JP7389860B2 - セキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラム - Google Patents

セキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラム Download PDF

Info

Publication number
JP7389860B2
JP7389860B2 JP2022102090A JP2022102090A JP7389860B2 JP 7389860 B2 JP7389860 B2 JP 7389860B2 JP 2022102090 A JP2022102090 A JP 2022102090A JP 2022102090 A JP2022102090 A JP 2022102090A JP 7389860 B2 JP7389860 B2 JP 7389860B2
Authority
JP
Japan
Prior art keywords
attack
data
keyword
similarity
target
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2022102090A
Other languages
English (en)
Other versions
JP2022126818A (ja
Inventor
明偉 汪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Apollo Intelligent Connectivity Beijing Technology Co Ltd
Original Assignee
Apollo Intelligent Connectivity Beijing Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Apollo Intelligent Connectivity Beijing Technology Co Ltd filed Critical Apollo Intelligent Connectivity Beijing Technology Co Ltd
Publication of JP2022126818A publication Critical patent/JP2022126818A/ja
Application granted granted Critical
Publication of JP7389860B2 publication Critical patent/JP7389860B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/22—Matching criteria, e.g. proximity measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F40/00—Handling natural language data
    • G06F40/20—Natural language analysis
    • G06F40/205—Parsing
    • G06F40/216—Parsing using statistical methods
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F40/00—Handling natural language data
    • G06F40/20—Natural language analysis
    • G06F40/279—Recognition of textual entities
    • G06F40/289—Phrasal analysis, e.g. finite state techniques or chunking
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • Computational Linguistics (AREA)
  • Audiology, Speech & Language Pathology (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Biology (AREA)
  • Evolutionary Computation (AREA)
  • Probability & Statistics with Applications (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Description

