[发明专利]一种电力信息网络安全告警信息误报判定方法和系统

说明书

本发明提供了一种电力信息网络安全告警信息误报判定方法和系统，包括：获取告警信息，该告警信息包括：当前告警信息和当前告警信息之前的历史告警信息；将历史告警信息输入预先建立的电力信息网络安全告警预判模型，得到预测告警信息；当预测告警信息和当前告警信息不一致时，则判定电力信息网络安全告警信息存在误报。与最接近的现有技术相比，该方法和系统不需要人工干预，效率高，并且能够以较高的准确度判定网络中产生的误报安全告警信息，具有较高的判定效率，可提升安全告警的有用性、稳定性。

技术领域

本发明属于信息网络安全领域，具体讲涉及一种电力信息网络安全告警信息误报判定方法和系统。

背景技术

从国家信息安全形势来说，信息系统的基础性、全局性、全员性作用日益增强，信息安全作为信息化深入推进的重要保障，已成为国家安全战略的重要组成部分。信息化安全建设随着网络安全技术的发展不断进步，网络安全威胁也在逐年增加。安全告警信息作为网络安全的一个重要子课题，具有广阔的应用前景，较高的学术价值和理论研究意义。

当前不少学者在网络安全告警分析领域已经开展了许多研究工作，并取得了一定的成果。基于数据挖掘和机器学习的方法是一种比较精确的误告警去除方法，但是需要大量的人工干预，效率较低；基于关联分析的安全告警信息预测方法，需要考虑不同属性的相似度计算和需要确定多个阈值，算法不够灵活；基于统计的误报判定方法高效，但是存在突出的缺点，即漏报和误报。

发明内容

为克服上述现有技术的不足，本发明提出一种电力信息网络安全告警信息误报判定方法和系统。

实现上述目的所采用的解决方案为：

一种电力信息网络安全告警信息误报判定方法，其改进之处在于：

获取告警信息，所述告警信息包括：当前告警信息和所述当前告警信息之前的历史告警信息；

将所述历史告警信息输入预先建立的电力信息网络安全告警预判模型，得到预测告警信息；

当所述预测告警信息和所述当前告警信息不一致时，则判定电力信息网络安全告警信息存在误报。

本发明提供的第一优选技术方案，其改进之处在于，所述电力信息网络安全告警预判模型的建立，包括：

根据电力信息网络，确定电力信息网络安全告警预判模型中状态空间数量和可能出现的观察值数量；

采集电力信息网络的历史告警信息，作为所述告警预判模型中的观察值序列；

基于所述状态空间数量、可能出现的观察值数量和观察值序列，采用隐马尔可夫模型进行训练和参数优化，建立电力信息网络安全告警预判模型。

本发明提供的第二优选技术方案，其改进之处在于，所述基于所述状态空间数量、可能出现的观察值数量和观察值序列，采用隐马尔可夫模型进行训练和参数优化，建立电力信息网络安全告警预判模型，包括：

基于隐马尔科夫模型，采用起始概率分布矢量表示电力信息网络初始的状态概率分布，采用状态转移矩阵表示电力信息网络状态转移的概率，采用观察值概率矩阵表示根据电力信息网络的状态得到告警信息的概率，并随机初始所述起始概率分布矢量和观察值概率矩阵，根据所述起始概率分布矢量计算状态转移矩阵；

根据所述状态空间数量和可能出现的观察值数量，计算观察到所述观察值序列的概率；

采用鲍姆韦尔奇算法以所述观察值序列的概率达到最大为目标优化调整概率分布矢量、状态转移矩阵和观察值概率矩阵；

基于所述概率分布矢量、状态转移矩阵和观察值概率矩阵构建电力信息网络安全告警预判模型。

本发明提供的第三优选技术方案，其改进之处在于，所述采集电力信息网络的历史告警信息，作为所述告警预判模型中的观察值序列，包括：