[发明专利]安全事件关联方法、装置及网络服务器

权利要求书

1.一种安全事件关联方法，其特征在于，包括：

当接收到新告警时，将所述新告警转化为事实；所述事实包括所述新告警的若干属性；

在预置的规则库中，选择与所述事实有关的所有规则，构成规则集；

查询所述规则集中的规则，当查询出所述规则集中的一条规则所包含的所有事实都已经发生时，根据这条规则得到安全事件。

2.根据权利要求1所述的安全事件关联方法，其特征在于，所述预置的规则库的构建过程包括：

利用时间序列分析方法，对采集到的至少两个原始告警进行关联分析，得出一个以上攻击场景，将每个攻击场景分步骤转化为至少两个规则，构成所述规则库。

3.根据权利要求2所述的安全事件关联方法，其特征在于：所述至少两个规则中每个规则包括规则头部和规则体，所述规则头部用于描述攻击场景，所述规则体用于表示攻击场景所包括的攻击步骤的一种逻辑组合。

4.根据权利要求2所述的安全事件关联方法，其特征在于，所述利用时间序列分析方法，对采集到的至少两个原始告警进行关联分析，得出一个以上攻击场景包括：

根据所述原始告警的属性，将所述至少两个原始告警进行聚类处理形成至少两个原始告警组；

将每一个原始告警组进行时间序列化；

针对所述至少两个原始告警组中的任意两个原始告警组，利用格兰杰因果关系检验GCT模型计算所述两个原始告警组对应时间序列之间的统计值；若所述统计值满足检验假设条件，则将所述两个原始告警组作为一个告警对关联起来；

根据所述告警对，构建一个以上攻击场景。

5.根据权利要求4所述的安全事件关联方法，其特征在于，所述预置的 规则库的构建过程还包括：

根据预置规则，将采集到的至少两个原始告警进行重复告警融合处理；

所述将每一个原始告警组进行时间序列化之前还包括：

过滤所述至少两个原始告警组中的背景告警组；

过滤所述至少两个原始告警组中优先级低于设定阈值的告警组。

6.一种安全事件关联装置，其特征在于，包括：

转化模块，用于当接收到新告警时，将所述新告警转化为事实；所述事实包括所述新告警的若干属性；

规则集构成模块，用于在预置的规则库中，选择与所述事实有关的所有规则，构成规则集；

事件获取模块，用于查询所述规则集中的规则，当查询出所述规则集中的一条规则所包含的所有事实都已经发生时，根据这条规则得到安全事件。

7.根据权利要求6所述的安全事件关联装置，其特征在于，还包括：

预置模块，用于利用时间序列分析方法，对采集到的至少两个原始告警进行关联分析，得出一个以上攻击场景，将每个攻击场景分步骤转化为至少两个规则，构成所述规则库。

8.根据权利要求7所述的安全事件关联装置，其特征在于，所述预置模块包括：

聚类单元，用于根据所述原始告警的属性，将所述至少两个原始告警进行聚类处理形成至少两个原始告警组；

时间序列化单元，用于将每一个原始告警组进行时间序列化；

关联单元，用于针对所述至少两个原始告警组中的任意两个原始告警组，利用格兰杰因果关系检验GCT模型计算所述两个原始告警组对应时间序列之间的统计值；若所述统计值满足检验假设条件，则将所述两个原始告警组作为一个告警对关联起来；

构建单元，用于根据所述告警对，构建一个以上攻击场景；

规则转化单元，用于将每个攻击场景分步骤转化为至少两个规则，构成 所述规则库。

9.根据权利要求8所述的安全事件关联装置，其特征在于，所述预置模块还包括：

融合单元，用于根据预置规则，将采集到的至少两个原始告警进行重复告警融合处理；

第一过滤单元，用于过滤所述至少两个原始告警组中的背景告警组，将过滤后的至少两个原始告警组输出给第二过滤单元；

第二过滤单元，用于过滤所述至少两个原始告警组中优先级低于设定阈值的告警组，将过滤后的至少两个原始告警组输出给所述时间序列化单元。

10.一种网络服务器，其特征在于，包括如权利要求6-9任意一项所述的安全事件关联装置。