本開示は、コンピュータ技術分野に関し、特に車のインターネットや情報セキュリティ技術分野に関する。
「インターネット＋」の全面的な推進に伴い、情報技術の国家社会経済建設における応用もますます広くなる。それに応じて、新型ネットワークセキュリティの脅威もより顕著になり、従来の「防護」を主とするネットワークセキュリティ防御系は、大きな挑戦に直面する。新型ネットワークセキュリティの脅威に面し、将来のネットワークセキュリティ防御系は、ネットワークセキュリティの監視および応答能力をより重視する。したがって、どのようにネットワークセキュリティの脅威行動をタイムリーに発見して、ネットワークの脅威応答の効率を向上させるかは、早急に解決すべき問題となる。
本開示は、セキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラムを提供する。
本開示の一態様によれば、目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得することと、前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定することと、前記類似度に基づいて、前記目標機器のセキュリティ情報を更新することと、を含むセキュリティ情報の処理方法を提供する。
本開示の別の態様によれば、目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得するための標準化モジュールと、前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定するための特定モジュールと、前記類似度に基づいて、前記目標機器のセキュリティ情報を更新するための更新モジュールと、を含むセキュリティ情報の処理装置を提供する。
本開示の別の態様によれば、少なくとも一つのプロセッサと、前記少なくとも一つのプロセッサと通信接続されたメモリとを、含み、前記メモリには、前記少なくとも一つのプロセッサにより実行される命令が記憶されており、前記命令が前記少なくとも一つのプロセッサが本開示の実施例に示された方法を実行することができるように、前記少なくとも一つのプロセッサにより実行される、電子機器を提供する。
本開示の実施例の別の態様によれば、コンピュータに本開示の実施例に示された方法を実行させるためのコンピュータ命令を記憶した非一時的なコンピュータ可読記憶媒体を提供する。
本開示の実施例の別の態様によれば、プロセッサに実行される時に本開示の実施例に示された方法を実現するコンピュータプログラムを提供する。
本部分に記述される内容は、本開示の実施例のキーポイントまたは重要な特徴を示すことを意図するものではなく、本開示の範囲を制限するためのものでもないことを理解すべきである。本開示の他の特徴は、以下の明細書を通して、容易に理解されるようになる。
図面は、本方案をよりよく理解するためのものであり、本開示を限定するものではない。
本開示の実施例に係るセキュリティ情報を処理する方法および装置を適用できる例示的なシステム構造を示す概略図である。 本開示の実施例に係るセキュリティ情報を処理する方法のフローチャートを示す概略図である。 本開示の実施例に係る標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定する方法のフローチャートを示す概略図である。 本開示の実施例に係るセキュリティ情報を処理する方法を示す概略図である。 本開示の実施例に係るセキュリティ情報を処理する装置のブロック図を示す概略図である。 本開示の実施例を実施できる例示的な電子機器のブロック図を示す概略図である。
以下、図面を参照しながら、本開示の例示的な実施例について説明し、容易に理解するために、その中には本開示の実施例の様々な詳細を含んでおり、それらは単なる例示するものと見なされるべきである。したがって、当業者は、ここで記述される実施例に対して様々な変更や修正を行ってもよく、本開示の範囲および精神から逸脱することにならないと理解すべきである。同様に、明確および簡潔するために、以下の記述では、周知の機能および構成の記述を省略する。
図１は、本開示の実施例に係るセキュリティ情報を処理する方法および装置を適用できる例示的なシステム構造１００を示す概略図である。図１に示すのは、本開示の実施例を適用できるシステム構造の例示に過ぎず、当業者に本開示の技術内容を理解させるためのものであり、本開示の実施例が他の機器、システム、環境又は場面に適用できないことを意味しないことに注意すべきである。
図１に示すように、この実施例に係るシステム構造１００は、端末機器１０１、１０２、１０３、ネットワーク１０４、脅威分析プラットフォーム１０５および攻撃行動知識ベース１０６を含んでもよい。ネットワーク１０４は、端末機器１０１、１０２、１０３とクラウド１０５との間に通信リンクの媒体を提供するためのものである。ネットワーク１０４は、例えば有線、無線通信リンク又は光ファイバーケーブルなどの様々な接続タイプを含んでもよい。
本開示の実施例によれば、端末機器１０１、１０２、１０３がネットワーク攻撃を受けた場合、端末機器１０１、１０２、１０３は、該ネットワーク攻撃の攻撃行動に基づいて、対応するセキュリティ警報情報を生成する。端末機器１０１、１０２、１０３には、端末機器１０１、１０２、１０３のセキュリティ警報情報を収集し、かつネットワーク１０４を介してセキュリティ警報情報を脅威分析プラットフォーム１０５に報告するためのセキュリティデータプローブが配置されてもよい。
端末機器１０１、１０２、１０３は、ネットワーク通信をサポートする様々な電子機器であってもよく、スマート車載システム、車載センサ、スマート交通端末機器などを含むが、これらに限られない。
脅威分析プラットフォーム１０５は、受信されたセキュリティ警報情報などのデータに対して分析などの処理を行い、かつ処理結果（例えばセキュリティ警報情報に基づいて生成された分析結果など）を端末機器にフィードバックするために用いられてもよい。
脅威分析プラットフォーム１０５は、サーバ又は複数のサーバで構成されたサーバクラスタに配置してもよい。ここで、該サーバは、クラウドサーバであってもよく、クラウドコンピューティングサーバ又はクラウドホストとも呼ばれ、クラウドコンピューティングサービスシステムのうちの一つのホスト製品であり、それにより、従来の物理ホストとＶＰＳサービス（「Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｓｅｒｖｅｒ」、又は「ＶＰＳ」と略称する）に存在する管理難度が大きく、サービス拡張性が弱いという欠陥を解決している。該サーバは、分散システムのサーバであってもよく、又はブロックチェーンを結合したサーバであってもよい。
本開示の実施例によれば、攻撃行動知識ベース１０６は、実世界に対する観測や収集を介して得られた攻撃者攻撃行動情報により確立されてもよく、攻撃者の攻撃ライフサイクルおよび使用される技術および手段を反映してもよい。攻撃行動知識ベース１０６は、例えばＡＴＴ＆ＣＫ（Ａｄｖｅｒｓａｒｉａｌ Ｔａｃｔｉｃｓ， Ｔｅｃｈｎｉｑｕｅｓ， ａｎｄ Ｃｏｍｍｏｎ Ｋｎｏｗｌｅｄｇｅ、拮抗戦術、技術および常識）モデルに基づいてもよい。ＡＴＴ＆ＣＫモデルは、抽象のレベルが低く、使用者が戦術および戦略を対応付けることを効果的に支援することができ、かつ現在の攻撃がどのライフサイクルにあるかをより明確に反映することができる。
なお、本開示の実施例が提供するセキュリティ情報を処理する方法は、脅威分析プラットフォーム１０５により実行することができる。対応的に、本開示の実施例が提供するセキュリティ情報を処理する装置は、脅威分析プラットフォーム１０５に設置することができる。本開示の実施例が提供するセキュリティ情報を処理する方法は、脅威解析プラットフォーム１０５と異なり且つ端末機器１０１、１０２、１０３および／または脅威解析プラットフォーム１０５と通信可能なサーバ又はサーバクラスタによって実行されてもよい。対応的に、本開示の実施例が提供するセキュリティ情報を処理する装置は、脅威分析プラットフォーム１０５と異なり且つ端末機器１０１、１０２、１０３および／または脅威分析プラットフォーム１０５と通信可能なサーバ又はサーバクラスタに設置されてもよい。
