[发明专利]一种热点安全事件的识别方法及系统

权利要求书

1.一种热点安全事件的识别方法，其特征在于，所述方法包括以下步骤：

A、以系统日志SYSLOG协议实时采集各种类型的网络资产的不同格式的SYSLOG安全日志数据，将所述SYSLOG安全日志数据规范化为格式统一的安全事件记录；

B、根据所述网络资产的IP地址和所述网络资产的资产类型，将所述安全事件记录映射到预先构建的网络热点中心；

C、计算所述网络热点中心中所述安全事件记录的热点指数；

D、当所述热点指数超过预定的阈值时，则判定所述网络热点中心异常，将所述网络热点中心中影响程度最大的所述网络资产作为热点资产，将与所述热点资产相关的所述安全事件记录识别为热点事件；

其中，所述安全事件记录中包括报送设备地址、事件源地址、事件目的地址中的一种或多种；所述步骤A还包括：如果所述安全事件记录中不包括所述报送设备地址、所述事件源地址、所述事件目的地址中的任何一种，则将所述安全事件记录视为无效日志并剔除。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：获取所述复杂网络环境中的全部所述网络资产的台账数据；将全部所述网络资产分为应用层、网络层和终端层三个网络层次；其中，所述应用层包括：服务器类型资产、数据库类型资产和中间件类型资产；所述网络层包括：网络设备类型资产和安全防护类型资产；所述终端层包括：主机类型资产；由各个所述网络层次中在预定义的IP地址网段内的所述网络资产构成所述网络热点中心。

3.如权利要求2所述的方法，其特征在于，由各个所述网络层次中在预定义的IP地址网段内的所述网络资产构成所述网络热点中心是指：将各个所述网络层次中的所述网络资产根据所述资产类型进行分组，将每组所述资产类型中的所有所述网络资产的IP地址按照预定义的划分规则进行IP地址网段划分，则每个所述网络层次中产生多个所述IP地址网段，从每一个所述网络层次中分别任意选取一个或多个IP地址网段，将选取的所述一个或多个IP地址网段中的一组IP地址所对应的所述网络资产定义为一个所述网络热点中心；选取的所述一个或多个IP地址网段形成一个或多个所述网络热点中心。

4.如权利要求1所述的方法，其特征在于，所述步骤B包括：

B1、以所述安全事件记录中的源地址和目的地址作为事件分析IP，如果所述安全事件记录中没有所述源地址和所述目的地址，则以所述安全事件记录的报送设备地址作为所述事件分析IP；

B2、构建所述网络设备资产的所述IP地址与所述资产类型的对应表，依据所述事件分析IP，获得所述安全事件记录对应的所述资产类型；

B3、根据所述资产类型对应的所述网络分层，将所述安全事件记录映射到相应的网络分层中，并根据所述事件分析IP映射到所述网络热点中心中。

5.如权利要求4所述的方法，其特征在于，所述步骤B3包括：各个所述网络热点中心采用ArrayList数据结构缓存映射到所述网络热点中心的所述安全事件记录，并以预定的缓存周期进行缓存；

每个所述网络热点中心都缓存了所述缓存周期内映射到所述网络热点中心的所述安全事件记录的缓存列表。