[发明专利]安全事件的检测方法、装置、电子设备及存储介质

权利要求书

1.一种安全事件的检测方法，其特征在于，包括以下步骤：

通过预设安全分析模型对待检测的目标事件的安全性进行打分，得到初始打分值；

当所述初始打分值大于目标分值阈值时，将所述目标事件设置为候选安全事件；

获取所述候选安全事件与误报数据库中对应的误报事件的相似度；

根据所述相似度判断所述候选安全事件是否为误报事件；

若不为误报事件，则将所述候选安全事件确定为目标安全事件。

2.根据权利要求1所述的安全事件的检测方法，其特征在于，所述方法还包括：

对预设时间段内的多个候选安全事件进行二次判断，以获取所述多个候选安全事件的误报率；

若所述误报率大于预设误报阈值，则对所述目标分值阈值进行调节直至误报率小于或等于所述预设误报阈值。

3.根据权利要求2所述的安全事件的检测方法，其特征在于，所述对所述目标分值阈值进行调节直至误报率小于或等于所述预设误报阈值的步骤包括：

将所述目标分值阈值上调预设幅度，得到第一分值阈值；

基于所述第一分值阈值对预设时间段内的多个候选安全事件进行二次判断，以获取所述多个候选安全事件中的新误报率；

若所述新误报率小于或等于所述预设误报阈值，则将所述第一分值阈值作为最终的目标分值阈值并结束调整；

若所述新误报率大于所述预设误报阈值，则判断所述第一分值阈值是否大于设定分值阈值，得到判断结果，并根据所述判断结果确定目标分值阈值。

4.根据权利要求3所述的安全事件的检测方法，其特征在于，所述根据所述判断结果确定目标分值阈值的步骤包括：

若所述第一分值阈值小于或等于设定分值阈值，则将所述第一分值阈值作为目标分值阈值并返回执行所述将所述目标分值阈值上调预设幅度，得到第一分值阈值的步骤；

若所述第一分值阈值大于设定分值阈值，则将所述第一分值阈值作为最终的目标分值阈值并结束调整。

5.根据权利要求1所述的安全事件的检测方法，其特征在于，所述方法还包括：

对预设时间段内的多个候选安全事件进行二次判断，以获取所述多个候选安全事件中的误报率；

若所述误报率大于预设误报阈值，则将所述多个候选安全事件中误报的候选安全事件提取出，得到至少一个误报事件；

基于所述至少一个误报事件对所述预设安全分析模型进行训练，直至误报率小于或等于所述误报阈值。

6.根据权利要求5所述的安全事件的检测方法，其特征在于，所述对预设时间段内的多个候选安全事件进行二次判断，以获取所述多个候选安全事件的误报率的步骤包括：

通过获取安全研究人员对所述候选安全事件进行二次分析的结果，得到误报事件的数量；

根据所述误报事件的数量以及候选安全事件的总量得到误报率。

7.根据权利要求1所述的安全事件的检测方法，其特征在于，所述根据所述相似度判断所述候选安全事件是否为误报事件的步骤包括：

当所述相似度小于预设相似阈值时，确定所述候选安全事件为非误报事件；

当所述相似度大于或等于所述预设相似阈值时，确定所述候选安全事件为误报事件。

8.根据权利要求7所述的安全事件的检测方法，其特征在于，所述获取所述候选安全事件与误报数据库中对应的误报事件的相似度的步骤包括：

获取候选安全事件中的特征参数，计算所述特征参数的局部敏感哈希值；

根据所述哈希值获取所述候选安全事件与对应类型的所述误报事件的相似度。

9.根据权利要求1所述的安全事件的检测方法，其特征在于，当所述候选安全事件为误报事件时，所述方法还包括：

根据所述候选安全事件对所述预设安全分析模型进行训练，以对预设安全分析模型进行更新。