多源威胁情报的处理方法及装置与流程

1.本技术涉及互联网安全技术领域，尤其涉及多源威胁情报的处理方法及装置。


背景技术：

2.随着全球网络威胁持续升级，网络入侵和信息泄露事件频发，黑色产业链规模日益庞大，为应对这类安全威胁，威胁情报得到了广泛应用。威胁情报是一种基于证据的知识，包括了情境、机制、指标、隐含和实际可行的建议。威胁情报描述了现存的、或者是即将出现针对资产的威胁或危险，并可以用于通知主体针对相关威胁或危险采取某种响应。
3.网络通信设备获知威胁情报之后，可以基于威胁情报避开相应的通信安全威胁，及时做好网络安全防护，从而提供网络通信设备的通信安全性。为了进一步提高网络通信设备的通信安全，网络通信设备通常会获取多个不同威胁情报提供商提供的威胁情报。
4.但是，不同的威胁情报供应商针对同一个网际互连协议(internet protocol，ip)地址的情报内容的收集方式、处理方式、安全性判断标准等可能是各不相同的，从而导致不同的威胁情报供应商针对同一个ip地址提供的威胁情报也各不相同。这种情况下，网络通信设备如何基于不同的威胁情报供应商针对同一个ip地址提供的威胁情报提高网络通信的安全性，成为亟待解决的技术问题。


技术实现要素：

5.本技术提供多源威胁情报的处理方法，用以解决网络通信设备如何基于不同的威胁情报供应商针对同一个ip地址提供的威胁情报提高网络通信的安全性问题。
6.第一方面，本技术提供一种多源威胁情报的处理方法，所述方法包括：获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度；根据所述每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报的置信度，重新确定所述每个威胁情报的目标置信度；根据所述每个威胁情报的目标置信度对所述第一ip地址进行安全防护处理。
7.该方法中，通过每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度，得到一个新的关于第一ip地址的威胁情报的目标置信度，根据目标置信度，对第一ip地址进行安全防护处理。该方法有效利用了针对同一ip地址的多源威胁情报信息，得到的置信度结果更加可靠，基于该置信度对相应的ip地址进行安全防护处理，可以提高网络通信的安全性。
8.结合第一方面，在一种可能的实现方式中，所述获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重，包括：获取所述每个威胁情报供应商提供的威胁情报的以下至少一种信息：时效性信息、情报规模量信息、情报精准度信息和情报与业务相关程度信息，所述时效性信息用于指示所述每个威胁情报供应商提供的威胁情报的及时程度，所述情报规模量信息用于指示所述每个威胁情报供应商提供的威胁情报的在第一预设
时间段内新增的数量信息，所述情报精准度信息用于指示所述每个威胁情报供应商提供的威胁情报的准确度信息，所述业务相关程度信息用于指示所述每个威胁情报供应商提供的威胁情报与业务的相关程度；根据所述每个威胁情报供应商提供的威胁情报的所述至少一种信息，计算得到所述每个威胁情报供应商的威胁情报质量得分，所述每个威胁情报供应商的威胁情报质量得分用于指示所述每个威胁情报供应商的威胁情报质量权重。
9.该实现方式中，通过统计每个威胁情报供应商提供的威胁情报的相关信息，得到每个威胁情报供应商的威胁情报质量得分，进而得到每个威胁情报供应商的威胁情报质量权重，相当于对每个威胁情报供应商的威胁情报质量做了一个综合评价。
10.结合第一方面，在一种可能的实现方式中，所述时效性信息包括所述每个威胁情报供应商提供的威胁情报的时间差指标，所述情报规模量信息包括所述每个威胁情报供应商提供的威胁情报的日均规模指标，所述情报精准度信息包括所述每个威胁情报供应商提供的威胁情报的可信度、精度2指标和精度3指标，所述情报与业务相关程度信息包括所述每个威胁情报供应商提供的威胁情报的碰撞成功条数和精度1指标，所述碰撞成功条数为第二预设时间段内所述每个威胁情报供应商提供的威胁情报与用户真实攻击数据碰撞成功的威胁情报的数量，所述精度1指标为所述第二预设时间段内所述每个威胁情报供应商提供的威胁情报中与所述用户真实攻击数据碰撞成功的威胁情报占的比例，所述精度2指标为所述第二预设时间段内所述每个威胁情报供应商提供的威胁情报中与用户预设的安全ip地址库碰撞成功的威胁情报占的比例，所述精度3指标为所述第二预设时间段内所述每个威胁情报供应商提供的威胁情报中与可信ip地址库碰撞成功的威胁情报占的比例，所述可信ip地址库为所述每个威胁情报供应商提供的威胁情报中针对同一ip地址的威胁情报的数量大于预设阈值的ip地址的集合。
11.该实现方式中，对计算每个威胁情报供应商的威胁情报质量权重需要统计的每个威胁情报供应商提供的威胁情报的相关信息进行了进一步的介绍，细化了具体的指标信息。
12.结合第一方面，在一种可能的实现方式中，所述根据所述每个威胁情报供应商提供的威胁情报的所述至少一种信息，计算得到所述每个威胁情报供应商的威胁情报质量得分，包括：利用逼近理想解排序法算法和秩和比算法，对所述每个威胁情报供应商提供的威胁情报的所述至少一种信息进行处理，得到所述每个威胁情报供应商的威胁情报质量得分。
