CN114726565A - 威胁情报共享方法、威胁情报评级方法、系统及存储介质 - Google Patents

Abstract

本发明提供一种威胁情报共享方法、威胁情报评级方法、系统及存储介质，属于网络安全和信息安全领域，该系统包括：底层区块链模块，用于对进行威胁情报共享的各个节点提供至少包括共识算法的针对区块链的支撑与实现；威胁情报共享模块，用于对区块链中的威胁情报信息进行共享；以及威胁情报评级模块，用于基于威胁情报使用者对威胁情报信息进行评价而生成的用户评价，对区块链中的威胁情报信息及其威胁情报源的质量评价指标进行计算，并且对威胁情报信息及其威胁情报源进行评级，区块链中的区块包括区块头和区块体，其中的区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

Description

威胁情报共享方法、威胁情报评级方法、系统及存储介质

技术领域

本发明涉及网络安全和信息安全领域，具体涉及一种威胁情报共享方法、威胁情报评级方法、系统及存储介质。

背景技术

随着计算机和网络技术的快速发展，各种网络安全事件频繁发生，新漏洞层出不穷，催生出大量新的安全风险，对网络安全和业务安全造成严重威胁。传统网络安全模式，安全防护各自为营，各项信息相对孤立，网络安全防护已落后于攻击技术发展。安全子系统相互独立，容易造成孤岛效应。各个系统缺乏协同，难以协同、高效工作。而且现有的共享机制中的威胁情报信息存在着被篡改的可能性，而且针对情报提供者所提供的威胁情报信息质量高低没有对应的反馈机制。

因此，威胁情报信息的共享亟需解决；同时针对威胁情报共享中的威胁情报信息自身的可信度、贡献率，以及威胁情报源的情报质量、可信度、贡献率等也亟需进行评级，以利于整个威胁情报生态的闭环持续有效开展。而区块链技术则能够很好地实现威胁情报共享及评级。

现有技术提供了一种基于区块链的威胁情报交换共享方法，其步骤包括：1)设置威胁情报区块链系统，其包括威胁情报区块链、同步节点和若干维护节点；用户注册成为威胁情报区块链用户，获得对应的公钥和私钥；2)威胁情报生产者在系统上设定好智能合约内容，用私钥签名后发布到威胁情报区块链上；3)威胁情报消费者同步签发的智能合约内容，并用私钥签名后通过系统进行广播；4)维护节点将该智能合约中的内容解析出来并打包到新威胁情报区块A中；5)将该区块A广播到系统中，维护节点对该区块A达成共识后将其添加到威胁情报区块链中；6)维护节点在确认智能合约的有效性后，达成共识创造新的区块B并通过系统进行广播。但是，上述方法并没有涉及基于区块链的威胁情报评级。

发明内容

本申请实施例的目的是提供一种威胁情报共享方法、威胁情报评级方法、威胁情报共享及评级系统及存储介质，能够解决威胁情报信息相互独立，威胁情报平台缺乏共享的问题，进而导致无法及时有效获取或者分析出最新的最有价值的威胁情报信息，从而无法及时进行防护及应急响应，导致安全风险及安全攻击。还能够解决现有的共享机制中的威胁情报信息可能被篡改的问题。还能够解决威胁情报源众多，无法有效判定威胁情报源是否可信，贡献率高低的问题，以及解决针对情报提供者所提供的威胁情报信息质量高低没有对应的反馈机制问题。

为了解决上述技术问题，本申请是这样实现的：

第一方面，本发明提供了一种威胁情报共享及评级系统，包括：

底层区块链模块，用于对进行威胁情报共享的各个节点提供至少包括共识算法的针对区块链的支撑与实现；

威胁情报共享模块，用于对区块链中的威胁情报信息进行共享；以及

威胁情报评级模块，用于基于威胁情报使用者对威胁情报信息自身进行评价而生成的用户评价，对区块链中的威胁情报信息的质量评价指标进行计算，基于提供所述威胁情报信息的威胁情报源的查询结果和所述用户评价，对提供威胁情报信息的威胁情报源的质量评价指标进行计算，并且对威胁情报信息及其威胁情报源进行评级，

区块链中的区块包括区块头和区块体，其中，区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

可选的，在进行威胁情报信息的共享的过程中，存在多个威胁情报信息的情况下，确定所述多个威胁情报信息之间的相似度，并且基于所确定的相似度来进行所述多个威胁情报信息的上传。

可选的，在确定所述相似度的基础上，比较所述相似度与预设的相似度阈值，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

可选的，所述预设的相似度阈值能够根据所述威胁情报共享及评级系统的情况进行自适应的设置。

可选的，对于相似度小于等于预设的相似度阈值的威胁情报信息进行直接上传。

可选的，对于完全相同的威胁情报信息依据时间序列进行上传，对于不完全相同且相似度大于预设的相似度阈值的威胁情报信息进行同时上传。

可选的，在所述威胁情报评级模块中，根据威胁情报源的调用次数和威胁情报使用者对于该威胁情报源所提供的威胁情报信息的用户评价，计算威胁情报源的质量评价指标及质量级别。

