[发明专利]一种安全事件实时确认方法及系统

权利要求书

1.一种安全事件实时确认方法，其特征在于，包括：

接收网络报文；

对所述网络报文进行攻击行为检测，将检测出攻击行为的所述网络报文描述为攻击报文；

提取所述攻击报文的响应报文；

使用一安全事件确认规则，对所述响应报文进行匹配，得到所述攻击报文的攻击确认结果，所述安全事件确认规则用于判定所述攻击是否成功。

2.如权利要求1所述的方法，其特征在于：

所述安全事件确认规则中，包含有攻击成功特征和/或攻击失败特征，所述攻击成功特征用于判定所述攻击报文攻击成功，所述攻击失败特征用于判定所述攻击报文攻击失败。

3.如权利要求2所述的方法，其特征在于：

所述攻击确认结果，包括确认为攻击成功的攻击成功事件、确认为攻击失败的攻击失败事件，或者无法确认为攻击成功或者失败的攻击结果未知事件。

4.如权利要求1所述的方法，其特征在于：

检测到所述攻击报文后，监控到所述攻击报文所属连接上的后续报文为攻击者发出的网络报文时，确认所述攻击报文攻击失败。

5.如权利要求1所述的方法，其特征在于：

对所述响应报文进行所述匹配，包括采用匹配树方式进行。

6.一种安全事件实时确认系统，其特征在于，包括：

接收模块，用于接收报文；

检测模块，与所述接收模块相连，用于对所述网络报文进行攻击行为检测，将检测出攻击行为的所述网络报文描述为攻击报文；

提取模块，与所述检测模块相连，用于提取所述攻击报文的响应报文；

安全事件确认规则库，用于存储判定攻击是否成功的安全事件确认规则；

匹配模块，与所述提取模块及安全事件确认规则库相连，用于使用所述安全事件确认规则对所述响应报文进行匹配，得到所述攻击报文的攻击确认结果。

7.如权利要求6所述的系统，其特征在于：

所述安全事件确认规则库，包含有攻击成功特征和/或攻击失败特征，所述攻击成功特征用于判定所述攻击报文攻击成功，所述攻击失败特征用于判定所述攻击报文攻击失败。

8.如权利要求7所述的系统，其特征在于：

所述匹配模块得到的所述攻击确认结果，包括确认为攻击成功的攻击成功事件、确认为攻击失败的攻击失败事件，或者无法确认为攻击成功或者失败的攻击结果未知事件。

9.如权利要求6所述的系统，其特征在于：

所述匹配模块，对所述响应报文进行所述匹配，包括采用匹配树方式进行。

10.如权利要求1所述的系统，其特征在于：

所述提取模块，在所述检测模块检测到所述攻击报文后，进一步监控到所述攻击报文所属连接上的后续报文为攻击者发出的网络报文时，确认所述攻击报文攻击失败。