[发明专利]网络安全评估方法及电子设备

说明书

本发明是关于一种网络安全评估方法及电子设备，涉及网络安全领域，本发明包括：从预设时间段内网络产生的告警信息中，提取多个源IP地址和目的IP地址；构建源IP地址对应的结构向量，以及构建源IP地址对应的属性向量；构建源IP地址作为用户业务的发起地址的情况下的参考结构向量以及参考属性向量；将两个结构向量进行对比得到对比结果，两个属性向量进行对比得到对比结果，根据得到的两个对比结果，确定源IP地址的威胁程度值。由于本发明实施例通过源IP地址为用户业务的发起地址的情况下的信息与实际的信息之间进行对比，而非采用容易导致误报的方式确定威胁程度，这样降低了确定的IP地址的威胁程度的误报率。

技术领域

本发明涉及网络安全领域，尤其涉及一种网络安全评估方法及电子设备。

背景技术

企业为了更好地满足信息交流与资源共享，提高工作效率，会建立自己的内部信息网络。然而企业内部网络信息包含很多内部机密和重要文件资料,它的安全性对企业来说意义重大。由于计算机网络拥有互联性、开放性的特点，企业利用计算机网络进行企业信息的管理，将会面临系统内部和外部的双重威胁，给企业的信息安全带来危害。

采用全流量分析平台、IPS(Intrusion Prevention System，入侵防御系统)/IDS(intrusion detection system，入侵检测系统)、WAF(Web Application Firewall，网站应用级入侵防御系统)进行网络检测，对于同一个网络攻击行为，会在上述检测设备上产生多条告警信息。

目前，会根据产生的多个条告警信息中IP地址的角色，找到IP地址作为网络异常行为的发起者的数量，直接通过当前告警信息确定出告警信息中IP地址(InternetProtocol Address，互联网协议地址)的威胁情况。然而，告警信息是在进行网络攻击时违反检测设备设定的条件而产生的，同时在进行用户业务时也会产生告警信息，在网络攻击时也会产生告警信息，若单独以当前得到的告警信息分析IP地址的角色，容易因为用户业务的发起地址与网络攻击的发起地址混淆，导致误报。

发明内容

本发明提供一种网络安全评估方法及电子设备，非采用容易导致误报的方式确定威胁程度，而是通过源IP地址为用户业务的发起地址的情况下的信息与实际的信息之间进行对比，确定源IP地址的威胁程度，降低误报率。

第一方面，本发明实施例提供的一种网络安全评估方法，包括：

从预设时间段内网络产生的告警信息中，提取多个源IP地址和目的IP地址；

针对每个源IP地址，根据源IP地址与每个目的IP地址之间发生网络异常的概率，构建所述源IP地址对应的结构向量，以及根据所述源IP地址所属的告警信息确定的源IP地址属性信息，构建所述源IP地址对应的属性向量；

将所述源IP地址对应的结构向量与属性向量输入到结构重构模型中，得到所述源IP地址作为用户业务的发起地址的情况下构建的参考结构向量，以及将所述源IP地址对应的结构向量与属性向量输入到属性重构模型中，得到所述源IP地址作为用户业务的发起地址的情况下构建的参考属性向量；

将所述参考结构向量与所述结构向量进行对比得到对比结果，以及将所述参考属性向量与所述属性向量进行对比得到对比结果，根据得到的两个对比结果，确定所述源IP地址的威胁程度值。