[发明专利]基于大数据和AI驱动的安全编排及响应系统及其方法

说明书

本发明公开基于大数据和AI驱动的安全编排及响应系统及其方法，利用精密编排形成安全剧本，通过人工或自动化方式调整剧本，有限的面对多变的安全威胁和网络攻击。工单流与案件管理提供了高效的效应处置能力，提供安全团队的协同化、流程化的处理，并且保证了响应过程可记录、可度量、可考核。告警与智能处置提供了现代化的网络威胁处置方式，提高了网络安全威胁的响应处置时间，初步具备让网络攻击攻不进，入侵后寸步难行、无处容身。大数据的技术有效的提高了安全风险和网络威胁的识别率，进行有效的溯源和关联分析，提供了更多有效的研判线索和证据。

技术领域

本发明涉及网络安全技术领域，尤其涉及基于大数据和AI驱动的安全编排及响应系统及其方法。

背景技术

传统的安全运营管理中心在网络空间和物联空间的安全威胁的复杂性不断增加，使得传统的手段已经不能满足安全运营的要求，主要有以下问题：低质量的警报和情报导致的告警疏漏和告警疲惫；安全工具零散、流程过于碎片化，事件检测和响应的周期很长，往往安全事件已经结束，才响应流程还没走完；数据量太大，安全分析效率太低；情报交流少，很难从公共资源获取有效的情报；安全方面人才短缺等问题。

发明内容

本发明的目的在于提供基于大数据和AI驱动的安全编排及响应系统及其方法。

本发明采用的技术方案是：

基于大数据和AI驱动的安全编排及响应系统，其包括以下模块：

安全分析模块：兼容获取各多种外部数据源，具备多样算子模型进行实时分析和统计分析；

安全编排与自动化模块：对安全能力和安全事件进行相应的处理形成剧本库，基于剧本库工单生成对应工单，通过工单对安全任务进行流转、处置，以方便进行统一的调度、管理；

安全运营管理模块：包括案件管理模块、告警管理模块和工单管理模块，具备告警管理实现告警关联取证，工单管理实现工单的统一调度和管理，案件管理与安全编排结合，以便溯源取证调查；

进一步地，作为一种优选实施方式，安全编排与自动化模块具备自学习能力并提供可编辑并嵌入工单引擎。

基于大数据和AI驱动的安全编排及响应方法，其包括以下步骤：

步骤1、采集多源数据通过实时分析和统计分析形成安全事件，

步骤2、安全精密编排：对安全能力和安全事件进行相应的处理形成剧本库；

步骤3、基于剧本库工单生成对应工单，通过工单对安全任务进行流转、处置，以方便进行统一的调度、管理；

步骤4、对已经真实发生的安全事件形成案件，同时对安全事件进行告警，对告警进行安全编排或处置。

进一步地，作为一种优选实施方式，步骤1中通过ftp、syslog、http、webservice方式对源数据进行采集。

进一步地，作为一种优选实施方式，步骤1中实时数据通过kafka写入HDFS得到实时数据，且实时数据通过kafka推送给spark进行实时分析，并通过HIVE对全量数据进行统计分析形成安全事件。

进一步地，作为一种优选实施方式，步骤2具体包括以下步骤：

步骤2.1、对安全能力进行集约化管理，对安全能力进行精密编排，形成剧本库；

步骤2. 2、对安全事件进行响应处理，通过机器学习模型，形成剧本库。

进一步地，作为一种优选实施方式，步骤4中通过告警管理对生成的告警进行透视，进行告警溯源，获取整个事件链或获悉用户行为。

进一步地，作为一种优选实施方式，步骤4中通过告警管理对生成的告警进行增强，让告警的真实性、有效性进行深度提升。