可选的，在所述威胁情报评级模块中，根据多个威胁情报使用者对于调用的威胁情报信息的用户评价，采用加权平均的方法对于威胁情报信息和威胁情报源进行综合计算及评级，计算出最终的威胁情报信息的质量评价指标及质量级别，和最终的威胁情报源的质量评价指标及质量级别。

可选的，对所述区块链中的威胁情报信息设定威胁情报状态这一属性，所述威胁情报状态包含有效状态和废除状态两种状态，威胁情报状态在相应的威胁情报信息被生成时被初始化为有效状态，在进行所述综合计算及评级之后，根据威胁情报信息的最新的质量级别，将质量级别低于预设质量级别的威胁情报信息的威胁情报状态标记为废除状态。

第二方面，本发明提供了一种威胁情报共享方法，包括：

威胁情报信息提供者生成威胁情报信息；

所述威胁情报信息提供者调用上传接口，并且将生成的威胁情报信息上传到区块链中，新生成的威胁情报信息进入威胁情报共享模块，所述威胁情报共享模块用于对所述区块链中的威胁情报信息在多个节点之间进行共享；

所述区块链中的其他节点接收所述新生成的威胁情报信息，对所述新生成的威胁情报信息进行共识，并且在所述生成的威胁情报信息被共识以后进行所述生成的威胁情报信息的记录；

所述威胁情报信息提供者和所述区块链中的其他节点针对经过共识的威胁情报信息生成区块；

生成新区块的节点进行所述新区块的广播；以及

接收所述新区块，并且根据所述区块链中的共识机制，将接收到的新区块写入所述区块链中，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标，所述用户评价通过威胁情报使用者对威胁情报信息自身进行评价来生成，所述威胁情报质量评价指标和所述威胁情报源质量评价指标基于所述用户评价来计算。

可选的，在进行威胁情报信息的共享的过程中，存在多个威胁情报信息的情况下，确定所述多个威胁情报信息之间的相似度，并且基于所确定的相似度来进行威胁情报信息的上传。

可选的，在确定所述相似度的基础上，比较所述相似度与预设的相似度阈值，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

可选的，所述预设的相似度阈值能够根据至少包括所述威胁情报共享模块的系统的情况进行自适应的设置。

可选的，对于相似度小于等于预设的相似度阈值的威胁情报信息进行直接上传。

可选的，对于完全相同的威胁情报信息依据时间序列进行上传；对于不完全相同且相似度大于预设的相似度阈值的威胁情报信息进行同时上传。

第三方面，本发明提供了一种威胁情报评级方法，包括：

威胁情报使用者调用威胁情报信息；

在威胁情报评级模块中，查询被调用的威胁情报信息的威胁情报源；

威胁情报使用者对于调用的威胁情报信息自身进行评价；

在所述威胁情报评级模块中，基于威胁情报使用者对威胁情报信息自身进行评价而生成的用户评价，对被调用的威胁情报信息的质量评价指标及质量级别进行计算，基于提供所述威胁情报信息的威胁情报源的查询结果和所述用户评价，对所述威胁情报源的质量评价指标及质量级别进行计算，并对相应的质量评价指标及质量级别进行更新；

区块链中的节点对威胁情报信息最新的质量评价指标及质量级别，和威胁情报源最新的质量评价指标及质量级别进行共识，在这些最新的质量评价指标及质量级别被共识以后，进行这些最新的质量评价指标及质量级别的记录；

针对经过共识的最新的质量评价指标及质量级别来生成区块；

生成新区块的节点进行所述新区块的广播；

接收所述新区块，并且根据所述区块链中的共识机制，将接收到的新区块写入所述区块链中，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

可选的，在所述威胁情报评级模块中，根据威胁情报源的调用次数和威胁情报使用者对于该威胁情报源所提供的威胁情报信息的用户评价，计算威胁情报源的质量评价指标及质量级别。

可选的，在所述威胁情报评级模块中，根据多个威胁情报使用者对于调用的威胁情报信息的用户评价，采用加权平均的方法对于威胁情报信息和威胁情报源进行综合计算及评级，计算出最终的威胁情报信息的质量评价指标及质量级别，和最新的威胁情报源的质量评价指标及质量级别。

可选的，对所述区块链中的威胁情报信息设定威胁情报状态这一属性，所述威胁情报状态包含有效状态和废除状态两种状态，威胁情报状态在相应的威胁情报信息被生成时被初始化为有效状态，在进行所述综合计算及评级之后，根据威胁情报信息的最新的质量级别，将质量级别低于预设质量级别的威胁情报信息的威胁情报状态标记为废除状态。

