一种网络犯罪情报结构化分析方法及系统

本技术涉及网络安全情报分析，更具体地说，本技术涉及一种网络犯罪情报结构化分析方法及系统。

背景技术：

1、当前网络攻击手段持续演进，网络犯罪产业规模化、组织化特征日益显著，网络安全情报分析已成为主动防御体系的核心支撑，该领域正从传统的人工规则研判与静态特征匹配，加速向基于知识图谱和自然语言处理的自动化情报抽取与结构化分析方向转型，力图从海量非结构化通信数据中高效提取攻击意图、攻击资源及攻击阶段等关键要素，构建支撑溯源研判与预警响应的结构化情报。

2、在网络犯罪情报分析实际落地中，非结构化通信文本普遍存在大量具有刻意隐蔽性和场景多义性的黑话、隐语和变体词，例如同一黑话词元在不同交易语境下可能指向完全不同的非法标的物或攻击资源，现有分析方法大多依赖静态黑话词表或通用安全知识库执行简单的字符串替换，无法感知上下文语境差异，导致同一黑话词元在询价、交割、验收等不同语境下被统一映射为同一标准实体，产生指代歧义，该歧义在后续事件抽取环节导致安全事件类型误判，在攻击阶段判定环节引发阶段归属错误，并沿攻击链构建环节逐级放大，最终造成整个攻击链的断裂或误导性重建，形成歧义沿分析环节的级联传导问题。因此，如何基于上下文感知的黑话知识图谱语义映射消除指代歧义，从而阻断歧义沿攻击链分析环节的级联传导成为了业界面临的难题。

技术实现思路

1、本技术提供一种网络犯罪情报结构化分析方法及系统，可基于上下文感知的黑话知识图谱语义映射消除指代歧义，从而阻断歧义沿攻击链分析环节的级联传导。

2、第一方面，本技术提供一种网络犯罪情报结构化分析方法，包括下述步骤：

3、获取包含黑话特征的通信文本；

4、基于预先构建的黑话知识图谱，对所述通信文本进行上下文感知的语义映射，得到以标准安全实体表达的事件要素，其中所述语义映射利用所述黑话知识图谱中黑话变体节点与标准安全实体之间的关联关系，消除黑话指代歧义；

5、根据所述事件要素以及所述黑话知识图谱中存储的攻击阶段关联信息，确定与所述事件要素对应网络攻击的杀伤链阶段；

6、依据所述事件要素的时间信息以及所确定的杀伤链阶段之间的因果依赖关系，生成包含事件节点及其阶段归属与时序关系的结构化攻击情报。

7、优选的，所述黑话知识图谱的构建包括：

8、从网络犯罪通信语料中提取黑话变体词元及其指代的标准安全实体；

9、确定所述黑话变体词元与所述标准安全实体之间的显式映射关系，作为所述黑话知识图谱的显式关系边；

10、确定所述黑话变体词元与所述标准安全实体之间的隐式映射关系，作为所述黑话知识图谱的隐式关系边；

11、将所述标准安全实体关联至预设的网络攻击杀伤链的阶段节点，得到攻击阶段的关联信息；

12、基于所述显式关系边、所述隐式关系边和所述攻击阶段的关联信息，生成所述黑话知识图谱。

13、优选的，确定所述黑话变体词元与所述标准安全实体之间的隐式映射关系具体包括：

14、从网络犯罪通信语料中识别黑话变体词元的交易语境类型，所述交易语境类型至少包括询价语境、交割语境和验收语境；

15、对处于同一交易语境类型下的黑话变体词元，检测其与已知标准安全实体的交互路径，当多个黑话变体词元在同一交易语境下指向同一交互目标时，判定所述多个黑话变体词元之间存在隐式映射候选关系；

16、提取所述隐式映射候选关系中各黑话变体词元的上下文窗口，计算所述上下文窗口内角色词与动作词的分布相似度，将分布相似度超过设定阈值的隐式映射候选关系所涉及的每个黑话变体词元与同一交互目标之间的映射关系，确定为隐式映射关系。

17、优选的，基于预先构建的黑话知识图谱，对所述通信文本进行上下文感知的语义映射，得到以标准安全实体表达的事件要素具体包括：

18、加载所述黑话知识图谱；

19、识别所述通信文本中的候选黑话词元，在所述黑话知识图谱中查询与所述候选黑话词元存在显式映射关系的第一标准安全实体，以及通过所述黑话知识图谱中的隐式关系边关联的第二标准安全实体；

20、提取所述候选黑话词元在所述通信文本中的上下文共现词，确定所述上下文共现词与所述第一标准安全实体及所述第二标准安全实体各自关联的典型语境特征之间的语境匹配度，其中，所述典型语境特征从所述黑话知识图谱中对应节点的历史上下文分布中提取；

