[发明专利]一种提取IOC信息的方法及相关装置

权利要求书

1.一种提取IOC信息的方法，其特征在于，包括：

分析样本syslog日志，建立IOC位置关系；所述IOC位置关系至少包括syslog主机名、分隔符以及分隔段号；

将目标syslog日志中的所述syslog主机名与所述IOC位置关系中的所述syslog主机名进行匹配，确定目标IOC位置关系；

根据所述目标IOC位置关系中的所述分隔符以及所述分隔段号，从所述目标syslog日志中提取IOC信息；所述IOC信息包括IP与域名信息；

所述分析样本syslog日志，建立IOC位置关系包括：

触发样本训练后，分析样本训练库中的所述样本syslog日志，得到所述样本syslog日志的所述syslog主机名；

根据所述样本syslog日志的所述分隔符将所述样本syslog日志分隔成多个分隔段；

分析各所述分隔段，得到所述样本syslog日志中的所述IOC信息所在的所述分隔段；

根据所述syslog主机名对所述样本syslog日志进行分组，并统计每组中各所述分隔段存在所述IOC信息的频率；

根据预设IOC提取频率阈值以及所述分隔段存在所述IOC信息的频率，确定所述分隔段号；

根据所述syslog主机名、所述分隔符以及所述分隔段号建立所述IOC位置关系；其中，当所述样本syslog日志中存在IOC前后缀时，所建立的所述IOC位置关系还包括所述IOC前后缀；

根据所述目标IOC位置关系中的所述分隔符以及所述分隔段号，从所述目标syslog日志中提取IOC信息包括：

根据所述目标IOC位置关系中的所分隔符对所述目标syslog日志的日志体进行分隔，得到多个分隔段；

根据所述目标IOC位置关系中的所述分隔段号确定所述IOC信息所在的所述分隔段；

当所述目标IOC位置关系中存在IOC前后缀时，根据所述目标IOC位置关系中的所述IOC前后缀，从所述IOC信息所在的所述分隔段中提取所述IOC信息；

当所述目标IOC位置关系中不存在所述IOC前后缀时，所述IOC信息所在的所述分隔段的内容为所述IOC信息。

2.根据权利要求1所述的提取IOC信息的方法，其特征在于，触发样本训练包括：

根据预设周期触发样本训练，或者当所述样本训练库中的所述样本syslog日志的数量达到预设阈值时，触发样本训练。

3.根据权利要求1所述的提取IOC信息的方法，其特征在于，还包括：

对所述目标syslog日志进行预处理，以过滤掉无用的syslog日志。

4.根据权利要求1所述的提取IOC信息的方法，其特征在于，还包括：

当所述IOC位置关系中不存在与所述目标syslog日志中的所述syslog主机名相匹配的所述syslog主机名时，将所述目标syslog日志写入样本训练库。