図１における端末機器、ネットワーク、脅威分析プラットフォームおよび攻撃行動知識ベースの数は単に概略的なものと理解すべきである。実現の必要に応じて、任意の数の端末機器、ネットワーク、脅威分析プラットフォームおよび攻撃行動知識ベースを有してもよい。
図２は、本開示の実施例に係るセキュリティ情報を処理する方法のフローチャートを示す概略図である。
図２に示すように、該セキュリティ情報を処理する方法２００は、操作Ｓ２１０～Ｓ２３０を含んでもよい。
操作Ｓ２１０において、目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得する。
次に、操作Ｓ２２０において、標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定する。
操作Ｓ２３０において、類似度に基づいて、目標機器のセキュリティ情報を更新する。
本開示の実施例によれば、端末機器にセキュリティデータプローブを予め配置することができる。そこで、各端末機器に配置されたセキュリティデータプローブにより、対応する端末機器のセキュリティ警報情報を収集して、脅威分析プラットフォームにアップロードすることができる。本開示の他の実施例によれば、脅威分析プラットフォームは、第三者の脅威分析プラットフォームにアクセスして、第三者の脅威分析プラットフォームからのセキュリティ警報情報を取得してもよい。
本開示の実施例によれば、セキュリティ警報情報を解析して、少なくとも一つの目標フィールドを取得することができる。次に、所定のフォーマットに基づいて、少なくとも一つの目標フィールドを標準化データにおけるフィールドに変換する。ここで、所定のフォーマットは、例えば標準化脅威情報表現式（Ｓｔｒｕｃｔｕｒｅｄ Ｔｈｒｅａｔ Ｉｎｆｏｒｍａｔｉｏｎ ｅＸｐｒｅｓｓｉｏｎ、ＳＴＩＸ）を含んでもよい。構造化脅威情報表現式は、イベント関連性とカバー性を示すための言語であり、構造的なネットワーク側脅威情報を表現するために用いられる。
本開示の実施例によれば、攻撃データは、ネットワーク攻撃を記述するためのデータであり、例えば、手順（Ｐｒｏｃｅｄｕｒｅｓ）フィールド、技術（Ｔｅｃｈｎｉｑｕｅｓ）フィールドおよび戦術（Ｔａｃｔｉｃｓ）フィールドを含むことができ、ここで、戦術フィールドは、攻撃者がなぜ攻撃するかを記述するために用いられ、攻撃者の攻撃意図を反映している。戦術フィールドにより、対応する攻撃段階を特定することができる。例えば、戦術フィールドは、初期アクセス（Ｉｎｉｔｉａｌ Ａｃｃｅｓｓ）、指令実行（Ｅｘｅｃｕｔｉｏｎ）、永続化（Ｐｅｒｓｉｓｔｅｎｃｅ）、権限向上（Ｐｒｉｖｉｌｅｇｅ Ｅｓｃａｌａｔｉｏｎ）、回避防御（Ｄｅｆｅｎｓｅ Ｅｖａｓｉｏｎ）、証明書取得（Ｃｒｅｄｅｎｔｉａｌ Ａｃｃｅｓｓ）、探索（Ｄｉｓｃｏｖｅｒｙ）、横方向移動（Ｌａｔｅｒａｌ Ｍｏｖｅｍｅｎｔ）、情報収集（Ｃｏｌｌｅｃｔｉｏｎ）、データ窃取（Ｅｘｆｉｌｔｒａｔｉｏｎ）、命令制御（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）などを含んでもよい。例示的に、本実施例において、各戦術は、一つ又は複数の技術に対応することができ、技術フィールドは、攻撃者が戦術を完了するように何をしたかを記述するために用いられる。本実施例において、各技術は、一つ又は複数の手順に対応することができ、手順フィールドは、攻撃の手順を記述するために用いられる。
本開示の実施例によれば、目標機器のセキュリティ情報は、目標機器が位置するセキュリティ状態を反映することができ、目標機器のセキュリティ情報を更新することにより、ユーザ又は分析システムが攻撃者の攻撃意図を抽出して把握することを支援できる。
本開示の実施例によれば、セキュリティ情報は、例えば攻撃チェーンを含むことができ、攻撃チェーンは、機器が攻撃された場合に経験する攻撃段階を反映することができる。攻撃チェーンの形式として、デバイスおよび人の読み取り可能性を両立させるようにすることができる。これに基づいて、セキュリティ情報を更新する場合、目標攻撃データにおける戦術フィールドに対応する戦術識別子を攻撃チェーンに添加して攻撃チェーンを更新することができる。
例えば、標準化データには機器の唯一の識別子が含まれ、機器の唯一の識別子により機器の現在の攻撃チェーン状態を検索することができる。該機器がこの前に攻撃を受けたことがない場合、攻撃チェーンが空である。このような場合、現在の戦術識別子を一つのデータ項目として、攻撃チェーンに添加することができる。該機器がこの前に攻撃を受けたことがある場合、現在の攻撃チェーンは空ではない。このような場合、戦術識別子を攻撃チェーンの尾部に添加し、かつ、攻撃の方向を示すために、前回の攻撃時に添加された戦術識別子の指向を現在添加された戦術識別子に指向するように設定することができる。
本開示の実施例に係るセキュリティ情報を処理する方法によれば、大量のセキュリティ警報情報から、有効な脅威行動情報を抽出する効率を向上させることができ、さらに、セキュリティ脅威に対する発見および応答の効率を向上させることができる。
以下、図３を参照しながら、標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定する操作をさらに説明する。
図３は、本開示の実施例に係る標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定する方法のフローチャートを示す概略図である。
図３に示すように、該標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定する方法３２０は、例えば操作Ｓ３２１～Ｓ３２３を含んでもよい。
操作Ｓ３２１において、標準化データにおける少なくとも一つの第１のキーワードを特定する。
本開示の実施例によれば、標準化データは、攻撃行動を記述するためのフィールドを含み、該フィールドに対して単語分割処理を行って、少なくとも一つの第１のキーワードを取得することができる。
次に、操作Ｓ３２２において、攻撃行動知識ベースにおける攻撃データのそれぞれに対して、攻撃データの手順フィールドにおける少なくとも一つの第２のキーワードを特定する。
本開示の実施例によれば、攻撃データにおける手順フィールドに対して単語分割処理を行って、少なくとも一つの第２のキーワードを取得することができる。
操作Ｓ３２３において、少なくとも一つの第１のキーワードおよび少なくとも一つの第２のキーワードに基づいて、標準化データと攻撃データとの間の類似度を特定する。
本開示の実施例によれば、少なくとも一つの第１のキーワードと少なくとも一つの第２のキーワードとの間の類似度に基づいて、標準化データと攻撃データとの間の類似度を特定することができる。
例示的に、本実施例において、少なくとも一つの第１のキーワードと少なくとも一つの第２のキーワードとを統合して、キーワードセットを取得することができる。次に、キーワードセットにおけるそれぞれのキーワードの標準化データにおける単語頻度を特定して、第１の単語頻度特徴ベクトルを取得する。キーワードセットにおけるそれぞれのキーワードの攻撃データにおける単語頻度を特定して、第２の単語頻度特徴ベクトルを取得する。第１の単語頻度特徴ベクトルと第２の単語頻度特徴ベクトルとの間のコサイン類似度を計算して、標準化データと攻撃データとの間の類似度とする。
例えば、標準化データにおいて攻撃行動を記述するためのフィールドｓ１は、
Figure 0007389860000001
というものである。攻撃データにおける手順フィールドＳ２は、
Figure 0007389860000002
というものである。
それぞれ上記ｓ１およびＳ２に対して単語分割処理を行って、以下の単語ベクトルＳ１およびＳ２を取得する。
Ｓ１：
Figure 0007389860000003
Ｓ２：
Figure 0007389860000004
次に、Ｓ１およびＳ２における全ての単語を統計し、Ｓ１およびＳ２に出現した全ての単語に対して重複排除を行って融合し、以下のような一つのキーワードセットを取得する：
Figure 0007389860000005
上記キーワードセットにおけるそれぞれのキーワードに対して、Ｓ１およびＳ２におけるそれぞれのキーワードの出現頻度をそれぞれ特定し、以下の単語頻度特徴ベクトルＡおよびＢを取得する。ここで、単語頻度特徴ベクトルにおける各要素は、対応するキーワードの単語ベクトルにおける出現頻度を表す。