第四方面，本发明提供了一种电子设备，包括：存储器、处理器以及存储在所述存储器上并且能够在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述任一种威胁情报共享方法或者实现上述任一种威胁情报评级方法。

第五方面，本发明提供了一种可读介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一种威胁情报共享方法或者实现上述任一种威胁情报评级方法。

本发明的上述技术方案的有益效果如下：

在本发明的实施例中，能够打破威胁情报信息相互独立，威胁情报平台缺乏共享的局面，利用区块链的不可篡改、可追溯的特点，实现威胁情报提供者的可管、可控、可溯源。此外，本发明可以针对情报提供者所提供的威胁情报信息质量高低提供对应的反馈机制。此外，基于区块链技术构建威胁情报信息以及威胁情报源的可信度、贡献率的区块链，实现威胁情报的共享和评级，并且及时高效获取威胁情报进行防护响应，可以促进威胁情报生态闭环持续有效开展。此外，基于本发明中所提出的基于时间序列和质量序列相融合的共识算法设置，极大地降低了情报信息的重复率。本发明所提供的基于区块链的威胁情报共享及评级方法和系统，具有一定的商业应用及推广价值。

附图说明

图1是本发明实施例中的威胁情报共享及评级所涉及的各个节点之间的逻辑示意图；

图2是本发明实施例中基于区块链技术构建而成的针对威胁情报和威胁情报源以及相应的质量评价指标的区块链中的区块的结构示意图；

图3是由具有图2所示的区块结构的区块组成的区块链的链式示意图；

图4是本发明实施例一中的威胁情报共享及评级系统的结构示意图；

图5是本发明实施例二中的威胁情报共享方法的流程示意图；

图6是本发明实施例二中上传威胁情报信息的流程示意图；

图7是本发明实施例三中的威胁情报评级方法的流程示意图；

图8是本发明实施例三中的综合计算威胁情报质量评级指标并评级的流程示意图；

图9是本发明实施例三中的威胁情报状态更新的流程示意图。

图10是本发明实施例四的电子设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在详细说明本发明的各个实施例之前，先说明本发明的实施例中的威胁情报共享及评级所涉及的各个节点之间的逻辑关系、构建的针对威胁情报和威胁情报源以及相应的质量评价指标的区块链的区块结构、以及区块链的链式结构。

图1是本发明实施例中的威胁情报共享及评级所涉及的各个节点之间的逻辑示意图。每个节点(Node)可以是专业威胁情报厂家、防病毒厂家、防APT厂家、检测类产品厂家、免费情报联盟、客户等角色。针对威胁情报信息的共享及评级而言，各个节点可以根据自身需要作为威胁情报提供者、威胁情报提供者、或者两者而对威胁情报进行相应的操作。此外，在本文中，术语“威胁情报提供者”和“威胁情报源”常被可互换地使用。

各个节点之间在逻辑层面上形成了点对点的通信。例如，节点1可以与节点2、节点3、节点n-1、节点n等n-1个节点进行交互，节点2可以与节点1、节点3、节点n-1、节点n等n-1个节点进行交互，节点3可以与节点1、节点2、节点n-1、节点n等n-1个节点进行交互，节点n-1可以与节点1、节点2、节点3、节点n等n-1个节点进行交互，节点n可以与节点1、节点2、节点3、节点n-1等n-1个节点进行交互。

结合图2说明基于区块链技术构建威胁情报信息、威胁情报源、以及两者相应的质量评价指标的区块链的区块结构。

如图2所示，本发明实施例中区块链的区块包括区块头和区块体。其中，区块头由前一区块的散列值、默克勒Merkle根、随机数、时间戳构成。区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报的质量评价指标、威胁情报源的质量评价指标。威胁情报信息例如可以包括IP地址信息、域名信息、URL信息、安全事件信息、漏洞信息。用户评价是基于威胁情报使用者对于威胁情报的评价而生成的。质量评价指标例如可以包括可信度和贡献率等能够衡量评价对象的质量的指标。更具体地，威胁情报的质量评价指标可以包括威胁情报可信度和威胁情报贡献率；类似地，威胁情报源的质量评价指标可以包括威胁情报源可信度和威胁情报源贡献率。以下对于区块结构中涉及的术语进行具体说明。

(1)前一区块的散列值，是由前一个区块的所有信息加上前时间戳，通过哈希所产生的值。

(2)Merkle根，是由区块体中所有信息构成Merkle树，计算Merkle树根的散列值，它可以将区块头和区块体绑定起来。

(3)随机数，是当前节点根据所有的公钥信息以及当前时间戳，通过SHA256哈希算法来产生一个随机数，此随机数要求下一个区块的哈希值要以该数目为开头的一串数字。可以防止攻击者伪造区块链的区块。

