一种基于引用图谱的威胁情报地图激励机制

本发明涉及网络安全，具体涉及一种威胁情报协作与激励方法，尤其是一种基于有向引用图谱、双轨激励、shapley 贡献计算、引用时间修正和审计快照的威胁情报地图激励机制。

背景技术：

1、威胁情报是网络安全防御体系中用于描述攻击者、攻击基础设施、攻击样本、漏洞利用、攻击技战术、受害资产及攻击活动之间关系的重要数据资源。随着高级持续性威胁、勒索软件、供应链攻击和零日漏洞利用等攻击形态不断演化，单个组织或单个研究人员往往只能观察到攻击链中的局部片段，例如一个可疑 ip、一个域名、一个文件哈希、一个漏洞利用片段、一个命令控制地址、一个钓鱼模板或一段攻击行为日志。

2、现有威胁情报共享平台通常以单条情报、最终报告或人工审核结果为奖励对象。此类方式能够在一定程度上鼓励情报提交，但在复杂攻击链协作场景中仍存在明显不足。

3、首先，现有系统难以表达情报碎片之间的逻辑依赖关系。大量威胁情报以孤立条目存在，缺乏显式的前后引用关系、扩展关系和验证关系，导致平台无法判断某条新情报基于哪些前置线索形成，也无法判断某条早期线索在后续攻击链还原过程中发挥了多大作用。

4、其次，现有激励机制容易造成终局贡献者偏置。在攻击链逐步被拼接完成的过程中，最后提交关键线索的人往往更容易获得平台关注和收益，而早期提交基础 ip、样本哈希、漏洞痕迹或初始访问线索的贡献者，即使其线索被后续研究频繁使用，也难以从最终形成的商业价值中获得合理分润。

5、再次，现有奖励方式难以兼顾高危首发情报的即时性与完整攻击链价值的延时性。高危漏洞利用、未公开 payload 或高置信攻击样本具有明显时效价值，如果必须等待攻击链完全闭环后才奖励，可能降低研究者即时提交的积极性；但若只按单条高危情报即时奖励，又无法体现其在后续情报地图中的持续引用价值。

6、此外，现有分配机制缺乏客观、可复核的贡献计算过程。人工定价和固定比例分配难以解释不同情报节点的贡献差异；简单平均分配又会导致低质量节点搭便车，削弱高质量贡献者积极性。因此，亟须一种能够将威胁情报地图构建、引用关系追踪、客观难度定价、即时激励、延时分红、贡献计算、时间修正和审计存证结合起来的技术方案。

技术实现思路

1、本发明的目的是提供一种基于引用图谱的威胁情报地图激励机制，旨在克服现有技术中碎片化威胁情报难以拼接、早期基础线索难以获得追溯收益、高危首发情报激励滞后以及激励分配过程缺乏可解释性的缺陷，通过构建有向引用图谱和双轨动态分红流程，实现威胁情报协作贡献的可追踪、可计算和可审计。

2、为了实现上述目的，本发明提供如下技术方案：一种基于引用图谱的威胁情报地图激励机制，包括以下步骤：

3、s1.1：接收研究者提交的威胁情报节点，记录节点基础信息、攻击阶段、证据材料、置信度、安全评分向量、上游首次发现时间和新颖度参数；

4、s1.2：根据新节点的关键特征检索候选前置节点，并接收研究者对候选前置节点的引用选择；

5、s1.3：根据引用选择生成有向引用边，构建威胁情报引用图谱，并计算各节点的引用集合、被引集合和被引次数；

6、s1.4：基于 cvss v4.0 或等效安全评分标准计算节点难度积分，对高难度节点执行即时激励；

7、s1.5：根据攻击阶段覆盖率、引用图谱连通性和有效节点数量判断威胁情报地图是否形成攻击链闭环；

8、s1.6：在攻击链闭环后，根据参与闭环节点的难度积分生成动态总积分池；

9、s1.7：基于攻击阶段覆盖率、引用图谱连通性和证据置信度构建价值函数，并采用shapley value 计算各节点的基础贡献；

10、s1.8：根据各节点被引次数和提交延迟时间计算引用与时间修正因子；

11、s1.9：对修正后的贡献值进行归一化处理，获得最终延时分红结果；

12、s1.10：生成审计快照并展示或提交至可信审计系统。

13、在上述技术方案中，本发明提供的技术效果和优点如下：

14、1. 本发明通过有向引用图谱将零散威胁情报节点组织成可追踪的威胁情报地图，使系统能够明确记录新情报基于哪些前置线索形成，以及哪些早期节点被后续攻击链持续使用。

15、2. 本发明通过双轨激励机制兼顾高危首发情报和完整攻击链闭环价值。高难度节点可立即触发即时激励，攻击链闭环后所有有效节点再参与延时分红。

16、3. 本发明采用 cvss v4.0 或等效安全评分标准进行难度定价，减少人工主观定价造成的不一致问题，使不同类型威胁情报能够映射到统一技术价值尺度。

17、4. 本发明引入 shapley value 计算节点对威胁情报地图闭环的边际贡献，使分红结果与攻击阶段覆盖、图谱连通性和证据置信度相关联，避免简单平均分配导致的搭便车问题。

18、5. 本发明引入被引次数的对数增益机制，使早期被后续研究频繁引用的基础线索能够获得追溯收益，同时通过对数函数限制收益增长，降低刷引用对分配结果的影响。

19、6. 本发明引入提交延迟的指数衰减机制，使越早提交的有效情报获得更高时效价值，鼓励研究者及时披露威胁线索；指数衰减项始终为正，避免线性惩罚导致负收益的问题。

20、7. 本发明通过归一化分红公式保证最终发放总额等于动态总积分池，使引用增益和时间衰减仅改变节点间相对比例，不改变总池规模，便于平台预算控制和审计复核。

21、8. 本发明可生成公式轨迹、参数快照、节点快照、引用边快照和结算结果快照，并提交至链上或可信审计系统，使奖励过程具备透明性、可解释性和可追溯性。

1.一种基于引用图谱的威胁情报地图激励机制，其特征在于，所述激励机制包括以下步骤：

2.根据权利要求1所述的机制，其特征在于，所述步骤s1.1包括子步骤：

3.根据权利要求1所述的机制，其特征在于，所述步骤s1.2包括子步骤：

4.根据权利要求1所述的机制，其特征在于，所述步骤s1.3包括子步骤：

5.根据权利要求1所述的机制，其特征在于，所述步骤s1.4包括子步骤：

6.根据权利要求1所述的机制，其特征在于，所述步骤s1.5包括子步骤：

7.根据权利要求1所述的机制，其特征在于，所述步骤s1.6包括子步骤：

8.根据权利要求1所述的机制，其特征在于，所述步骤s1.7包括子步骤：

9.根据权利要求1所述的机制，其特征在于，所述步骤s1.8包括子步骤：

10.根据权利要求1所述的机制，其特征在于，所述步骤s1.9和步骤s1.10包括子步骤：