[发明专利]一种知识图谱驱动的网络安全日志审计分析方法

权利要求书

1.一种知识图谱驱动的网络安全日志审计分析方法，其特征在于，包括以下步骤：

S1、配备网络安全审计设备；

S2、获取网络安全审计设备的日志数据；

S3、对S2中的日志数据区分来源并处理，实现网络日志的知识抽取；

S4、获取网络安全等级测评数据；

S5、将等级测评数据和等级保护定级备案数据进行数据整合，实现数据增益，支撑全文检索；

S6、通过知识推理和知识融合，针对S3日志中解析的结构化字段进行本体构建和S5中的数据增益，形成网络安全日志知识图谱；

S7、将S6中分散的多样化安全事件信息进行综合统一分析处理，从分散的事件源中集中收集、规范、聚集、关联事件日志数据，构建网络安全等级保护日志知识图谱，将网络安全等级保护日志知识图谱中的数据进行区分编号；

S8、将服务器、网络设备和安全设备作为本体构建节点，将业务数据流作为连接两个节点的关系，业务数据流的方向作为关系的方向，对所有实时数据进行区分编号；

S9、将网络日志与网络安全等级保护日志知识图谱比对，输出比对分析结果。

2.根据权利要求1所述的知识图谱驱动的网络安全日志审计分析方法，其特征在于，S1步骤中，网络安全审计设备包括运维审计设备、数据库审计设备、行为审计设备、网络审计设备、应用审计设备和日志审计设备；运维审计主要针对运维人员对被管理信息资产操作进行记录和管理，通常还有账号管理功能，数据库审计对用户访问数据库行为的记录、分析和汇报，用来帮助用户事后生成合规报告、事故追根溯源，同时加强内外部网络行为记录，提高数据资产安全，行为审计主要是记录用户互联网上网行为，顺便对用户带宽、非法站点、访问时长进行综合管理，网络审计通过网络数据的采集、分析、识别，实时动态监测通信内容、网络行为和网络流量，发现和捕获各种敏感信息、违规行为，实时报警响应，全面记录网络系统中的各种会话和事件，应用审计对业务人员访问应用系统的行为进行解析、分析、记录、汇报，以帮助用户事前规划预防、事中实时监视、违规行为响应、事后合规报告、事故追踪溯源，加强内外部网络行为监管、促进核心资产的正常运营，日志审计对自身运行情况了解、对BUG问题及从日志视角看运维操作。

3.根据权利要求1所述的知识图谱驱动的网络安全日志审计分析方法，其特征在于，S2步骤中，网络日志分为四类，安全管理中心日志、安全计算环境日志、安全区域边界日志和安全通信网络日志。

4.根据权利要求1所述的知识图谱驱动的网络安全日志审计分析方法，其特征在于，S3步骤中，数据处理包括数据有效性验证、规范化、丰富化和打标签。

5.根据权利要求1所述的知识图谱驱动的网络安全日志审计分析方法，其特征在于，S5步骤中，等级保护定级备案根据受侵害的对象和受侵害对象的侵害程度将资产划分为五个等级，一级表示重要程度最轻，五级表示重要程度最高。

6.根据权利要求1所述的知识图谱驱动的网络安全日志审计分析方法，其特征在于，S7步骤中，将服务器、网络设备和安全设备分别标记为E、F、G，服务器下面的子服务器标记为E1、E2、E3...En，n为大于等于1的正整数，具体的网络设备标记为F1、F2、F3...Fn，n为大于等于1的正整数，具体的网络设备标记为G1、G2、G3...Gn，n为大于等于1的正整数，网络安全等级保护日志知识图谱中的数据编号为三维坐标形式，以E1，F1，H为例的数据编号为例，第一位表示数据的发出节点，F1表示数据的接收节点，其中H表示网络安全等级保护日志知识图谱中数据的详细信息，即表示从E1服务器发出被F1网络设备接收的数据。