13.该实现方式中，描述了计算每个威胁情报供应商的威胁情报质量得分时需要用到逼近理想解排序法算法和秩和比算法。其中，逼近理想解排序法算法原理简单，能同时进行多个对象评价，计算快捷，结果分辨率高，评价客观，具有较好的合理性和适用性，实用价值较高；秩和比算法以非参数法为基础，对指标的选择无特殊要求，适于各种评价对象；此方法计算用的数值是秩次，可以消除异常值的干扰，合理解决指标值为零时在统计处理中的困惑，它融合了参数分析的方法，结果比单纯采用非参数法更为精确，既可以直接排序，又可以分档排序，使用范围广泛，且不仅可以解决多指标的综合评价，也可用于统计测报与质量控制中，两种算法相结合可以全面的、合理的评价每个威胁情报供应商的威胁情报质量，最后得到一个合理的威胁情报质量得分。
14.结合第一方面，在一种可能的实现方式中，所述根据所述每个威胁情报供应商的
威胁情报质量权重和所述每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报的置信度，重新确定所述每个威胁情报的目标置信度，包括：将所述每个威胁情报供应商的威胁情报质量权重与所述每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报的置信度的乘积作加法运算，得到的和为所述目标置信度。
15.该实现方式中，详细说明了计算得到目标置信度的算法，这种综合考虑了同一ip地址的多源威胁情报的方法得到的置信度更加可靠。
16.结合第一方面，在一种可能的实现方式中，所述方法还包括：获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度；根据所述每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度，重新确定所述每个威胁情报中第一ip地址的目标威胁程度；根据所述每个威胁情报的目标置信度和所述每个威胁情报中第一ip地址的目标威胁程度，对所述第一ip地址进行安全防护处理。
17.该实现方式中，通过每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度，得到一个新的关于第一ip地址的目标威胁程度，根据该目标威胁程度，结合威胁情报的目标置信度，对第一ip地址进行安全防护处理。该方法有效利用了针对同一ip地址的多源威胁情报信息，得到的威胁程度结果更加可靠，可以提高网络通信的安全性。
18.结合第一方面，在一种可能的实现方式中，所述根据所述每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度，重新确定所述每个威胁情报中第一ip地址的目标威胁程度，包括：将所述每个威胁情报供应商的威胁情报质量权重与所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度的乘积作加法运算，得到的和为所述目标威胁程度。
19.该实现方式中，详细说明了计算得到目标威胁程度的算法，这种综合考虑了同一ip地址的多源威胁情报的方法得到的威胁程度更加可靠。
20.第二方面，本技术提供一种多源威胁情报的处理装置，所述装置包括：获取模块，用于获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度；确定模块，用于根据所述每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报的置信度，重新确定所述每个威胁情报的目标置信度；处理模块，用于根据所述每个威胁情报的目标置信度对所述第一ip地址进行安全防护处理。
21.结合第二方面，在一种可能的实现方式中，所述装置还包括：计算模块，所述获取模块具体用于：获取所述每个威胁情报供应商提供的威胁情报的以下至少一种信息：时效性信息、情报规模量信息、情报精准度信息和情报与业务相关程度信息，所述时效性信息用于指示所述每个威胁情报供应商提供的威胁情报的及时程度，所述情报规模量信息用于指示所述每个威胁情报供应商提供的威胁情报的在第一预设时间段内新增的数量信息，所述情报精准度信息用于指示所述每个威胁情报供应商提供的威胁情报的准确度信息，所述业务相关程度信息用于指示所述每个威胁情报供应商提供的威胁情报与业务的相关程度；所
述计算模块用于根据所述每个威胁情报供应商提供的威胁情报的所述至少一种信息，计算得到所述每个威胁情报供应商的威胁情报质量得分，所述每个威胁情报供应商的威胁情报质量得分用于指示所述每个威胁情报供应商的威胁情报质量权重。
22.结合第二方面，在一种可能的实现方式中，所述时效性信息包括所述每个威胁情报供应商提供的威胁情报的时间差指标，所述情报规模量信息包括所述每个威胁情报供应商提供的威胁情报的日均规模指标，所述情报精准度信息包括所述每个威胁情报供应商提供的威胁情报的可信度、精度2指标和精度3指标，所述情报与业务相关程度信息包括所述每个威胁情报供应商提供的威胁情报的碰撞成功条数和精度1指标，所述碰撞成功条数为第二预设时间段内所述每个威胁情报供应商提供的威胁情报与用户真实攻击数据碰撞成功的威胁情报的数量，所述精度1指标为所述第二预设时间段内所述每个威胁情报供应商提供的威胁情报中与所述用户真实攻击数据碰撞成功的威胁情报占的比例，所述精度2指标为所述第二预设时间段内所述每个威胁情报供应商提供的威胁情报中与用户预设的安全ip地址库碰撞成功的威胁情报占的比例，所述精度3指标为所述第二预设时间段内所述每个威胁情报供应商提供的威胁情报中与可信ip地址库碰撞成功的威胁情报占的比例，所述可信ip地址库为所述每个威胁情报供应商提供的威胁情报中针对同一ip地址的威胁情报的数量大于预设阈值的ip地址的集合。