(4)时间戳，是发布该区块的节点在发布时生成的时间标记，从1970年1月1日00:00UTC开始，到该区块产生时间隔的秒数。

(5)IP地址信息，是IP地址相关的威胁情报信息。例如，包括IP威胁情报内容、威胁类型、域名反查、地域归属、MD5等。

(6)域名信息，是域名相关的威胁情报信息。

(7)URL信息，是URL相关的威胁情报信息。例如，包括URL威胁情报内容、威胁类型、IP、地域归属、MD5等。

(8)安全事件信息，是安全事件相关的威胁情报信息。

(9)漏洞信息，是漏洞相关的威胁情报信息。例如，包括漏洞名称、漏洞描述、漏洞编号、漏洞类型、漏洞等级、解决方案、影响产品和版本等。

(10)威胁情报源，是威胁情报信息提供者相关信息。

(11)用户评价，是威胁情报使用者对威胁情报进行评价的相关信息，例如，可以包括有用程度打分、可信度打分、贡献度打分等。

(12)威胁情报可信度，是威胁情报的可信度相关信息。

(13)威胁情报贡献率，是威胁情报的贡献率相关信息。

(14)威胁情报源可信度，是威胁情报源的可信度相关信息。

(15)威胁情报源贡献率，是威胁情报源的贡献率相关信息。

图2中以区块体包括IP地址信息、域名信息、URL信息、安全事件信息、漏洞信息、威胁情报源、用户评价、威胁情报可信度、威胁情报贡献率、威胁情报源可信度以及威胁情报源贡献率为例进行了说明，但是，区块体所包含的信息项目的组合并不限于此。例如，可以用其他的威胁情报信息来代替IP地址信息、域名信息、URL信息、安全事件信息和漏洞信息中的一个或多个威胁情报信息，也可以在IP地址信息、域名信息、URL信息、安全事件信息、漏洞信息之外，还包括一个或多个其他的威胁情报信息。质量评价指标也不限于可信度和贡献率，也可以是有用程度，或者上文提及的质量评价指标以及能够衡量威胁情报或情报源质量的其他质量评价指标，或者这些质量评价指标的组合。

进一步，结合图3来说明本发明中的各个实施例所涉及的区块链的链式结构，该区块链由创世区块、区块1、区块2、……区块n-1、区块n组成。区块链中的各个区块具有利用图2所说明的区块结构。

下面结合附图，通过具体的实施例及其应用场景对本申请实施例提供的威胁情报共享方法、威胁情报评级方法、威胁情报共享及评级系统、以及可读介质进行详细地说明。

实施例一

本实施例提供一种威胁情报共享及评级系统，如图4所示，包括：

底层区块链模块101，用于对进行威胁情报共享的各个节点提供至少包括共识算法的针对区块链的支撑与实现；

威胁情报共享模块102，用于对区块链中的威胁情报信息进行共享；以及

威胁情报评级模块103，用于基于威胁情报使用者对威胁情报信息自身进行评价而生成的用户评价，对区块链中的威胁情报信息的质量评价指标进行计算，基于提供该威胁情报信息的威胁情报源的查询结果和所述用户评价，对提供该威胁情报信息的威胁情报源的质量评价指标进行计算，并且对威胁情报信息及其威胁情报源进行评级，

其中，区块链中的区块包括区块头和区块体，该区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

其中，所述区块头包括：所述区块头所在的区块的前一区块的散列值、默克勒Merkle根、随机数和时间戳，

所述Merkle根用于绑定所述区块头和相应的区块体，

所述随机数是当前节点根据其所持有的公钥信息以及当前的时间戳通过哈希算法产生的，

所述时间戳是发布所述区块头所在的区块时产生的时间标记。

进一步地，在进行威胁情报信息的共享的过程中，存在多个威胁情报信息的情况下，确定所述多个威胁情报信息之间的相似度，并且基于所确定的相似度来进行多个威胁情报信息的上传。

进一步地，在确定所述相似度的基础上，比较所述相似度与预设的相似度阈值，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

预设的相似度阈值能够根据所述威胁情报共享及评级系统的情况进行自适应的设置。

进一步地，对于相似度小于等于预设的相似度阈值的威胁情报信息进行直接上传。对于完全相同的威胁情报信息依据时间序列进行上传。对于不完全相同且相似度大于预设的相似度阈值的威胁情报信息进行同时上传。

进一步地，在所述威胁情报评级模块中，根据威胁情报源的调用次数和威胁情报使用者对于该威胁情报源所提供的威胁情报信息的用户评价，计算威胁情报源的质量评价指标及质量级别。

在本实施例中，不仅可以利用威胁情报使用者对于威胁情报信息的评价，即用户对于威胁情报信息的质量的反馈，对威胁情报信息所源于的威胁情报源进行质量方面的评价，即，计算威胁情报源的质量评价指标及质量等级，而且还可以综合考虑用户的主观评价和相对于用户评价较为客观的威胁情报源的调用次数两者，来进行威胁情报源质量评价指标及质量等级的计算或者威胁情报源的评价。通过后一种计算或评价方式得到的计算结果能够更准确地反映出作为评级对象的威胁情报源的质量。

