基于动态本体的威胁情报知识图谱时效性管理与演化系统和方法与流程

本发明涉及知识图谱管理与演化，尤其涉及一种基于动态本体的威胁情报知识图谱时效性管理与演化系统和方法。

背景技术：

1、威胁情报是网络空间安全防御的核心要素。为了统一描述与共享威胁知识，业界引入了网络安全本体（如stix标准背后的概念模型）来定义攻击者、恶意软件、攻击指标（ioc）、漏洞及战术技术过程（ttp）等实体及其关系。

2、然而，现有本体及其构建的知识图谱多为静态快照，当新情报到达时，往往采用简单覆盖或追加方式更新，无法刻画威胁实体在时间轴上的动态变化；例如，某一ip地址在1月是活跃的c2服务器，但在3月已被接管，静态图谱无法区分这两个时间点的情报有效性。

3、而且，威胁情报具有极强的时效敏感性，尤其是ioc的存活周期很短，但现有系统未将“有效时间窗口”作为情报的本质属性进行建模，导致大量过期、失效的ioc持续存在于检测规则中，产生大量误报，严重消耗安全分析师精力。

4、并且，攻击组织的ttp会随时间发生漂移，恶意软件家族会合并或分化，新的攻击技术会涌现，但现有本体模型是僵化的，其结构的任何变更（如添加新攻击技术类）都极度依赖人工线下修改，周期长、反应慢，无法跟上真实威胁变化的节奏。

5、此外，分析师无法进行“时间旅行”式查询，例如回答“2025年3月15日，当时与emotet相关的活跃c2域名有哪些？”，使得溯源取证和趋势分析极为困难。

6、因此，亟需一种将时间维度作为第一要素进行原生建模，并能够管理情报时效、驱动本体结构自主演化的动态本体技术方案。

技术实现思路

1、为解决背景技术中存在的技术问题，本发明提出一种基于动态本体的威胁情报知识图谱时效性管理与演化系统和方法。

2、第一方面，本发明提出的一种基于动态本体的威胁情报知识图谱时效性管理与演化系统，包括：

3、多源威胁情报输入层，用于接收多源情报；

4、本体模式定义层，包括动态本体模型定义模块和本体结构自动演化模块，动态本体模型定义模块用于预先定义本体模式层，并根据本体演化建议更新预先定义的本体模式层；本体结构自动演化模块用于从实例管理层的实例数据中检测漂移、发现新概念并生成本体演化建议；

5、实例管理层，包括动态实例演化与版本管理模块和置信度衰减与降权模块，动态实例演化与版本管理模块用于将多源情报实例化为符合本体模式层约束的实体节点和关系边；将实例化的实体节点和关系边、更新后的实例数据和更新后的本体模式层中一种或多种保存至图数据库中，并生成带有更新时间戳的威胁情报知识图谱；

6、置信度衰减与降权模块用于对威胁情报知识图谱的实体进行置信度衰减与降权计算，并根据计算结果驱动实体节点的生命周期状态自动流转，得到更新后的实例数据；

7、查询与应用接口层，用于接收查询请求并根据查询请求从图数据库中查找并返回指定时间点或时间段的威胁情报知识图谱。

8、优选地，本体模式层包括类定义、关系定义和系统级属性；

9、类定义包括攻击组织、恶意软件、攻击指标、攻击技术、漏洞和攻击活动，每个类均包括常规属性和系统时间属性；

10、关系定义包括组织使用恶意软件、组织使用技术、攻击指标指示恶意软件、恶意软件通信至c2、变种关系，每个关系均包括定义域和值域；

11、系统级属性包括：有效起始时间、有效终止时间、最后活跃时刻、置信度和生命周期状态，生命周期状态分为活跃、休眠、无效和已归档。

12、优选地，将多源情报实例化为符合预定义的本体模式层约束的节点和边，具体包括：

13、对多源情报进行解析，得到包括多个事件的事件组；其中，每个事件包括事件时间、实体、关系和操作类型，操作类型分为新增操作和使无效操作；

14、对于每个事件中的每个实体，在威胁情报知识图谱中搜索匹配的实体节点；若未匹配到，则创建新实体节点，并该新实体节点的有效起始时间设置为事件时间、有效终止时间设置为空，生命周期状态设置为活跃，最后活跃时刻设置为事件时间；