Ａ：［１２１０１１０１１０］
Ｂ：［１２１１０１１０１１］
次に、以下の公式に基づいて、ＡとＢとの間のコサイン類似度を計算することができる。
Figure 0007389860000006
ここで、ｓｉｍｉｌａｒｉｔｙは、ＡとＢとの間のコサイン類似度であり、θは、ＡとＢとの間の夾角であり、Ａｉは、Ａにおけるｉ番目の元素であり、Ｂｉは、Ｂにおけるｉ番目の元素であり、ｎは、Ａ（又はＢ）における元素総数である。本実施例において、コサイン類似度の範囲は、［－１、１］の間にあり、二つのベクトルの間のコサイン類似度が１に近いほど二つのベクトルの類似度が大きいことを示す。
本開示の実施例によれば、類似度を特定した後、攻撃行動知識ベースにおける、標準化データとの類似度が最も高い目標攻撃データを特定し、そして、目標攻撃データの類似度が類似度閾値より大きい場合、目標攻撃データに基づいて、目標機器のセキュリティ情報を更新することができる。ここで、類似度閾値は、実際の需要に応じて設定することができ、本開示は、類似度閾値の具体的な値を具体的に限定しない。例示的に、本実施例において、類似度閾値が０．５であってもよい。
本開示の実施例によれば、標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定することにより、標準化データに対応する攻撃データを取得することができ、すなわち、攻撃者の攻撃方式、攻撃意図などの情報を取得することができ、それにより、機器のセキュリティ状態をより明確かつ正確に反映することができる。
以下、図４を参照しながら、具体的な実施例に基づいて上記のセキュリティ情報を処理する方法をさらに説明する。当業者であれば理解されるように、以下の例示的な実施例は単に本開示を理解するために用いられ、本開示はこれに限られない。
図４は、本開示の実施例に係るセキュリティ情報を処理する方法を示す概略図である。例示的に、本実施例において、該方法は脅威分析プラットフォームにより実行することができる。
図４に示すように、各端末機器に配置されたセキュリティデータプローブは、対応する端末機器のセキュリティ警報情報４１を収集して、脅威分析プラットフォームにアップロードする。また、脅威分析プラットフォームは、直接的に第三者の脅威分析プラットフォームにアクセスして、セキュリティ警報情報４１を取得してもよい。
脅威分析プラットフォームは、セキュリティ警報情報４１を取得した後、セキュリティ警報情報４１に対してＳＴＩＸフォーマットに応じてデータ標準化を行って、標準化データ４２を取得することができる。理解できるように、取得されたセキュリティ警報情報４１が既にＳＴＩＸフォーマットであれば、データ標準化を行う必要がない。
次に、標準化データ４２における攻撃行動を記述するための目標フィールドと、ＡＴＴ＆ＣＫ知識ベースにおける複数の攻撃データ４３の手順フィールドとをマッチングする。目標フィールドに対して、それぞれの攻撃データにおける手順フィールドと類似度計算を行って、目標フィールドとそれぞれの手順フィールドとの類似度を取得する。全ての手順フィールドにおける類似度が最も高い手順フィールドに対して、該類似度が類似度閾値より大きいか否かを特定し、類似度が類似度閾値より大きい場合、該手順フィールドが属する技術フィールドを特定し、そして該技術フィールドが属する戦術フィールドを特定することにより、目標攻撃データ４４を取得する。
目標攻撃データ４４を取得した後、目標攻撃データの戦術識別子４５を取得して、機器に対応する攻撃チェーン４６を取得し、その後、戦術識別子４５を該機器の既存の攻撃チェーン４６に加えることができる。例示的に、本実施例において、該機器の既存の攻撃チェーン４６は空ではない。これに基づいて、戦術識別子４５を攻撃チェーン４６の尾部に添加し、かつ、攻撃の方向を示すために、前回の攻撃時に添加された戦術識別子の指向を現在添加された戦術識別子に指向するように設定することができる。
図５は、本開示の実施例に係るセキュリティ情報を処理する装置のブロック図を示す概略図である。
図５に示すように、該セキュリティ情報を処理する装置５００は、標準化モジュール５１０、類似度特定モジュール５２０および更新モジュール５３０を含む。
標準化モジュール５１０は、目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得するために用いられる。
類似度特定モジュール５２０は、標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定するために用いられる。
更新モジュール５３０は、類似度に基づいて、目標機器のセキュリティ情報を更新するために用いられる。
本開示の実施例によれば、標準化モジュールは、解析サブモジュールおよび変換サブモジュールを含んでもよい。ここで、解析サブモジュールは、セキュリティ警報情報を解析して、少なくとも一つの目標フィールドを特定するために用いられる。変換サブモジュールは、所定のフォーマットに基づいて、少なくとも一つの目標フィールドを標準化データにおけるフィールドに変換するために用いられる。
本開示の実施例によれば、所定のフォーマットは、標準化脅威情報表現式を含んでもよい。
本開示の実施例によれば、類似度特定モジュールは、第１の特定サブモジュール、第２の特定サブモジュールおよび第３の特定サブモジュールを含んでもよい。ここで、第１の特定サブモジュールは、標準化データにおける少なくとも一つの第１のキーワードを特定するために用いられる。第２の特定サブモジュールは、攻撃行動知識ベースにおける攻撃データのそれぞれに対して、攻撃データにおける少なくとも一つの第２のキーワードを特定するために用いられる。第３の特定サブモジュールは、少なくとも一つの第１のキーワードおよび少なくとも一つの第２のキーワードに基づいて、標準化データと攻撃データとの間の類似度を特定するために用いられる。
本開示の実施例によれば、第３の特定サブモジュールは、統合ユニット、第１の特定ユニット、第２の特定ユニットおよび計算ユニットを含んでもよい。ここで、統合ユニットは、少なくとも一つの第１のキーワードと少なくとも一つの第２のキーワードとを統合して、キーワードセットを取得するために用いられる。第１の特定ユニットは、キーワードセットにおけるそれぞれのキーワードの標準化データにおける単語頻度を特定して、第１の単語頻度特徴ベクトルを取得するために用いられる。第２の特定ユニット は、キーワードセットにおけるそれぞれのキーワードの攻撃データにおける単語頻度を特定して、第２の単語頻度特徴ベクトルを取得するために用いられる。計算ユニットは、第１の単語頻度特徴ベクトルと第２の単語頻度特徴ベクトルとの間のコサイン類似度を計算して、標準化データと攻撃データとの間の類似度とするために用いられる。
本開示の実施例によれば、更新モジュールは、第４の特定サブモジュールおよび更新サブモジュールを含んでもよい。ここで、第４の特定サブモジュールは、攻撃行動知識ベースにおける、標準化データとの類似度が最も高い目標攻撃データを特定するために用いられる。更新サブモジュールは、目標攻撃データの類似度が類似度閾値より大きい場合、目標攻撃データに基づいて、目標機器のセキュリティ情報を更新するために用いられる。
本開示の実施例によれば、攻撃データは、戦術フィールドを含んでもよく、セキュリティ情報は、攻撃チェーンを含んでもよい。
本開示の実施例によれば、更新サブモジュールは、目標攻撃データにおける戦術フィールドに対応する戦術識別子を攻撃チェーンに添加するための添加ユニット を含んでもよい。
なお、本開示の技術案において、係わるユーザ個人情報の取得、記憶および応用などは、いずれも相関法規の規定に適合し、かつ公序良俗に反しない。
本開示の実施例によれば、本開示は、さらに電子機器、可読記憶媒体およびコンピュータプログラム製品を提供する。