23.结合第二方面，在一种可能的实现方式中，所述计算模块具体用于：利用逼近理想解排序法算法和秩和比算法，对所述每个威胁情报供应商提供的威胁情报的所述至少一种信息进行处理，得到所述每个威胁情报供应商的威胁情报质量得分。
24.结合第二方面，在一种可能的实现方式中，所述确定模块具体用于：将所述每个威胁情报供应商的威胁情报质量权重与所述每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报的置信度的乘积作加法运算，得到的和为所述目标置信度。
25.结合第二方面，在一种可能的实现方式中，所述获取模块还用于获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度；所述确定模块还用于根据所述每个威胁情报供应商的威胁情报质量权重和所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度，重新确定所述每个威胁情报中第一ip地址的目标威胁程度；所述处理模块还用于根据所述每个威胁情报的目标置信度和所述每个威胁情报中第一ip地址的目标威胁程度，对所述第一ip地址进行安全防护处理。
26.结合第二方面，在一种可能的实现方式中，所述确定模块具体用于：将所述每个威胁情报供应商的威胁情报质量权重与所述每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度的乘积作加法运算，得到的和为所述目标威胁程度。
27.第三方面，本技术提供一种电子设备，包括：处理器，以及与所述处理器通信连接的存储器；所述存储器存储计算机执行指令；所述处理器执行所述存储器存储的计算机执行指令，以实现如第一方面或者其中任意一种可能的实现方式所述的方法。
28.第四方面，本技术提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如第一方面或者其中任意一种可能的实现方式所述的方法。
29.第五方面，本技术提供一种计算机程序产品，所述计算机程序产品中包括计算机
程序，该计算机程序被处理器执行时实现第一方面或者其中任意一种可能的实现方式所述的方法。
30.本技术提供的多源威胁情报的处理方法，通过将多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重与每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度或每个威胁情报中第一ip地址的威胁程度相结合，来重新确定每个威胁情报的目标置信度和每个威胁情报中第一ip地址的目标威胁程度，便于网络通信设备根据该目标置信度和目标威胁程度及时对第一ip地址进行安全防护处理，达到提高网络通信安全的效果。
附图说明
31.此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本技术的实施例，并与说明书一起用于解释本技术的原理。
32.图1为本技术一个实施例提供的应用场景架构示意图；
33.图2为本技术一个实施例提供的多源威胁情报的处理方法的流程图；
34.图3为本技术一个实施例提供的威胁情报的指标体系设计示意图；
35.图4为本技术另一个实施例提供的多源威胁情报的处理方法的流程图；
36.图5为本技术一个实施例提供的多源威胁情报的处理方法的整体示意图；
37.图6为本技术一个实施例提供的多源威胁情报的处理方法的示例图；
38.图7为本技术一个实施例提供的多源威胁情报的处理装置的示意性框图；
39.图8为本技术另一个实施例提供的装置示意图。
40.通过上述附图，已示出本技术明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本技术构思的范围，而是通过参考特定实施例为本领域技术人员说明本技术的概念。
具体实施方式
41.这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本技术相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本技术的一些方面相一致的装置和方法的例子。
42.首先对本技术所涉及的名词进行解释：
43.威胁情报：是某种基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持。一般情况下，大多数的威胁情报可以认为是狭义的威胁情报，其主要内容为用于识别和检测威胁的失陷标识。威胁情报旨在为面临威胁的资产主体(通常为资产所属企业或机构)提供全面的、准确的、与其相关的、并且能够执行和决策的知识和信息。
44.本技术具体的应用场景架构如图1所示，该场景架构包括企业机构101、网络通信设备102和外部网络设备103。其中，企业机构101中包括n个电脑，n为大于1的整数，网络通信设备102可以是企业机构101的一个网关，或安全防护系统，或服务器，或安全管理设备，
