CN113342410B - 特征库数据处理方法及装置 - Google Patents

Abstract

本发明公开了一种特征库数据处理方法及装置。其中，该方法包括：获取多个数据源的多个不同优先级的数据；将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；通过加载特征库的设备的资源，加载特征库。本发明解决了相关技术中的特征库数据在加载时，由于资源有限，容易导致部分优质数据无法加载的情况的技术问题。

Description

特征库数据处理方法及装置

技术领域

本发明涉及数据处理领域，具体而言，涉及一种特征库数据处理方法及装置。

背景技术

基于多特征源的特征库生成是当前网络安全设备流行的一种特征库生成方式。特征库生成使用的特征源包括合作商规则、自研规则、第三方公开规则等，网络安全厂商根据自己制定的生成策略生成各类特征库并发布，供网络安全设备下载使用以实现相应的防护功能。

特征库生成主要包括四个步骤：规则获取、规则处理、规则转换和特征库发布。多源特征库生成的目标是：按照统一的优先级定义，选取不同特征源的特征集整合为一个完整的特征库，并期望加载特征库的设备尽可能加载到各个源的高优先级特征集。

对于资源受限的网络安全设备，加载特征库时可能无法加载全量特征库，针对这种情况，一般有两种做法(为方便说明，我们假定当前多个源的规则集均为相同优先级)：1.加载至本机设置的规则上限后截断，图1是现有技术的全量特征库加载方式的示意图，如图1所示，图中阴影部分表示设备加载后由于自身资源不足被截断的特征集部分；2.生成多种规格的特征库，图2是现有技术的多规格特征库加载方式的示意图，如图2所示，网络安全设备可以根据自身资源限制情况选取规格合适的特征库进行加载。

现有的两种多源特征库生成方案分别有以下特点：

生成全量特征库并截断加载的方案特点是：实现简单，特征库发布及维护容易，加载设备与特征库规格低耦合，但对不同资源规格的设备适应性差，可能出现部分源的规则集完全未加载的情况。

生成多规格特征库并选择加载的方案特点是：实现复杂，需要增加额外的规格区分及生成逻辑，特征库发布及维护较繁琐，加载设备与特征库规格高耦合，但对不同资源规格的设备适应性好，可以加载到所有源的高优先级规则集。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种特征库数据处理方法及装置，以至少解决相关技术中的特征库数据在加载时，由于资源有限，容易导致部分优质数据无法加载的情况的技术问题。

根据本发明实施例的一个方面，提供了一种特征库数据处理方法，包括：获取多个数据源的多个不同优先级的数据；将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；通过加载所述特征库的设备的资源，加载所述特征库。

可选的，获取多个数据源的多个不同优先级的数据包括：获取多个数据源的数据；通过预设的优先级度量规则，确定所述数据的优先级。

可选的，将多个数据源的数据按照优先级的高低顺序进行排列，生成所述特征库包括：确定所述特征库中的数据存储的步进值；确定多个数据源的权重；根据所述步进值，所述权重和所述优先级，生成所述特征库。

可选的，根据所述步进值，所述权重和所述优先级，生成所述特征库包括：确定同一优先级的多个数据源的数据；根据所述步进值和所述权重，确定多个数据源在一个步进值的数据单元中分别所占的数据量；从同一优先级的多个数据源的数据中，随机选取多个数据源的所述数据量的数据，按照顺序生成所述数据单元；根据多个数据单元生成所述特征库。

可选的，确定所述特征库中的数据存储的步进值包括：确定加载所述特征库的设备的多个不同规格的加载量；选取多个所述加载量的公约数，作为所述步进值。

可选的，所述步进值为多个所述加载量的最大公约数。

可选的，确定多个数据源的权重包括：发送设置多个数据源的权重的请求；接收响应所述请求，设置的多个数据源的权重。

根据本发明实施例的另一方面，还提供了一种特征库数据处理装置，包括：获取模块，用于获取多个数据源的多个不同优先级的数据；生成模块，用于将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；加载模块，用于通过加载所述特征库的设备的资源，加载所述特征库。

