一种基于多智能体协同的威胁智能分析方法、装置、设备及存储介质与流程

本技术涉及计算机，尤其涉及一种基于多智能体协同的威胁智能分析方法、装置、设备及存储介质。

背景技术：

1、随着关键信息基础设施规模的不断扩大和网络攻击手段的持续演进，目前单一安全设备或单点分析手段无法有效应对复杂的网络威胁场景。不同类型的攻击行为往往分散在不同的时间节点、不同的网络区域和不同的业务系统之中，需跨设备、跨区域的协同分析方可还原完整的攻击链条。

2、当前，面向关键信息系统的威胁智能分析主要依赖于基于知识图谱的威胁分析和多智能体威胁智能分析。然而，现有威胁智能分析方法缺乏多视角协同推理机制与统一的共享记忆载体，导致威胁分析结果准确性差。

技术实现思路

1、本技术提供了一种基于多智能体协同的威胁智能分析方法、装置、设备及存储介质，能够提升威胁分析结果的准确性。

2、为达到上述目的，本技术采用如下技术方案：

3、第一方面，本技术提供了一种基于多智能体协同的威胁智能分析方法，其特征在于，所述方法包括：

4、获取统一威胁知识图谱、接收已确认的威胁数据；

5、第一智能体将所述已确认的威胁数据中的字段与所述统一威胁知识图谱进行匹配，根据匹配节点生成锚点节点集合，以所述锚点节点集合中的各锚点节点为中心，在所述统一威胁知识图谱中取预设跳数邻域，合并生成种子子图，将所述种子子图分别发送至第二智能体和第三智能体；

6、所述第二智能体以所述种子子图为起点，沿第一关系集合扩展，生成威胁视角子图，所述第三智能体以所述种子子图为起点，沿第二关系集合扩展，生成资产视角子图；

7、在所述威胁视角子图计算得到威胁视角置信度，在所述资产视角子图上计算得到资产视角置信度；

8、所述第二智能体在所述威胁视角子图上，计算得到攻击战术危害度；

9、所述第三智能体在所述资产视角子图上，计算得到整体资产影响度；

10、第四智能体根据所述威胁视角置信度、所述资产视角置信度、所述攻击战术危害度、所述整体资产影响度，计算得到目标综合威胁风险评分；

11、根据所述目标综合威胁风险评分，得到结构化威胁分析结果。

12、可选的，所述在所述威胁视角子图计算得到威胁视角置信度，在所述资产视角子图上计算得到资产视角置信度，包括：

13、根据所述威胁视角子图的高价值证据覆盖率和关系支撑度，得到威胁视角置信度；

14、根据所述资产视角子图的高价值证据覆盖率和关系支撑度，得到资产视角置信度。

15、可选的，所述计算得到攻击战术危害度，包括：

16、筛选所述威胁视角子图中类型为攻击者的节点，形成候选攻击者集合；

17、根据所述威胁视角子图，确定所述候选攻击者集合中各攻击者节点的重要性分值；

18、根据所述候选攻击者集合中各攻击者节点的重要性分值，分别计算所述候选攻击者集合中各候选攻击者的证据总分，将各候选攻击者的证据总分除以所有候选攻击者的证据总分之和，得到各候选攻击者的归因概率；

