[发明专利]一种网络安全数据关联分析方法、装置、设备及存储介质

说明书

本发明公开了一种网络安全数据关联分析方法、装置、设备及存储介质，该方法包括：采集能够表示网络当前安全情况的数据为样本，依据预设的业务逻辑从所述样本中抽取相应的信息为知识，并利用所述知识构建知识图谱；从预设的每个规则中分别提取特征，得到相应的规则特征；其中，所述规则为表示所述网络存在安全威胁的数据；对所述知识图谱进行深度搜索，如果搜索到所述知识图谱中存在与任意规则特征相匹配的知识，则为与任意规则特征相匹配的知识标识风险。本申请能够减少网络安全分析时间的同时，提高网络安全分析的准确性及有效性。

技术领域

本发明涉及网络安全技术领域，更具体地说，涉及一种网络安全数据关联分析方法、装置、设备及存储介质。

背景技术

网络安全相关数据多样且复杂，包括安全威胁情报数据、脆弱性信息、网络环境资产数据、网络安全事件数据、安全事件响应专家知识等。现有技术在实现对网络安全相关数据的分析时，通常是由分析师人工分别对每种网络安全相关数据进行分析，但是这种分别分析的方法导致安全分析结果片面，经常存在大量误报，不仅浪费分析师宝贵的时间，还极有可能将真正的安全威胁淹没。

发明内容

本发明的目的是提供一种网络安全数据关联分析方法、装置、设备及存储介质，能够减少网络安全分析时间的同时，提高网络安全分析的准确性及有效性。

为了实现上述目的，本发明提供如下技术方案：

一种网络安全数据关联分析方法，包括：

采集能够表示网络当前安全情况的数据为样本，依据预设的业务逻辑从所述样本中抽取相应的信息为知识，并利用所述知识构建知识图谱；

从预设的每个规则中分别提取特征，得到相应的规则特征；其中，所述规则为表示所述网络存在安全威胁的数据；

对所述知识图谱进行深度搜索，如果搜索到所述知识图谱中存在与任意规则特征相匹配的知识，则为与任意规则特征相匹配的知识标识风险。

优选的，利用所述知识构建知识图谱之前，还包括：

如果当前时刻之前已经构建得到多个连续的时间周期的知识图谱，则将该多个知识图谱拟合得到一个时间周期的图谱基线；

对应的，利用所述知识构建知识图谱之后，还包括：

将当前构建得到的知识图谱与所述图谱基线进行比对，如果比对到当前构建得到的知识图谱存在与所述图谱基线之间不同的知识，则为与所述图谱基线之间不同的知识标识风险。

优选的，依据预设的业务逻辑从所述样本中抽取相应的信息为知识，包括：

如果所述样本为日志数据，则对所述日志数据进行正则匹配和/或分词处理，得到相应的结构化数据为知识；

如果所述样本为流量数据，则对所述流量数据进行正则匹配和/或字段提取，得到相应的结构化数据为知识。

优选的，利用所述知识构建知识图谱之前，还包括：

将所述知识进行去重处理，并将所述知识中含义相同的不同名称均替换为表示相应含义的统一名称。

优选的，利用所述知识构建知识图谱，包括：

确定与当前场景对应的本体模型为当前模型，并将所述知识导入至当前模型，得到相应的知识图谱。

优选的，将多个知识图谱拟合得到一个时间周期的图谱基线，包括：

对需要实现拟合的多个知识图谱进行时间叠加去重处理；

对进行时间叠加去重处理后的多个知识图谱进行分析，得到该多个知识图谱之间的差异，指示外界处理得到的差异，得到一个时间周期的图谱基线。

优选的，为相应的知识标识风险，包括：