図６は、本開示の実施例を実施できる例示的な電子機器６００のブロック図を示す概略図である。電子機器は、様々な形式のデジタルコンピュータを示すことを意図し、例えば、ラップトップ型コンピュータ、デスクトップコンピュータ、作業台、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、大型コンピュータおよび他の適宜なコンピュータがある。電子機器は、さらに様々な形式の移動装置を示してもよく、例えば、パーソナルデジタルアシスタント、携帯電話、スマートフォン、ウェアラブル機器および他の類似の計算装置がある。本明細書に示された部材、それらの接続と関係、および、それらの機能は、例示に過ぎず、本明細書に記述されたおよび／または要求された本開示の実現を限定するものではない。
図６に示すように、機器６００は、リードオンリーメモリ（ＲＯＭ）６０２に記憶されたコンピュータプログラム又は記憶ユニット６０８からランダムアクセスメモリ（ＲＡＭ）６０３にロードされたコンピュータプログラムに基づいて、様々な適宜な動作および処理を実行できる計算ユニット６０１を含む。ＲＡＭ６０３において、機器６００の操作に必要な様々なプログラムおよびデータをさらに記憶してもよい。計算ユニット６０１、ＲＯＭ６０２およびＲＡＭ６０３は、バス６０４を介して相互に接続されている。バス６０４には、さらに、入力／出力（Ｉ／Ｏ）インタフェース６０５が接続されている。
機器６００における複数の部品は、Ｉ／Ｏインタフェース６０５に接続されており、例えばキーボード、マウスなどの入力ユニット６０６と、例えば様々なタイプのディスプレイ、スピーカなどの出力ユニット６０７と、例えば磁気ディスク、光ディスクなどの記憶ユニット６０８と、例えばネットワークカード、モデム、無線通信トランシーバなどの通信ユニット６０９と、を含む。通信ユニット６０９は、機器６００がインターネットのようなコンピュータネットワークおよび／または様々な電気通信網を介して他の機器と情報／データをやり取りすることを可能にする。
計算ユニット６０１は、処理および計算能力を有する様々な汎用および／または専用の処理モジュールであってもよい。計算ユニット６０１のいくつかの例示としては、中央処理ユニット（ＣＰＵ）、画像処理ユニット（ＧＰＵ）、様々な専用の人工知能（ＡＩ）計算チップ、様々なデバイス学習モデルアルゴリズムを実行する計算ユニット 、デジタルシグナルプロセッサ（ＤＳＰ）、任意の適宜なプロセッサ、コントローラ、マイクロコントローラなどが挙げられるが、これらに限られない。計算ユニット６０１は、上記の各方法および処理、例えばセキュリティ情報を処理する方法を実行する。例えば、いくつかの実施例において、セキュリティ情報を処理する方法は、有形のものとしてデバイス可読媒体、例えば記憶ユニット６０８に含まれるコンピュータソフトウェアプログラムとして実現される。いくつかの実施例において、コンピュータプログラムの一部又は全部は、ＲＯＭ６０２および／または通信ユニット６０９を介して機器６００にロードおよび／またはインストールされる。コンピュータプログラムがＲＡＭ６０３にロードされかつ計算ユニット６０１により実行される場合、上記のセキュリティ情報を処理する方法の一つ又は複数のステップを実行することができる。代替的に、他の実施例において、計算ユニット６０１は、他の任意の適宜な方式（例えばファームウェアによる方式）により、セキュリティ情報を処理する方法を実行するように構成されてもよい。
本明細書における上記のシステムおよび技術の様々な実施形態は、デジタル電子回路システム、集積回路システム、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、専用集積回路（ＡＳＩＣ）、専用標準製品（ＡＳＳＰ）、システム・オン・チップのシステム（ＳＯＣ）、負荷プログラマブルロジック機器（ＣＰＬＤ）、コンピュータハードウェア、ファームウェア、ソフトウェアおよび／またはそれらの組合せにおいて実現することができる。これらの各種実施形態は、１つ又は複数のコンピュータプログラムで実行されることを含んでもよく、この１つ又は複数のコンピュータプログラムが、少なくとも１つのプログラマブルプロセッサを含むプログラマブルシステム上に実行および／または解釈されてもよく、このプログラマブルプロセッサは専用又は汎用プログラマブルプロセッサであり、記憶システムと、少なくとも１つの入力装置と、少なくとも１つの出力装置とから、データおよび命令を受信し、データおよび命令をこの記憶システムと、この少なくとも１つの入力装置と、この少なくとも１つの出力装置とに転送してもよい。
本開示の方法を実施するためのプログラムコードは、一つ又は複数のプログラミング言語の任意の組合せによって書かれてもよい。これらのプログラムコードは、汎用コンピュータ、専用コンピュータ又は他のプログラマブルデータ処理装置のプロセッサ又はコントローラに提供され、プログラムコードがプロセッサ又はコントローラにより実行される時にフローチャートおよび／またはブロック図に規定された機能・操作が実施されるようにしてもよい。プログラムコードは、完全にデバイスに実行されてもよく、部分的にデバイスに実行されてもよく、独立ソフトウェアパックとして部分的にデバイスに実行されかつ部分的に遠隔デバイスに実行され、或いは完全に遠隔デバイス又はサーバに実行されてもよい。
本開示のコンテキストにおいて、デバイス可読媒体は、命令実行システム、装置又は機器に使用される或いは命令実行システム、装置又は機器と組合せて使用されるプログラムを含むか記憶する有形の媒体であってもよい。デバイス可読媒体は、デバイス可読信号媒体又はデバイス可読記憶媒体であってもよい。デバイス可読媒体は、電子、磁気的、光学的、電磁気的や赤外のもの、又は半導体システム、装置又は機器、或いは上記内容の任意の適宜な組合せを含むが、これらに限られない。デバイス可読記憶媒体のより具体的な例示は、１つ又は複数のラインによる電気接続、携帯コンピュータディスク、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、消去可能なプログラマブルリードオンリーメモリ（ＥＰＲＯＭ又はフラッシュメモリ）、ファイバ、携帯コンパクトディスクリードオンリーメモリ（ＣＤ－ＲＯＭ）、光学的記憶機器、磁気的記憶機器、又は上記内容の任意の適宜な組合せを含む。
ユーザとのインタラクティブを提供するために、コンピュータでここで記述したシステムおよび技術を実施してもよく、このコンピュータは、ユーザに情報を表示するための表示装置（例えば、ＣＲＴ（陰極線管）又はＬＣＤ（液晶ディスプレイ）モニタ）と、キーボードおよびポインティング装置（例えば、マウス又はトラックボール）とを有し、ユーザは、このキーボードおよびこのポインティング装置によって、入力をコンピュータに提供することができる。他の種類の装置は、ユーザとのインタラクティブを提供するためのものであってもよく、例えば、ユーザに提供するフィードバックは、任意の形式のセンサーフィードバック（例えば、視覚フィードバック、聴覚フィードバック、又は触覚フィードバック）であってもよく、任意の形式（声入力、語音入力、又は触覚入力を含む）でユーザからの入力を受信してもよい。
ここで記述されたシステムおよび技術は、バックグラウンド部品を含む計算システム（例えば、データサーバとする）、又はミドルウェア部品を含む計算システム（例えば、アプリケーションサーバ）、又はフロントエンド部品を含む計算システム（例えば、グラフィカル・ユーザ・インタフェース又はネットワークブラウザを有するユーザコンピュータ、ユーザはこのグラフィカル・ユーザ・インタフェース又はこのネットワークブラウザを介してここで説明したシステムおよび技術の実施形態とインタラクティブすることができる）、又はこのようなバックグラウンド部品、ミドルウェア部品、或いはフロントエンド部品の任意の組合せを含む計算システムで実施されてもよい。任意の形式又は媒体のデジタルデータ通信（例えば、通信ネットワーク）を介してシステムの部品を相互に接続してもよい。通信ネットワークの例示は、ローカルエリアネットワーク（ＬＡＮ）と、広域ネットワーク（ＷＡＮ）と、インターネットを含む。
コンピュータシステムは、クライアントとサーバとを含んでもよい。クライアントとサーバとは、一般的に互いに離れて、且つ通常に通信ネットワークを介してインタラクティブする。相応するコンピュータで実行されるとともに、互いにクライアント－サーバの関係を有するコンピュータプログラムによって、クライアントとサーバとの関係を形成する。