进一步地，在所述威胁情报评级模块中，根据多个威胁情报使用者对于调用的威胁情报信息的用户评价，采用加权平均的方法对于威胁情报信息和威胁情报源进行综合计算及评级，计算出最终的威胁情报信息的质量评价指标及质量级别，和最新的威胁情报源的质量评价指标及质量级别。

上述加权平均的方法可以包括，针对多个威胁情报使用者对于某个威胁情报信息的多个用户评价或打分，通过将上述多个用户评价或打分乘以相应的权重，来计算出最终的威胁情报信息的质量评价指标及质量级别。对于威胁情报源的质量评价指标及质量级别，通过将该威胁情报源提供的威胁情报信息的用户评价或打分乘以相应的权重，来计算出最终的威胁情报信息。上述加权平均处理还可以包括先剔除掉多个用户评价或打分中的最高分和/或最低分，再进行上述加权平均计算及评级，通过这种方式能够更为真实地反映所评价的对象的质量，避免恶意刷分对于最终的质量评价结果造成不利的影响。

进一步地，对所述区块链中的威胁情报信息设定威胁情报状态这一属性，所述威胁情报状态包含有效状态和废除状态两种状态，威胁情报状态在相应的威胁情报信息被生成时被初始化为有效状态，在进行所述综合计算及评级之后，根据威胁情报信息的最新的质量级别，将质量级别低于预设质量级别的威胁情报信息的威胁情报状态标记为废除状态。

本实施例中的威胁情报共享及评级系统，不仅利用区块链的不可篡改、可追溯的特点，提出了基于区块链的威胁情报共享方法，而且还可以基于区块链技术构建威胁情报信息以及威胁情报源的可信度、贡献率的区块链，进而实现威胁情报的共享和评级，及时高效获取威胁情报进行防护响应。通过本实施例中的威胁情报共享及评级系统，可以实现威胁情报提供者的可管、可控、可溯源，进而促进威胁情报生态闭环持续有效开展。此外，本实施例中的威胁情报共享及评级系统提出了基于时间序列和质量序列相融合的共识算法设置，极大地降低了情报信息的重复率。

实施例二

本发明提供了一种威胁情报共享方法，如图5所示，包括：

步骤201：威胁情报信息提供者生成威胁情报信息；

步骤202：所述威胁情报信息提供者调用上传接口，并且将生成的威胁情报信息上传到区块链中，新生成的威胁情报信息进入威胁情报共享模块，所述威胁情报共享模块用于对所述区块链中的威胁情报信息在多个节点之间进行共享；

步骤203：所述区块链中的其他节点接收所述新生成的威胁情报信息，对所述新生成的威胁情报信息进行共识，并且在所述生成的威胁情报信息被共识以后进行所述生成的威胁情报信息的记录；

步骤204：所述威胁情报信息提供者和所述区块链中的其他节点针对经过共识的威胁情报信息生成区块；

步骤205：生成新区块的节点进行所述新区块的广播；以及

步骤206：接收所述新区块，并且根据所述区块链中的共识机制，将接收到的新区块写入所述区块链中，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标，其中的用户评价通过威胁情报使用者对威胁情报信息自身进行评价来生成，威胁情报质量评价指标和威胁情报源质量评价指标基于所述用户评价来计算。

进一步，在进行威胁情报信息的共享的过程中，存在多个威胁情报信息的情况下，确定所述多个威胁情报信息之间的相似度，并且基于所确定的相似度来进行威胁情报信息的上传。

进一步，在确定所述相似度的基础上，比较所述相似度与预设的相似度阈值，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

进一步，所述预设的相似度阈值能够根据至少包括所述威胁情报共享模块的系统的情况进行自适应的设置。

进一步，对于相似度小于等于预设的相似度阈值的威胁情报信息进行直接上传。

进一步，对于完全相同的威胁情报信息依据时间序列进行上传；对于不完全相同且相似度大于预设的相似度阈值的威胁情报信息进行同时上传。

结合图6具体说明本实施例中如何基于多个威胁情报信息之间的相似度来进行威胁情报信息的上传。区块链中的威胁情报存在重复的情况，例如，威胁情报重复可能由如图6的(a)所示的存在多个情报源的情况所导致，由这些情报源生成并上传的威胁情报信息可能完全相同(即，相似度为100％)、完全不相同(即，相似度为0)或不完全相同。针对威胁情报重复的问题，本发明采用了一种基于时间序列和质量序列相融合的算法中的处理步骤，如图6的(b)所示，包括如下步骤：

确定多个威胁情报信息之间的相似度(步骤2021)；

基于所确定的多个威胁情报信息之间的相似度来进行威胁情报信息的上传(步骤2022)。

进一步，还可以包括：在确定所述相似度的基础上，比较所述相似度与预设的相似度阈值，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