外部网络设备103包括m个ip地址，m为大于1的整数，每个ip地址对应一个电脑或一个服务器。来自外部网络设备103的任意一个或多个ip地址向企业机构101发起访问时，会先经过网络通信设备102，网络通信设备102主要用来对来自外部网络设备103的ip地址进行统一拦截并检测，如果检测确认该ip地址是安全的，则允许该ip地址对企业机构101进行访问，否则禁止该ip地址对企业机构101进行访问。
45.网络通信设备102在对来自外部网络设备103的ip地址进行检测时，除了利用自身的一些常规手段检测其安全性之外，还可以接收企业机构101订购的威胁情报，对来自威胁情报供应商提供的威胁情报进行分析及合理利用，提高网络通信的安全性。
46.随着互联网特别是移动互联网的高速发展，网络环境越发复杂，不同的攻击行为更具产业化，团伙化，入侵手法也越发多样化和复杂化，使得传统安全解决方案不断受到挑战。基于大数据关联分析得到的威胁情报可以推动企业和组织快速了解到内部的威胁信息，从而帮助企业提前做好安全防范、更快进行攻击检测与响应、更高效地进行事后攻击溯源。在此背景下威胁情报越发的受到企业的关注，已经有越来越多的企业通过自产或是采购的方式将威胁情报加入到本企业的安全保护网中。
47.威胁情报是一种基于证据的知识，包括了情境、机制、指标、隐含和实际可行的建议。
48.以ip类威胁情报为例，每个威胁情报供应商会针对一个ip地址提供相应的一条威胁情报，该威胁情报中携带该ip地址的威胁程度和该威胁情报的置信度等指标。
49.在目前相关技术中，网络通信设备102获知威胁情报之后，可以基于威胁情报避开相应的通信安全威胁，从而提供网络通信设备的通信安全性。为了进一步提高网络通信设备的通信安全，网络通信设备通常会获取多个不同威胁情报供应商提供的威胁情报。
50.由于不同的威胁情报供应商收集及处理威胁情报的方式不同，判断标准不同，身处的地域不同，从而导致不同的威胁情报供应商针对同一个ip地址提供的威胁情报内容也各不相同。这种情况下，网络通信设备如何基于不同的威胁情报供应商针对同一个ip地址提供的威胁情报提高网络通信的安全性，成为亟待解决的技术问题。
51.有鉴于此，本技术提供多源威胁情报的处理方法，旨在解决现有技术的如上技术问题。
52.下面以具体地实施例对本技术的技术方案以及本技术的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本技术的实施例进行描述。
53.图2为本技术一个实施例提供的多源威胁情报的处理方法的流程图。如图2所示，本技术实施例提供的方法包括s201、s202和s203。下面详细说明图2所示的方法中的各个步骤。
54.s201，获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度。
55.需要说明的是，每个威胁情报供应商收集信息的方式和渠道有很多，对应第一ip地址的情报信息可能也有多种，每个威胁情报供应商会对自己采集到的针对第一ip地址的多个信息进行处理，最终得到一个关于第一ip地址的威胁情报，然后发送至网络通信设备。
56.进一步地，上述得到的关于第一ip地址的威胁情报中携带有该威胁情报的置信
度，该置信度用于指示该威胁情报的可信程度。
57.也就是说，一个威胁情报供应商针对第一ip地址会提供一个威胁情报，该威胁情报中携带有该威胁情报的置信度。
58.需要说明的是，多源威胁情报为来自多个不同威胁情报供应商提供的威胁情报。
59.可选地，每个威胁情报供应商可以称作每家威胁情报供应商。
60.获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重的一种可实现方式为：获取每个威胁情报供应商提供的威胁情报的以下至少一种信息：时效性信息、情报规模量信息、情报精准度信息和情报与业务相关程度信息，该时效性信息用于指示每个威胁情报供应商提供的威胁情报的及时程度，情报规模量信息用于指示每个威胁情报供应商提供的威胁情报的在第一预设时间段内新增的数量信息，情报精准度信息用于指示每个威胁情报供应商提供的威胁情报的准确度信息，业务相关程度信息用于指示每个威胁情报供应商提供的威胁情报与业务的相关程度；
61.根据每个威胁情报供应商提供的威胁情报的至少一种信息，计算得到每个威胁情报供应商的威胁情报质量得分，该威胁情报质量得分用于指示每个威胁情报供应商的威胁情报质量权重。
62.作为一种示例，图3为本技术一个实施例提供的威胁情报的指标体系设计示意图，如图3所示，计算每个威胁情报供应商的威胁情报质量权重，需要获取每个威胁情报供应商提供的威胁情报的以下至少一种信息：时效性信息、情报规模量信息、情报精准度信息和情报与业务相关程度信息，相应地，该信息还可以包括以下7个指标：时间差指标、日均规模指标、可信度、精度2指标、精度3指标、碰撞成功条数和精度1指标。
63.具体地，时效性信息包括每个威胁情报供应商提供的威胁情报的时间差指标，情报规模量信息包括每个威胁情报供应商提供的威胁情报的日均规模指标，情报精准度信息包括每个威胁情报供应商提供的威胁情报的可信度、精度2指标和精度3指标，情报与业务相关程度信息包括每个威胁情报供应商提供的威胁情报的碰撞成功条数和精度1指标。