根据本发明实施例的另一方面，还提供了一种处理器，所述处理器用于运行程序，其中，所述程序运行时执行上述中任意一项所述的特征库数据处理方法。

根据本发明实施例的另一方面，还提供了一种计算机存储介质，所述计算机存储介质包括存储的程序，其中，在所述程序运行时控制所述计算机存储介质所在设备执行上述中任意一项所述的特征库数据处理方法。

在本发明实施例中，采用获取多个数据源的多个不同优先级的数据；将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；通过加载特征库的设备的资源，加载特征库的方式，通过将多个数据源的数据按照优先级进行排列，并将同一优先级的数据进行相互交错，达到了可以均匀获取多个数据源的优先级较高的数据的目的，从而实现了降低加载资源对特征库加载的影响，保证优先加载多个数据源的优质数据的技术效果，进而解决了相关技术中的特征库数据在加载时，由于资源有限，容易导致部分优质数据无法加载的情况的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是现有技术的全量特征库加载方式的示意图；

图2是现有技术的多规格特征库加载方式的示意图；

图3是根据本发明实施例的一种特征库数据处理方法的流程图；

图4是根据本发明实施方式的特征库记载的示意图；

图5是根据本发明实施方式的特征库结构的示意图；

图6是根据本发明实施例的一种特征库数据处理装置的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

根据本发明实施例，提供了一种特征库数据处理方法的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图3是根据本发明实施例的一种特征库数据处理方法的流程图，如图3所示，该方法包括如下步骤：

步骤S302，获取多个数据源的多个不同优先级的数据；

步骤S304，将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；

步骤S306，通过加载特征库的设备的资源，加载特征库。

通过上述步骤，采用获取多个数据源的多个不同优先级的数据；将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；通过加载特征库的设备的资源，加载特征库的方式，通过将多个数据源的数据按照优先级进行排列，并将同一优先级的数据进行相互交错，达到了可以均匀获取多个数据源的优先级较高的数据的目的，从而实现了降低加载资源对特征库加载的影响，保证优先加载多个数据源的优质数据的技术效果，进而解决了相关技术中的特征库数据在加载时，由于资源有限，容易导致部分优质数据无法加载的情况的技术问题。

上述数据源也即是特征库的数据来源，可以为数据库，网站，服务器，应程序，设备终端，采集装置等用于为特征库提供数据来源的数据端。不同的数据端的数据其数据价值不同，同一个数据端的不同数据其数据价值也不同。

相关技术中，特征库按照数据源将数据进行分区存储，在设备加载特征库时，由于加载资源与特征库的数据总量存在差距，通常设备的加载能力都是小于特征库的数据总量，这样就会导致无法有效加载特征库中的数据，将一些数据源的部分身之所有数据无法进行加载。为此，存在一种特征库，将不同数据源的数据，选取部分数据，生成多种规格的特征库，在设备加载时，选择与加载资源相对应的规格的特征进行加载，保证特征库的完整加载。但是在选取数据源的数据时，也无法保证选取的数据源的数据的数据质量。

本实施例将数据源的数据，按照优先级进行排序，然后将优先级高的数据放在特征库的起始位置，在加载特征库时，优先加载优先级高的高质量数据。而且统一由县级的数据中，将多个数据源的数据，相互交错排列，防止特征库加载同一优先级数据时，先加载同一数据源的数据，在加载中断时，只能保证加载到该数据源的数据，进而导致数据过于片面的问题。

然后在加载时，设备按照其加载资源进行特征库加载，即便加载资源不足，也可以保证该高质量数据优先加载，且加载的数据均匀的来源与各个不同的数据源，保证了数据的多样性和稳定性。

可选的，获取多个数据源的多个不同优先级的数据包括：获取多个数据源的数据；通过预设的优先级度量规则，确定数据的优先级。

需要说明的是，多个数据源的数据，需要采用相同的优先级度量规则。可以是根据多个参数以及参数对应的权重确定数据的优先级，上述数据的参数可以包括可靠性，安全性，数据量，使用率等多方面的参数，上述参数的权重可以根据实际情况进行调整，以满足各种不同的数据要求。