基于所述多个威胁情报信息之间的相似度以及与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

具体地，参照图6中的(c)，以预设的相似度阈值为30％进行说明。对于相似度小于等于30％的威胁情报信息，其中包括完全不相同即相似度为0的威胁情报信息，进行直接上传；对于完全相同(相似度为100％)的威胁情报信息依据时间序列进行上传；对于不完全相同且相似度大于30％的威胁情报信息进行同时上传。预设的相似度阈值能够根据至少包括威胁情报共享模块的系统的情况进行自适应的设置。对于相似度大于预设的相似度阈值的威胁情报信息，将会在后续的评级处理中，根据质量评级结果进行相应的“筛选”处理，例如，将低质量的威胁情报标记为“废除”。

本实施例中的威胁情报共享方法，不仅利用区块链的不可篡改、可追溯的特点，提出了基于区块链的威胁情报共享方法，而且还可以基于区块链技术构建威胁情报信息以及威胁情报源的可信度、贡献率的区块链，可以实现威胁情报提供者的可管、可控、可溯源，进而促进威胁情报生态闭环持续有效开展。

实施例三

本发明提供了一种威胁情报评级方法，如图7所示，包括：

步骤301：威胁情报使用者调用威胁情报信息；

步骤302：在威胁情报评级模块中，查询被调用的威胁情报信息的威胁情报源；

步骤302’：威胁情报使用者对威胁情报信息自身进行评价；

步骤303：在所述威胁情报评级模块中，基于威胁情报使用者对威胁情报信息自身进行评价而生成的用户评价，对被调用的威胁情报信息的质量评价指标及质量级别进行计算，基于提供所述威胁情报信息的威胁情报源的查询结果和所述用户评价，对所述威胁情报源的质量评价指标及质量级别进行计算，并对相应的质量评价指标及质量级别进行更新；

步骤304：区块链中的节点对威胁情报信息最新的质量评价指标及质量级别，和威胁情报源最新的质量评价指标及质量级别进行共识，在这些最新的质量评价指标及质量级别被共识以后，进行这些最新的质量评价指标及质量级别的记录；

步骤305：针对经过共识的最新的质量评价指标及质量级别来生成区块；

步骤306：生成新区块的节点进行所述新区块的广播；

步骤307：接收所述新区块，并且根据所述区块链中的共识机制，将接收到的新区块写入所述区块链中，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

用户评价可以包括威胁情报的有用程度、可信度打分、贡献度打分等。

进一步，在所述威胁情报评级模块中，根据威胁情报源的调用次数和威胁情报使用者对于该威胁情报源所提供的威胁情报信息的用户评价，计算威胁情报源的质量评价指标及质量级别。

本实施的威胁情报评级方法还提供了综合计算及评级的处理步骤，如图8所示，采用加权平均的方法对于威胁情报信息和威胁情报源进行综合计算及评级，计算出最终的威胁情报信息的质量评价指标及质量级别，和最终的威胁情报源的质量评价指标及质量级别。通过采用这种综合计算及评级的处理方法能够有效地避免评级中可能存在的恶意刷分而对于最终的威胁情报质量评价结果的造成的不利影响。

上述加权平均的方法可以包括，针对多个威胁情报使用者对于某个威胁情报信息的多个用户评价或打分，通过将上述多个用户评价或打分乘以相应的权重，来计算出最终的威胁情报信息的质量评价指标及质量级别。对于威胁情报源的质量评价指标及质量级别，通过将该威胁情报源提供的威胁情报信息的用户评价或打分乘以相应的权重，来计算出最终的威胁情报信息。上述加权平均处理还可以包括先剔除掉多个用户评价或打分中的最高分和/或最低分，再进行上述加权平均计算及评级，通过这种方式能够更为真实地反映所评价的对象的质量，避免恶意刷分对于最终的质量评价结果造成不利的影响。

参照图9来说明本发明实施例中的威胁情报状态更新的流程示意图。在本实施例的威胁情报评级方法中，还可以进行本发明所提出的基于时间序列和质量序列相融合的算法中的处理步骤，这些处理步骤可以在执行了实施例三中的威胁情报共享方法的处理步骤之后进一步执行，也可以单独执行。在本实施例的威胁情报评级方法中，对所述区块链中的威胁情报信息设定威胁情报状态这一属性，所述威胁情报状态包含有效状态和废除状态两种状态(步骤S401)，威胁情报状态在相应的威胁情报信息被生成时被初始化为有效状态(步骤S402)，在进行所述综合计算及评级之后，根据威胁情报信息的最新的质量级别，将质量级别低于预设质量级别的威胁情报信息的威胁情报状态标记为废除状态(步骤S403)。例如，可以在威胁情报共享过程中针对相似度大于预设的相似度阈值的威胁情报信息进行同时上传的基础上进一步执行上述根据质量级别对于威胁情报的所谓的“筛选”或“去重”处理。通过本实施例中的基于威胁情报状态标记的处理方式，能够实现对于相似的威胁情报只有唯一的一条处于有效状态，即该条威胁情报是唯一的有效威胁情报。

