[发明专利]网络安全事件关联分析系统

权利要求书

1.网络安全事件关联分析系统，其特征在于，包括网络安全事件采集层、通讯网络层、关联分析层及管理展示层， 

（1）网络安全事件采集层：

由数据源采集的采集设备采集所需的网络安全事件信息，其安装于各计算机网络关键监测点现场的网络系统核心交换设备旁；

（2）通讯网络层：

完成对各种不同的采集设备采集的日志进行日志串前导匹配快速动态解析，对解析后的日志和状态、网络数据包按照通讯规约进行封装，通过网络将各种网络安全事件传输至关联分析层；

（3）关联分析层：对网络安全事件关联关系进行分析、存储；

（4）管理展示层：将关联分析层分析的数据进行管理和展现；

各相关部门根据自己的权限获得需要的展现数据信息。

2.根据权利要求1所述的网络安全事件关联分析系统，其特征在于，所述采集设备采集的数据源包括网络安全设备、网络设备、主机服务器设备、操作系统、数据库、中间件的状态、日志和网络数据包。

3.根据权利要求2所述的网络安全事件关联分析系统，其特征在于，所述网络安全设备包括防火墙、IPS、IDS，所述网络设备包括交换机、路由器。

4.根据权利要求1所述的网络安全事件关联分析系统，其特征在于，所述通讯网络层包含通讯组件。

5.根据权利要求1所述的网络安全事件关联分析系统，其特征在于，所述关联分析层包括关联分析引擎服务器、关联分析脚本、事件服务器、历史数据库服务器，相互之间通过数据线进行联接；所述的关联分析引擎服务器负责对内存事件流和数据库历史事件流进行时空窗过滤、多维度海量事件强劲算法处理网络安全事件、实现多个网络安全事件复杂关联关系的分析与保存，所述的关联分析脚本负责对网络安全事件之间的告警关联关系进行定义、关联分析流程的描述、参与关联分析的网络安全事件界定，所述的事件服务器负责进行各种网络安全事件的内存形式流和数据库形式流的存储，所述的历史数据库服务器进行关联分析结果数据、关联分析过程使用网络安全事件相关数据的存储记忆。

6.根据权利要求1所述的网络安全事件关联分析系统，其特征在于，所述管理展示层包括历史数据库服务器、WEB服务器、应用服务器、核心交换机、工作站及与这些设备相关的软件，设备相互之间通过数据线进行联接；所述的历史数据库服务器提供关联分析结果数据和关联分析过程详细数据，所述的应用服务器完成各种相关的应用功能的实现，WEB服务器负责最终的数据展现。

7.根据权利要求1所述的网络安全事件关联分析系统，其特征在于，所述的通讯网络层，基于TCP/IP网络传输协议，对各种不同的网络安全设备、网络设备、主机服务器设备、操作系统、数据库、中间件的日志进行日志串前导匹配快速动态解析，对解析后的日志和状态、网络数据包按照通讯规约进行封装，通过Hessian方式完成网络安全事件传输。

8.根据权利要求5或6所述的网络安全事件关联分析系统，其特征在于，所述的事件服务器、关联分析引擎服务器和应用服务器都采用集群方式。

9.根据权利要求1或5所述的网络安全事件关联分析系统，其特征在于，所述的关联分析层可进行正在发生的网络安全事件关联分析，还可将正在发生的网络安全事件与已经发生过的历史网络安全事件结合进行关联分析，还可对未来可能发生的网络安全事件进行预测告警。

10.根据权利要求1或6所述的网络安全事件关联分析系统，其特征在于，所述的管理展示层可用文本形式列表展示关联分析结果和相关发生的事件信息，还可用网络设备拓扑图的形式进行图形化展示关联分析结果和相关发生的事件信息。