[发明专利]确定用于处理安全事件的剧本的方法、装置及存储介质

说明书

本申请公开了一种确定用于处理安全事件的剧本的方法、装置及存储介质，属于互联网安全技术领域。该方法包括：查找与待处理的安全事件的类型绑定的剧本；如果没有查找到，从案例数据库中确定与该安全事件的类型匹配的案例，从与该安全事件的类型匹配的案例包括的一个或多个剧本中确定用于处理该安全事件的剧本。由于案例数据库中每个案例用于指示针对属于同一个类型的历史安全事件执行的剧本，以及执行剧本后的处理结果，因此，对于当前待处理的安全事件，即使没有查找到与类型绑定的剧本，仍然可以通过案例数据库确定用于处理该安全事件的剧本，相对于需要通过人工方式编排针对该安全事件的剧本，本申请提供的方法显然可以提高获取剧本的效率。

技术领域

本申请涉及互联网安全技术领域，特别涉及一种确定用于处理安全事件的剧本的方法、装置及存储介质。

背景技术

随着互联网安全技术的发展，安全编排、自动化和响应(securityorchestration、automation、and response，SOAR)系统被越来越广泛地应用于处理安全事件。当将安全事件输入至SOAR系统之后，SOAR系统分析该安全事件，确定一个剧本(palybook)。该剧本包括一系列阻断策略。当SOAR系统执行该剧本时，可以控制与SOAR系统连接的多个网络安全设备执行这一系列阻断策略，以实现对该安全事件的处理。

当前，针对不同的安全事件类型，通过人工方式编排针对每个安全事件类型的剧本，得到安全事件类型与剧本的对应关系，然后将该对应关系存储在SOAR系统中。当SOAR系统接收到安全事件时，确定该安全事件的类型，然后根据该对应关系，选择与该安全事件的类型绑定的剧本，以处理该安全事件。

上述方法中，如果接收到安全事件的类型没有绑定的剧本，该安全事件仍然需要通过人工方式来编排剧本，从而导致确定剧本的效率太低。

发明内容

本申请提供了一种确定用于处理安全事件的剧本的方法、装置及计算机存储介质，可以提高确定用于处理安全事件的剧本的效率。所述技术方案如下：

第一方面，提供了一种确定用于处理安全事件的剧本的方法，该方法包括：查找与待处理的安全事件的类型绑定的剧本；在没有查找到与该安全事件的类型绑定的剧本的情况下，从案例数据库中确定与该安全事件的类型匹配的案例，案例数据库包括多个案例，每个案例包括一个类型、一个或多个剧本以及一个或多个剧本中每个剧本的处理结果，每个案例用于指示针对属于同一个类型的历史安全事件执行的剧本，以及执行剧本后的处理结果；从与该安全事件的类型匹配的案例包括的一个或多个剧本中确定用于处理该安全事件的剧本。

本申请提供的技术方案至少可以实现如下技术效果：

第一，设置案例数据库，由于案例数据库中每个案例用于指示针对属于同一个类型的历史安全事件执行的剧本，以及执行剧本后的处理结果，因此，对于当前待处理的安全事件，即使没有查找到与类型绑定的剧本，仍然可以通过案例数据库确定用于处理该安全事件的剧本，相对于需要通过人工方式编排针对该安全事件的剧本，本申请提供的方法显然可以提高确定剧本的效率。

第二，即使从案例数据库中确定的剧本不适用该安全事件，通过上述方法用户可以在从从案例数据库中确定的剧本的基础上编排针对该安全事件的剧本，相对于直接通过人工方式编排针对该安全事件的剧，本申请提供的方法仍然可以提高推荐剧本的效率。

在一种可能的示例中，从案例数据库中确定与该安全事件的类型匹配的案例，包括：从案例数据库中查找类型与安全事件的类型一致的案例，将查找到的案例作为与安全事件的类型匹配的案例。

由于案例数据库中每个案例用于指示针对属于同一个类型的历史安全事件执行的剧本，以及执行剧本后的处理结果，因此，案例数据库中极有可能存在类型与安全事件的类型一致的案例，这种情况下，便可直接将类型与安全事件的类型一致的案例中的剧本确定为用于处理该安全事件的剧本，提高了获取剧本的效率。