以上に示した様々な形式のフローを利用して、ステップを並び替え、追加又は削除することができると理解すべきである。例えば、本開示に記載された各ステップは、並行に実行されてもよいし、順に実行されてもよいし、異なる順序で実行されてもよく、本開示が開示した技術案が所望する結果を実現できる限り、本明細書はここで限定しない。
以上説明したセキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラムは、以下のように表現することができる。
第１態様のセキュリティ情報の処理方法は、
目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得することと、
前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定することと、
前記類似度に基づいて、前記目標機器のセキュリティ情報を更新することと、を含む。
第２態様のセキュリティ情報の処理方法は、
第１態様に記載の方法であって、
前記セキュリティ警報情報を標準化して標準化データを取得することは、
前記セキュリティ警報情報を解析して、少なくとも一つの目標フィールドを特定することと、
所定のフォーマットに基づいて、前記少なくとも一つの目標フィールドを前記標準化データにおけるフィールドに変換することと、を含む。
第３態様のセキュリティ情報の処理方法は、
第２態様に記載の方法であって、
前記所定のフォーマットは、標準化脅威情報表現式を含む。
第４態様のセキュリティ情報の処理方法は、
第１態様に記載の方法であって、
前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定することは、
前記標準化データにおける少なくとも一つの第１のキーワードを特定することと、
攻撃行動知識ベースにおける攻撃データのそれぞれに対して、前記攻撃データにおける少なくとも一つの第２のキーワードを特定することと、
前記少なくとも一つの第１のキーワードおよび前記少なくとも一つの第２のキーワードに基づいて、前記標準化データと前記攻撃データとの間の類似度を特定することと、を含む。
第５態様のセキュリティ情報の処理方法は、
第４態様に記載の方法であって、
前記少なくとも一つの第１のキーワードおよび前記少なくとも一つの第２のキーワードに基づいて、前記標準化データと前記攻撃データとの間の類似度を特定することは、
前記少なくとも一つの第１のキーワードと前記少なくとも一つの第２のキーワードとを統合して、キーワードセットを取得することと、
前記キーワードセットにおけるそれぞれのキーワードの前記標準化データにおける単語頻度を特定して、第１の単語頻度特徴ベクトルを取得することと、
前記キーワードセットにおけるそれぞれのキーワードの前記攻撃データにおける単語頻度を特定して、第２の単語頻度特徴ベクトルを取得することと、
前記第１の単語頻度特徴ベクトルと前記第２の単語頻度特徴ベクトルとの間のコサイン類似度を計算して、前記標準化データと前記攻撃データとの間の類似度とすることと、を含む。
第６態様のセキュリティ情報の処理方法は、
第４又は５態様に記載の方法であって、
前記類似度に基づいて、前記目標機器のセキュリティ情報を更新することは、
前記攻撃行動知識ベースにおける、前記標準化データとの類似度が最も高い目標攻撃データを特定することと、
前記目標攻撃データの類似度が類似度閾値より大きい場合、前記目標攻撃データに基づいて、目標機器のセキュリティ情報を更新することと、を含む。
第７態様のセキュリティ情報の処理方法は、
第６態様に記載の方法であって、
前記攻撃データは、戦術フィールドを含み、
前記セキュリティ情報は、攻撃チェーンを含み、
前記目標攻撃データに基づいて、目標機器のセキュリティ情報を更新することは、
前記目標攻撃データにおける戦術フィールドに対応する戦術識別子を前記攻撃チェーンに添加することを含む。
第８態様のセキュリティ情報の処理装置は、
目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得するための標準化モジュールと、
前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定するための類似度特定モジュールと、
前記類似度に基づいて、前記目標機器のセキュリティ情報を更新するための更新モジュールと、を含む。
第９態様のセキュリティ情報の処理装置は、
第８態様に記載の装置であって、
前記標準化モジュールは、
前記セキュリティ警報情報を解析して、少なくとも一つの目標フィールドを特定するための解析サブモジュールと、
所定のフォーマットに基づいて、前記少なくとも一つの目標フィールドを前記標準化データにおけるフィールドに変換するための変換サブモジュールと、を含む。
第１０態様のセキュリティ情報の処理装置は、
第９態様に記載の装置であって、
前記所定のフォーマットは、標準化脅威情報表現式を含む。
第１１態様のセキュリティ情報の処理装置は、
第８態様に記載の装置であって、
前記類似度特定モジュールは、
前記標準化データにおける少なくとも一つの第１のキーワードを特定するための第１の特定サブモジュールと、
攻撃行動知識ベースにおける攻撃データのそれぞれに対して、前記攻撃データにおける少なくとも一つの第２のキーワードを特定するための第２の特定サブモジュールと、
前記少なくとも一つの第１のキーワードおよび前記少なくとも一つの第２のキーワードに基づいて、前記標準化データと前記攻撃データとの間の類似度を特定するための第３の特定サブモジュールと、を含む。
第１２態様のセキュリティ情報の処理装置は、
第１１態様に記載の装置であって、
前記第３の特定サブモジュールは、
前記少なくとも一つの第１のキーワードと前記少なくとも一つの第２のキーワードとを統合して、キーワードセットを取得するための統合ユニットと、
前記キーワードセットにおけるそれぞれのキーワードの前記標準化データにおける単語頻度を特定して、第１の単語頻度特徴ベクトルを取得するための第１の特定ユニットと、
前記キーワードセットにおけるそれぞれのキーワードの前記攻撃データにおける単語頻度を特定して、第２の単語頻度特徴ベクトルを取得するための第２の特定ユニットと、
前記第１の単語頻度特徴ベクトルと前記第２の単語頻度特徴ベクトルとの間のコサイン類似度を計算して、前記標準化データと前記攻撃データとの間の類似度とするための計算ユニットと、を含む。
第１３態様のセキュリティ情報の処理装置は、
第１１又は１２態様に記載の装置であって、
前記更新モジュールは、
前記攻撃行動知識ベースにおける、前記標準化データとの類似度が最も高い目標攻撃データを特定するための第４の特定サブモジュールと、
前記目標攻撃データの類似度が類似度閾値より大きい場合、前記目標攻撃データに基づいて、目標機器のセキュリティ情報を更新するための更新サブモジュールと、を含む。
第１４態様のセキュリティ情報の処理装置は、
第１３態様に記載の装置であって、
前記攻撃データは、戦術フィールドを含み、
前記セキュリティ情報は、攻撃チェーンを含み、
前記更新サブモジュールは、
前記目標攻撃データにおける戦術フィールドに対応する戦術識別子を前記攻撃チェーンに添加するための添加ユニットを含む。
第１５態様の電子機器は、
少なくとも一つのプロセッサと、
前記少なくとも一つのプロセッサと通信接続されたメモリとを、含み、
前記メモリには、前記少なくとも一つのプロセッサにより実行される命令が記憶されており、前記命令は、前記少なくとも一つのプロセッサが第１～７態様のいずれか一つに記載の方法を実行することができるように、前記少なくとも一つのプロセッサにより実行される。
第１６態様のコンピュータ可読記憶媒体は、
コンピュータに第１～７態様のいずれか一つに記載の方法を実行させるためのコンピュータ命令を記憶した非一時的なコンピュータ可読記憶媒体である。
第１７態様のコンピュータプログラムは、
プロセッサに実行される時に第１～７態様のいずれか一つに記載の方法を実現する。
上述した具体的な実施形態は、本開示の保護範囲に対する限定を構成しない。当業者は、設計要求や他の要因に応じて、様々な修正、組合、サブ組合および置換を行うことができると理解すべきである。本開示の趣旨および原則の範囲内になされた任意の修正、等価な置換、改進などは、いずれも本開示の保護範囲内に含まれるべきである。

