[发明专利]一种告警信息处理方法及装置

权利要求书

1.一种告警信息处理方法，其特征在于，所述方法包括：

提取待评级告警信息的告警类型、源IP地址和目的IP地址；

基于所述告警类型，查找告警类型与告警类型评级数值的对应关系表，确定反映所述告警类型出现频率的告警类型评级数值；其中，所述告警类型与告警类型评级数值的对应关系表，是基于历史威胁源库中不同的源IP地址数目及所述告警类型关联的源IP地址数目计算出的，用于表示每种告警类型出现频率，告警类型与越多数目的源IP地址关联出现，则威胁程度越低，告警类型评级数值对应越低，所述历史威胁源库为在预设时间段内的威胁源信息；

获取反映所述告警信息的威胁源是否首次出现的威胁源评级数值及反映IP地址信息关联威胁程度的IP地址信息评级数值；其中，所述告警类型与所述源IP地址组合的信息对为所述威胁源；

基于所述告警类型评级数值、所述威胁源评级数值及所述IP地址信息评级数值进行加权求和确定表示所述告警信息威胁程度的告警信息威胁等级，并基于所述告警信息威胁等级对所述告警信息进行排序。

2.如权利要求1所述的方法，其特征在于，所述获取所述IP地址信息评级数值包括：

基于所述源IP地址和所述目的IP地址及预设时间段内告警信息中的源IP地址和目的IP地址确定点集合与边集合，其中，所述点集合的元素为不同的所述源IP地址和所述目的IP地址，所述边集合的元素为不同的所述源IP地址与所述目的IP地址对；

基于所述点集合与所述边集合确定出表示所述源IP地址与所述目的IP地址对应关系的关联图谱；

基于所述关联图谱初始化所有IP地址等级评分值，并通过迭代方式计算出所有IP地址的等级评分值，确定所述源IP地址和所述目的IP地址等级评分值的平均值为所述IP地址信息的评级数值，所述IP地址信息的评级数值表征所述IP地址涉及告警事件的数量。

3.如权利要求1所述的方法，其特征在于，获取所述威胁源评级数值包括：

判断所述威胁源是否属于所述历史威胁源；

若所述威胁源属于所述历史威胁源，则设置所述威胁源评级数值为第一数值；若所述威胁源不属于所述历史威胁源，则设置所述威胁源评级数值为第二数值；

其中，所述第二数值大于所述第一数值。

4.一种告警信息处理装置，其特征在于，所述装置包括：

提取模块：用于提取待评级告警信息的告警类型、源IP地址和目的IP地址；

获取模块：用于基于所述告警类型，查找告警类型与告警类型评级数值的对应关系表，确定反映所述告警类型出现频率的告警类型评级数值；其中，所述告警类型与告警类型评级数值的对应关系表，是基于历史威胁源库中不同的源IP地址数目及所述告警类型关联的源IP地址数目计算出的，用于表示每种告警类型出现频率，告警类型与越多数目的源IP地址关联出现，则威胁程度越低，告警类型评级数值对应越低，所述历史威胁源库为在预设时间段内的威胁源信息；

所述获取模块还用于：获取反映所述告警信息的威胁源是否首次出现的威胁源评级数值及反映IP地址信息关联威胁程度的IP地址信息评级数值；其中，所述告警类型与所述源IP地址组合的信息对为所述威胁源；

排序模块：用于基于所述告警类型评级数值、所述威胁源评级数值及所述IP地址信息评级数值进行加权求和确定表示所述告警信息威胁程度的告警信息威胁等级，并基于所述告警信息威胁等级对所述告警信息进行排序。

5.如权利要求4所述的装置，其特征在于，所述获取模块具体用于：

基于所述源IP地址和所述目的IP地址及预设时间段内告警信息中的源IP地址和目的IP地址确定点集合与边集合，其中，所述点集合的元素为不同的所述源IP地址和所述目的IP地址，所述边集合的元素为不同的所述源IP地址与所述目的IP地址对；

基于所述点集合与所述边集合确定出所述源IP地址与所述目的IP地址对应关系的关联图谱；

基于所述关联图谱初始化所有IP地址等级评分值，并通过迭代方式计算出所有IP地址的等级评分值，确定所述源IP地址和所述目的IP地址等级评分值的平均值为所述IP地址信息的评级数值，所述IP地址信息的评级数值表征所述IP地址涉及告警事件的数量。