设条件。如果威胁规则库中记录的操作系统类型与目标对象的操作系统类型不一致，确定匹配结果不符合预设条件。如果目标对象的操作系统版本与威胁规则库中记录的所有版本都不匹配，确定匹配结果不符合预设条件。

本申请中还可通过如图4所示的方式实现，在进行威胁检测时，如果检测到目标信息，判断该目标信息是否能够匹配威胁信息规则库，如果不能匹配威胁信息规则库，则说明目标信息为误报信息，如果能够匹配威胁信息规则库，则获取规则库中操作系统属性和浏览器属性，即图4中的规则操作系统属性和浏览器属性。判断威胁规则库规则操作系统属性是否与资产信息表操作系统属性一致，威胁规则库规则操作系统属性是否与资产信息表操作系统属性不一致，则说明目标信息是误报信息，如果威胁规则库规则操作系统属性与资产信息表操作系统属性一致，继续判断威胁规则库规则浏览器属性是否与资产信息表浏览器属性一致，如果威胁规则库规则浏览器属性与资产信息表浏览器属性一致，则确定目标信息为威胁信息，完成威胁提纯，如果威胁规则库规则浏览器属性与资产信息表浏览器属性不一致，则说明目标信息是误报信息。

本申请的有益效果在于：能够基于威胁规则库记录的资产信息与目标对象的资产信息进行匹配，当匹配结果符合预设条件时，确定目标信息为威胁信息，从而能够基于资产信息甄别接收到的信息中的威胁信息和误报信息，减少了延误对威胁的处置和无法实现威胁信息的有效展示的情况。

在一个实施例中，如图5所示，上述步骤S12可被实施为以下步骤S51-S52：

在步骤S51中，获取目标信息中所携带的网络地址；

在步骤S52中，根据网络地址确定目标信息所指向的目标对象。

本实施例中，获取目标信息中所携带的网络地址；根据网络地址确定目标信息所指向的目标对象。具体的，目标信息中通常包含网络地址，该网络地址通常包括该目标信息的源地址和目的地址，通常情况下，可以基于目标信息的目的地址确定目标信息所指向的目标对象。

在一个实施例中，获取目标对象的资产信息，包括：

根据目标信息中所携带的网络地址对目标对象进行探测，以获取目标对象的资产信息。

本实施例中，根据目标信息中所携带的网络地址对目标对象进行探测，以获取目标对象的资产信息。具体的，可以基于目标信息中所携带的网络地址向目标对象发出探测信号，目标对象接收到该探测信号时，可以将自身的资产属性信息反馈给发出探测信号的设备。

在一个实施例中，在目标对象为服务器的情况下，资产信息包括服务器的服务器类型和/或浏览器类型，在目标对象为计算机设备的情况下，资产信息包括操作系统类型和/或浏览器类型。

本实施例中，在目标对象为服务器的情况下，资产信息包括服务器的服务器类型和/或浏览器类型，具体的，该服务器的类型通常包括apache和nginx两种，有些威胁信息可以针对apache类型的服务器进行攻击，有些则可以针对nginx类型的服务器进行攻击。

在目标对象为计算机设备的情况下，资产信息包括操作系统类型和/或浏览器类型，具体的，有些威胁信息可以针对windows系统进行攻击，但是对于Linux系统则是正常信息。

因此，可以基于操作系统类型或服务器类型来甄别哪些信息属于威胁信息，哪些信息则是误报信息。

通常情况下，威胁信息都是针对一类操作系统或服务器类型，因此，服务器类型或操作系统的类型是判断是否为威胁信息的重要参考依据，而浏览器信息则可以作为辅助参考依据，因此，通常情况下，也可以仅根据服务器类型或操作系统类型判断是否为威胁信息。

另外，对于同类操作系统，有些威胁信息只会对其中某一个或者某几个版本产生作用，而新版本则可能会将威胁信息所利用的漏洞修复，导致威胁信息无效，因此，在考虑操作系统类型的同时，还需要考虑操作系统版本。

