[发明专利]一种提取IOC信息的方法及相关装置

说明书

本申请公开了一种提取IOC信息的方法，包括：分析样本syslog日志，建立IOC位置关系；所述IOC位置关系至少包括syslog主机名、分隔符以及分隔段号；将目标syslog日志中的所述syslog主机名与所述IOC位置关系中的所述syslog主机名进行匹配，确定目标IOC位置关系；根据所述目标IOC位置关系中的所述分隔符以及所述分隔段号，从所述目标syslog日志中提取IOC信息。应用该方法能够快速提取出IOC信息。本申请还公开了一种提取IOC信息的装置、设备以及计算机可读存储介质，均具有上述技术效果。

技术领域

本申请涉及信息检测技术领域，特别涉及一种提取IOC信息的方法；还涉及一种提取IOC信息的装置、设备以及计算机可读存储介质。

背景技术

syslog是一种工业标准的协议，可用来记录设备的日志，所记录内容包括核心程序、系统程序的运行情况以及所发生的事件。Syslog日志的组成部分主要包含主机名、facility(日志标签，对应当前日志来源：守护进程、新闻、邮件或者用户自定义等)、priority(优先级)、message(日志主体)等。威胁检测日志采集模块一般采用rsyslog接收各个主机的syslog日志数据。syslog日志数据具有格式多样的特点，包括分隔符日志、KV日志、JSON日志等等，并且对实时性要求比较高。面对多样性的海量结构化日志格式，如何高效提取IOC信息即IP、域名信息，已成为关注的焦点。传统的提取IOC信息的方案是通过正则表达式或者Grok提取IOC信息，但是正则表达式在进行字符匹配时会发生回溯，一旦发生回溯，那么其消耗的时间就会变得很长，并且会消耗大量内存。

因此，如何快速提取IOC信息已成为本领域技术人员亟待解决的技术问题。

发明内容

本申请的目的是提供一种IOC信息的提取方法，能够快速提取IOC信息。本申请的另一个目的是提供一种IOC信息的提取装置、设备以及计算机可读存储介质，均具有上述技术效果。

为解决上述技术问题，本申请提供了一种IOC信息的提取方法，包括：

分析样本syslog日志，建立IOC位置关系；所述IOC位置关系至少包括syslog主机名、分隔符以及分隔段号；

将目标syslog日志中的所述syslog主机名与所述IOC位置关系中的所述syslog主机名进行匹配，确定目标IOC位置关系；

根据所述目标IOC位置关系中的所述分隔符以及所述分隔段号，从所述目标syslog日志中提取IOC信息。

可选的，所述分析样本syslog日志，建立IOC位置关系包括：

触发样本训练后，分析样本训练库中的所述样本syslog日志，得到所述样本syslog日志的所述syslog主机名；

根据所述样本syslog日志的所述分隔符将所述样本syslog日志分隔成多个分隔段；

分析各所述分隔段，得到所述样本syslog日志中的所述IOC信息所在的所述分隔段；

根据所述syslog主机名对所述样本syslog日志进行分组，并统计每组中各所述分隔段存在所述IOC信息的频率；

根据预设IOC提取频率阈值以及所述分隔段存在所述IOC信息的频率，确定所述分隔段号；

根据所述syslog主机名、所述分隔符以及所述分隔段号建立所述IOC位置关系；其中，当所述样本syslog日志中存在IOC前后缀时，所建立的所述IOC位置关系还包括所述IOC前后缀。

可选的，触发样本训练包括：

根据预设周期触发样本训练，或者当所述样本训练库中的所述样本syslog日志的数量达到预设阈值时，触发样本训练。