[发明专利]一种确定电力监控系统安全事件的方法、装置及系统

说明书

本发明公开了一种确定电力监控系统安全事件的方法、装置及系统，包括：获取告警日志，所述告警日志中包含若干条告警记录；基于各条告警记录之间的关联对告警日志进行树状图建模，构建攻击树；对所述攻击树进行聚合处理后得到初始的攻击链集合；分别对所述初始的攻击链集合中的各个初始的攻击链进行剪枝和降噪，形成最终的攻击链集合，确定出电力监控系统安全事件。本发明能够自动化地对电力监控系统的告警数据进行有效分析，提取攻击事件，并以可视化的方式呈现出来，帮助网络管理员了解网络安全状态，便于及时作出安全处置措施，保障网络、数据及设备等安全。

技术领域

本发明属于电力监控系统技术领域，具体涉及一种确定电力监控系统安全事件的方法、装置及系统。

背景技术

现有安全事件的分析主要包括告警预处理和告警关联。告警预处理主要包括误报去除和告警聚合。安全设备的告警中经常存在着大量的误报，因此通常的安全分析系统为了提高攻击检测的准确率，会对其认为的低级别或误报告警进行去除。然而，电力系统生产环境需要很高的可靠性，去除误报实际上有可能将真正的告警去除。在进行告警聚合时，通常的做法是将具有相同告警内容源、目的IP进行聚合，形成超级告警，或者将具有相同源、目的IP的告警事件进行聚合，或者利用聚类的方式利用相似性聚合告警。以上的告警聚合方法都不能在电力监控系统中完全适用。通过告警内容进行聚合会隐藏IP信息，通过IP 进行聚合隐藏了攻击沿IP跳转的路径，而利用聚类的方式则更是将告警聚合交给了无监督学习，单纯通过告警相似性进行聚合很有可能将不同的攻击聚合在一起。

告警关联通常分为：基于相似度的关联方法、基于攻击序列的关联方法和基于攻击样例的关联方法；所述基于相似度的关联方法之的是设计算法计算告警之间相似度，并将相似度高的告警归为一个攻击场景之中，这种方法难以检测多步攻击事件；所述基于攻击序列的关联方法通常需要建立攻击模式库，然后根据模式库的定义在告警中匹配攻击行为，攻击模式库的构建又分为根据攻击知识库直接构建、根据系统漏洞构建潜在攻击图，这种方法在电网的告警数据和网络环境下都难以直接施行；所述基于攻击样例的关联方法中，攻击样例的关联方法主要利用统计概率学习样例中的攻击模式，通常使用的有贝叶斯模型、隐马尔科夫模型、关联规则模型等，使用该方法的前提是必须拥有含有攻击的样本。

可见，现有的告警预处理和告警关联安全分析方法在当前条件下都难以直接应用，需要针对电力监控系统的数据、环境以及需求做出适应性调整。

发明内容

针对上述问题，本发明提出一种确定电力监控系统安全事件的方法，能够自动化地对电力监控系统的告警数据进行分析，提取攻击事件，并以可视化的方式呈现出来，帮助网络管理员了解网络安全状态，便于及时作出安全处置措施，保障网络、数据及设备等安全。

为了实现上述技术目的，达到上述技术效果，本发明通过以下技术方案实现：

第一方面，本发明提供了一种确定电力监控系统安全事件的方法，包括：

获取告警日志，所述告警日志中包含若干条告警记录；

基于各条告警记录之间的关联对告警日志进行树状图建模，获得攻击树；

对所述攻击树进行聚合处理后得到初始的攻击链集合；

分别对所述初始的攻击链集合中的各个初始的攻击链进行剪枝，形成最终的攻击链集合，确定出电力监控系统安全事件。

优选地，所述获取告警日志，具体包括以下子步骤：

获取源告警日志；