[发明专利]威胁信息处理方法、装置、电子设备及介质

权利要求书

1.一种威胁信息处理方法，其特征在于，包括以下步骤：

获取待处理集合，将所述待处理集合的事件记为威胁事件，各个威胁事件的攻击类型相同且所属地址均位于预设区域内；

获取各个威胁事件的基础信息，所述基础信息包括攻击源和攻击目标；

将攻击源相同的所述威胁事件归为同组并记为嫌疑组；

统计各个嫌疑组对应的攻击目标数量并记为数量a1，判断所述数量a1是否大于预设值b1，若是，则标记对应的攻击源；

将攻击目标相同的所述威胁事件归为同组并记为受害组；

统计各个受害组对应的攻击源数量并记为数量a2，判断所述数量a2是否大于预设值b2，若是，则标记对应的攻击目标；

将被标记的所述攻击源、被标记的所述攻击目标均记为标记IP；

将所述标记IP与IP地址库匹配，得到所述标记IP的区域数据；

判断所述区域数据是否为无，若否则进入有区域处理模式，若是则进入无区域处理模式；

其中，所述有区域处理模式包括以下步骤：获取IP通报数据库，所述IP通报数据库包括被通报的IP；判断所述标记IP是否与所述IP通报数据库匹配，若否，则更新所述IP通报数据库；

其中，所述无区域处理模式包括以下步骤：获取IP通报数据库，所述IP通报数据库包括被通报的IP；判断所述标记IP是否与所述IP通报数据库匹配，若否则更新所述IP通报数据库，并对所述标记IP进行溯源；若是，将所述IP通报数据库内与所述标记IP匹配的IP记为匹配IP；判断所述匹配IP与所述标记IP的规则ID是否相同，若否，则更新所述IP通报数据库，并对所述标记IP进行溯源。

2.根据权利要求1所述的威胁信息处理方法，其特征在于，所述攻击类型包括DDoS攻击、木马攻击、邮件威胁、蠕虫攻击、网络钓鱼攻击、口令入侵、节点攻击、网络监听、安全漏洞、端口扫描。

3.根据权利要求1所述的威胁信息处理方法，其特征在于，所述基础信息还包括所述威胁事件的发生时间，所述嫌疑组和所述受害组均基于所述发生时间排序。

4.一种威胁信息处理装置，其特征在于，包括：

待处理集合获取模块，用于获取待处理集合，将所述待处理集合的事件记为威胁事件，各个威胁事件的攻击类型相同且所属地址均位于预设区域内；

基础信息获取模块，用于获取各个威胁事件的基础信息，所述基础信息包括攻击源和攻击目标；

分组模块，用于将攻击源相同的威胁事件归为同组并记为嫌疑组；

统计判断模块，用于统计各个嫌疑组对应的攻击目标数量并记为数量a1，判断所述数量a1是否大于预设值b1，若是，则标记对应的攻击源；将攻击目标相同的所述威胁事件归为同组并记为受害组；统计各个受害组对应的攻击源数量并记为数量a2，判断所述数量a2是否大于预设值b2，若是，则标记对应的攻击目标；将被标记的所述攻击源、被标记的所述攻击目标均记为标记IP；将所述标记IP与IP地址库匹配，得到所述标记IP的区域数据；判断所述区域数据是否为无，若否则进入有区域处理模式，若是则进入无区域处理模式；

其中，所述有区域处理模式包括以下步骤：获取IP通报数据库，所述IP通报数据库包括被通报的IP；判断所述标记IP是否与所述IP通报数据库匹配，若否，则更新所述IP通报数据库；

其中，所述无区域处理模式包括以下步骤：获取IP通报数据库，所述IP通报数据库包括被通报的IP；判断所述标记IP是否与所述IP通报数据库匹配，若否则更新所述IP通报数据库，并对所述标记IP进行溯源；若是，将所述IP通报数据库内与所述标记IP匹配的IP记为匹配IP；判断所述匹配IP与所述标记IP的规则ID是否相同，若否，则更新所述IP通报数据库，并对所述标记IP进行溯源。

5.一种电子设备，其包括处理器、存储介质以及计算机程序，所述计算机程序存储于存储介质中，其特征在于，所述计算机程序被处理器执行时实现权利要求1至3任意一项所述的威胁信息处理方法。

6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至3任意一项所述的威胁信息处理方法。