[发明专利]一种基于归一化事件格式的关联分析报警方法

说明书

本发明公开了一种基于归一化事件格式的关联分析报警方法，包括以下步骤：步骤一:将网络上的各种安全事件进行收集；步骤二：安全事件通过安全管理平台配置事件的过滤规则对归一化事件进行过滤，过滤后的单一个别事件直接与内置安全规则进行匹配，过滤后的归一化事件会进入到事件队列步骤中；步骤三：与内置安全规则进行匹配的单一事件当与内置安全规则中的规则有所符合，与其匹配的单一事件就会产生报警；步骤四：过滤后的归一化事件的安全事件会进行事件队列的系统处理，事件队列后的安全事件会进入到关联分析引擎中进行关联分析，利用关联规则分析处理事件队列中的归一化事件，通过关联规则进行判断，当符合关联规则的归一化事件会产生报警。

技术领域

本发明涉及网络安全领域，尤其是涉及一种基于归一化事件格式的关联分析报警方法。

背景技术

由于网络安全技术的快速发展，防火墙、入侵防御系统、入侵检测系统、漏洞扫描系统、堡垒机等各类安全设备飞速发展，这无疑给安全管理平台对各类安全设备进行集中监管、对大量安全事件进行统一采集和分析并产生准确有效的报警带来了巨大困难。

目前的安全管理平台的报警方法通过系统内置网络报警规则，根据收集到的归一化事件本身匹配报警规则，能够匹配则产生报警。这种方法只能针对单一事件进行分析处理，不能对复杂的关联到多个事件的安全事件进行有效判断，从而可能错失安全报警。另外现在安全设备品牌种类繁多，安全管理平台不能有效挖掘收集的事件也是对信息的巨大浪费。本发明的关联分析引擎能够对收集到的安全事件进行充分挖掘和关联分析，发现安全隐患并及时报警，提升网络安全防护的层次。

发明内容

本发明为克服上述情况不足，旨在提供一种能解决上述问题的技术方案。

一种基于归一化事件格式的关联分析报警方法，在安全管理平台的防勒索病毒安全操作中，包括以下步骤：

步骤一：将网络上的各种安全事件进行收集，而后将收集到的所有安全事件进行解析并转化为统一的格式，等待进一步的处理；

步骤二：将收集并且统一格式后的安全事件通过安全管理平台配置事件的过滤规则对归一化事件进行过滤，过滤后的单一个别事件直接与内置安全规则进行匹配，过滤后的归一化事件会进入到事件队列步骤中；

步骤三：与内置安全规则进行匹配的单一事件当与内置安全规则中的规则有所符合，与其匹配的单一事件就会产生报警，当单一事件当与内置安全规则中的规则不相互匹配时，侧不会引发报警，同时会计入到日志中进行储存；

步骤四：过滤后的归一化事件的安全事件会进行事件队列的系统处理，事件队列后的安全事件会进入到关联分析引擎中进行关联分析，关联分析引擎会加载配置中的关联规则，利用关联规则分析处理事件队列中的归一化事件，通过关联规则进行判断，当符合关联规则的归一化事件会产生报警，当不符合关联规则的归一化事件侧不会引发报警，同时会计入到日志中进行储存。

作为本发明进一步的方案：所述步骤三中：内置安全规则是根据安全管理平台所提高的规则信息进行制定的。

作为本发明进一步的方案：所述步骤四中：关联规则是根据关联规则算法根据已发生的安全事件进行分析运算得出的。

与现有技术相比，本发明的有益效果是：解决了原有的安全管理平台只能针对单一事件进行处理分析报警的问题，提高了安全管理平台在归一化事件处理的手段，有效的对安全事件进行关联多个事件的安全事件进行有效的判断，从而避免了发生安全事件当因系统没有检测到而没有进行有效报警的情况发生，提高安全管理平台的安全性。

本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明