64.其中，碰撞成功条数为第二预设时间段内每个威胁情报供应商提供的威胁情报与用户真实攻击数据碰撞成功的威胁情报的总数量，例如将每个月内每个威胁情报供应商提供的威胁情报与用户真实攻击数据进行碰撞，统计每个威胁情报供应商的碰撞成功总条数。
65.精度1指标为第二预设时间段内每个威胁情报供应商提供的威胁情报中与用户真实攻击数据碰撞成功的威胁情报所占的比例，例如精度1指标为每个月内每个威胁情报供应商提供的威胁情报与用户真实攻击数据碰撞成功条数和每个威胁情报供应商提供的威胁情报的总条数的比值。
66.精度2指标为第二预设时间段内每个威胁情报供应商提供的威胁情报中与用户预设的安全ip地址库碰撞成功的威胁情报占的比例，例如精度2指标为每个月内每个威胁情报供应商提供的威胁情报与预设的安全ip地址库碰撞成功的条数和每个威胁情报供应商提供的威胁情报的总条数的比值，预设的安全ip地址库可以包括企业自己的内网服务器地址等。
67.可信度为将每个威胁情报供应商提供的威胁情报与可信ip地址库进行碰撞，得到碰撞成功的ip地址在可信ip地址库中的占比，可信ip地址库为每个威胁情报供应商提供的
威胁情报中针对同一ip地址的威胁情报的数量大于预设阈值的ip地址的集合，例如将来自同一个威胁情报供应商的ip地址进行汇总，挑出威胁情报供应商数大于3的ip地址，组成可信ip地址库，可信度可以较好地体现该威胁情报供应商对可信ip地址库的贡献度。
68.精度3指标为第二预设时间段内每个威胁情报供应商提供的威胁情报中与可信ip库碰撞成功的威胁情报占的比例，例如精度3指标为每个月内每个威胁情报供应商提供的威胁情报与可信ip地址库碰撞成功的条数和每个威胁情报供应商提供的威胁情报的总条数的比值。
69.时间差指标的衡量方法如下：记录每个ip地址对应的所有威胁情报供应商首次报送的时间，统计预设时间段内，每个威胁情报供应商提供的威胁情报中所有ip地址时间差的平均值，例如以ip地址1、ip地址2、威胁情报供应商1和威胁情报供应商2为例，对于ip地址1，假设威胁情报供应商1最先报送ip地址1对应的威胁情报，则记录威胁情报供应商1的时间差为0分钟，威胁情报供应商2比威胁情报供应商1晚30分钟报送，则记录威胁情报供应商2的时间差为30分钟；对于ip地址2，假设威胁情报供应商1最先报送ip地址2对应的威胁情报，则记录威胁情报供应商1的时间差为0分钟，威胁情报供应商2比威胁情报供应商1晚50分钟报送，则记录威胁情报供应商2的时间差为50分钟，此时，威胁情报供应商2提供的威胁情报中所有ip地址时间差的平均值为30分钟与50分钟的和除以2，最终，得到时间差为40分钟。
70.日均规模指标也可以称作日均威胁情报增量总条数，即统计每日每个威胁情报供应商的增量情报总条数，每个月计算一次日均规模总数。
71.根据每个威胁情报供应商提供的威胁情报的至少一种信息，计算得到每个威胁情报供应商的威胁情报质量得分的一种可实现方式为利用逼近理想解排序法算法(technique for order preference by similarity to ideal solution，topsis)和秩和比算法，对每个威胁情报供应商提供的威胁情报的至少一种信息进行处理，得到每个威胁情报供应商的威胁情报质量得分。
72.其中，topsis法是系统工程中有限方案多目标决策分析的一种常用方法，是基于归一化后的原始数据矩阵，找出有限方案中的最优方案和最劣方案(分别用最优向量和最劣向量表示)，然后分别计算诸评价对象与最优方案和最劣方案的距离，获得各评价对象与最优方案的相对接近程度，以此作为评价优劣的依据。
73.topsis法的基本思路是定义决策问题的理想解和负理想解，然后在可行方案中找到一个方案，使其距理想解的距离最近，而距负理想解的距离最远。
74.理想解一般是设想最好的方案，它所对应的各个属性至少达到各个方案中的最好值；负理想解是假定最坏的方案，其对应的各个属性至少不优于各个方案中的最劣值。方案排队的决策规则，是把实际可行解和理想解与负理想解作比较,若某个可行解最靠近理想解，同时又最远离负理想解，则此解是方案集的满意解。
75.topsis法原理简单，能同时进行多个对象评价，计算快捷，结果分辨率高，评价客观，具有较好的合理性和适用性，实用价值较高。
76.秩和比算法是我国统计学家田凤调教授于1988年提出的一种新的综合评价方法，它是利用秩和比(rank-sum ratio，rsr)进行统计分析的一种方法，该法在医疗卫生等领域的多指标综合评价、统计预测预报、统计质量控制等方面已得到广泛的应用。
77.秩和比是一个内涵较为丰富的综合性指标，它是指行(或列)秩次的平均值，是一个非参数统计量，具有0至1连续变量的特征，也可看成0至100的计分。多用于现成统计资料的再分析。不论所分析的问题是什么，计算的rsr越大越好。为此，在编秩时要区分高优指标和低优指标，有时还要引进不分高低的情况。例如，日均规模指标、可信度、碰撞成功条数指标等可视为高优指标；时间差指标为低优指标。指标值相同时应编以平均秩次。秩和比法基本原理是在一个n行m列矩阵中，通过秩转换，获得无量纲统计量rsr；在此基础上，运用参数统计分析的概念与方法，研究rsr的分布；以rsr值对评价对象的优劣直接排序或分档排序，从而对评价对象作出综合评价。
