[发明专利]安全事件处理方法和装置

权利要求书

1.一种安全事件处理方法，包括：

采集原始安全事件，原始安全事件的属性信息包括以下至少一项：事件编号、事件名称、事件类型、事件发生时间、源地址、目的地址、事件级别；

根据原始安全事件的属性信息和预先设置的归并规则对原始安全事件进行归并。

2.根据权利要求1所述的方法，其特征在于，在采集原始安全事件之后，该方法还包括：

重新设置原始安全事件的部分属性信息，其中，可重新设置的部分属性信息包括：事件名称、事件级别。

3.根据权利要求1或2所述的方法，其特征在于，所述根据原始安全事件的属性信息和预先设置的归并规则对原始安全事件进行归并包括：

根据事件发生时间属性，对同时发生的原始安全事件的事件名称属性进行模糊匹配，得到相同或相似的原始安全事件；

根据预先设置的事件压制规则和事件级别属性，将不同优先级的相同或相似的原始安全事件归并为一个较高优先级的安全事件。

4.根据权利要求1或2所述的方法，其特征在于，所述根据原始安全事件的属性信息和预先设置的归并规则对原始安全事件进行归并包括：

根据事件类型属性和事件发生时间属性查找到同时发生的具有包含关系的至少两个原始安全事件；

根据预先设置的事件包含规则，将具有包含关系的至少两个原始安全事件归并为一个事件类型较大的安全事件。

5.根据权利要求1或2所述的方法，其特征在于，所述根据原始安全事件的属性信息和预先设置的归并规则对原始安全事件进行归并包括：

根据事件类型属性和事件发生时间属性查找到同时发生的具有包含关系的至少两个原始安全事件；

根据预先设置的事件替换规则，将具有包含关系的至少两个原始安全事件归并为一个事件类型较小的安全事件。

6.根据权利要求1或2所述的方法，其特征在于，所述根据原始安全事件的属性信息和预先设置的归并规则对原始安全事件进行归并包括：

根据源地址属性和目的地址属性查找到事件发生源或事件针对目标相同的原始安全事件；

根据事件名称属性从事件发生源或事件针对目标相同的原始安全事件中查找到相同或具有顺序关系的原始安全事件；

根据预先设置的事件顺序关联规则和事件发生时间属性，将一定时间段内发生的相同或具有顺序关系的原始安全事件归并为一个新的安全事件。

7.根据权利要求1或2所述的方法，其特征在于，在对原始安全事件进行归并之前，该方法还包括：根据原始安全事件至少一项属性信息，采用预先设定的匹配方式对原始安全事件进行过滤。

8.一种安全事件处理装置，包括：

采集单元，用于采集原始安全事件，原始安全事件的属性信息包括以下至少一项：事件编号、事件名称、事件类型、事件发生时间、源地址、目的地址、事件级别；

归并单元，用于根据原始安全事件的属性信息和预先设置的归并规则对采集单元采集的原始安全事件进行归并。

9.根据权利要求8所述的装置，其特征在于，该装置还包括：

设置单元，用于在采集原始安全事件之后，重新设置原始安全事件的部分属性信息，其中，可重新设置的部分属性信息包括：事件名称、事件级别。

10.根据权利要求8或9所述的装置，其特征在于，所述归并单元包括压制子单元，用于：

根据事件发生时间属性，对同时发生的原始安全事件的事件名称属性进行模糊匹配，得到相同或相似的原始安全事件；

根据预先设置的事件压制规则和事件级别属性，将不同优先级的相同或相似的原始安全事件归并为一个较高优先级的安全事件。

11.根据权利要求8或9所述的装置，其特征在于，所述归并单元包括包含子单元，用于：

根据事件类型属性和事件发生时间属性查找到同时发生的具有包含关系的至少两个原始安全事件；

根据预先设置的事件包含规则，将具有包含关系的至少两个原始安全事件归并为一个事件类型较大的安全事件。