在一个实施例中，在目标对象为计算机设备的情况下，通过以下步骤A1-A3确定匹配结果是否符合预设条件：

在步骤A1中，判断威胁规则库中记录的操作系统类型与目标对象的操作系统类型是否一致；

在步骤A2中，如果威胁规则库中记录的操作系统类型与目标对象的操作系统类型一致，确定目标对象的操作系统版本是否与威胁规则库中记录的至少一个版本相匹配；

在步骤A3中，如果目标对象的操作系统版本与威胁规则库中记录的至少一个版本相匹配，确定匹配结果符合预设条件。

本实施例中，判断威胁规则库中记录的操作系统类型与目标对象的操作系统类型是否一致；如果威胁规则库中记录的操作系统类型与目标对象的操作系统类型一致，确定目标对象的操作系统版本是否与威胁规则库中记录的至少一个版本相匹配；如果目标对象的操作系统版本与威胁规则库中记录的至少一个版本相匹配，确定匹配结果符合预设条件。

具体的，根据威胁规则库确定目标信息所对应的资产信息；不同类型的威胁信息所针对的服务器类型或操作系统不同，对应的浏览器类型也不同。因此，威胁规则库可以用于记录不同威胁信息能够针对的操作系统类型或服务器类型。该威胁规则库也可以由上述各个属性信息表组成，每个属性信息表中包含一类威胁信息，该类威胁信息对应的操作系统属性或服务器类型，以及浏览器属性，威胁规则库中属性信息表的生成方式如图3所示。

将威胁规则库中记录的资产信息与目标对象的资产信息进行匹配；当匹配结果符合预设条件时，确定目标信息为威胁信息。

例如，目标对象为计算机设备，在判断匹配结果是否符合预设规则时，判断目标对象的操作系统类型与目标信息对应的操作系统类型是否一致；如果目标对象的操作系统类型与目标信息对应的操作系统类型一致，确定目标对象的操作系统版本是否与目标信息中对应的至少一个版本相匹配；如果目标对象的操作系统版本与目标信息中对应的至少一个版本相匹配，确定匹配结果符合预设条件。如果威胁规则库中记录的操作系统类型与目标对象的操作系统类型不一致，确定匹配结果不符合预设条件。如果目标对象的操作系统版本与威胁规则库中记录的所有版本都不匹配，确定匹配结果不符合预设条件。

在一个实施例中，方法还可被实施为以下步骤：

如果威胁规则库中记录的操作系统类型与目标对象的操作系统类型不一致，确定匹配结果不符合预设条件。

在一个实施例中，方法还可被实施为以下步骤：

如果目标对象的操作系统版本与威胁规则库中记录的所有版本都不匹配，确定匹配结果不符合预设条件。

在一个实施例中，在确定目标信息为威胁信息之后，方法还可被实施为以下步骤：

基于威胁信息的类型对威胁信息执行相应的处理。

本实施例中，在确定目标信息为威胁信息之后，基于威胁信息的类型对威胁信息执行相应的处理。

例如，威胁信息为对目标对象进行软件捆绑行为的信息，则向目标对象发送该威胁信息，并告知该威胁信息的具体行为；威胁信息为植入木马行为，则直接删除该威胁信息，并向目标对象发送删除该威胁信息的提示信息。也就是说，当威胁信息的危害性较低时，将威胁信息发送给用户，并告知威胁信息的具体危害，当威胁信息的危害性较高时，将威胁信息直接删除。

图6为本申请实施例的一种威胁信息处理装置的框图，该装置包括以下模块：

接收模块61，用于接收目标信息，其中，目标信息为触发预设的威胁上报规则的信息；

第一确定模块62，用于确定目标信息所指向的目标对象；

获取模块63，用于获取目标对象的资产信息；

第二确定模块64，用于根据威胁规则库确定目标信息所对应的资产信息；

匹配模块65，用于将目标对象的资产信息与目标信息所对应的资产信息进行匹配；

第三确定模块66，用于当匹配结果符合预设条件时，确定目标信息为威胁信息。

在一个实施例中，如图7所示，第一确定模块62，包括：

获取子模块71，用于获取目标信息中所携带的网络地址；

确定子模块72，用于根据网络地址确定目标信息所指向的目标对象。

在一个实施例中，获取模块，包括：

探测子模块，用于根据目标信息中所携带的网络地址对目标对象进行探测，以获取目标对象的资产信息。

在一个实施例中，在目标对象为服务器的情况下，资产信息包括服务器的服务器类型和/或浏览器类型，在目标对象为计算机设备的情况下，资产信息包括操作系统类型和/或浏览器类型。