Claims (15)

  1. 目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得することと、
    前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定することと、
    前記類似度に基づいて、前記目標機器のセキュリティ情報を更新することと、を含み、
    前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定することは、
    前記標準化データにおける少なくとも一つの第１のキーワードを特定することと、
    攻撃行動知識ベースにおける攻撃データのそれぞれに対して、前記攻撃データにおける少なくとも一つの第２のキーワードを特定することと、
    前記少なくとも一つの第１のキーワードおよび前記少なくとも一つの第２のキーワードに基づいて、前記標準化データと前記攻撃データとの間の類似度を特定することと、を含む
    セキュリティ情報の処理方法。
  2. 前記セキュリティ警報情報を標準化して標準化データを取得することは、
    前記セキュリティ警報情報を解析して、少なくとも一つの目標フィールドを特定することと、
    所定のフォーマットに基づいて、前記少なくとも一つの目標フィールドを前記標準化データにおけるフィールドに変換することと、を含む
    請求項１に記載の方法。
  3. 前記所定のフォーマットは、標準化脅威情報表現式を含む
    請求項２に記載の方法。
  4. 前記少なくとも一つの第１のキーワードおよび前記少なくとも一つの第２のキーワードに基づいて、前記標準化データと前記攻撃データとの間の類似度を特定することは、
    前記少なくとも一つの第１のキーワードと前記少なくとも一つの第２のキーワードとを統合して、キーワードセットを取得することと、
    前記キーワードセットにおけるそれぞれのキーワードの前記標準化データにおける単語頻度を特定して、第１の単語頻度特徴ベクトルを取得することと、
    前記キーワードセットにおけるそれぞれのキーワードの前記攻撃データにおける単語頻度を特定して、第２の単語頻度特徴ベクトルを取得することと、
    前記第１の単語頻度特徴ベクトルと前記第２の単語頻度特徴ベクトルとの間のコサイン類似度を計算して、前記標準化データと前記攻撃データとの間の類似度とすることと、を含む
    請求項１に記載の方法。
  5. 前記類似度に基づいて、前記目標機器のセキュリティ情報を更新することは、
    前記攻撃行動知識ベースにおける、前記標準化データとの類似度が最も高い目標攻撃データを特定することと、
    前記目標攻撃データの類似度が類似度閾値より大きい場合、前記目標攻撃データに基づいて、目標機器のセキュリティ情報を更新することと、を含む
    請求項１に記載の方法。
  6. 前記攻撃データは、戦術フィールドを含み、
    前記セキュリティ情報は、攻撃チェーンを含み、
    前記目標攻撃データに基づいて、目標機器のセキュリティ情報を更新することは、
    前記目標攻撃データにおける戦術フィールドに対応する戦術識別子を前記攻撃チェーンに添加することを含む
    請求項５に記載の方法。
  7. 目標機器に対するセキュリティ警報情報について標準化処理を行って、標準化データを取得するための標準化モジュールと、
    前記標準化データと攻撃行動知識ベースにおける攻撃データとの間の類似度を特定するための類似度特定モジュールと、
    前記類似度に基づいて、前記目標機器のセキュリティ情報を更新するための更新モジュールと、を含み、
    前記類似度特定モジュールは、
    前記標準化データにおける少なくとも一つの第１のキーワードを特定するための第１の特定サブモジュールと、
    攻撃行動知識ベースにおける攻撃データのそれぞれに対して、前記攻撃データにおける少なくとも一つの第２のキーワードを特定するための第２の特定サブモジュールと、
    前記少なくとも一つの第１のキーワードおよび前記少なくとも一つの第２のキーワードに基づいて、前記標準化データと前記攻撃データとの間の類似度を特定するための第３の特定サブモジュールと、を含む
    セキュリティ情報の処理装置。
  8. 前記標準化モジュールは、
    前記セキュリティ警報情報を解析して、少なくとも一つの目標フィールドを特定するための解析サブモジュールと、
    所定のフォーマットに基づいて、前記少なくとも一つの目標フィールドを前記標準化データにおけるフィールドに変換するための変換サブモジュールと、を含む
    請求項７に記載の装置。
  9. 前記所定のフォーマットは、標準化脅威情報表現式を含む
    請求項８に記載の装置。
  10. 前記第３の特定サブモジュールは、
    前記少なくとも一つの第１のキーワードと前記少なくとも一つの第２のキーワードとを統合して、キーワードセットを取得するための統合ユニットと、
    前記キーワードセットにおけるそれぞれのキーワードの前記標準化データにおける単語頻度を特定して、第１の単語頻度特徴ベクトルを取得するための第１の特定ユニットと、
    前記キーワードセットにおけるそれぞれのキーワードの前記攻撃データにおける単語頻度を特定して、第２の単語頻度特徴ベクトルを取得するための第２の特定ユニットと、
    前記第１の単語頻度特徴ベクトルと前記第２の単語頻度特徴ベクトルとの間のコサイン類似度を計算して、前記標準化データと前記攻撃データとの間の類似度とするための計算ユニットと、を含む
    請求項７に記載の装置。
  11. 前記更新モジュールは、
    前記攻撃行動知識ベースにおける、前記標準化データとの類似度が最も高い目標攻撃データを特定するための第４の特定サブモジュールと、
    前記目標攻撃データの類似度が類似度閾値より大きい場合、前記目標攻撃データに基づいて、目標機器のセキュリティ情報を更新するための更新サブモジュールと、を含む
    請求項７または１０に記載の装置。
  12. 前記攻撃データは、戦術フィールドを含み、
    前記セキュリティ情報は、攻撃チェーンを含み、
    前記更新サブモジュールは、
    前記目標攻撃データにおける戦術フィールドに対応する戦術識別子を前記攻撃チェーンに添加するための添加ユニットを含む
    請求項１１に記載の装置。
  13. 少なくとも一つのプロセッサと、
    前記少なくとも一つのプロセッサと通信接続されたメモリとを、含み、
    前記メモリには、前記少なくとも一つのプロセッサにより実行される命令が記憶されており、前記命令は、前記少なくとも一つのプロセッサが請求項１～６のいずれか一項に記載の方法を実行することができるように、前記少なくとも一つのプロセッサにより実行される
    電子機器。
  14. コンピュータに請求項１～６のいずれか一項に記載の方法を実行させるためのコンピュータ命令を記憶した非一時的なコンピュータ可読記憶媒体。
  15. プロセッサに実行される時に請求項１～６のいずれか一項に記載の方法を実現するコンピュータプログラム。
JP2022102090A 2021-06-25 2022-06-24 セキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラム Active JP7389860B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202110716015.8A CN113452700B (zh) 2021-06-25 2021-06-25 处理安全信息的方法、装置、设备以及存储介质
CN202110716015.8 2021-06-25