15、若匹配到某一实体节点，当该实体的操作类型为新增且其匹配到的实体节点的当前生命周期状态为活跃时，仅更新其匹配到的实体节点的常规属性和系统级属性中的最后活跃时刻；当该实体的操作类型为新增操作且其匹配到的实体节点的当前生命周期状态为无效或休眠，则为该实体创建一个新实体节点，将该新实体节点的有效起始时间设置为事件时间、有效终止时间设置为空，生命周期状态设置为活跃，最后活跃时刻设置为事件时间，并重新初始化置信度，并将该新实体节点通过版本边与该实体匹配到的实体节点关联；

16、当该实体的操作类型为使无效操作时，则将该实体匹配到的实体节点的有效终止时间设置为事件时间且当前生命周期状态设置为无效；同时，批量将所有从该实体匹配到的实体节点出发或指向该实体的匹配到的实体节点、尚未终止的活跃的关系边的有效终止时间也同步设置为事件时间。

17、优选地，在置信度衰减与降权计算过程中，某一实体节点的置信度具体为：

18、；

19、式中，为事件时间t的置信度，为初始置信度；t_last_active为最后活跃时刻；为根据实体节点的类型预定义的参数；

20、当某一实体节点的时，将该实体节点的生命周期状态变更为dormant；其中，为休眠置信度阈值；当某一实体节点的时，生命周期状态变更为已归档，移入冷存储；其中，为已归档置信度阈值，。

21、优选地，动态实例演化与版本管理模块还用于在创建每条关系边之前，自动校验该关系是否符合本体模式层定义的domain约束和range约束；若均不符合或不符合domain约束，则拒绝写入并记录冲突日志；若均符合，则创建关系边并附带valid_from和valid_until等系统级时间属性；若符合domain约束但不符合range约束，且语义合理时，将其降级存储为泛化关联关系或候选关系，并标记约束冲突；

22、本体结构自动演化模块用于从实例层的实例数据和冲突日志中检测漂移、发现新概念并生成演化建议。

23、优选地，本体结构自动演化模块包括串联的概念漂移检测器、新概念发现器和演化建议生成与审核器；

24、概念漂移检测器，用于按照第二预设周期从实例层的实例数据和冲突日志中检测已有类或关系的行为模式随时间发生的显著变化，输出漂移警报和关键证据项；新概念发现器用于按照第二预设周期挖掘实例层中反复出现、但当前本体模式层中未定义的新型实体类型或关系类型，输出候选新类或/和新关系；演化建议生成与审核器用于根据漂移警报、关键证据项与候选新类或/和新关系，或者，当实例层中生命周期状态降级的实例数量达到预设数量时，生成本体演化建议；将本体演化建议提交安全专家审核，并获取安全专家关于本体演化建议的反馈；其中，反馈分为接受、拒绝和修改；若反馈接受，则将本体演化建议发送给动态本体模型定义模块；若反馈为拒绝时，记录原因并反馈至概念漂移检测器以调整其的预设漂移阈值；当反馈为修改时，则调整本体演化建议的负载的参数后发送给动态本体模型定义模块；其中，第二预设周期的时长大于第一预设周期的时长，第一预设周期为置信度衰减与降权计算的周期。

25、优选地，从实例层的实例数据检测已有类或关系的行为模式随时间发生的显著变化，输出漂移警报和关键证据项，具体包括：

26、根据实例层的实例数据，确定所有包括主体类、关系和客体类的第一三元组模式；

27、对于每一个第一三元组模式，以预设的历史长时间窗口为单位，聚合各客体实例的出现频次，形成基线概率分布；以预设的近期短时间窗口为单位，聚合该第一三元组模式的实例分布，形成近期概率分布；根据近期概率分布，计算真实kl散度；

