威胁处理方法、装置、电子设备及计算机可读存储介质制造方法及图纸

本申请提供一种威胁处理方法、装置、电子设备及计算机可读存储介质，方法应用于云平台的目标节点上，包括：抓取自身的网络交互数据流；从网络交互数据流中，提取出数据流特征；将数据流特征输入至预先训练好的威胁行为检测模型中，确定当前是否存在威胁行为，以及存在威胁行为时，所存在的威胁行为类型；在存在威胁行为时，从预设的防御策略中，确定出威胁行为类型对应的目标防御策略，并执行目标防御策略。这就实现了对于云平台自身的网络威胁的监测及处置，加强了对云平台的安全防护。加强了对云平台的安全防护。加强了对云平台的安全防护。

【技术实现步骤摘要】
威胁处理方法、装置、电子设备及计算机可读存储介质


[0001]本申请涉及信息处理
，具体而言，涉及一种威胁处理方法、装置、电子设备及计算机可读存储介质。

技术介绍

[0002]目前市场上针对云平台的安全防护方法大都是利用先导引流的方式实现的。即是通过建立云上虚拟化安全资源池（通常为独立的一套服务器），在其上部署相关安全产品，并将出入云平台的数据流量优先引导至该安全资源池，再流入云平台，以此来实现对网络入侵行为的安全防护。
[0003]但这种方式无法针对云平台自身的网络威胁进行监测及处置，尤其是基于云平台架构的安全组件及防护策略方法更是空白，因此对于云平台的安全防护效果并不好。

技术实现思路

[0004]本申请实施例的目的在于提供一种威胁处理方法、装置、电子设备及计算机可读存储介质，用以解决现有技术中无法针对云平台自身的网络威胁进行监测及处置的技术问题。
[0005]本申请实施例提供了一种威胁处理方法，应用于云平台的目标节点上；所述方法包括：抓取自身的网络交互数据流；从所述网络交互数据流中，提取出数据流特征；将所述数据流特征输入至预先训练好的威胁行为检测模型中，确定当前是否存在威胁行为，以及存在威胁行为时，所存在的威胁行为类型；在存在威胁行为时，从预设的防御策略中，确定出所述威胁行为类型对应的目标防御策略，并执行所述目标防御策略。
[0006]在上述实现过程中，通过云平台的节点通过抓取自身的网络交互数据流，进而提取出数据流特征，采用预先训练好的威胁行为检测模型进行威胁检测，从而得出是否具有威胁行为，以及具有的威胁行为的类型，从而采用该类型相应的目标防御策略进行威胁处理。这样，就实现了对于云平台自身的网络威胁的监测及处置，加强了对云平台的安全防护。此外，本申请的方案不同于传统先导引流方式，只需在云平台的相关节点布设实现本申请的方案的相关组件即可，从而可以在软件组件级层面，实现云平台的原生防御策略配置及入侵防御功能，从根本上提升了云平台的安全性。
[0007]进一步地，在从所述网络交互数据流中，提取出数据流特征之后，将所述数据流特征输入至预先训练好的威胁行为检测模型中之前，所述方法还包括：对所述数据流特征进行降维处理；将降维处理后的数据流特征进行数据标准化处理，以使降维处理后的数据流特征处于相同特征尺度。
[0008]在上述实现结构中，通过对数据流特征进行降维处理，从而可以去除数据流特征中的冗余信息以及噪音信息，进而进一步的进行数据标准化处理，从而消除特征之间的差异性。这样就减少了极端数据及数据单位差异带来的影响，提高了威胁行为检测模型的检测准确性。
[0009]进一步地，在对所述数据流特征进行降维处理之前，所述方法还包括：识别所述数据流特征中的无用特征；所述无用特征包括流ID（Identity document，身份标识号）、时间戳；将识别出的无用特征从所述数据流特征中剔除。
[0010]在上述实现过程中，通过消除流ID、时间戳等无用特征，从而降低了数据流特征的数量，提高了数据流特征的质量，使得检测结果更为准确，且检测效率更高。
[0011]进一步地，在从所述网络交互数据流中，提取出数据流特征之后，所述方法还包括：从所述数据流特征中识别出基本信息；所述基本信息包括IP信息、端口信息、协议信息中的至少一种；所述执行所述目标防御策略，包括：根据所述基本信息，执行所述目标防御策略。
[0012]在上述实现过程中，利用数据流特征中识别出的基本信息，即可有效执行诸如源头阻断、告警等处置策略，实现对于威胁行为的可靠处理。
[0013]进一步地，所述基本信息包括所述威胁行为的目的IP；在存在威胁行为时，所述方法还包括：根据所述威胁行为的目的IP，通过环境变量连接至OpenStack云平台的Neutron组件，从所述Neutron组件中得到所述威胁行为对应的端口ID；控制所述Neutron组件对所述端口ID对应的端口进行删除。
[0014]进一步地，所述基本信息包括所述威胁行为的源IP；所述执行所述目标防御策略，包括：根据所述源IP，通过环境变量连接至OpenStack云平台的Neutron组件，控制所述Neutron组件按照所述目标防御策略修改安全组的规则。
[0015]进一步地，在将所述数据流特征输入至预先训练好的威胁行为检测模型之后，所述方法还包括：将所述数据流特征和所述威胁行为检测模型的输出结果，输入至预先训练好的威胁趋势感知模型中，得到下一时刻云平台是否遭受入侵的趋势预测信息。
[0016]在上述实现过程中，通过预先训练好的威胁趋势感知模型，从而结合数据流特征和威胁行为检测模型的检测结果，实现了对于未来云平台是否遭受入侵的趋势预测，从而更便于工程师了解威胁趋势，以及便于实施相应的防御策略。
[0017]进一步地，所述方法还包括：将所述趋势预测信息发送给所述云平台的安全管理模块，以使所述安全管理模块能够对所述趋势预测信息进行可视化展示。
[0018]在上述实现过程中，通过将趋势预测信息发送给所述云平台的安全管理模块，从而可以实现对于未来云平台是否遭受入侵的趋势预测的可视化展示，从而更便于工程师了解威胁趋势，从而可以及时开展相应防御工作。
[0019]进一步地，在确定出所述威胁行为类型对应的目标防御策略之后，所述方法还包括：同步所述目标防御策略至所述云平台的其余目标节点，以使所述其余目标节点执行所述目标防御策略。
[0020]在上述实现过程中，通过同步目标防御策略，从而可以实现云平台各节点的同步防御，从而进一步保证云平台的安全性。
[0021]本申请实施例还提供了一种威胁处理装置，应用于云平台的目标节点上；包括：抓取模块、提取模块和处理模块；所述抓取模块，用于抓取自身的网络交互数据流；所述提取模块，用于从所述网络交互数据流中，提取出数据流特征；所述处理模块，用于将所述数据流特征输入至预先训练好的威胁行为检测模型中，确定当前是否存在威胁行为，以及存在威胁行为时，所存在的威胁行为类型；在存在威胁行为时，从预设的防御策略中，确定出所
述威胁行为类型对应的目标防御策略，并执行所述目标防御策略。
[0022]本申请实施例还提供了一种电子设备，包括处理器、存储器及通信总线；所述通信总线用于实现处理器和存储器之间的连接通信；所述处理器用于执行存储器中存储的一个或者多个程序，以实现上述任一种的威胁处理方法。
[0023]本申请实施例中还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现上述任一种的威胁处理方法。
附图说明
[0024]为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。...