78.秩和比算法的优点是以非参数法为基础，对指标的选择无特殊要求，适于各种评价对象；此方法计算用的数值是秩次，可以消除异常值的干扰，合理解决指标值为零时在统计处理中的困惑，它融合了参数分析的方法，结果比单纯采用非参数法更为精确，既可以直接排序，又可以分档排序，使用范围广泛，且不仅可以解决多指标的综合评价，也可用于统计测报与质量控制中，两种算法相结合可以全面的、合理的评价每个威胁情报供应商的威胁情报质量，最后得到一个合理的威胁情报质量得分。
79.作为一种示例，对10家威胁情报供应商的威胁情报质量进行评价，则需要分别统计这10家威胁情报供应商的威胁情报对应的7个指标，也就是70个指标，然后利用topsis法和秩和比算法相结合进行计算，最终够可以得到每家威胁情报供应商的威胁情报质量得分。
80.可以理解的是，得到的每个威胁情报供应商的威胁情报质量得分也可以称作每个威胁情报供应商的威胁情报质量权重。
81.s202，根据每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度，重新确定每个威胁情报的目标置信度。
82.作为一种可选的实施方式，将每个威胁情报供应商的威胁情报质量权重与每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报的置信度的乘积作加法运算，得到的和为目标置信度。
83.作为一种示例，针对第一ip地址、威胁情报供应商1和威胁情报供应商2来说，威胁情报供应商1的威胁情报质量权重为a，威胁情报供应商1针对第一ip地址提供的威胁情报的置信度为b，威胁情报供应商2的威胁情报质量权重为c，威胁情报供应商2针对第一ip地址提供的威胁情报的置信度为d，则得到目标置信度为ab+cd。
84.s203，根据每个威胁情报的目标置信度对第一ip地址进行安全防护处理。
85.可选地，安全防护处理可以包括封禁等级区分和真实攻击信息丰富等。
86.具体地，封禁等级区分指的是根据威胁情报中指示的ip地址的相关信息以及相应的威胁情报的置信度，对这些ip地址进行等级区分，对部分ip地址及时进行封禁，防止该ip地址对企业机构发起攻击，提高网络通信的安全性。
87.真实攻击信息丰富指的是如果企业机构的真实攻击ip地址数据与威胁情报中提供的ip地址数据碰撞成功，则威胁情报中所包含的关于攻击ip地址的信息是对真实攻击信息的丰富。
88.作为一种示例，假设一个企业机构受到了攻击，被攻击后，对手只留下了一个ip地址，没有别的其他任何信息，企业机构可以拿这个ip地址与威胁情报中提供的ip地址进行
比对，如果比对成功，那么可以从威胁情报中可以查到关于这个ip地址的很多资料，例如，该ip地址来自哪个国家或哪个地区或哪个运营商甚至哪个机构等信息，企业机构可以根据丰富后的信息，采取进一步的防护措施。
89.可选地，安全防护处理还可以包括攻击溯源，攻击溯源是通过对受害资产与内网流量进行分析，一定程度上还原攻击者的攻击路径与攻击手法，有助于修复漏洞与风险避免二次事件的发生。攻击知识可转换成防御优势,如果能够做到积极主动且有预见性，就能更好地控制后果。攻击溯源的价值在于了解对手，不局限于已知漏洞，发现未知的新型网络攻击行为；了解攻击者的意图、实力等，针对性采取合适的对策；确定海量事件的优先级，知道下一步该做什么；指导从预防到响应的整个过程，更好地进行防御。
90.以上主要描述了针对同一ip地址的多源威胁情报的处理方法中对威胁情报的置信度的一个综合考虑，除此之外，还可以根据每个威胁情报供应商针对同一ip地址提供的每个威胁情报中该ip地址的威胁程度，得到一个更可靠的该ip地址的威胁程度作为参考，以提高网络通信的安全性。
91.图4为本技术另一个实施例提供的多源威胁情报的处理方法的流程图。如图4所示，本技术实施例提供的方法包括s401、s402和s403。下面详细说明图4所示的方法中的各个步骤。
92.s401，获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度。
93.可选地，一个威胁情报供应商针对第一ip地址会提供一个威胁情报，该威胁情报中携带有第一ip地址的威胁程度，威胁程度是对第一ip地址的危害程度的一个评定。
94.获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重的方法可以参看上述s201中的步骤。
95.s402，根据每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度，重新确定每个威胁情报中第一ip地址的目标威胁程度。
96.作为一种可选的实施方式，将每个威胁情报供应商的威胁情报质量权重与每个威胁情报供应商针对所述第一ip地址提供的每个威胁情报中第一ip地址的威胁程度的乘积作加法运算，得到的和为目标威胁程度。
97.作为一种示例，针对第一ip地址、威胁情报供应商1和威胁情报供应商2来说，威胁情报供应商1的威胁情报质量权重为a，威胁情报供应商1针对第一ip地址提供的威胁情报中第一ip地址的威胁程度为p，威胁情报供应商2的威胁情报质量权重为c，威胁情报供应商2针对第一ip地址提供的威胁情报中第一ip地址的威胁程度为q，则得到目标威胁程度为ap+cq。
98.s403，根据每个威胁情报的目标置信度和每个威胁情报中第一ip地址的目标威胁程度，对第一ip地址进行安全防护处理。
99.具体地，进行封禁等级区分时，可以根据威胁情报中指示的ip地址的威胁程度以及相应的威胁情报的置信度，对这些ip地址进行等级区分，然后对部分ip地址及时进行封禁，防止该ip地址对企业机构发起攻击，提高网络通信的安全性。
