[发明专利]一种未知威胁感知方法、装置、设备及系统

权利要求书

1.一种未知威胁感知方法，其特征在于，包括：

接收每个设备上传的未知数据；

通过威胁分析系统对未知数据进行分析识别，判断所述未知数据中是否存在恶意数据；

若存在恶意数据，则将所述恶意数据下发至每个设备，以使每个设备根据所述恶意数据识别攻击行为；

若不存在恶意数据，则生成与所述未知数据对应的匹配规则，将所述匹配规则下发至每个设备，并在接收到每个设备上传的与所述匹配规则对应的未知数据后，继续执行所述通过威胁分析系统对未知数据进行分析识别的步骤。

2.根据权利要求1所述的未知威胁感知方法，其特征在于，所述接收每个设备上传的未知数据，包括：

接收每个设备上传的根据匹配规则匹配的未知数据；或者，

接收每个设备上传的黑白名单库以外的未知数据。

3.根据权利要求1所述的未知威胁感知方法，其特征在于，所述接收每个设备上传的未知数据之后，还包括：

设置所述未知数据的数据标签；

根据所述未知数据的数据类型进行标准化处理，并存储。

4.根据权利要求3所述的未知威胁感知方法，其特征在于，所述通过威胁分析系统对未知数据进行分析识别，判断所述未知数据中是否存在恶意数据，包括：

利用特征分析系统对未知数据进行分析，判断所述未知数据中是否存在恶意数据；

若存在恶意数据，则执行所述将所述恶意数据下发至每个设备的步骤；

若不存在恶意数据，则将所述未知数据输入与所述未知数据的数据类型相对应的分析系统，通过相对应的分析系统对所述未知数据进行分析识别，判断所述未知数据中是否存在恶意数据。

5.根据权利要求4所述的未知威胁感知方法，其特征在于，所述将所述未知数据输入与所述未知数据的数据类型相对应的分析系统，通过相对应的分析系统对所述未知数据进行分析识别，包括：

识别所述未知数据的数据类型；

若所述数据类型为域名数据，则将所述未知数据输入域名分析系统；若所述数据类型为URL数据，则将所述未知数据输入URL分析系统；若所述数据类型为可疑文件，则将所述未知数据输入病毒分析系统。

6.根据权利要求1至5中任意一项所述的未知威胁感知方法，其特征在于，所述将所述恶意数据下发至每个设备之后，还包括：

将所述恶意数据输出成标准威胁情报格式，并发布至互联网威胁情报平台，以使所述互联网威胁情报平台对全网发布威胁预警。

7.一种未知威胁感知装置，其特征在于，包括：

接收模块，用于接收每个设备上传的未知数据；所述未知数据包括每个设备上传的与匹配规则对应的未知数据；

判断模块，用于通过威胁分析系统对未知数据进行分析识别，判断所述未知数据中是否存在恶意数据；

数据下发模块，用于存在恶意数据时，将所述恶意数据下发至每个设备，以使每个设备根据所述恶意数据识别攻击行为；

规则下发模块，用于不存在恶意数据时，生成与所述未知数据对应的匹配规则，将与所述未知数据对应的匹配规则下发至每个设备。

8.根据权利要求7所述的未知威胁感知装置，其特征在于，所述接收模块，包括：

第一接收单元，用于接收每个设备上传的根据匹配规则匹配的未知数据；或者，

第二接收单元，用于接收每个设备上传的黑白名单库以外的未知数据。

9.根据权利要求7所述的未知威胁感知装置，其特征在于，还包括：

数据处理模块，用于设置所述未知数据的数据标签，根据所述未知数据的数据类型进行标准化处理，并存储。