[发明专利]入侵阶段的确定方法、装置及服务器

权利要求书

1.一种入侵阶段的确定方法，其特征在于，包括：

接收第一告警记录；其中，所述第一告警记录携带有受害主机的身份信息；

基于所述受害主机的身份信息，获取预设时段内所述受害主机的第二告警记录；

基于所述第二告警记录判断所述第一告警记录对应的入侵操作是否成功；

如果是，根据所述第二告警记录确定所述第一告警记录对应的入侵阶段；

在所述基于所述受害主机的身份信息，获取预设时段内所述受害主机的第二告警记录的步骤之前，所述方法还包括：

提取所述第一告警记录的告警时间字段，并基于所述告警时间字段确定预设时段；

所述基于所述受害主机的身份信息，获取预设时段内所述受害主机的第二告警记录的步骤，包括：

将所述受害主机的身份信息和预设时段的标识发送至网络安全防护设备，以使所述网络安全防护设备基于所述受害主机的身份信息和所述预设时段的标识，查找预设时段内所述受害主机的第二告警记录，并返回查找到的所述第二告警记录；

接收所述网络安全防护设备返回的所述第二告警记录。

2.根据权利要求1所述的方法，其特征在于，所述接收第一告警记录的步骤，包括：

当监听到网络安全防护设备生成主机告警记录时，向所述网络安全防护设备发送推送指令，以使所述网络安全防护设备基于所述推送指令推送所述主机告警记录；

接收所述网络安全防护设备推送的所述主机告警记录，并将所述主机告警记录作为第一告警记录。

3.根据权利要求1所述的方法，其特征在于，所述基于所述第二告警记录判断所述第一告警记录对应的入侵操作是否成功的步骤，包括：

判断所述第一告警记录与所述第二告警记录是否存在告警关联；

如果是，确定所述第一告警记录对应的入侵操作成功。

4.根据权利要求3所述的方法，其特征在于，所述根据所述第二告警记录确定所述第一告警记录对应的入侵阶段的步骤，包括：

若所述第一告警记录与所述第二告警记录存在告警关联，查找与所述告警关联对应的入侵阶段，并将所述告警关联对应的入侵阶段确定为所述第一告警记录对应的入侵阶段。

5.根据权利要求2所述的方法，其特征在于，所述网络安全防护设备包括防火墙、IDS、IPS、APT或NTA中的一种或多种。

6.一种入侵阶段的确定装置，其特征在于，包括：

第一告警记录接收模块，用于接收第一告警记录；其中，所述第一告警记录携带有受害主机的身份信息；

预设时段获取模块，用于提取所述第一告警记录的告警时间字段，并基于所述告警时间字段确定预设时段；

第二告警记录获取模块，用于基于所述受害主机的身份信息，获取预设时段内所述受害主机的第二告警记录；将所述受害主机的身份信息和预设时段的标识发送至网络安全防护设备，以使所述网络安全防护设备基于所述受害主机的身份信息和所述预设时段的标识，查找预设时段内所述受害主机的第二告警记录，并返回查找到的所述第二告警记录；接收所述网络安全防护设备返回的所述第二告警记录；

判断模块，用于基于所述第二告警记录判断所述第一告警记录对应的入侵操作是否成功；

阶段确定模块，用于在所述判断模块的判断结果为是时，根据所述第二告警记录确定所述第一告警记录对应的入侵阶段。

7.一种服务器，其特征在于，包括处理器和存储器；

所述存储器上存储有计算机程序，所述计算机程序在被所述处理器运行时执行如权利要求1至5任一项所述的方法。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令在被处理器运行时执行如权利要求1至5任一项所述的方法。