100.其他安全防护处理的具体方法可以参考上述s203中的步骤。
101.总结性地，如图5所示，本技术实施例提供的多源威胁情报的处理方法中，企业机构订购了多家ip类威胁情报供应商的威胁情报，网络通信设备在收到了多家威胁情报供应商提供的ip类威胁情报之后，统计并计算每家威胁情报供应商的威胁情报质量的指标信息；根据每家威胁情报供应商的威胁情报质量的指标信息，利用相关综合评价算法计算得到每家威胁情报供应商的威胁情报的质量得分，根据该质量得分确定每家威胁情报供应商的威胁情报的质量权重，最后对收到的多家威胁情报供应商提供的威胁情报进行整合，具体的整合方法可以参考上述图2中的方法流程。
102.作为一种示例，图6为本技术一个实施例提供的多源威胁情报的处理方法的示例图。如图6所示，网络通信设备在收到了多家威胁情报供应商提供的ip类威胁情报后，首先统计各家威胁情报供应商的指标信息，例如时间差指标、日均规模指标、可信度、精度2指标、精度3指标、碰撞成功条数和精度1指标，根据这些指标信息利用topsis法和秩和比算法计算得到每家威胁情报供应商的威胁情报质量得分，相应地，确定每家威胁情报供应商的威胁情报质量权重，然后结合ip类威胁情报的置信度和威胁程度，得到威胁情报的目标置信度和目标威胁程度，即将每家威胁情报供应商的威胁情报质量权重与每家威胁情报供应商针对同一ip地址提供的每个威胁情报的置信度或每个威胁情报中同一ip地址的威胁程度相结合，来重新确定每个威胁情报的目标置信度和每个威胁情报中针对该ip地址的目标威胁程度，最终以目标置信度和目标威胁程度为参考，及时对相应的ip地址进行安全防护处理。
103.本技术提供的多源威胁情报的处理方法中，通过将多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重与每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度或每个威胁情报中第一ip地址的威胁程度相结合，来重新确定每个威胁情报的目标置信度和每个威胁情报中第一ip地址的目标威胁程度，便于网络通信设备根据该目标置信度和目标威胁程度及时对第一ip地址进行安全防护处理，达到提高网络通信安全的效果。
104.图7示出了本技术实施例提供的多源威胁情报的处理装置700，该装置700包括：获取模块701、确定模块702、处理模块703和计算模块704。
105.其中，获取模块701，用于获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度；确定模块702，用于根据每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度，重新确定每个威胁情报的目标置信度；处理模块703，用于根据每个威胁情报的目标置信度对第一ip地址进行安全防护处理。
106.作为一种示例，装置700可以用于执行图2所示的方法，例如，获取模块701用于执行s201，确定模块702用于执行s202，处理模块703用于执行s203。
107.在一种可能的实现方式中，获取模块701具体用于：获取每个威胁情报供应商提供的威胁情报的以下至少一种信息：时效性信息、情报规模量信息、情报精准度信息和情报与业务相关程度信息，时效性信息用于指示每个威胁情报供应商提供的威胁情报的及时程度，情报规模量信息用于指示每个威胁情报供应商提供的威胁情报的在第一预设时间段内新增的数量信息，情报精准度信息用于指示每个威胁情报供应商提供的威胁情报的准确度信息，业务相关程度信息用于指示每个威胁情报供应商提供的威胁情报与业务的相关程
度；计算模块704，用于根据每个威胁情报供应商提供的威胁情报的至少一种信息，计算得到每个威胁情报供应商的威胁情报质量得分，每个威胁情报供应商的威胁情报质量得分用于指示每个威胁情报供应商的威胁情报质量权重。
108.在一种可能的实现方式中，计算模块704具体用于：利用逼近理想解排序法算法和秩和比算法，对每个威胁情报供应商提供的威胁情报的至少一种信息进行处理，得到每个威胁情报供应商的威胁情报质量得分。
109.在一种可能的实现方式中，确定模块702具体用于：将每个威胁情报供应商的威胁情报质量权重与每个威胁情报供应商针对第一ip地址提供的每个威胁情报的置信度的乘积作加法运算，得到的和为目标置信度。
110.在一种可能的实现方式中，获取模块701还用于获取多个威胁情报供应商中每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度；确定模块702还用于根据每个威胁情报供应商的威胁情报质量权重和每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度，重新确定每个威胁情报中第一ip地址的目标威胁程度；处理模块703还用于根据每个威胁情报的目标置信度和每个威胁情报中第一ip地址的目标威胁程度，对第一ip地址进行安全防护处理。
111.作为一种示例，装置700还可以用于执行图4所示的方法，例如，获取模块701用于执行s401，确定模块702用于执行s402，处理模块703用于执行s403。