可选的，将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库包括：确定特征库中的数据存储的步进值；确定多个数据源的权重；根据步进值，权重和优先级，生成特征库。

上述步进值也即是确定特征库中数据的粒度，例如，步进值为100，在这100个数据之内需要包括每个数据源的数据，相比于步进值为1000，其数据粒度较大，也即是数据分布的越均匀。还可以对数据源进行权重设置，确定该数据源数据的权重，进一步根据需求调整特征库中不同数据源的数据比例。

可选的，根据步进值，权重和优先级，生成特征库包括：确定同一优先级的多个数据源的数据；根据步进值和权重，确定多个数据源在一个步进值的数据单元中分别所占的数据量；从同一优先级的多个数据源的数据中，随机选取多个数据源的数据量的数据，按照顺序生成数据单元；根据多个数据单元生成特征库。

一个步进值的数据单元中不同数据源的数据量可以根据该数据源的权重进行确定，例如，数据源A、数据源B、数据源C的权重为A:B:C＝3:5:2，在步进值为100的情况下，在一个步进值中数据源A、数据源B、数据源C的数据量分别为，30，50，20。

从同一优先级的多个数据源的数据中，随机选取多个数据源的数据量的数据，按照顺序生成数据单元，一个数据单元的数据总量也即是一个步进值。按照数据的优先级逐步生成多个数据单元，形成特征库。

可选的，确定特征库中的数据存储的步进值包括：确定加载特征库的设备的多个不同规格的加载量；选取多个加载量的公约数，作为步进值。

上述步进值为设备的加载资源的公约数，可以保证设备加载的特征库为完整的数据单元，进一步保证了加载的特征库中数据源的数据的比例。

可选的，步进值为多个加载量的最大公约数。

在保证加载的特征库中数据源的比例的同时，减小特征库的粒度，提高特征库生成的效率。

可选的，确定多个数据源的权重包括：发送设置多个数据源的权重的请求；接收响应请求，设置的多个数据源的权重。

上述数据源的权重可以根据要求进行调整。

需要说明的是，本申请实施例还提供了一种可选的实施方式，下面对该实施方式进行详细说明。

本实施方式为了解决特征库加载设备资源受限的情况下，已有多源特征库生成方案的缺陷。提出了一种多源特征库，具体如下。

设定细粒度的步进区间，每个步进区间之内将多特征源同优先级的特征条目交错放置，各步进区间之间按照规则优先级高低顺序放置，生成全量特征库，设备加载时无需关注特征库大小，根据自身设置的加载规则上限进行截断即可，图4是根据本发明实施方式的特征库记载的示意图，如图4所示。这种方案仅需要生成一个全量特征库，实现简单，特征库发布及维护容易，加载设备与特征库规格低耦合，但能灵活适应不同资源规格的设备，不会出现某特征源高优先级特征集未加载到的情况。

该方案有三个影响因素：优先级、步进值、权重。其中优先级一般是已知且固定的，步进值和权重可以按照需要调整。

需要保证多个特征源规则采用相同的优先级度量标准，这样才能确保高优先级的规则被优先加载。

步进值的选取需要考虑加载该特征库设备的总体情况，步进值上限取其加载规则上限的公约数即可，例如：可能加载特征库的规格有20000、5000、3000，则步进值上限定为1000即可，当然也可以定为步进值上限的约数500、100等。

权重的选取依赖于特征库生成的偏好，如希望某特征源内的特征集加载的比例多一些，就可以将该特征源权重设置的较高，反之可以将其设置的较低。

图5是根据本发明实施方式的特征库结构的示意图，如图5所示，该例展示了一个基于三个多优先级的特征源A、B、C，步进值设置为100条，权重A:B:C＝3:5:2生成的细粒度步进式特征库。

本实施方式基于多特征源且适用于高中低档网络安全设备加载的IPS特征库、AV特征库、URL特征库等的生成。解决现有多源特征库生成方案的缺陷，降低特征库生成及维护的复杂性，为多源特征库生成提供一套上层普适的框架。通过引入细粒度步进式的特征库生成方式，简化多源特征库生成逻辑，并增强其生成内容的灵活性及多规格设备加载的适应性。

