[发明专利]安全事件关联分析方法及装置

权利要求书

1.一种安全事件关联分析方法，其特征在于，所述方法包括：

接收第一事件，所述第一事件包括属性值；

在第一事件被存储之前，对所述第一事件的属性值进行哈希运算，获取第一哈希值；

获取规则树数组，所述规则树数组中的每一个数值分别对应一个规则树，所述规则树包括根节点及至少一个叶子节点，从所述规则树的根节点到所述规则树的任意一个叶子节点分别对应一个关联规则，关联规则表示安全事件与相关事件之间的关联关系；

当所述规则树数组中存在与所述第一哈希值相等的第一数值，则获取所述第一数值对应的规则树；

遍历所述第一数值对应的规则树以在所述第一事件被存储之前对所述第一事件进行匹配，若在第一时间内完成所述第一事件从所述规则树的根节点到任意一个叶子节点的匹配，则将第一事件作为安全事件。

2.根据权利要求1所述的安全事件关联分析方法，其特征在于，对所述第一事件的属性值进行哈希运算，获取第一哈希值，包括：

对所述第一事件中第一个发生的事件的属性值进行哈希运算，获取第一哈希值。

3.根据权利要求2所述的安全事件关联分析方法，其特征在于，所述第一事件包括按照时间顺序发生的多个事件；

遍历所述第一数值对应的规则树对所述第一事件进行匹配，若在第一时间内完成所述第一事件从所述规则树的根节点到任意一个叶子节点的匹配，则将第一事件作为安全事件，包括：

将所述第一事件中第二个发生的事件的属性值与所述规则树的根节点连接的节点的值进行比较；

若第二个发生的事件的属性值与所述规则树的根节点连接的节点的值相等，则按照所述第一事件包括的多个事件发生的时间顺序继续比较下一个事件的属性值与对应的节点的值，直到所述第一事件中的其中一个事件的属性值与所述规则树的任意一个叶子节点的值相同，则将所述第一事件作为安全事件。

4.根据权利要求1所述的安全事件关联分析方法，其特征在于，所述方法还包括：

根据至少一个关联规则构建规则树，所述规则树的根节点中包括与根节点对应的相关事件的属性值；

建立规则树集合，所述规则树集合中包括多个所述规则树；

对所述规则树集合中的每一个规则树的根节点中相关事件的属性值进行哈希运算得到每一个规则树对应的运算结果；

根据每一个规则树对应的运算结果建立所述规则树数组。

5.根据权利要求4所述的安全事件关联分析方法，其特征在于，根据至少一个关联规则构建规则树，包括：

针对每一个关联规则，根据该关联规则关联的多个事件的发生顺序确定所述规则树从根节点到叶子节点的顺序；

根据所述根节点到叶子节点的顺序构建对应的规则树。

6.根据权利要求1-5任意一项所述的安全事件关联分析方法，其特征在于，所述属性值包括事件的类型、事件发生的源IP地址、事件发生的目的IP地址、事件发生的源IP地址与目的IP地址的关系中的任意组合。

7.一种安全事件关联分析装置，其特征在于，所述装置包括：

接收模块，用于接收第一事件，所述第一事件包括属性值；

第一运算模块，连接于所述接收模块，用于在第一事件被存储之前，对所述第一事件的属性值进行哈希运算，获取第一哈希值；

第一获取模块，用于获取规则树数组，所述规则树数组中的每一个数值分别对应一个规则树，所述规则树包括根节点及至少一个叶子节点，从所述规则树的根节点到所述规则树的任意一个叶子节点分别对应一个关联规则，关联规则表示安全事件与相关事件之间的关联关系；

第二获取模块，连接于所述第一获取模块及所述运算模块，用于当所述规则树数组中存在与所述第一哈希值相等的第一数值，则获取所述第一数值对应的规则树；

匹配模块，连接于所述第二获取模块，用于遍历所述第一数值对应的规则树以在所述第一事件被存储之前对所述第一事件进行匹配，若在第一时间内完成所述第一事件从所述规则树的根节点到任意一个叶子节点的匹配，则将第一事件作为安全事件。