Publications (2)

Publication Number Publication Date
JP2022126818A JP2022126818A (ja) 2022-08-30
JP7389860B2 true JP7389860B2 (ja) 2023-11-30

Family

ID=77813431

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022102090A Active JP7389860B2 (ja) 2021-06-25 2022-06-24 セキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラム

Country Status (5)

Country Link
US (1) US20220321598A1 (ja)
EP (1) EP4102772B1 (ja)
JP (1) JP7389860B2 (ja)
KR (1) KR20220098324A (ja)
CN (1) CN113452700B (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116669037B (zh) * 2023-07-20 2023-10-13 北京邮电大学 一种智能网联汽车安全评估方法、装置及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20190141058A1 (en) 2017-11-09 2019-05-09 Accenture Global Solutions Limited Detection of adversary lateral movement in multi-domain iiot environments
JP2020515962A (ja) 2017-03-27 2020-05-28 新華三技術有限公司Ｎｅｗ Ｈ３Ｃ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．， Ｌｔｄ． Ａｐｔ攻撃に対する防御
WO2020212093A1 (en) 2019-04-18 2020-10-22 International Business Machines Corporation Detecting sensitive data exposure via logging
JP2021093203A (ja) 2020-06-28 2021-06-17 ベイジン バイドゥ ネットコム サイエンス テクノロジー カンパニー リミテッドＢｅｉｊｉｎｇ Ｂａｉｄｕ Ｎｅｔｃｏｍ Ｓｃｉｅｎｃｅ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏ．， Ｌｔｄ． 攻撃を防御するための方法、装置、機器および記憶媒体

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11146578B2 (en) * 2016-12-16 2021-10-12 Patternex, Inc. Method and system for employing graph analysis for detecting malicious activity in time evolving networks
CN110414232B (zh) * 2019-06-26 2023-07-25 腾讯科技（深圳）有限公司 恶意程序预警方法、装置、计算机设备及存储介质
CN111818009A (zh) * 2020-05-25 2020-10-23 国网思极网安科技（北京）有限公司 一种针对基于mqtt协议的报文的防护方法和装置
CN111818018B (zh) * 2020-06-18 2021-09-21 北京邮电大学 一种基于机器学习模型的sql注入攻击检测方法
CN112202759B (zh) * 2020-09-28 2021-09-07 广州大学 基于同源性分析的apt攻击识别及归属方法、***和存储介质
CN111985192A (zh) * 2020-09-28 2020-11-24 杭州安恒信息安全技术有限公司 一种Web攻击报告生成方法、装置、设备及计算机介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020515962A (ja) 2017-03-27 2020-05-28 新華三技術有限公司Ｎｅｗ Ｈ３Ｃ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．， Ｌｔｄ． Ａｐｔ攻撃に対する防御
US20190141058A1 (en) 2017-11-09 2019-05-09 Accenture Global Solutions Limited Detection of adversary lateral movement in multi-domain iiot environments
WO2020212093A1 (en) 2019-04-18 2020-10-22 International Business Machines Corporation Detecting sensitive data exposure via logging
JP2021093203A (ja) 2020-06-28 2021-06-17 ベイジン バイドゥ ネットコム サイエンス テクノロジー カンパニー リミテッドＢｅｉｊｉｎｇ Ｂａｉｄｕ Ｎｅｔｃｏｍ Ｓｃｉｅｎｃｅ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏ．， Ｌｔｄ． 攻撃を防御するための方法、装置、機器および記憶媒体

Also Published As

Publication number Publication date
US20220321598A1 (en) 2022-10-06
EP4102772A1 (en) 2022-12-14
CN113452700A (zh) 2021-09-28
EP4102772B1 (en) 2023-12-27
CN113452700B (zh) 2022-12-27
JP2022126818A (ja) 2022-08-30
KR20220098324A (ko) 2022-07-12

Similar Documents

Publication Publication Date Title
EP4075395A2 (en) Method and apparatus of training anti-spoofing model, method and apparatus of performing anti-spoofing, and device
CN113360580B (zh) 基于知识图谱的异常事件检测方法、装置、设备及介质
CN112214775A (zh) 对图数据的注入式攻击方法、装置、介质及电子设备
WO2024098699A1 (zh) 实体对象的威胁检测方法、装置、设备及存储介质
CN114693192A (zh) 风控决策方法、装置、计算机设备和存储介质
JP7389860B2 (ja) セキュリティ情報の処理方法、装置、電子機器、記憶媒体およびコンピュータプログラム
CN114692778B (zh) 用于智能巡检的多模态样本集生成方法、训练方法及装置
JP2023085353A (ja) 特徴抽出モデル訓練方法、画像分類方法および関連装置
CN113627361B (zh) 人脸识别模型的训练方法、装置及计算机程序产品
CN117240632B (zh) 一种基于知识图谱的攻击检测方法和***
US20220360796A1 (en) Method and apparatus for recognizing action, device and medium
US20220327803A1 (en) Method of recognizing object, electronic device and storage medium
CN115935265A (zh) 训练风险识别模型的方法、风险识别方法及对应装置
CN115937993A (zh) 活体检测模型训练方法、活体检测方法、装置和电子设备
CN115273148A (zh) 行人重识别模型训练方法、装置、电子设备及存储介质
CN114791996B (zh) 信息处理方法、装置、***、电子设备及存储介质
CN116743508B (zh) 一种电力***网络攻击链检测方法、装置、设备及介质
WO2024051364A1 (zh) 活体检测模型训练方法、装置、存储介质以及终端
CN115905263A (zh) 向量数据库的更新方法及基于向量数据库的人脸识别方法
CN116342253A (zh) 贷款风险评分方法、装置、设备以及存储介质
CN116094772A (zh) 接口攻击的检测方法、装置、电子设备及存储介质
CN118212033A (zh) 一种数据处理方法、装置、设备及存储介质
CN114022695A (zh) 一种检测模型的训练方法、装置、电子设备及存储介质
CN117033148A (zh) 风险业务接口的告警方法、装置、电子设备和介质
CN113139490A (zh) 一种图像特征匹配方法、装置、计算机设备及存储介质

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220624

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230623

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230704

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20231002

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231031

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231117

R150 Certificate of patent or registration of utility model

Ref document number: 7389860

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150