[发明专利]一种基于安全管理平台的改进交叉关联方法及系统

说明书

技术领域

本发明涉及计算机技术领域，具体涉及一种基于安全管理平台的改进交叉关联方法及系统。

背景技术

安全管理平台集成了多种网络安全设备例如防火墙，入侵检测工具，漏扫工具，资产扫描工具等的日志信息，并根据不同的算法提取出有效的日志，转换成安全事件进行关联分析，并根据一定的计算公式计算事件的风险值，产生新的告警信息。为了减少无效的报警，将入侵检测获得的信息与漏洞扫描获得的信息进行关联，判断系统是否容易受到某种安全事件的威胁，从而决定是否产生相应的报警。这种关联方法也称为漏洞关联，在一定程度上有助于识别系统中的误报警。除了将入侵检测信息与漏洞信息进行关联外，现有的安全管理平台还增加了其他安全检测信息之间的关联，比如防火墙与漏洞信息之间的关联，这种关联方法也可以统一的称为交叉关联方法。

现有的交叉关联技术在上报的安全事件出现较大的时间延误或者某个漏洞已经被处理，但未及时更新的情况时，容易造成重复处理，或错误的处理，降低了交叉关联的效率。

发明内容

针对现有技术的不足，本发明提供一种基于安全管理平台的改进交叉关联方法及系统，提高了交叉关联算法的正确性和有效性，降低了安全管理平台产生误告警以及冗余告警信息的概率。

为实现上述目的，本发明通过以下技术方案予以实现：

一种基于安全管理平台的改进交叉关联方法，该方法包括：

S1.在传统的交叉关联表的基础之上增加事件目的ip和状态state两项内容，使改进的交叉关联表包含：事件目的ip、事件设备号id、事件类型号sid、关联事件设备号id_reference、关联事件类型号sid_reference、关联事件状态state；其中，所述关联事件状态state的值为old、closed或new；

S2.对于状态为new的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将该事件目的ip存入所述改进的交叉关联表中；否则，丢弃该事件；

S3.判断所述事件的目的ip与其关联事件的目的ip是否匹配，如果ip匹配，则判断关联事件状态state，若state为new，执行步骤S4；若state为old，执行步骤S5；若state为closed，执行步骤S6；如果ip不匹配，则丢弃该关联事件；

S4.提升所述关联事件的优先级；

S5.判断state为old状态持续时间是否超过预设的阈值，若是，丢弃该关联事件；否则，提升所述关联事件的优先级；

S6.丢弃该关联事件。

优选地，所述事件的目的ip为受攻击的主机ip或网段ip。

优选地，该方法还包括：对于状态为closed的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将关联事件的状态改为closed。

优选地，该方法还包括：每隔设定的时间间隔，将交叉关联表中状态为closed的事件记录清除。

优选地，该方法还包括：判断关联事件是否产生告警，若产生告警，则存储两个关联事件，其中，判断关联事件是否产生告警的方法为：

S51.设定告警阈值；

S52.获取所述关联事件的优先级、可靠性、源ip和目地ip主机的资产重要性，根据公式：risk＝(可靠性*优先级*ip主机重要性)/预设值，分别计算该关联事件在源ip和目的ip主机上对应的风险值，比较这两个风险值，取较大的作为所述关联事件的风险值；

S53.判断所述关联事件的风险值是否超过设定的告警阈值，若超过，则产生告警，否则，不告警。

一种基于安全管理平台的改进交叉关联系统，该系统包括：

交叉关联表设置模块，用于在传统的交叉关联表的基础之上增加事件目的ip和状态state两项内容，使改进的交叉关联表包含：事件目的ip、事件设备号id、事件类型号sid、关联事件设备号id_reference、关联事件类型号sid_reference、关联事件状态state；其中，所述关联事件状态state的值为old、closed或new；

改进交叉关联表更新模块，用于对于状态为new的事件，根据该事件设备号id、事件类型号sid查找所述改进的交叉关联表，若查找到关联事件，将该事件目的ip存入所述改进的交叉关联表中；

匹配判断模块，用于判断所述事件的目的ip与其关联事件的目的ip是否匹配，如果ip匹配，则执行关联状态判断模块；如果ip不匹配，则执行第二执行模块；