[发明专利]一种威胁检测库的更新方法、装置、电子设备及存储介质

权利要求书

1.一种威胁检测库的更新方法，其特征在于，应用于入侵检测系统的离线分析子进程，包括：

根据接收到的配置信息确定待分析报文；

利用威胁检测库对所述待分析报文进行安全威胁分析，得到所述待分析报文的匹配路径；其中，所述匹配路径用于描述所述威胁检测库的规则命中情况；

根据所述匹配路径判断所述待分析报文是否被漏报和/或误报；

若是，则对所述威胁检测库中的规则进行更新。

2.根据权利要求1所述威胁检测库的更新方法，其特征在于，根据接收到的配置信息确定待分析报文，包括：

若接收到的所述配置信息包括报文数据，则将所述报文数据设置为所述待分析报文；

若接收到的所述配置信息包括报文五元组，则根据所述报文五元组构造所述待分析报文。

3.根据权利要求1所述威胁检测库的更新方法，其特征在于，利用威胁检测库对所述待分析报文进行安全威胁分析，得到所述待分析报文的匹配路径，包括：

通过解析所述配置信息得到分析模式；

利用威胁检测库对所述待分析报文进行所述分析模式对应的安全威胁分析，得到所述待分析报文的匹配路径。

4.根据权利要求3所述威胁检测库的更新方法，其特征在于，利用威胁检测库对所述待分析报文进行所述分析模式对应的安全威胁分析，得到所述待分析报文的匹配路径，包括：

若所述分析模式为数据流分析模式，则利用所述威胁检测库对所述待分析报文中的每一条数据流进行安全威胁分析，得到所述待分析报文的数据流匹配路径；

其中，所述数据流匹配路径用于描述所述待分析报文中的每一条数据流与所述威胁检测库所有规则的子项的命中情况。

5.根据权利要求3所述威胁检测库的更新方法，其特征在于，利用威胁检测库对所述待分析报文进行所述分析模式对应的安全威胁分析，得到所述待分析报文的匹配路径，包括：

若所述分析模式为数据包分析模式，则利用所述威胁检测库对所述待分析报文中的每一个数据包进行安全威胁分析，得到所述待分析报文的数据包匹配路径；

其中，所述数据包匹配路径用于描述所述待分析报文中的每一个数据包与所述威胁检测库所有规则的子项的命中情况。

6.根据权利要求1所述威胁检测库的更新方法，其特征在于，在利用威胁检测库对所述待分析报文进行安全威胁分析之前，还包括：

通过解析所述配置信息确定目标规则，并根据所述目标规则从数据库中读取对应的所述威胁检测库。

7.根据权利要求1所述威胁检测库的更新方法，其特征在于，在得到所述待分析报文的匹配路径之后，还包括：

若规则命中，则将命中的报文特征添加至对应的匹配路径；

若规则未命中，则打印规则未命中原因，并将所述规则未命中原因添加至对应的匹配路径；其中，所述规则未命中原因包括规则子项期望筛选的报文特征、以及所述待分析报文的实际报文特征。

8.根据权利要求7所述威胁检测库的更新方法，其特征在于，在根据所述匹配路径判断所述待分析报文是否被漏报和/或误报之前，还包括：

根据所述规则未命中原因判断所述离线分析子进程是否出现Bug；

若是，则根据所述规则未命中原因对应的匹配路径执行Bug定位操作；

若否，则进入根据所述匹配路径判断所述待分析报文是否被漏报和/或误报的步骤。

9.根据权利要求1所述威胁检测库的更新方法，其特征在于，所述待分析报文为经过所述入侵检测系统检测的报文。

10.根据权利要求9所述威胁检测库的更新方法，其特征在于，根据所述匹配路径判断所述待分析报文是否被漏报和/或误报，包括：

查询所述待分析报文对应的预设规则匹配结果；

判断所述匹配路径是否符合所述预设规则匹配结果；

若是，则判定所述待分析报文被所述入侵检测系统正确检测；

若否，则判定所述待分析报文被所述入侵检测系统漏报和/或误报。