[发明专利]用于关联事件来检测信息安全事故的系统和方法

权利要求书

1.一种用于关联事件来检测信息安全事故的方法，所述方法包括：

接收指示潜在安全性的违反的多个网络事件，其中，所述多个网络事件中的每个网络事件具有相应的时间戳；

基于每个相应的时间戳，从所述多个网络事件中识别在一段时间内已经发生的网络事件的子集；

针对所述网络事件的子集，确定多个潜在发生顺序；

将至少一个关联规则应用于所述多个潜在发生顺序中的每个相应的潜在发生顺序，其中，所述至少一个关联规则包括与所述信息安全事故相关联的至少一个网络事件发生顺序；以及

响应于确定满足所述至少一个关联规则，而检测到所述信息安全事故，

其中，如果所述网络事件的到达时间一致或者相差不超过给定值，则认为所述网络事件的时间一致，并且所述多个网络事件是从不同步的多个源设备接收的；

其中，确定满足所述至少一个关联规则包括：

将每个关联规则的所述至少一个网络事件发生顺序与每个相应的潜在发生顺序进行比较；以及

基于所述比较，确定所述至少一个网络事件发生顺序与至少一个潜在发生顺序之间的匹配性。

2.根据权利要求1所述的方法，其中，所述一段时间的长度小于确定连续的网络事件的准确发生顺序所需的、所述连续的网络事件之间的最小时间量。

3.根据权利要求1所述的方法，其中，从多个源设备接收所述多个网络事件，使得从所述多个源设备中的第一源设备至少接收所述多个网络事件中的第一网络事件并且从所述多个源设备中的第二源设备至少接收所述多个网络事件中的第二网络事件。

4.根据权利要求3所述的方法，其中，所述第一源设备的时钟与所述第二源设备的时钟不同步。

5.根据权利要求3所述的方法，其中，所述第一源设备的事件检测速度小于所述第二源设备的事件检测速度。

6.根据权利要求1所述的方法，所述方法还包括：响应于确定所述多个潜在发生顺序中的任一者都不满足所述至少一个关联规则而未检测到所述信息安全事故。

7.一种用于关联事件来检测信息安全事故的系统，所述系统包括硬件处理器，所述硬件处理器被配置成：

接收指示潜在安全性的违反的多个网络事件，其中，所述多个网络事件中的每个网络事件具有相应的时间戳；

基于每个相应的时间戳，从所述多个网络事件中识别在一段时间内已经发生的网络事件的子集；

针对所述网络事件的子集，确定多个潜在发生顺序；

将至少一个关联规则应用于所述多个潜在发生顺序中的每个相应的潜在发生顺序，其中，所述至少一个关联规则包括与所述信息安全事故相关联的至少一个网络事件发生顺序；以及

响应于确定满足所述至少一个关联规则，而检测到所述信息安全事故，

其中，如果所述网络事件的到达时间一致或者相差不超过给定值，则认为所述网络事件的时间一致，并且所述多个网络事件是从不同步的多个源设备接收的；

其中，确定满足所述至少一个关联规则包括：

将每个关联规则的所述至少一个网络事件发生顺序与每个相应的潜在发生顺序进行比较；以及

基于所述比较，确定所述至少一个网络事件发生顺序与至少一个潜在发生顺序之间的匹配性。

8.根据权利要求7所述的系统，其中，所述一段时间的长度小于确定连续的网络事件的准确发生顺序所需的、所述连续的网络事件之间的最小时间量。

9.根据权利要求7所述的系统，其中，从多个源设备接收所述多个网络事件，使得从所述多个源设备中的第一源设备至少接收所述多个网络事件中的第一网络事件并且从所述多个源设备中的第二源设备至少接收所述多个网络事件中的第二网络事件。

10.根据权利要求9所述的系统，其中，所述第一源设备的时钟与所述第二源设备的时钟不同步。