[发明专利]基于多源数据的安全事件分析方法、装置、电子装置和存储介质

权利要求书

1.一种基于多源数据的安全事件分析方法，其特征在于包括：

从计算机的多个数据源获取数据源信息；

从所述数据源信息中提取与安全事件相关的特征信息；

使用提取到的特征信息在预先设定的安全事件模型中匹配安全事件，其中，所述预先设定的安全事件模型包括：预先设定的多种安全事件及分别与每种安全事件对应的特征信息；

在从所述预先设定的安全事件模型中匹配到安全事件的情况下，根据提取到的特征信息中与安全事件对应的特征信息及特征信息的生成时间，确定安全事件的过程信息，并根据匹配到的所有安全事件的过程信息及安全事件的发生时间，确定攻击过程信息。

2.根据权利要求1所述的基于多源数据的安全事件分析方法，其特征在于，从计算机的多个数据源获取数据源信息包括：

从所述计算机的操作系统提供的API接口中获取多个数据源的数据源信息；

和/或分别从所述计算机的多个数据源位置和/或注册表的多个位置获取对应每个数据源位置和/或注册表的每个位置的数据源信息。

3.根据权利要求1所述的基于多源数据的安全事件分析方法，其特征在于，

所述数据源信息包括以下至少之一：系统日志、应用程序日志、安全日志、网络日志、硬件事件日志。

4.根据权利要求3所述的基于多源数据的安全事件分析方法，其特征在于，

在所述数据源信息为系统日志的情况下，提取到的特征信息包括相同IP的远程多次登录信息；

在所述数据源信息为应用程序日志的情况下，提取到的特征信息包括以下至少之一：应用程序访问信息、应用程序打开记录；

在所述数据源信息为安全日志的情况下，提取到的特征信息包括以下至少之一：登录IP地址、登录时间、登录用户、登录用户群组；

在所述数据源信息为网络日志的情况下，提取到的特征信息包括以下至少之一：连接IP地址、本地端口、本地进程、文件路径；

在所述数据源信息为硬件事件日志的情况下，提取到的特征信息包括以下至少之一：硬件设备受损信息、硬件维修信息。

5.根据权利要求1所述的基于多源数据的安全事件分析方法，其特征在于，使用提取到的特征信息在预先设定的安全事件模型中匹配安全事件包括：

使用提取到的特征信息在预先设定的安全事件模型中和与每种安全事件对应的多个特征信息进行匹配，其中，在所述提取到的特征信息和与安全事件对应的每个特征信息均一致的情况下，将所述安全事件作为所述提取到的特征信息匹配到的安全事件。

6.根据权利要求1所述的基于多源数据的安全事件分析方法，其特征在于，在从所述预先设定的安全事件模型中匹配到安全事件的情况下，根据提取到的特征信息中与安全事件对应的特征信息及特征信息的生成时间，确定安全事件的过程信息包括：

根据提取到的特征信息中与安全事件对应的特征信息及特征信息的生成时间，确定所述与安全事件对应的特征信息的生成时间顺序；

根据所述与安全事件对应的特征信息的生成时间顺序，确定所述安全事件的过程信息。

7.根据权利要求1所述的基于多源数据的安全事件分析方法，其特征在于，根据匹配到的所有安全事件的过程信息及安全事件的发生时间，确定攻击过程信息包括：

根据匹配到的所有安全事件的过程信息及安全事件的发生时间，确定所有安全事件的发生事件顺序；

根据所述所有安全事件的发生事件顺序，确定攻击过程信息。