在一个实施例中，在目标对象为计算机设备的情况下，通过以下方式确定匹配结果是否符合预设条件：

判断目标对象的操作系统类型与目标信息对应的操作系统类型是否一致；

如果目标对象的操作系统类型与目标信息对应的操作系统类型一致，确定目标对象的操作系统版本是否与目标信息中对应的至少一个版本相匹配；

如果目标对象的操作系统版本与目标信息中对应的至少一个版本相匹配，确定匹配结果符合预设条件。

在一个实施例中，还包括：

第四确定模块，用于如果目标信息对应的操作系统类型与目标对象的操作系统类型不一致，确定匹配结果不符合预设条件。

在一个实施例中，还包括：

第五确定模块，用于如果目标对象的操作系统版本与目标信息对应的所有版本都不匹配，确定匹配结果不符合预设条件。

在一个实施例中，还包括：

处理模块，用于在确定目标信息为威胁信息之后，基于威胁信息的类型对威胁信息执行相应的处理。

以上实施例仅为本申请的示例性实施例，不用于限制本申请，本申请的保护范围由权利要求书限定。本领域技术人员可以在本申请的实质和保护范围内，对本申请做出各种修改或等同替换，这种修改或等同替换也应视为落在本申请的保护范围内。

Claims (9)

1.一种威胁信息处理方法，其特征在于，包括：

接收目标信息，其中，所述目标信息为触发预设的威胁上报规则的信息；

确定所述目标信息所指向的目标对象；

获取所述目标对象的资产信息；

根据威胁规则库确定所述目标信息所对应的资产信息；

将所述目标对象的资产信息与所述目标信息所对应的资产信息进行匹配；

当匹配结果符合预设条件时，确定所述目标信息为威胁信息；

其中，在所述目标对象为计算机设备的情况下，所述资产信息包括操作系统类型，通过以下方式确定匹配结果是否符合预设条件：

判断所述目标对象的操作系统类型与所述目标信息对应的操作系统类型是否一致；

如果所述目标对象的操作系统类型与所述目标信息对应的操作系统类型一致，确定所述目标对象的操作系统版本是否与所述目标信息中对应的至少一个版本相匹配；

如果所述目标对象的操作系统版本与所述目标信息中对应的至少一个版本相匹配，确定所述匹配结果符合预设条件。

2.如权利要求1所述的方法，其特征在于，确定所述目标信息所指向的目标对象，包括：

获取所述目标信息中所携带的网络地址；

根据所述网络地址确定所述目标信息所指向的目标对象。

3.如权利要求2所述的方法，其特征在于，获取所述目标对象的资产信息，包括：

根据所述目标信息中所携带的网络地址对所述目标对象进行探测，以获取所述目标对象的资产信息。

4.如权利要求1所述的方法，其特征在于，在所述目标对象为服务器的情况下，所述资产信息包括服务器的服务器类型和/或浏览器类型。

5.如权利要求1所述的方法，其特征在于，还包括：

如果所述目标信息对应的操作系统类型与所述目标对象的操作系统类型不一致，确定所述匹配结果不符合预设条件。

6.如权利要求5所述的方法，其特征在于，还包括：

如果所述目标对象的操作系统版本与所述目标信息对应的所有版本都不匹配，确定所述匹配结果不符合预设条件。

7.如权利要求1所述的方法，其特征在于，在确定所述目标信息为威胁信息之后，还包括：

基于所述威胁信息的类型对所述威胁信息执行相应的处理。

8.一种威胁信息处理装置，其特征在于，包括：

接收模块，用于接收目标信息，其中，所述目标信息为触发预设的威胁上报规则的信息；

第一确定模块，用于确定所述目标信息所指向的目标对象；

获取模块，用于获取所述目标对象的资产信息；

第二确定模块，用于根据威胁规则库确定所述目标信息所对应的资产信息；

匹配模块，用于将所述目标对象的资产信息与所述目标信息所对应的资产信息进行匹配；

第三确定模块，用于当匹配结果符合预设条件时，确定所述目标信息为威胁信息；

其中，在所述目标对象为计算机设备的情况下，所述资产信息包括操作系统类型，通过以下方式确定匹配结果是否符合预设条件：

判断所述目标对象的操作系统类型与所述目标信息对应的操作系统类型是否一致；

如果所述目标对象的操作系统类型与所述目标信息对应的操作系统类型一致，确定所述目标对象的操作系统版本是否与所述目标信息中对应的至少一个版本相匹配；

如果所述目标对象的操作系统版本与所述目标信息中对应的至少一个版本相匹配，确定所述匹配结果符合预设条件。

9.如权利要求8所述的装置，其特征在于，第一确定模块，包括：

获取子模块，用于获取所述目标信息中所携带的网络地址；

确定子模块，用于根据所述网络地址确定所述目标信息所指向的目标对象。

Images