基于深度学习的威胁情报信息抽取研究

孙天放

(四川大学网络空间安全学院，成都610065)

0 引言

近年来，网络攻击在数量和复杂度上都呈现了迅速增长的趋势。信息系统越来越多地暴露于各种安全威胁之下，这些威胁需要网络安全从业人员的持续关注，为了更有效地促进安全信息共享，2013年，Gartner提出了威胁情报(Threat Intelligence，TI)的概念[1]，“威胁情报是基于证据的知识，包括场景、机制、指标、含义和可操作的建议，这些知识是关于现存的、或者即将出现的、针对资产的威胁或危险，可为主体响应相关威胁或危险提供决策信息。”由此可知，威胁情报包含了关于当前或即将到来的网络安全威胁的各种详细信息，这可以帮助企业或组织实施针对网络安全威胁的主动网络防御。目前，只有少数安全公司提供标准化结构化的威胁情报，安全人员和机构很难获取大量的威胁信息，CleanMX[2]和PhishTanks[3]等社区虽然在其平台上发布了充足的威胁情报，但仅包含恶意URL、IP等少量威胁信息，无法应用于网络安全态势感知系统或其他防御机制。从开源的互联网文章或报告中有效抽取威胁情报信息，并将其转换为标准化、结构化的形式，对网络安全研究有着非常重要的意义与实际应用价值。威胁情报信息抽取的两个主要任务是命名实体识别(Named Entity Recognition，NER)和关系抽取(Relationship Extraction，RE)。命名实体识别是许多任务的基础方法，广泛应用于信息抽取、语义分析、信息检索、知识图谱等多个领域。实体包含通用性实体，如地名、人名，也可以是针对特定领域的专业性实体，如漏洞、攻击技巧、恶意软件等网络安全领域的实体名称。……