[发明专利]一种提升蜜罐系统告警输出精准性的方法及系统

权利要求书

1.一种提升蜜罐系统告警输出精准性的方法，其特征在于，提供一云资源系统，所述云资源系统中包括多个安全日志采集源，所述云资源系统还部署有一蜜罐系统，所述方法进一步包括：

步骤S1，于所述多个安全日志采集源中提取安全事件日志，并提取所述安全事件日志中记录的第一安全告警事件；

步骤S2，根据所述安全事件日志对所述第一安全告警事件添加特征标签，所述特征标签包括时序特征标签，IP地址特征标签和攻击类型特征标签；

步骤S3，提取所述蜜罐系统采集的攻击日志数据，并提取所述攻击日志数据中的第二安全告警事件；

步骤S4，根据所述时序特征标签判断所述第二安全告警事件发生的时间节点附近是否存在相应的所述第一安全告警事件：

若存在，则转向步骤S5；

若不存在，则退出；

步骤S5，根据所述IP地址特征标签判断所述第二安全告警事件发生的IP地址对应的水平方向IP地址空间是否存在相应的所述第一安全告警事件：

若存在，则转向步骤S6；

若不存在，则退出；

步骤S6，根据所述攻击类型特征标签判断是否存在与所述第二安全告警事件攻击类型相同的所述第一安全告警事件：

若存在，则转向步骤S7；

若不存在，则退出；

步骤S7，采集所述云资源系统中各个应用程序与IP地址之间对应关系，并根据所述对应关系为所述第二安全告警事件添加详细的业务描述和全面基础信息，随后作为所述蜜罐系统告警进行输出；

所述安全日志采集源包括一业务系统和至少一个网络安全设备；

则所述步骤S1中提取所述安全事件日志的方法包括：通过一日志文本聚合检索平台采集所述业务系统中非蜜罐节点设备的主机安全日志和所述网络安全设备的安全日志。

2.根据权利要求1所述的提升蜜罐系统告警输出精准性的方法，其特征在于，所述多个安全日志采集源包括一业务系统和至少一个网络安全设备，所述安全事件日志包括从所述网络安全设备中采集的网络安全日志和从所述业务系统中采集的操作系统日志。

3.根据权利要求2所述的提升蜜罐系统告警输出精准性的方法，其特征在于，所述第一安全告警事件包括从所述网络安全日志中提取的攻击告警内容，以及从所述操作系统日志提取的攻击与异常登录尝试内容。

4.根据权利要求2所述的提升蜜罐系统告警输出精准性的方法，其特征在于，所述网络安全日志为IPS、和/或IDS、和/或WAF、和/或FW安全防护设备日志。

5.根据权利要求2所述的提升蜜罐系统告警输出精准性的方法，其特征在于，所述蜜罐系统由多个蜜罐节点组成，所述蜜罐节点通过虚拟机的方式部署于所述业务系统中。