【技术保护点】

【技术特征摘要】
1.一种威胁处理方法，其特征在于，应用于云平台的目标节点上；所述方法包括：抓取自身的网络交互数据流；从所述网络交互数据流中，提取出数据流特征；将所述数据流特征输入至预先训练好的威胁行为检测模型中，确定当前是否存在威胁行为，以及存在威胁行为时，所存在的威胁行为类型；在存在威胁行为时，从预设的防御策略中，确定出所述威胁行为类型对应的目标防御策略，并执行所述目标防御策略。2.如权利要求1所述的威胁处理方法，其特征在于，在从所述网络交互数据流中，提取出数据流特征之后，将所述数据流特征输入至预先训练好的威胁行为检测模型中之前，所述方法还包括：对所述数据流特征进行降维处理；将降维处理后的数据流特征进行数据标准化处理，以使降维处理后的数据流特征处于相同特征尺度。3.如权利要求2所述的威胁处理方法，其特征在于，在对所述数据流特征进行降维处理之前，所述方法还包括：识别所述数据流特征中的无用特征；所述无用特征包括流ID、时间戳；将识别出的无用特征从所述数据流特征中剔除。4.如权利要求1
‑
3任一项所述的威胁处理方法，其特征在于，在从所述网络交互数据流中，提取出数据流特征之后，所述方法还包括：从所述数据流特征中识别出基本信息；所述基本信息包括IP信息、端口信息、协议信息中的至少一种；所述执行所述目标防御策略，包括：根据所述基本信息，执行所述目标防御策略。5.如权利要求4所述的威胁处理方法，其特征在于，所述基本信息包括所述威胁行为的目的IP；在存在威胁行为时，所述方法还包括：根据所述威胁行为的目的IP，通过环境变量连接至OpenStack云平台的Neutron组件，从所述Neutron组件中得到所述目的IP对应的端口ID；控制所述Neut...

【专利技术属性】
技术研发人员：燕玮，许凤凯，张尼，贾星威，吴云峰，白翼铭，
申请(专利权)人：中国电子信息产业集团有限公司第六研究所，
类型：发明
国别省市：