[发明专利]基于态势感知的网络安全监控方法、装置、设备及介质

权利要求书

1.一种基于态势感知的网络安全监控方法，其特征在于，所述基于态势感知的网络安全监控方法包括：

收集原始数据，其中，所述原始数据包括安全态势数据和安全事件数据；

结合所述安全事件数据，对所述安全态势数据进行数据预处理并聚合分析，得到安全态势数据对应的特征值；

将所述特征值输入到预设的随机森林模型中，通过所述预设的随机森林模型，对所述特征值进行训练，得到所述特征值对应的目标分类；

基于所述目标分类和预设的事件发生条件，得到安全评估结果。

2.如权利要求1所述的基于态势感知的网络安全监控方法，其特征在于，所述安全态势数据包括差异数据和恶意数据，所述结合所述安全事件数据，对所述安全态势数据进行数据预处理并聚合分析，得到安全态势数据对应的特征值包括：

通过样本IP提取算法，从每个所述安全事件数据中，提取样本IP；

针对每个所述样本IP，查询RIR数据库，获取与所述样本IP相关的所有IP地址块，将所述样本IP和所述样本IP对应的IP地址块，作为一个聚合单元；

将每个所述聚合单元与所述安全态势数据进行聚合，得到聚合数据，并计算每个所述差异数据和每个所述恶意数据，命中所述聚合单元中包含的IP地址块的比例，得到所述特征值。

3.如权利要求2所述的基于态势感知的网络安全监控方法，其特征在于，所述通过样本IP提取算法，从每个所述安全事件数据中，提取样本IP包括：

从所述安全事件数据中，提取出与事件关联的每个初始站点；

针对每个所述初始站点的IP地址进行检测，若所述初始站点的IP地址为入侵点，则将所述初始站点的IP地址作为入侵IP，若所述初始站点的IP地址为被攻击的目标IP地址，则将所述初始站点的IP地址作为目标攻击IP；

将所述入侵IP和所述目标攻击IP，作为所述样本IP。

4.如权利要求1所述的基于态势感知的网络安全监控方法，其特征在于，所述将所述特征值输入到预设的随机森林模型中，通过所述预设的随机森林模型，对所述特征值进行训练，得到所述特征值对应的目标分类包括：

将所述特征值输入到预设的随机森林模型中；

通过所述预设的随机森林模型，计算每个所述特征值对应的基尼系数值；

根据得到的基尼系数值与预设维度数量，确定所述特征值在所述预设的随机森林模型中对应的决策树，作为目标决策树；

根据所述目标决策树，确定所述特征值对应的目标分类。

5.如权利要求1至4任一项所述的基于态势感知的网络安全监控方法，其特征在于，在所述将所述特征值输入到预设的随机森林模型中，通过所述预设的随机森林模型，对所述特征值进行训练，得到所述特征值对应的目标分类之前，所述基于态势感知的网络安全监控方法还包括：

根据所述安全事件数据中，攻击目标对应的特征数据，作为第一数据，并从非攻击目标对应的特征数据，作为第二数据；

根据所述第一数据的特征维度和所述第二数据的特征维度，生成所述预设的随机森林模型。

6.如权利要求5所述的基于态势感知的网络安全监控方法，其特征在于，所述根据所述第一数据的特征维度和所述第二数据的特征维度，生成所述预设的随机森林模型包括：

将所述第一数据和所述第二数据作为训练集，并使用随机抽样的方式从所述训练集中抽取训练样本，构建K个子训练集，其中，K为正整数；

针对每个所述子训练集，计算每个所述特征维度的信息熵和信息增益；

根据所述信息熵和所述信息增益，确定每个所述特征维度的信息增益比；

选取最大的信息增益比对应的特征维度作为分裂节点进行分裂，并返回所述针对每个所述子训练集，计算每个所述特征维度的信息熵和信息增益的步骤继续执行，直到每个所述特征维度均作为分裂点完成分裂为止，生成K棵决策树；

根据K棵所述决策树构造随机森林，得到所述预设的随机森林模型。

7.如权利要求1所述的基于态势感知的网络安全监控方法，其特征在于，所述方法还包括：将收集到的所述安全态势数据和所述安全事件数据存储至区块链中。