[发明专利]用于模式发现的参数调节

权利要求书

1.一种用于在事件数据中确定用于模式发现的参数的方法，所述方法包括：

选择用于模式发现的参数的初始集合，其中所述参数指定用于识别事件数据中的模式的条件；

由处理器基于参数的初始集合来对所述事件数据执行模式发现运行；以及

基于所述模式发现运行的输出来调节参数的初始集合的参数。

2.如权利要求1所述的方法，其中调节参数包括：

确定作为执行所述模式发现运行的结果从所述事件数据识别的模式的数量是否小于阈值；以及

如果调节的参数被用于后续模式发现运行中，则扩展所述参数以增加从所述事件数据识别的模式的数量。

3.如权利要求1所述的方法，其中调节参数包括：

确定作为执行所述模式发现运行的结果从所述事件数据识别的模式的数量是否大于阈值；以及

如果调节的参数被用于后续模式发现运行中，则限制所述参数以减少从所述事件数据识别的模式的数量。

4.如权利要求1所述的方法，其中调节参数包括：

确定所述模式发现运行是否无法在预定的时间段内完成；以及

如果调节的参数被用于后续模式发现运行中，则调节所述参数以减少系统资源。

5.如权利要求1所述的方法，其中参数的初始集合包括：在序列中针对将被认为是模式的活动而被执行的不同活动的最小数量，识别被重复以被认为是模式的不同活动的最小次数的可重复性参数，以及被考虑用于所述模式发现运行的事件数据的持续时间。

6.如权利要求5所述的方法，其中调节所述参数包括：

增加针对将被认为是模式的活动而执行的不同活动的最小数量，增加所述可重复性参数，或减少所述持续时间。

7.如权利要求5所述的方法，其中调节所述参数包括：

减少针对将被认为是模式的活动而执行的不同活动的最小数量，减少所述可重复性参数，或增加所述持续时间。

8.如权利要求1所述的方法，包括：

基于用于模式发现配置文件的字段统计信息来选择字段的集合；

在模式发现配置文件中包括所述字段的集合以及所述初始参数；以及

执行模式发现运行包括基于包括所述字段的集合以及参数的初始集合的模式发现配置文件来识别所述事件数据中的模式。

9.如权利要求8所述的方法，其中执行模式发现运行包括：

确定所述事件数据是否包括满足与所述初始参数相关联的条件的字段的集合，以识别与所述模式发现配置文件匹配的事件数据中的模式。

10.如权利要求1所述的方法，其中所述模式发现运行的输出包括满足参数的初始集合的条件的模式的结果集合，其中所述条件与用于所述事件数据的字段的集合相关联。

11.一种网络安全事件处理系统，包括：

数据存储装置，其存储描述用于连接到网络的设备的活动的事件数据；

模式识别器引擎，其由处理器执行以执行模式发现运行，从而基于与用于识别模式的条件相关联的参数的初始集合来检测所述事件数据中的模式；以及

参数调谐模块，其用以基于所述模式发现运行的输出来调节来自所述初始集合的参数。

12.如权利要求11所述的网络安全事件处理系统，其中所述参数调谐模块用以确定作为执行所述模式发现运行的结果从所述事件数据识别的模式的数量是否小于阈值，并且用以如果调节的参数被用于后续模式发现运行中，则调节所述参数以增加从所述事件数据识别的模式的数量。

13.如权利要求11所述的网络安全事件处理系统，其中所述参数调谐模块用以确定作为执行所述模式发现运行的结果从所述事件数据识别的模式的数量是否大于阈值，并且用以如果调节的参数被用于后续模式发现运行中，则调节所述参数以减少从所述事件数据识别的模式的数量。

14.如权利要求11所述的网络安全事件处理系统，其中所述参数调谐模块用以确定所述模式发现运行是否无法在预定的时间段内完成，并且用以调节所述参数以减少系统资源从而执行后续模式发现运行。

15.一种非暂时性计算机可读介质，其包括机器可读指令，当所述指令由处理器执行时，促使所述处理器来：

选择用于模式发现的参数的初始集合，其中所述参数指定用于识别事件数据中的模式的条件；

基于参数的初始集合来对所述事件数据执行模式发现运行；以及

基于在所述模式发现运行中识别的模式的数量或基于所述模式发现运行是否无法完成执行来调节参数的初始集合的参数。