结合主动学习的威胁情报IOC识别方法

摘要

威胁指标(IOC)作为网络威胁的特征描述，是识别和防御网络攻击的重要凭证。当前IOC识别主要依赖于神经网络模型，其效果取决于标注数据的数量。然而，目前IOC识别领域缺乏公认的数据集，且IOC的标注只能由安全专家手动完成，标注成本高，难以获取大量已标注数据。针对该问题，提出了一种结合主动学习的威胁情报IOC识别方法 ICAL。该方法首先基于样本的代表性选择初始样本进行人工标注，然后基于聚类假设对聚类样本进行伪标注，最后基于样本的不确定性继续迭代标注，直到满足终止条件。使用CNNPLUS作为分类模型，在自构建的威胁情报数据集上进行实验。结果表明，相比于传统IOC自动识别策略，ICAL的识别准确率达到94.2%、召回率达到94.1%，同时减少了58%的人工标注工作量，具有较高的实用价值。

关键词

主动学习 / 密度聚类 / 威胁指标 / 威胁情报