[发明专利]一种告警信息处理方法及装置

说明书

本申请公开了一种告警信息处理方法及装置，所述方法包括：提取待评级告警信息的告警类型、源IP地址和目的IP地址；在预设时间段内，获取反映所述告警类型出现频率的告警类型评级数值、反映所述告警信息的威胁源是否首次出现的威胁源评级数值及反映IP地址信息关联威胁程度的IP地址信息评级数值；基于所述告警类型评级数值、所述威胁源评级数值及所述IP地址信息评级数值进行加权求和确定表示所述告警信息威胁程度的告警信息威胁等级，并基于所述告警信息威胁等级对所述告警信息进行排序。应用本申请提供的方案可以，提高威胁事件响应速度。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种告警信息处理方法及装置。

背景技术

在网络流量日益增长的趋势下，网络攻击也越来越复杂，现有技术中，为了应对各种日益复杂的网络攻击，一般使用如入侵检测设备、防火墙设备、终端检测与响应设备等网络安全检测设备对网络、终端等进行实时监测，将网络攻击等异常情况以告警信息的形式输出，提供给网络安全运维人员，然而，采用这种方式检测网络安全会由于检测设备误报，检测策略不同等原因，导致安全检测设备产生大量的告警信息，而在有限的时间内网络安全运维人员无法快速的从大量的包括有误报的告警信息中定位出真正的网络威胁事件，降低了威胁事件响应的效率。

发明内容

本申请实施例提供了一种告警信息处理方法及装置，用于解决现有技术中当网络产生大量的告警信息时，网络安全运维人员、安全研究人员无法快速的基于大量的告警信息定位真实网络威胁事件的问题。

第一方面，提供一种告警信息处理方法，包括：

提取待评级告警信息的告警类型、源IP地址和目的IP地址；

获取反映所述告警类型出现频率的告警类型评级数值、反映所述告警信息的威胁源是否首次出现的威胁源评级数值及反映IP地址信息关联威胁程度的IP地址信息评级数值；其中，所述告警类型与所述源IP地址组合的信息对为所述威胁源；

基于所述告警类型评级数值、所述威胁源评级数值及所述IP地址信息评级数值进行加权求和确定表示所述告警信息威胁程度的告警信息威胁等级，并基于所述告警信息威胁等级对所述告警信息进行排序。

通过本申请提供的告警信息处理方法可以实现一段时间内，产生大量告警信息时，按照告警信息威胁的严重程度进行排序，排序后展示出的有序告警信息能使运维安全人员快速定位出网络中的真实威胁事件，提高安全运维人员、安全研究人员的工作效率，降低威胁事件的响应周期。

可选的，获取所述告警信息类型分值包括：

基于提取的所述告警类型查找所述告警类型与告警类型评级数值的对应关系表确定所述告警类型评级数值；

所述告警类型与评级数值的对应关系表基于历史威胁源库中不同的源IP地址数目及所述告警类型关联的源IP地址数目计算出表示所述告警信息类型出现频率的告警类型的评级数值而确定；

其中，所述历史威胁源库为在预设时间段内的威胁源信息。

通过获取历史威胁源库中不同源IP地址数目及某一告警类型关联的源IP地址总数，确定出每种告警类型出现的频率，从每种告警类型出现的频率角度确定出指示告警信息关联威胁程度的评级数值。

可选的，所述获取所述IP地址信息评级数值包括：

基于所述源IP地址和所述目的IP地址及预设时间段内告警信息中的源IP地址和目的IP地址确定点集合与边集合，其中，所述点集合的元素为不同的所述源IP地址和所述目的IP地址，所述边集合的元素为不同的所述源IP地址与所述目的IP地址对；

基于所述点集合与所述边集合确定出表示所述源IP地址与所述目的IP地址对应关系的关联图谱；