一种攻击资产标记方法、装置、介质和设备制造方法及图纸

本公开涉及一种攻击资产标记方法、装置、介质和设备。根据本公开实施例提供的方案，从网络威胁情报中提取攻击资产对应的每种攻击行为的类型以及对应的每种资源类型，并基于提取出的每种攻击行为的类型以及每种资源类型，对攻击资产的失效时间进行判断，根据确定出的失效时间，将攻击资产标记为非攻击资产。利用攻击资产对应的每种攻击行为的类型来判断攻击资产的失效时间，考量了攻击资产被用于实施每种攻击行为的威胁性和可持续性，而利用攻击资产对应的每种资源类型来判断攻击资产的失效时间，考量了攻击资产作为对应资源类型被攻击方的控制程度，相对于通过定时方式将攻击资产失效，可以有效提高攻击资产标记的准确性。可以有效提高攻击资产标记的准确性。可以有效提高攻击资产标记的准确性。

【技术实现步骤摘要】
一种攻击资产标记方法、装置、介质和设备


[0001]本公开涉及网络安全
，特别涉及一种攻击资产标记方法、装置、介质和设备。

技术介绍

[0002]本部分旨在为权利要求书中陈述的本公开的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。
[0003]网络威胁情报可以理解为从网络安全数据中提炼的，与网络空间威胁相关的信息，可以包括威胁来源、攻击意图、攻击手法和攻击目标信息，并可以包括可用于解决威胁或应对危害的知识等。
[0004]攻击资产可以理解为攻击者实施攻击行为所使用的网络资源，例如用于实现跳板机、命令与控制(C2，Command and Control)主机、主控服务器、分控服务器等多种功能的服务器资源等等。
[0005]网络威胁情报中可以包括攻击资产信息，对被用于实施攻击行为的网络资源进行标记，此时基于攻击资产信息可以分析出攻击者实施攻击行为所使用的网络资源。网络威胁情报中一般用域名或因特网地址(IP)来标识攻击资产。
[0006]目前，可以根据网络流量、安全设备日志、终端日志来本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种攻击资产标记方法，其特征在于，所述方法包括：从网络威胁情报中提取被标记为攻击资产的指定网络资源对应的每种攻击行为的类型以及每种资源类型；根据获得的提取出的每种攻击行为的类型分别对应的威胁系数，以及提取出的每种资源类型分别对应的控制系数，确定所述指定网络资源被标记为攻击资产的失效时间；根据确定出的失效时间，在所述网络威胁情报中将所述指定网络资源标记为非攻击资产；其中，一种攻击行为的类型对应的威胁系数根据该类型攻击行为的危害性确定，一种资源类型对应的控制系数根据该类型的网络资源作为攻击资产时，被攻击方的控制程度确定。2.如权利要求1所述的方法，其特征在于，根据获得的提取出的每种攻击行为的类型分别对应的威胁系数，以及提取出的每种资源类型分别对应的控制系数，确定所述指定网络资源被标记为攻击资产的失效时间，包括：根据预先确定出的所述指定网络资源对应的衰减初始值、提取出的每种攻击行为的类型分别对应的威胁系数、提取出的每种资源类型分别对应的控制系数、所述指定网络资源本次被标记为攻击资产的起始时间以及当前时间，利用预先建立的有效性衰减模型，确定所述指定网络资源对应的衰减实时值；将所述衰减实时值不大于指定值的时刻，确定为所述指定网络资源被标记为攻击资产的失效时间。3.如权利要求2所述的方法，其特征在于，所述衰减初始值根据所述指定网络资源对应的攻击行为的数量、每个攻击行为的类型以及每个攻击行为持续的时间确定。4.如权利要求2或3所述的方法，其特征在于，根据预先确定出的所述指定网络资源对应的衰减初始值、提取出的每种攻击行为的类型分别对应的威胁系数、提取出的每种资源类型分别对应的控制系数、所述指定网络资源本次被标记为攻击资产的起始时间以及当前时间，利用预先建立的有效性衰减模型，确定所述指定网络资源对应的衰减实时值，包括：根据提取出的每种攻击行为的类型分别对应的威胁系数，利用预先建立的恶意系数确定模型，确定所述指定网络资源对应的恶意系数；根据预先确定出的所述指定网络资源对应的衰减初始值、所述恶意系数、提取出的每种资产类型分别对应的控制系数、所述指定网络资源本次被标记为攻击资产的起始时间以及当前时间，利用预先建立的有效性衰减模型，确定所述指定网络资源对应的衰减实时值。5.一种攻击资产标记装置，其特征在于，所述装置包括：提取模...

【专利技术属性】
技术研发人员：孙建鹏，张宇娜，李娟，叶建伟，范敦球，
申请(专利权)人：北京神州绿盟科技有限公司，
类型：发明
国别省市：