[发明专利]数据处理的方法及装置

权利要求书

1.一种数据处理的方法，其特征在于，包括：

获取预设时段内的原始警报日志，所述原始警报日志为记录对某一网络进行攻击的行为数据；

将所述原始警报日志按照原始警报日志的核心属性进行第一次分类聚合，得到多个初始警报簇；

将多个初始警报簇按照攻击图中的关联关系进行第二次分类聚合，得到多个最终警报簇，所述攻击图是由多个初始警报簇构成的展示所述预设时段内网络攻击过程的连通图，具体为：选取只包含有一个原始警报日志的原始警报簇，确定为单条警报簇；判断由同一警报名称分裂得到的所有单条警报簇中是否存在位于同一攻击图中的单条警报簇；若存在，则将位于同一攻击图中的单条警报簇聚合；将聚合后的单条警报簇以及包含多个原始警报日志的原始警报簇确定为最终警报簇；

分别将所述多个最终警报簇中包含的警报日志进行合并，得到新的警报日志，以将新的警报日志替换所述原始警报日志。

2.根据权利要求1所述的方法，其特征在于，在将多个初始警报簇按照攻击图中的关联关系进行第二次分类聚合之前，所述方法还包括：

将所述多个初始警报簇按照预设关联规则进行关联分析，所述预设关联规则是依据警报类别以及警报之间的因果关系设置的；

将具有关联关系的初始警报簇，以初始警报簇作为顶点，以因果关系作为边，生成所述攻击图，所述攻击图为有向无环连通图。

3.根据权利要求1所述的方法，其特征在于，所述将所述原始警报日志按照原始警报日志的核心属性进行第一次分类聚合，得到多个初始警报簇，包括：

将所有的原始警报日志的集合确定为树型结构的根节点；

采用自顶向下的策略，按照原始警报日志的警报名称、源网间协议IP地址以及目的IP地址三个制约条件依次对原始警报日志进行分裂；

将分裂后的树型结构中每个叶子节点确定为一个初始警报簇。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

当按照源IP地址进行分裂时，若分裂后的同一源IP地址对应的原始警报日志只有一条，则将分裂后的同一警报名称下的所有单条原始警报日志融合为一个新的节点；并且，

以新的节点按照目的IP地址进行分裂；

当按照源IP地址进行分裂时，若分裂后的同一源IP地址对应的原始警报日志包含多条原始警报日志，则将多条原始警报日志的集合直接作为节点按照目的IP地址进行分裂。

5.根据权利要求2所述的方法，其特征在于，将所述多个初始警报簇按照预设关联规则进行关联分析，包括：

将所述多个初始警报簇输入到业务规则引擎中，使所述多个初始警报簇与预设关联规则进行匹配，所述业务规则引擎中定义了预设关联规则；

若匹配成功，建立攻击片段，每个攻击片段中包含至少两个具有因果关系的初始警报簇；

所述生成有向无环连通图，包括：

将所有的攻击片段组成攻击场景集；

获取所述攻击场景集中的初始警报簇作为所述攻击图的顶点；

遍历所述攻击场景集，依次为所述顶点添加有向边后生成有向无环连通图。