图6是根据本发明实施例的一种特征库数据处理装置的示意图，如图6所示，根据本发明实施例的另一方面，还提供了一种特征库数据处理装置，包括：获取模块62，生成模块64和加载模块66，下面对该装置进行详细说明。

获取模块62，用于获取多个数据源的多个不同优先级的数据；生成模块64，与上述获取模块62相连，用于将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；加载模块66，与上述生成模块64相连，用于通过加载特征库的设备的资源，加载特征库。

通过上述装置，采用获取多个数据源的多个不同优先级的数据；将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；通过加载特征库的设备的资源，加载特征库的方式，通过将多个数据源的数据按照优先级进行排列，并将同一优先级的数据进行相互交错，达到了可以均匀获取多个数据源的优先级较高的数据的目的，从而实现了降低加载资源对特征库加载的影响，保证优先加载多个数据源的优质数据的技术效果，进而解决了相关技术中的特征库数据在加载时，由于资源有限，容易导致部分优质数据无法加载的情况的技术问题。

根据本发明实施例的另一方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述中任意一项的特征库数据处理方法。

根据本发明实施例的另一方面，还提供了一种计算机存储介质，计算机存储介质包括存储的程序，其中，在程序运行时控制计算机存储介质所在设备执行上述中任意一项的特征库数据处理方法。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (6)

1.一种特征库数据处理方法，其特征在于，包括：

获取多个数据源的多个不同优先级的数据；

将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；

通过加载所述特征库的设备的资源，加载所述特征库；

其中，将多个数据源的数据按照优先级的高低顺序进行排列，生成所述特征库包括：

确定所述特征库中的数据存储的步进值；

确定多个数据源的权重；

根据所述步进值，所述权重和所述优先级，生成所述特征库；

其中，根据所述步进值，所述权重和所述优先级，生成所述特征库包括：

确定同一优先级的多个数据源的数据；

根据所述步进值和所述权重，确定多个数据源在一个步进值的数据单元中分别所占的数据量；

从同一优先级的多个数据源的数据中，随机选取多个数据源的所述数据量的数据，按照顺序生成所述数据单元；

根据多个数据单元生成所述特征库；

其中，确定所述特征库中的数据存储的步进值包括：

确定加载所述特征库的设备的多个不同规格的加载量；

选取多个所述加载量的公约数，作为所述步进值。

2.根据权利要求1所述的方法，其特征在于，获取多个数据源的多个不同优先级的数据包括：

获取多个数据源的数据；

通过预设的优先级度量规则，确定所述数据的优先级。

3.根据权利要求1所述的方法，其特征在于，所述步进值为多个所述加载量的最大公约数。

4.根据权利要求1所述的方法，其特征在于，确定多个数据源的权重包括：

发送设置多个数据源的权重的请求；

接收响应所述请求，设置的多个数据源的权重。

5.一种特征库数据处理装置，其特征在于，包括：

获取模块，用于获取多个数据源的多个不同优先级的数据；

生成模块，用于将多个数据源的数据按照优先级的高低顺序进行排列，生成特征库，其中，相同优先级的多个数据源的数据，相互交错排列；

加载模块，用于通过加载所述特征库的设备的资源，加载所述特征库；

其中，所述生成模块还用于确定加载所述特征库的设备的多个不同规格的加载量；选取多个所述加载量的公约数，作为步进值；确定多个数据源的权重；确定同一优先级的多个数据源的数据；根据所述步进值和所述权重，确定多个数据源在一个步进值的数据单元中分别所占的数据量；从同一优先级的多个数据源的数据中，随机选取多个数据源的所述数据量的数据，按照顺序生成所述数据单元；根据多个数据单元生成所述特征库。

6.一种计算机存储介质，其特征在于，所述计算机存储介质包括存储的程序，其中，在所述程序运行时控制所述计算机存储介质所在设备执行权利要求1至4中任意一项所述的特征库数据处理方法。

Images