[发明专利]一种网络安全事件关联方法

权利要求书

1.一种网络安全事件关联方法，其特征在于：步骤如下

S1，对原始安全事件进行分类，分别获取每条原始安全事件的五个属性值： IP地址、端口号、时间戳、原始安全事件分类以及警报内容；

S11，记录网络环境中物理设备的IP地址，若有明确的拓扑结构，则按照网络拓扑划分网络节点中IP地址，若无明确的拓扑结构但知晓IP地址，则定义四段数字构成的IP地址a.b.c.d为子节点，前三段数字相同的IP地址a.b.c.*具有共同的父节点，前两段数字相同的IP地址a.b.*.*具有共同的祖先节点；

S12，针对标准网络协议，将端口分为系统常用端口、常见恶意软件占用端口、私有端口和公有端口；

S13，按照工作日与非工作日对原始安全事件进行时间戳的属性标注，再按照上午、中午、下午和晚上对每日的原始安全事件进行属性标注；

S14，将原始安全事件涉及的网络行为分为常规行为和异常行为，再将每种行为分为基于主机的行为和基于网络的行为；

S15，将原始安全事件的警报内容分为基于行为的警报和基于特定协议的警报内容，将属于同一种行为或者同一种协议的原始安全事件类别归为一类；

S16，属性树的定义：从根节点开始对属性值进行分类，每一个节点的子节点代表一个子类别，直到每一个具体的属性值均属于一个叶子节点为止，形成一棵自顶向下构建的树形数据结构；

S2，在不同的属性树上找两条原始安全事件之间的五个最短距离，依据各属性树，所有属性各取值间的最短距离计算方法均为：

Step1，判断属性值A到根结点的路径，用路径上的各节点表示路径；

Step2，判断属性值B到根节点的路径；

Step3，找出路径中最早出现的共同父节点N；

Step4，计算属性值A到N的距离，计算属性B到N的距离，将两个距离值相加，即得出属性值A和属性值B的距离；

S3，根据以下公式对五个最短距离中对应属性的相似度进行计算：

根据最短距离得到原始安全事件属性值间的相似度：一对原始安全事件属性值间的最短距离越小，说明两原始安全事件的相似度越高；

S4，根据五个属性相似度得到两条原始安全事件之间各属性的相似度，通过加权平均的方式计算两个原始安全事件之间的相似度；

S5，将单条原始安全事件的每个属性视为一个维度，每条原始安全事件对应于一个n维空间中的点，通过DBSCAN聚类算法寻找空间中最密集的点并进行聚类：

S51，与目标原始安全事件的相似度大于相似度阈值的单条原始安全事件的数量超过数量阈值，则判定为核心点；落在核心点的距离半径之内，与核心点的相似度高于相似度阈值的判定为边界点；任何非核心、非边界的点均判定为噪声点；

S52，将所有的点标记为核心点、边界点或噪声点，然后删除噪声点，将所有距离在阈值threshold之内的核心点划分为同一类，定义为一条超警报信息；

S53，得到超警报信息以后，从时间序列中寻找超警报信息之间存在的关联关系：不考虑APT攻击的情况下，如果一个单条原始安全事件发生以后在一个动态时间窗口没有发生新的单条原始安全事件，那么认为该单条原始安全事件与下一个单条原始安全事件之间关联关系很小；

S54，采用动态时间窗口，将数据集划分成若干个事务信息的集合，根据时间窗口生成原始的事务信息集合，使用DBSCAN聚类方法将所述的事务信息生成全局的超警报信息字典，得到单条原始安全事件与超警报信息的映射关系；

S55，根据映射关系使用超警报信息替换原始的事务信息中的每一个原始安全事件，得到新的事务信息集合，新的事务信息集合内的条款项均为超警报信息；

S6，根据关联算法得到的超警报信息，通过动态时间窗口定义事务，通过FP-Growth算法对事务进行数据挖掘，通过数据挖掘得到伴生超警报信息。

2.根据权利要求1所述的一种网络安全事件关联方法，其特征在于，任意两个不同端口号间的最短距离为2或者4，其中最短距离为2的属性对的数量占所有属性对总数的5%，最短距离为4的属性对数量占所有属性对总数的95%。

3.根据权利要求1所述的一种网络安全事件关联方法，其特征在于，所述的步骤S6中，先读取一条单条原始安全事件的时间戳，作为本事务信息的初始时间，向后延迟5分钟作为时间窗口；依次读取单条原始安全事件集合中的记录，如果下一条单条原始安全事件的时间戳在当前时间窗口内，将该单条原始安全事件放入本事务信息中，然后以该单条原始安全事件的时间戳作为初始时间，向后延迟5分钟作为新的时间窗口；如果不在，即将当前事务信息生成为新的事务信息，开始以当前单条原始安全事件的时间戳作为初始时间，设定新的时间窗口，开始生成下一个事务信息。