28、当真实kl散度大于预设漂移阈值时，触发潜在漂移警报；当真实kl散度小于或等于预设漂移阈值时，则将近期短时间窗口和历史长时间窗口内所有实例的时间标签随机打乱，重复计算kl散度至预设次数，生成零假设下的kl散度分布；若真实kl散度在该kl散度分布中处于前1%的位置，则确认该漂移具有统计显著性，提取对真实kl散度贡献最大的前n个具体的关系或实体实例，作为漂移的关键证据项，并生成漂移警报；将漂移警报和关键证据项输出。

29、优选地，新概念发现器的挖掘过程包括：

30、利用预训练的网络安全领域bert模型或图神经网络（gnn）将实例层中新增的实体节点编码为低维向量表示；

31、在向量空间中，对于已明确归类到现有类和/或关系的实体节点与未明确归类的实体节点，计算每个实体节点的局部离群因子（lof），识别处于已知类边界之外的实体节点；随后采用dbscan聚类算法，对处于已知类边界之外的实体节点进行聚类，寻找形成密集簇的未知实体节点群体作为候选簇；

32、验证候选簇的稳定性：若某一候选簇内样本数超过阈值minpts，且该候选簇在连续多个短时间窗口中持续出现，则判定验证通过；当某一候选簇验证通过后，对该候选簇内的实体节点关联的原始情报文本进行关键词提取，生成高频名词短语并将其作为候选概念标签；

33、并行执行频繁子图挖掘算法：在威胁情报知识图谱中发现高频出现的包括实体a、未定义关系边和实体b的三元组模式；其中，未定义关系边为当前本体模式层中未定义的边类型，实体节点a和实体节点b为威胁情报知识图谱中的实体节点；若某未定义关系边对应的第二三元组模式的出现频次超过相应的出现阈值，则根据该未定义关系边，输出候选新关系。

34、优选地，本体演化建议包括类型、负载和证据包字段，类型分为新增一个概念类和修改已有关系的range约束；

35、其中，根据本体演化建议更新预先定义的本体模式层，具体包括：

36、根据本体演化建议，在本体模式定义层中正式创建或修改类/关系定义，更新domain约束和/或range约束，并生成新版本号；

37、扫描实例层中因旧模式约束而被降级存储或映射到泛化父类的历史实例，依据更新后的模式定义进行重新分类和关系补全；

38、完整记录本次演化的时间、操作类型、变更内容、证据摘要、审核人及审核意见。

39、第二方面，本发明还提出了一种基于动态本体的威胁情报知识图谱时效性管理与演化方法，包括：

40、接收多源情报，并将多源情报实例化为符合预定义的本体模式层约束的实体节点和关系边；

41、对威胁情报知识图谱的实体进行置信度衰减与降权计算，并根据计算结果驱动实体节点的生命周期状态自动流转，得到更新后的实例数据；

42、从实例管理层的实例数据中检测漂移、发现新概念并生成本体演化建议；根据本体演化建议更新预先定义的本体模式层；

43、将实例化的实体节点和关系边、更新后的实例数据和更新后的本体模式层中一种或多种保存至图数据库中，并生成带有更新时间戳的威胁情报知识图谱；

44、接收查询请求；

45、根据查询请求从图数据库中查找并返回指定时间点或时间段的威胁情报知识图谱。

46、本发明中，所提出的基于动态本体的威胁情报知识图谱时效性管理与演化系统和方法，通过严格区分本体模式定义层与实例管理层，为威胁情报知识图谱中的实例层中实体和关系内嵌时间属性并构建置信度衰减机制，同时在本体模式定义层实现本体结构的自动演化，解决现有威胁情报知识表示静态化、时效性管理缺失和知识演化滞后的痛点，实现威胁知识的全生命周期精准刻画和前瞻性防御。