21、当所述语境匹配度支持所述第二标准安全实体时，将所述候选黑话词元映射至所述第二标准安全实体，否则映射至所述第一标准安全实体；

22、将映射后的标准安全实体替换所述通信文本中的对应黑话词元，生成以标准安全实体表达的事件要素。

23、优选的，根据所述事件要素以及所述黑话知识图谱中存储的攻击阶段关联信息，确定与所述事件要素对应网络攻击的杀伤链阶段具体包括：

24、从所述黑话知识图谱中提取与所述事件要素中的标准安全实体存在显式攻击阶段关联的第一阶段节点，以及通过所述黑话知识图谱中的隐式关系边可及的第二攻击阶段节点；

25、检测所述事件要素中实体间的交互动作类型，将所述交互动作类型与所述第一阶段节点和所述第二阶段节点各自关联的攻击行为特征进行匹配，确定所述事件要素对各阶段节点的行为符合度；

26、将行为符合度最高的阶段节点确定为所述事件要素对应的杀伤链阶段。

27、优选的，依据所述事件要素的时间信息以及所确定的杀伤链阶段之间的因果依赖关系，生成包含事件节点及其阶段归属与时序关系的结构化攻击情报具体包括：

28、以所述事件要素中的标准安全实体为节点、以所述事件要素中实体间的直接交互关系为显式时序边，建立初始事件子图；

29、基于所述事件要素的时间信息，确定各节点的时间戳，并依据杀伤链阶段之间的因果依赖关系，在所述初始事件子图中补入跨阶段的隐式因果依赖边，得到时序事件子图；

30、对所述时序事件子图执行攻击链阶段完整性校验，检测缺失的攻击阶段，利用所述黑话知识图谱中的攻击链约束规则推理所述缺失的攻击阶段对应的候选事件节点并补入；

31、输出包含各事件节点、节点所属杀伤链阶段、节点间显式时序关系与隐式因果依赖关系的结构化攻击情报。

32、优选的，所述杀伤链阶段之间的因果依赖关系通过如下方式预先确定：

33、从已标注攻击链阶段的样本通信文本中，提取各杀伤链阶段对应事件的时间戳，统计不同杀伤链阶段事件之间的先后发生频率；

34、将先后发生频率高于频率阈值的杀伤链阶段对确定为显式因果依赖对；

35、对所述显式因果依赖对，提取其对应事件上下文中的因果触发词及行为关联词，基于所述因果触发词的出现分布确定所述显式因果依赖对之间的因果指向方向，构建阶段间有向因果依赖关系；

36、对先后发生频率低于所述频率阈值但高于最低观察阈值的杀伤链阶段对，提取其对应事件中实体集合的重叠度与通信会话的衔接特征，当所述重叠度与所述衔接特征满足预设条件时，将其确定为隐式因果依赖关系。

37、第二方面，本技术提供一种网络犯罪情报结构化分析系统，包括：

38、获取模块，用于获取包含黑话特征的通信文本；

39、处理模块，用于基于预先构建的黑话知识图谱，对所述通信文本进行上下文感知的语义映射，得到以标准安全实体表达的事件要素，其中所述语义映射利用所述黑话知识图谱中黑话变体节点与标准安全实体之间的关联关系，消除黑话指代歧义；

40、所述处理模块，还用于根据所述事件要素以及所述黑话知识图谱中存储的攻击阶段关联信息，确定与所述事件要素对应网络攻击的杀伤链阶段；

41、执行模块，用于依据所述事件要素的时间信息以及所确定的杀伤链阶段之间的因果依赖关系，生成包含事件节点及其阶段归属与时序关系的结构化攻击情报。

42、第三方面，本技术提供一种计算机设备，所述计算机设备包括存储器和处理器，所述存储器存储有代码，所述处理器被配置为获取所述代码，并执行上述网络犯罪情报结构化分析方法。

43、第四方面，本技术提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述网络犯罪情报结构化分析方法。

44、本技术公开的实施例提供的技术方案具有以下有益效果：

45、本技术通过构建显式与隐式双关系协同的黑话知识图谱，将语境证据驱动的语义消歧、图谱内阶段联动推理及显隐式因果补全深度融合，阻断黑话指代歧义沿事件抽取、攻击阶段判定及攻击链重建各环节的级联传导；在语义映射环节，以隐式关系边扩展候选实体范围，通过上下文共现词与典型语境特征的匹配度竞争消歧，消除同一黑话词元在不同交易语境下的多义性；在攻击阶段判定环节，将显式与隐式关联的阶段节点同步纳入，以交互动作与攻击行为特征的匹配度统一判定阶段归属，避免歧义残留向阶段判定环节的刚性传递；在攻击链重建环节，区分显式与隐式因果依赖关系并基于攻击链约束规则推理补全缺失阶段，阻断因阶段缺失导致的攻击链断裂传导；综上所述，本技术将语义消歧、阶段推理与攻击链补全统一于同一知识图谱框架，消除了分离式架构中歧义逐级放大的结构缺陷，实现了网络犯罪情报结构化的全链路语义一致性。