19、选取所述归因概率最高的攻击者作为目标攻击者，并得到所述目标攻击者的归因概率；

20、提取所述目标攻击者使用过的战术技术节点，按重要性分值降序排列，得到战术技术序列；

21、根据所述战术技术序列中各战术技术节点在杀伤链中的阶段序号和重要性分值，计算得到攻击战术危害度。

22、可选的，所述方法还包括：

23、根据所述目标攻击者，所述目标攻击者的归因概率，所述战术技术序列，所述攻击战术危害度，得到威胁视角结论向量。

24、可选的，所述计算得到整体资产影响度，包括：

25、筛选所述资产视角子图中类型为资产的节点，形成受害资产集合；

26、提取所述受害资产集合中各资产关联的cve漏洞节点集合；

27、根据所述受害资产集合中各资产的业务重要性属性值和关联cve漏洞的最高通用漏洞评分系统cve分数，计算各资产的资产影响度；

28、对各资产的资产影响度进行去噪或聚合，计算得到整体资产影响度。

29、可选的，所述方法还包括：

30、根据所述资产视角子图，确定所述受害资产集合中各资产节点的重要性分值；

31、根据所述受害资产集合中各资产节点的重要性分值和业务重要性属性值，计算资产重要性因子；

32、根据所述受害资产集合，所述资产重要性因子，所述cve漏洞节点集合，所述整体资产影响度，得到资产视角结论向量。

33、可选的，所述计算得到目标综合威胁风险评分，包括：

34、根据所述攻击战术危害度与所述威胁视角置信度，得到威胁视角风险评分；

35、根据所述整体资产影响度与所述资产视角置信度，得到资产视角风险评分；

36、根据所述威胁视角风险评分和所述资产视角风险评分，得到综合威胁风险评分；

37、根据所述攻击战术危害度与所述整体资产影响度的差值绝对值，以及所述威胁视角置信度与所述资产视角置信度的差值绝对值，得到视角分歧度；

38、根据所述综合威胁风险评分和所述视角分歧度，得到目标综合威胁风险评分。

39、第二方面，本技术提供了一种基于多智能体协同的威胁智能分析装置，包括：

40、获取模块，用于获取统一威胁知识图谱，接收已确认的威胁数据；

41、生成模块，用于使第一智能体将所述已确认的威胁数据中的字段与所述统一威胁知识图谱进行匹配，根据匹配节点生成锚点节点集合，以所述锚点节点集合中的各锚点节点为中心，在所述统一威胁知识图谱中取预设跳数邻域，合并生成种子子图，将所述种子子图分别发送至第二智能体和第三智能体；所述第二智能体以所述种子子图为起点，沿第一关系集合扩展，生成威胁视角子图；所述第三智能体以所述种子子图为起点，沿第二关系集合扩展，生成资产视角子图；

42、计算模块，用于在所述威胁视角子图上计算得到威胁视角置信度，在所述资产视角子图上计算得到资产视角置信度，在所述威胁视角子图上计算得到攻击战术危害度，在所述资产视角子图上，计算得到整体资产影响度；

43、分析模块，用于根据所述威胁视角置信度、所述资产视角置信度、所述攻击战术危害度和所述整体资产影响度，计算得到目标综合威胁风险评分，并根据所述目标综合威胁风险评分得到结构化威胁分析结果。

44、第三方面，本技术提供了一种计算设备，包括存储器和处理器；

45、其中，在所述存储器中存储有一个或多个计算机程序，所述一个或多个计算机程序包括指令；当所述指令被所述处理器执行时，使得所述计算设备执行如第一方面中任一项所述的方法。

46、第四方面，本技术提供了一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行如第一方面中任一项所述的方法。

47、由上述技术方案可知，本技术至少具有如下有益效果：

48、本技术通过第一智能体锚点映射生成种子子图；第二智能体与第三智能体以同一种子子图为共同起点，分别沿用于追溯攻击者身份的第一关系集合和用于追溯资产损失的第二关系集合并行扩展，生成威胁视角子图和资产视角子图并分别计算子图置信度；第二智能体在威胁视角子图上，通过筛选候选攻击者，基于证据关联程度确定目标攻击者，并提取目标攻击者使用过的战术技术节点结合杀伤链阶段序号计算攻击战术危害度；第三智能体在资产视角子图上，通过筛选受害资产集合并结合各资产的业务重要性属性与关联cve漏洞信息计算整体资产影响度；第四智能体基于视角分歧度修正综合评分的协同分析架构，以及统一威胁知识图谱的共享记忆与证据链追溯机制，实现了对已确认威胁从攻击者归因、战术危害评估到资产影响分析的多维度综合研判，能够提升威胁分析结果的准确性。

49、应当理解的是，本技术中对技术特征、技术方案、有益效果或类似语言的描述并不是暗示在任意的单个实施例中可以实现所有的特点和优点。相反，可以理解的是对于特征或有益效果的描述意味着在至少一个实施例中包括特定的技术特征、技术方案或有益效果。因此，本说明书中对于技术特征、技术方案或有益效果的描述并不一定是指相同的实施例。进而，还可以任何适当的方式组合本实施例中所描述的技术特征、技术方案和有益效果。本领域技术人员将会理解，无需特定实施例的一个或多个特定的技术特征、技术方案或有益效果即可实现实施例。在其他实施例中，还可在没有体现所有实施例的特定实施例中识别出额外的技术特征和有益效果。