本实施例中的威胁情报评级方法，不仅利用区块链的不可篡改、可追溯的特点，而且还可以在基于区块链的威胁情报共享的基础上，实现了基于区块链的威胁情报的评级。通过本实施例中的威胁情报评级方法，可以实现威胁情报提供者的可管、可控、可溯源，进而促进威胁情报生态闭环持续有效开展。此外，本实施例中的威胁情报评级方法能够极大地降低了情报信息的重复率。

实施例四

本发明提供了一种电子设备，如图10所示，电子设备600包括：存储器601、处理器602以及存储在所述存储器601上并且能够在所述处理器602上运行的计算机程序，所述处理器执行所述计算机程序时实现上述实施例二中任一种威胁情报共享方法或者实现上述实施例四中任一种威胁情报评级方法。

本实施例的威胁情报共享的具体工作过程与上述实施例二中的一致，本实施例的威胁情报评级的具体工作过程与上述实施例三中的一致，且能达到相同的技术效果，为避免重复，在此不再赘述，详细步骤请参阅上述实施例二和实施例三中的方法的各个步骤的具体说明。

需要注意的是，本申请实施例中的电子设备包括移动电子设备和非移动电子设备。

本领域技术人员可以理解，电子设备600还可以包括给各个部件供电的电源(比如电池)，电源可以通过电源管理系统与处理器602逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。图10中示出的电子设备结构并不构成对电子设备的限定，电子设备可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置，在此不再赘述。

实施例五

本发明提供了一种可读介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述实施例二中任一种威胁情报共享方法或者实现上述实施例四中任一种威胁情报评级方法，且能达到相同的技术效果，为避免重复，这里不再赘述。详细步骤请参阅对应实施例中的方法步骤的具体说明。

其中，所述处理器为上述实施例中所述的电子设备中的处理器。所述可读存储介质，包括可读介质，如计算机只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。此外，需要指出的是，本申请实施方式中的方法和装置的范围不限按示出或讨论的顺序来执行功能，还可包括根据所涉及的功能按基本同时的方式或按相反的顺序来执行功能，例如，可以按不同于所描述的次序来执行所描述的方法，并且还可以添加、省去、或组合各种步骤。另外，参照某些示例所描述的特征可在其他示例中被组合。此外，说明书以及权利要求中“和/或”表示所连接对象的至少其中之一，字符“/”，一般表示前后关联对象是一种“或”的关系。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

上面结合附图对本申请的实施例进行了描述，但是本申请并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本申请的启示下，在不脱离本申请宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本申请的保护之内。

Claims (15)

1.一种威胁情报共享及评级系统，其特征在于，包括：

底层区块链模块，用于对进行威胁情报共享的各个节点提供至少包括共识算法的针对区块链的支撑与实现；

威胁情报共享模块，用于对所述区块链中的威胁情报信息进行共享；以及

威胁情报评级模块，用于基于威胁情报使用者对威胁情报信息自身进行评价而生成的用户评价，对所述区块链中的威胁情报信息的质量评价指标进行计算，基于提供所述威胁情报信息的威胁情报源的查询结果和所述用户评价，对所述威胁情报源的质量评价指标进行计算，并且对所述威胁情报信息和所述威胁情报源进行评级，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

2.根据权利要求1所述的威胁情报共享及评级系统，其特征在于，在进行威胁情报信息的共享的过程中，存在多个威胁情报信息的情况下，确定所述多个威胁情报信息之间的相似度，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行所述多个威胁情报信息的上传。

3.根据权利要求2所述的威胁情报共享及评级系统，其特征在于，

对于相似度小于或等于预设的相似度阈值的威胁情报信息进行直接上传；

对于完全相同的威胁情报信息依据时间序列进行上传；

对于不完全相同且相似度大于预设的相似度阈值的威胁情报信息进行同时上传。

4.根据权利要求1所述的威胁情报共享及评级系统，其特征在于，

在所述威胁情报评级模块中，根据威胁情报源的调用次数和威胁情报使用者对于该威胁情报源所提供的威胁情报信息的用户评价，计算威胁情报源的质量评价指标及质量级别。

5.根据权利要求1或4所述的威胁情报共享及评级系统，其特征在于，

在所述威胁情报评级模块中，根据多个威胁情报使用者对于调用的威胁情报信息的用户评价，采用加权平均的方法对于威胁情报信息和威胁情报源进行综合计算及评级，计算出最终的威胁情报信息的质量评价指标及质量级别，和最终的威胁情报源的质量评价指标及质量级别。

