[发明专利]安全告警日志降噪方法、装置、设备及存储介质

权利要求书

1.一种安全告警日志降噪方法，其特征在于，包括：

按第一时间窗口，对原始告警日志进行分组，获得第一告警集合；

按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合；

基于所述第二告警集合的所述第一时间窗口内告警日志总数以及事件速率，筛选所述第二告警集合；

对经筛选的第二告警集合：

按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列；

按每一事件，生成事件时间标签序列；

按原子安全事件，合并所述事件时间标签序列，形成时间序列集合；

根据所述时间序列集合形成经降噪的告警日志。

2.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述第二告警集合以告警日志的源地址、目的地址、事件类型、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第二告警集合中原始告警日志的数量为标签生成第一告警日志。

3.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述基于所述第二告警集合的所述第一时间窗口内事件总数以及事件速率，筛选所述第二告警集合包括：

保留所述第一时间窗口内事件总数大于第一设定阈值，且所述第一时间窗口内的事件速率大于第二设定阈值的第二告警集合。

4.根据权利要求3所述的安全告警日志降噪方法，其特征在于，所述第二告警集合在所述第一时间窗口内的事件速率为所述第二告警集合在所述第一时间窗口内事件总数/(该第一时间窗口内最晚的时间标签-该第一时间窗口内最早的时间标签)。

5.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述根据所述时间序列集合形成经降噪的告警日志包括：

当所形成的事件序列集合为一个时，以告警日志的源地址、目的地址、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第一告警集合中原始告警日志的数量为标签生成经降噪的告警日志；

将经降噪的告警日志的事件类型设置为综合工具攻击尝试。

6.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述根据所述时间序列集合形成经降噪的告警日志包括：

根据相邻的所述时间序列集合的平均事件速率判断相邻的所述时间序列集合是否相关；

若否，则将该相邻的时间序列集合标记为两个独立的安全事件。

7.根据权利要求6所述的安全告警日志降噪方法，其特征在于，所述时间序列集合的平均事件速率为所述时间序列集合中各事件时间标签序列的事件速率的平均值。

8.一种安全告警日志降噪装置，其特征在于，包括：

第一分组模块，配置成按第一时间窗口，对原始告警日志进行分组，获得第一告警集合；

第二分组模块，配置成按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合；

筛选模块，配置成基于所述第二告警集合的所述第一时间窗口内告警日志总数以及事件速率，筛选所述第二告警集合；

切分模块，配置成对经筛选的第二告警集合，按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列；

第一生成模块，配置成对经筛选的第二告警集合，按每一事件，生成事件时间标签序列；

合并模块，配置成按原子安全事件，合并所述事件时间标签序列，形成时间序列集合；

告警日志生成模块，配置成根据所述时间序列集合形成经降噪的告警日志。

9.一种安全告警日志降噪处理设备，其特征在于，包括：

处理器；

存储器，其中存储有所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1至7任意一项所述安全告警日志降噪方法的步骤。

10.一种计算机可读存储介质，用于存储程序，其特征在于，所述程序被执行时实现权利要求1至7任意一项所述安全告警日志降噪方法的步骤。