[发明专利]告警日志处理方法、装置、设备及存储介质

权利要求书

1.一种告警日志处理方法，其特征在于，所述告警日志处理方法包括以下步骤：

根据目标设备的告警日志确定威胁行为信息及告警标识信息；

获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级，所述事件生成阈值为用于判定是否需要产生告警事件的分值；

根据所述告警类型及所述威胁等级对所述告警累计分值进行调整，获得当前告警分值；

若所述当前告警分值大于或等于所述事件生成阈值，则根据所述告警类型及所述告警标识信息生成告警事件，并将所述告警事件进行展示。

2.如权利要求1所述的告警日志处理方法，其特征在于，所述获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级的步骤之前，还包括：

检测所述告警标识信息是否存在对应的告警事件；

若不存在对应的告警事件，则执行所述获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级的步骤。

3.如权利要求2所述的告警日志处理方法，其特征在于，所述检测所述告警标识信息是否存在对应的告警事件的步骤之后，还包括：

若存在对应的告警事件，则检测所述告警事件是否存在对应的事件研判结果；

若存在对应的事件研判结果，则获取所述告警事件对应的处置缓冲时段；

判断当前时刻是否处于所述处置缓冲时段；

在当前时刻不处于所述处置缓冲时段时，执行所述获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级的步骤。

4.如权利要求1所述的告警日志处理方法，其特征在于，所述若所述当前告警分值大于或等于所述事件生成阈值，则根据所述告警类型及所述告警标识信息生成告警事件，并将所述告警事件进行展示的步骤之后，还包括：

获取研判员为展示的所述告警事件设置的事件研判结果，并将所述告警累计分值清零；

若所述事件研判结果为第一研判结果，则获取阈值调整倍数，根据所述阈值调整倍数对所述告警标识信息对应的事件生成阈值进行调整。

5.如权利要求4所述的告警日志处理方法，其特征在于，所述获取研判员为展示的所述告警事件设置的事件研判结果，并将所述告警累计分值清零的步骤之后，还包括：

若所述事件研判结果为第二研判结果，则获取预设缓冲时长；

根据所述预设缓冲时长为所述告警事件设置处置缓冲时段，并为所述告警事件生成告警处置策略；

将所述告警处置策略进行展示；

接收运维人员基于展示的告警处置策略反馈的策略确认结果；

在所述策略确认结果为执行时，执行所述告警处置策略。

6.如权利要求1-5任一项所述的告警日志处理方法，其特征在于，所述根据所述告警类型及所述威胁等级对所述告警累计分值进行调整，获得当前告警分值的步骤之前，还包括：

检测所述威胁行为信息中是否存在目标关键字；

若所述威胁行为信息中存在目标关键字，则根据所述告警类型及所述告警标识信息生成告警事件，并将所述告警事件进行展示。

7.如权利要求1-5任一项所述的告警日志处理方法，其特征在于，所述根据所述告警类型及所述威胁等级对所述告警累计分值进行调整，获得当前告警分值的步骤，包括：

在预设分值映射表中查找所述告警类型及所述威胁等级对应的权值调整分值；

将所述告警累计分值与所述权值调整分值相加，获得当前告警分值。