6.根据权利要求5所述的威胁情报共享及评级系统，其特征在于：

对所述区块链中的威胁情报信息设定威胁情报状态这一属性，所述威胁情报状态包含有效状态和废除状态两种状态，

威胁情报状态在相应的威胁情报信息被生成时被初始化为有效状态，在进行所述综合计算及评级之后，根据威胁情报信息的最新的质量级别，将质量级别低于预设质量级别的威胁情报信息的威胁情报状态标记为废除状态。

7.一种威胁情报共享方法，其特征在于，包括：

威胁情报信息提供者生成威胁情报信息；

所述威胁情报信息提供者调用上传接口，并且将生成的威胁情报信息上传到区块链中，新生成的威胁情报信息进入威胁情报共享模块，所述威胁情报共享模块用于对所述区块链中的威胁情报信息在多个节点之间进行共享；

所述区块链中的其他节点接收所述新生成的威胁情报信息，对所述新生成的威胁情报信息进行共识，并且在所述生成的威胁情报信息被共识以后进行所述生成的威胁情报信息的记录；

所述威胁情报信息提供者和所述区块链中的其他节点针对经过共识的威胁情报信息生成区块；

生成新区块的节点进行所述新区块的广播；以及

接收所述新区块，并且根据所述区块链中的共识机制，将接收到的新区块写入所述区块链中，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标，

其中，所述用户评价通过威胁情报使用者对威胁情报信息自身进行评价来生成，所述威胁情报质量评价指标和所述威胁情报源质量评价指标基于所述用户评价来计算。

8.根据权利要求7所述的威胁情报共享方法，其特征在于，在进行威胁情报信息的共享的过程中，存在多个威胁情报信息的情况下，确定所述多个威胁情报信息之间的相似度，并且基于所述相似度及其与预设的相似度阈值的比较结果来进行威胁情报信息的上传。

9.根据权利要求8所述的威胁情报共享方法，其特征在于，

对于相似度小于等于预设的相似度阈值的威胁情报信息进行直接上传；

对于完全相同的威胁情报信息依据时间序列进行上传；

对于不完全相同且相似度大于预设的相似度阈值的威胁情报信息进行同时上传。

10.一种威胁情报评级方法，其特征在于，包括：

威胁情报使用者调用威胁情报信息；

在威胁情报评级模块中，查询被调用的威胁情报信息的威胁情报源；

威胁情报使用者对于调用的威胁情报信息自身进行评价；

在所述威胁情报评级模块中，基于威胁情报使用者对威胁情报信息自身进行评价而生成的用户评价，对被调用的威胁情报信息的质量评价指标及质量级别进行计算，基于提供所述威胁情报信息的威胁情报源的查询结果和所述用户评价，对所述威胁情报源的质量评价指标及质量级别进行计算，并对相应的质量评价指标及质量级别进行更新；

区块链中的节点对威胁情报信息最新的质量评价指标及质量级别，和威胁情报源最新的质量评价指标及质量级别进行共识，在这些最新的质量评价指标及质量级别被共识以后，进行这些最新的质量评价指标及质量级别的记录；

针对经过共识的最新的质量评价指标及质量级别来生成区块；

生成新区块的节点进行所述新区块的广播；

接收所述新区块，并且根据所述区块链中的共识机制，将接收到的新区块写入所述区块链中，

所述区块链中的区块包括区块头和区块体，其中，所述区块体包括威胁情报信息、威胁情报源信息、用户评价、威胁情报质量评价指标和威胁情报源质量评价指标。

11.根据权利要求10所述的威胁情报评级方法，其特征在于，

在所述威胁情报评级模块中，根据威胁情报源的调用次数和威胁情报使用者对于该威胁情报源所提供的威胁情报信息的用户评价，计算威胁情报源的质量评价指标及质量级别。

12.根据权利要求10或11所述的威胁情报评级方法，其特征在于，

在所述威胁情报评级模块中，根据多个威胁情报使用者对于调用的威胁情报信息的用户评价，采用加权平均的方法对于威胁情报信息和威胁情报源进行综合计算及评级，计算出最终的威胁情报信息的质量评价指标及质量级别，和最终的威胁情报源的质量评价指标及质量级别。

13.根据权利要求12所述的威胁情报评级方法，其特征在于：

对所述区块链中的威胁情报信息设定威胁情报状态这一属性，所述威胁情报状态包含有效状态和废除状态两种状态，

威胁情报状态在相应的威胁情报信息被生成时被初始化为有效状态，在进行所述综合计算及评级之后，根据威胁情报信息的最新的质量级别，将质量级别低于预设质量级别的威胁情报信息的威胁情报状态标记为废除状态。

14.一种电子设备，包括：存储器、处理器以及存储在所述存储器上并且能够在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求7至9中的任一项所述的威胁情报共享方法或者实现如权利要求10至13中的任一项所述的威胁情报评级方法。

15.一种可读介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求7至9中的任一项所述的威胁情报共享方法或者实现如权利要求10至13中的任一项所述的威胁情报评级方法。

Images