[发明专利]一种基于安全管理平台的改进交叉关联方法及系统

权利要求书

1.一种基于安全管理平台的改进交叉关联方法，其特征在于，该方法包括：

S1.在传统的交叉关联表的基础之上增加事件目的ip和状态state两项内容，使改进的交叉关联表包含：事件目的ip、事件设备号id、事件类型号sid、关联事件设备号id_reference、关联事件类型号sid_reference、关联事件状态state；其中，所述关联事件状态state的值为old、closed或new；

S2.对于状态为new的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将该事件目的ip存入所述改进的交叉关联表中；否则，丢弃该事件；

S3.判断所述事件的目的ip与其关联事件的目的ip是否匹配，如果ip匹配，则判断关联事件状态state，若state为new，执行步骤S4；若state为old，执行步骤S5；若state为closed，执行步骤S6；如果ip不匹配，则丢弃该关联事件；

S4.提升所述关联事件的优先级；

S5.判断state为old状态持续时间是否超过预设的阈值，若是，丢弃该关联事件；否则，提升所述关联事件的优先级；

S6.丢弃该关联事件。

2.根据权利要求1所述的方法，其特征在于，所述事件的目的ip为受攻击的主机ip或网段ip。

3.根据权利要求1所述的方法，其特征在于，该方法还包括：对于状态为closed的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将关联事件的状态改为closed。

4.根据权利要求1所述的方法，其特征在于，该方法还包括：每隔设定的时间间隔，将交叉关联表中状态为closed的事件记录清除。

5.根据权利要求1所述的方法，其特征在于，该方法还包括：判断关联事件是否产生告警，若产生告警，则存储两个关联事件，其中，判断关联事件是否产生告警的方法为：

S51.设定告警阈值；

S52.获取所述关联事件的优先级、可靠性、源ip和目地ip主机的资产重要性，根据公式：risk＝(可靠性*优先级*ip主机重要性)/预设值，分别计算该关联事件在源ip和目的ip主机上对应的风险值，比较这两个风险值，取较大的作为所述关联事件的风险值；

S53.判断所述关联事件的风险值是否超过设定的告警阈值，若超过，则产生告警，否则，不告警。

6.一种基于安全管理平台的改进交叉关联系统，其特征在于，该系统包括：

交叉关联表设置模块，用于在传统的交叉关联表的基础之上增加事件目的ip和状态state两项内容，使改进的交叉关联表包含：事件目的ip、事件设备号id、事件类型号sid、关联事件设备号id_reference、关联事件类型号sid_reference、关联事件状态state；其中，所述关联事件状态state的值为old、closed或new；

改进交叉关联表更新模块，用于对于状态为new的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将该事件目的ip存入所述改进的交叉关联表中；

匹配判断模块，用于判断所述事件的目的ip与其关联事件的目的ip是否匹配，如果ip匹配，则执行关联状态判断模块；如果ip不匹配，则执行第二执行模块；

关联状态判断模块，用于判断关联事件状态state，若state为new，执行第一执行模块；若state为old，执行超时判断模块；若state为closed，执行第二执行模块；

超时判断模块，用于判断state为old状态持续时间是否超过预设的阈值，若是，执行第二执行模块；否则，执行第一执行模块；

第一执行模块，用于提升所述关联事件的优先级；

第二执行模块，用于丢弃该关联事件。

7.根据权利要求6所述的系统，其特征在于，所述事件的目的ip为受攻击的主机ip或网段ip。

8.根据权利要求6所述的系统，其特征在于，该系统还包括closed状态事件处理模块，用于对状态为closed的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将关联事件的状态改为closed。