[发明专利]告警日志处理方法、装置、设备及存储介质

说明书

本发明属于计算机技术领域，公开了一种告警日志处理方法、装置、设备及存储介质。本发明通过根据目标设备的告警日志确定威胁行为信息及告警标识信息；获取告警标识信息对应的告警累计分值及事件生成阈值，并根据威胁行为信息确定所述告警日志对应的告警类型及威胁等级；根据告警类型及威胁等级对告警累计分值进行调整，获得当前告警分值；若当前告警分值大于或等于事件生成阈值，则根据告警类型及告警标识信息生成告警事件，并将所述告警事件进行展示。由于会根据告警日志对告警累计分值进行累计，在告警累计分值大于或等于事件生成阈值时生成告警事件并展示，使得管理人员不必关注复杂的日志，根据告警事件即可快速响应网络安全事件。

技术领域

本发明涉及计算机技术领域，尤其涉及一种告警日志处理方法、装置、设备及存储介质。

背景技术

为了应对日益严峻的网络安全形势，公司一般根据各种需求装备数量、种类众多的安全设备，比如入侵检测(intrusion detection system，IDS)设备、入侵预防(Intrusion Prevension System，IPS)设备、分布式拒绝服务(Distributed Denial ofService，DDoS)设备、网站应用级入侵防御(Web Application Firewall，WAF)设备、流量清洗设备等。但不同的安全设备之间没有协同机制，在发生攻击事件时，往往各自进行告警，产生了海量的告警日志，网络安全运维人员需要花费时间理解不同厂家不同格式的告警日志，在海量的告警日志中进行查询筛选、关联分析，然后进行手动处置。因此发生网络攻击事件后，容易在定位、确认、处置环节出现响应不及时或者响应滞后，导致错过网络安全事件处置的最佳时段。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供一种告警日志处理方法、装置、设备及存储介质，旨在解决现有技术告警日志处理缓慢，导致对攻击事件的响应不及时的技术问题。

为实现上述目的，本发明提供了一种告警日志处理方法，所述方法包括以下步骤:

根据目标设备的告警日志确定威胁行为信息及告警标识信息；

获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级；

根据所述告警类型及所述威胁等级对所述告警累计分值进行调整，获得当前告警分值；

若所述当前告警分值大于或等于所述事件生成阈值，则根据所述告警类型及所述告警标识信息生成告警事件，并将所述告警事件进行展示。

可选的，所述获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级的步骤之前，还包括：

检测所述告警标识信息是否存在对应的告警事件；

若不存在对应的告警事件，则执行所述获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级的步骤。

可选的，所述检测所述告警标识信息是否存在对应的告警事件的步骤之后，还包括：

若存在对应的告警事件，则检测所述告警事件是否存在对应的事件研判结果；

若存在对应的事件研判结果，则获取所述告警事件对应的处置缓冲时段；

判断当前时刻是否处于所述处置缓冲时段；

在当前时刻不处于所述处置缓冲时段时，执行所述获取所述告警标识信息对应的告警累计分值及事件生成阈值，并根据所述威胁行为信息确定所述告警日志对应的告警类型及威胁等级的步骤。