112.在一种可能的实现方式中，确定模块702具体用于：将每个威胁情报供应商的威胁情报质量权重与每个威胁情报供应商针对第一ip地址提供的每个威胁情报中第一ip地址的威胁程度的乘积作加法运算，得到的和为目标威胁程度。
113.图8为本技术另一个实施例提供的装置示意图。图8所示的装置可以用于执行前述任意一个实施例所述的方法。
114.如图8所示，本实施例的装置800包括：存储器801、处理器802、通信接口803以及总线804。其中，存储器801、处理器802、通信接口803通过总线804实现彼此之间的通信连接。
115.存储器801可以是只读存储器(read only memory，rom)，静态存储设备，动态存储设备或者随机存取存储器(random access memory，ram)。存储器801可以存储程序，当存储器801中存储的程序被处理器802执行时，处理器802用于执行上述实施例中所示的方法的各个步骤。
116.处理器802可以采用通用的中央处理器(central processing unit，cpu)，微处理器，应用专用集成电路(application specific integrated circuit，asic)，或者一个或多个集成电路，用于执行相关程序，以实现本技术实施例中所示的各个方法。
117.处理器802还可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，本技术实施例的方法的各个步骤可以通过处理器802中的硬件的集成逻辑电路或者软件形式的指令完成。
118.上述处理器802还可以是通用处理器、数字信号处理器(digital signal processing，dsp)、asic、现成可编程门阵列(field programmable gate array，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本技术实施例中公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也
可以是任何常规的处理器等。
119.结合本技术实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器801，处理器802读取存储器801中的信息，结合其硬件完成本技术装置包括的单元所需执行的功能。
120.通信接口803可以使用但不限于收发器一类的收发装置，来实现装置800与其他设备或通信网络之间的通信。
121.总线804可以包括在装置800各个部件(例如，存储器801、处理器802、通信接口803)之间传送信息的通路。
122.应理解，本技术实施例所示的装置800可以是电子设备，或者，也可以是配置于电子设备中的芯片。
123.应理解，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，a和/或b，可以表示：单独存在a，同时存在a和b，单独存在b这三种情况，其中a，b可以是单数或者复数。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系，但也可能表示的是一种“和/或”的关系，具体可参考前后文进行理解。
124.本技术中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b或c中的至少一项(个)，可以表示：a，b，c，a-b，a-c，b-c或a-b-c，其中a，b，c可以是单个，也可以是多个。
125.应理解，在本技术的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本技术实施例的实施过程构成任何限定。
126.本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本技术的范围。
127.所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
128.在本技术所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
129.作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
130.另外，在本技术各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
131.功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本技术的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本技术各个实施例方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器、随机存取存储器、磁碟或者光盘等各种可以存储程序代码的介质。
132.以上，仅为本技术的具体实施方式，但本技术的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本技术揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本技术的保护范围之内。因此，本技术的保护范围应以权利要求的保护范围为准。