[发明专利]安全告警转化为安全事件的方法、装置及存储介质

权利要求书

1.一种安全告警转化为安全事件的方法，其特征在于，用于采用预置的至少一个事件策略将告警转化为安全事件，所述事件策略包括告警归并策略、事件输出策略和事件信息策略，所述方法包括：

获取第一告警数据；

利用告警归并策略提取或创建所述第一告警数据的事件ID，以将属于同一所述事件ID的所述第一告警数据进行归类，得到第二告警数据；

利用事件输出策略对所述第二告警数据进行自定义赋值，得到第三告警数据；

利用事件信息策略对所述第三告警数据进行分组，得到安全事件。

2.如权利要求1所述的安全告警转化为安全事件的方法，其特征在于，所述利用告警归并策略提取或创建所述第一告警数据的事件ID，包括：

基于所述第一告警数据中告警字段值，确定是否存在目标事件ID，所述目标事件ID基于所述告警字段值相同的告警数据所产生；

若是，则提取所述目标事件ID作为所述第一告警数据的事件ID；

若否，则创建新的事件ID作为所述第一告警数据的事件ID。

3.如权利要求2所述的安全告警转化为安全事件的方法，其特征在于，所述基于所述第一告警数据中告警字段值，确定是否存在目标事件ID，包括：

根据所述第一告警数据中告警字段值，在预定义的分组条件中确定与所述第一告警数据属于同一类别的自定义告警字段；

根据所述自定义告警字段，查找处于时间窗口内的历史告警数据；

判断所述历史告警数据是否产生历史事件ID；

若是，则确定所述历史事件ID为所述目标事件ID；

若否，则确定不存在所述目标事件ID。

4.如权利要求2所述的安全告警转化为安全事件的方法，其特征在于，所述创建新的事件ID作为所述第一告警数据的事件ID，包括：

判断所述第一告警数据中告警字段值与统计字段的次数是否匹配；

若是，则创建所述新的事件ID作为所述第一告警数据的事件ID；

若否，则确定流程结束。

5.如权利要求1所述的安全告警转化为安全事件的方法，其特征在于，所述利用事件输出策略对所述第二告警数据进行自定义赋值，得到第三告警数据，包括：

对所述第二告警数据中各数据的告警字段值取样，得到取样字段；

基于所述取样字段中包含的信息，对所述第二告警数据进行自定义赋值，得到所述第三告警数据。

6.如权利要求1所述的安全告警转化为安全事件的方法，其特征在于，所述方法还包括：

按照设定的展示格式，将所述第三告警数据进行展示。

7.如权利要求1所述的安全告警转化为安全事件的方法，其特征在于，在所述获取第一告警数据之后，还包括：

判断所述第一告警数据是否满足所述事件策略的必要条件；

若是，则利用与所述第一告警数据匹配的所述事件策略对所述第一告警数据进行处理；

若否，则确定流程结束。

8.如权利要求7所述的安全告警转化为安全事件的方法，其特征在于，所述方法还包括：

判断所述第一告警数据中是否存在与过滤名单中匹配一致的告警字段值；

若是，则确定流程结束；

若否，则确定所述低第一告警数据为有效告警数据；

利用所述告警归并策略提取或创建所述有效告警数据的事件ID。

9.一种安全告警转化为安全事件的装置，其特征在于，所述装置包括：

获取模块，用于获取第一告警数据；

以及至少一个策略模块，包括：

告警归并单元，用于提取或创建所述第一告警数据的事件ID，以将属于同一所述事件ID的所述第一告警数据进行归类，得到第二告警数据；

事件输出单元，用于对所述第二告警数据进行自定义赋值，得到第三告警数据；

事件信息单元，用于对所述第三告警数据进行分组，得到安全事件。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现如权利要求1-8中任一项所述的方法。