[发明专利]一种攻击资产标记方法、装置、介质和设备

说明书

本公开涉及一种攻击资产标记方法、装置、介质和设备。根据本公开实施例提供的方案，从网络威胁情报中提取攻击资产对应的每种攻击行为的类型以及对应的每种资源类型，并基于提取出的每种攻击行为的类型以及每种资源类型，对攻击资产的失效时间进行判断，根据确定出的失效时间，将攻击资产标记为非攻击资产。利用攻击资产对应的每种攻击行为的类型来判断攻击资产的失效时间，考量了攻击资产被用于实施每种攻击行为的威胁性和可持续性，而利用攻击资产对应的每种资源类型来判断攻击资产的失效时间，考量了攻击资产作为对应资源类型被攻击方的控制程度，相对于通过定时方式将攻击资产失效，可以有效提高攻击资产标记的准确性。

技术领域

本公开涉及网络安全技术领域，特别涉及一种攻击资产标记方法、装置、介质和设备。

背景技术

本部分旨在为权利要求书中陈述的本公开的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

网络威胁情报可以理解为从网络安全数据中提炼的，与网络空间威胁相关的信息，可以包括威胁来源、攻击意图、攻击手法和攻击目标信息，并可以包括可用于解决威胁或应对危害的知识等。

攻击资产可以理解为攻击者实施攻击行为所使用的网络资源，例如用于实现跳板机、命令与控制(C2，Command and Control)主机、主控服务器、分控服务器等多种功能的服务器资源等等。

网络威胁情报中可以包括攻击资产信息，对被用于实施攻击行为的网络资源进行标记，此时基于攻击资产信息可以分析出攻击者实施攻击行为所使用的网络资源。网络威胁情报中一般用域名或因特网地址(IP)来标识攻击资产。

目前，可以根据网络流量、安全设备日志、终端日志来快速实时地获得网络威胁情报。但是，网络安全是一个不断对抗的过程，攻击者希望充分地隐藏自己，防守者希望能够快速地定位攻击者，因此，网络攻击行为是具有时效性的。如果判断出被标记为攻击资产的网络资源不再具有网络威胁，那么此时不应将其继续视为攻击资产，在对应的网络威胁情报中也不应继续将其标记为攻击资产。

目前，可以采取定期将在网络威胁情报中被标记为攻击资产的网络资源，标记为非攻击资产的方式，来对网络威胁情报中标记的攻击资产进行失效处理。但这种方式准确性较低，会导致经常产生攻击资产标记错误的情况。例如，在攻击者转移了攻击资产或者攻击资产重新回到正常用户手中的情况下，攻击资产没有被及时标记为非攻击资产；又如，攻击者仍然在使用攻击资产进行网络攻击，攻击资产却已经被标记为非攻击资产。

发明内容

本公开实施例提供一种攻击资产标记方法、装置、介质和设备，用于解决攻击资产标记错误率较高的问题。

第一方面，本公开提供了一种攻击资产标记方法，所述方法包括：

从网络威胁情报中提取被标记为攻击资产的指定网络资源对应的每种攻击行为的类型以及每种资源类型；

根据获得的提取出的每种攻击行为的类型分别对应的威胁系数，以及提取出的每种资源类型分别对应的控制系数，确定所述指定网络资源被标记为攻击资产的失效时间；

根据确定出的失效时间，在所述网络威胁情报中将所述指定网络资源标记为非攻击资产；

其中，一种攻击行为的类型对应的威胁系数根据该类型攻击行为的危害性确定，一种资源类型对应的控制系数根据该类型的网络资源作为攻击资产时，被攻击方的控制程度确定。

可选的，根据获得的提取出的每种攻击行为的类型分别对应的威胁系数，以及提取出的每种资源类型分别对应的控制系数，确定所述指定网络资源被标记为攻击资产的失效时间，包括：