[发明专利]一种多安全设备的关联分析方法、装置及存储介质

说明书

本发明实施例公开了一种多安全设备的关联分析方法、装置及存储介质，涉及网络安全技术领域，能够通过获取至少一个安全设备的分析数据进行关联分析和整合，进而为安全工作人员提供更多防范和防止恶意软件攻击的信息。所述方法包括：接收至少一个安全设备发送的待分析数据；其中，所述待分析数据包括但不限于：与可疑内容相关的标识符、输入信息和分析信息；分析并匹配各安全设备的待分析数据，若存在相匹配的分析信息，则整合各分析信息相关联的输入信息。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种多安全设备的关联分析方法、装置、电子设备及计算机可读存储介质。

背景技术

虽然现在网络的不同部分已经部署了不同类型的安全设备，但是安全设备仅利用自己的功能实现安全检测，各安全设备之间不存在任何协同工作的机制，无法有效整合不同安全设备的检测信息，可能导致很多恶意攻击被漏报，并且无法给予安全工作者一个系统的信息反馈，无法做出有效判断和响应。

发明内容

有鉴于此，本发明实施例提供了一种多安全设备的关联分析方法、装置及存储介质，通过对不同安全设备的分析数据进行关联和整合，进而提供恶意攻击相关的整体攻击视图。

第一方面，本发明实施例提供一种多安全设备的关联分析方法，包括：

接收至少一个安全设备发送的待分析数据；其中，所述待分析数据包括但不限于：与可疑内容相关的标识符、输入信息和分析信息；

分析并匹配各安全设备的待分析数据，若存在相匹配的分析信息，则整合各分析信息相关联的输入信息。

根据本发明实施例的一种具体实现方式，所述接收至少一个安全设备发送的待分析数据，具体包括：向各安全设备下发查询请求；各安全设备接收到查询请求后，则上传自上次查询后的待分析数据。

根据本发明实施例的一种具体实现方式，所述各安全设备接收到查询请求后，则上传自上次查询后的待分析数据，具体为：

利用各安全设备的网络地址向各安全设备发送查询请求；

查询请求包括最近一次存储的时间戳和/或序列值；

其中，所述网络地址，包括但不限于：IP地址或者MAC地址。

根据本发明实施例的一种具体实现方式，若存在相匹配的分析信息，还包括：基于各安全设备的相同分析信息的时间间隔协助判定是否为相关联的行为，若是则整合各分析信息相关联的输入信息。

根据本发明实施例的一种具体实现方式，还包括：通过设置改变各安全设备的分析优先级。

第二方面，本发明实施例提供一种多安全设备的关联分析装置，包括：

汇聚模块，用于接收至少一个安全设备发送的待分析数据；其中，所述待分析数据包括但不限于：与可疑内容相关的标识符、输入信息和分析信息；

整合模块，用于分析并匹配各安全设备的待分析数据，若存在相匹配的分析信息，则整合各分析信息相关联的输入信息。

根据本发明实施例的一种具体实现方式，所述接收至少一个安全设备发送的待分析数据，具体包括：向各安全设备下发查询请求；各安全设备接收到查询请求后，则上传自上次查询后的待分析数据。

根据本发明实施例的一种具体实现方式，所述各安全设备接收到查询请求后，则上传自上次查询后的待分析数据，具体为：

利用各安全设备的网络地址向各安全设备发送查询请求；

查询请求包括最近一次存储的时间戳和/或序列值；

其中，所述网络地址，包括但不限于：IP地址或者MAC地址。