[发明专利]一种网络安全设备联动处置方法及装置

说明书

本发明公开了一种网络安全设备联动处置方法，包括以下步骤：S1、建立多源网络安全设备原始告警日志与标准化日志的映射关系；S2、设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；S3、收集安全设备原始告警日志并对原始告警日志进行标准化；S4、根据收集的日志信息判断是否符合该安全场景下的关联分析规则，如果否，根据响应处置规则进行响应处置；如果是，转到步骤S3。还公开了一种网络安全设备联动处置装置，将多种安全设备协同联动，对出现的疑似网络攻击事件进行自动化的发现、研判、响应、处置。

技术领域

本发明涉及互联网安全技术领域，尤其是一种应用在电力系统互联网大区、信息内网、数据中心办公终端与服务器的多源网络安全设备日志处理方法及装置。

背景技术

随着电力行业泛在电力物联网建设，将电力用户及其设备，电网企业及其设备，发电企业及其设备，供应商及其设备，以及人和物连接起来，产生共享数据，为用户、电网、发电、供应商和政府社会服务；以电网为枢纽，发挥平台和共享作用，为全行业和更多市场主体发展创造更大机遇，提供价值服务。但是开放的网络和标准化的硬软件设施也带来了诸多的潜在的安全威胁，为很多不法分子用技术手段获取电网机密信息和用户信息提供了窗口。近年来，国内外网络安全形势不断发生变化，网络安全事件逐年增多，公司网络与信息安全面临的形势日益严峻复杂。为了应对日益严峻的网络安全形势，公司根据各种需求装备了数量、种类众多的安全设备。但不同的安全设备之间没有协同机制，在发生攻击事件时，往往各自进行告警，产生了海量的日志及告警，网络安全运维人员需要花费时间理解不同厂家不同格式的安全日志，在海量的告警日志中进行查询筛选、关联分析，然后进行手动处置。因此发生网络攻击事件后，容易在定位、确认、处置环节出现响应不及时或者响应滞后，导致错过网络安全事件处置的最佳时段，所以自动化的安全设备处置联动，实现网络攻击事件自动化分析研判、自动化响应、自动化处置具有重要意义。

目前，由于安全设备种类、数量众多，网络攻击分析研判、响应、处置都需要依赖较高水平的网络安全运维人员进行，一方面耗时耗人工，另一方面，运维人员精力有限，面对大量告警日志时，难以做到对所有告警进行分析，可能导致处置遗漏现象。致使在网络攻击研判、响应、处置过程中效率较低，具体问题如下：

(1)安全设备日志种类多

一个电力系统单位往往拥有几十台安全设备，涉及防火墙、WAF、IPS、IDS、APT、流量审计、终端准入、桌面管控等十几类，甚至可能涉及十几个几十个安全厂商，不同安全厂商往往都有各自的告警日志格式，甚至同一安全厂商不同类型的安全设备之间的日志格式也不尽相同。当出现攻击事件时，往往会导致在多台设备产生多条告警，网络安全运维人员需要理解不同的日志格式，然后进行关联查询、筛选、分析研判，然后进行网络攻击响应和攻击处置，网络攻击分析效率较低。

(2)缺乏自动化协同处置机制

目前网络攻击研判、响应、处置大多数依赖有经验的网络安全运维人员，依靠网络安全运维管理经验，对每台安全设备进行常态化网络安全巡检，发现网络攻击事件后人工处置。不同安全设备之间没有协同联动机制，没有自动化的分析研判、响应、处置流程，这对实施人员提出了很高要求的同时也增加了工作复杂度。

(3)网络攻击处置灵活性较差

由于网络安全设备众多，网络攻击处置基本网络安全运维人员的经验，标准化程度低，整个处置过程也没有完整的标准化日志记录，相同安全场景之间没有标准化的处置流程。

发明内容

本发明的目的是提供一种网络安全设备联动处置方法及装置，将多种安全设备协同联动，对出现的疑似网络攻击事件进行自动化的发现、研判、响应、处置。

为实现上述目的，本发明采用下述技术方案：

本发明第一方面提供了一种网络安全设备联动处置方法，包括以下步骤：