[发明专利]一种安全事件的可信度确定方法、装置及电子设备

说明书

本申请提供一种安全事件的可信度确定方法、装置及电子设备，可以通过针对指定时间段中当前时间片内每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与临界特征值确定流量特征属性对应的标记值。从所有指定安全事件中选择与当前时间片内流量行为相关的目标安全事件；并依据当前时间片内各流量特征属性对应的标记值、以及当前时间片内每一目标安全事件的安全事件状态信息确定在指定事件段中当前时间片内目标安全事件的可信度，进而可以动态地确定处目标安全事件的可信度，从而能够适应态势感知的动态场景，降低安全告警的误报率。

技术领域

本申请涉及安全管理技术领域，尤其涉及一种安全事件的可信度确定方法、装置及电子设备。

背景技术

安全管理平台所使用的态势感知，SOC，SIME等安全技术，均是以安全大数据为基础，对能够引起网络态势发生变化的要素进行获取、理解、评估、呈现以及对未来发展趋势进行预测。可见，上报到安全管理平台的安全告警是安全管理平台分析的基础。

安全告警的正确与否，对安全管理平台分析结果的准确性起着决定作用，若安全告警存在误报的现象，比如入侵防御系统IPS安全事件误报，这将会对后续的安全分析产生巨大的影响。虽然IPS尽可能的减少误报，但是鉴于 IPS采用的是静态规则，这也就意味着，其是无法适应态势感知的动态场景，进而产生较高的误报率。

发明内容

有鉴于此，本申请提供了一种安全事件的可信度确定方法、装置及电子设备，以在能够适应态势感知的动态场景，降低安全告警的误报率。

基于此，本申请是通过如下技术方案实现的：

一方面，本申请实施例提供一种安全事件的可信度确定方法，该方法包括：

获得指定时间段中当前时间片内至少一个流量特征属性对应的当前流量特征值；

针对获得的每一流量特征属性对应的当前流量特征值，依据已获得的前 N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，所述标记值用于指示异常或正常；

从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件；

依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在所述指定时间段中当前时间片内所述目标安全事件的可信度。

本申请的一个实施例中，所述依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，包括：

对已获得的前N个时间片内与该流量特征属性对应的流量特征值进行均值计算，得到该流量特征属性对应的基准值；

按照预设的3σ算法，对已获得的前N个时间片内与该流量特征属性对应的流量特征值进行计算，得到该流量特征属性对应的3σ值；

依据所述基准值和所述3σ值确定所述临界特征值。

本申请的一个实施例中，所述依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，包括：

比较所述当前流量特征值与所述临界特征值，如果所述当前流量特征值等于所述临界特征值，则将第一值确定为所述当前流量特征值的标记值，所述第一值用于指示正常；如果所述当前流量特征值大于或小于所述临界特征值，则将第二值确定为所述当前流量特征值的标记值，所述第二值用于指示异常。

本申请的一个实施例中，所述从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件，包括：