[发明专利]一种网络安全智能值班方法及系统

说明书

本发明涉及供电网络安全技术领域，提供一种网络安全智能值班方法及系统。S101、对网络安全防护设备的告警进行采集，生成网络安全告警信息，S102、将所采集的网络安全告警信息储存至数据库，S103、对数据库里的网络安全告警信息依据网络攻击的模式进行分类，S104、将不同类型的网络安全告警信息与相应的告警事件进行关联合并，S105、对合并后的网络安全告警信息进行审核，去除网络安全告警信息中的误告警信息或周期性告警信息。通过本申请提供的网络安全智能值班方法及系统，能够减轻值班人员压力，提高值班效率。二是能够降低值班人员专业技能门槛，提升告警研判准确率。

技术领域

本发明涉及供电网络安全技术领域，具体为一种网络安全智能值班方法 及系统。

背景技术

在电力行业中，通过通信技术实时监控电力系统的运行，实现了实时对 电力数据的获取，但是在各种供配电设备通过通信移动终端接入电网数据库 上传电网数据的同时也对电力网络安全防护体系造成极大的挑战。

由于目前各类安全防护工具产生的安全数据质量很低，需要大量的人工 分析大规模网络中安全数据更是数量巨大，一个100Mpbs接入的网络每小时 可产生10多万条告警信息，人工根本不可能及时处理。即使安全事件能够产 生告警，也往往湮灭在大量冗余告警中，如何有效的对网络安全告警进行处 置，提高告警质量是大规模网络安全防护亟待解决的问题。

发明内容

本发明为了去除大量冗余告警提高告警质量，特此提供一种网络安全智 能值班方法，包括以下步骤：

S101、对网络安全防护设备的告警进行采集，生成网络安全告警信息；

S102、将所采集的网络安全告警信息储存至数据库；

S103、对数据库里的网络安全告警信息依据网络攻击的模式进行分类；

S104、将不同类型的网络安全告警信息与相应的告警事件进行关联合并；

S105、对合并后的网络安全告警信息进行审核，去除网络安全告警信息 中的误告警信息或周期性告警信息。

优选地，对合并后的网络安全告警信息进行审核，去除网络安全告警信 息中的误告警信息或周期性告警信息的步骤具体包括：

S401、收集网络安全防护设备的告警；

S402、选取网络安全告警信息中告警比例到达设定阈值的告警类型；

S403、针对选定的告警类型，选取告警比例达到阈值的源IP或目的IP；

S404、统计选取告警的时间序列，并求出各个告警时间序列的周期；

S405、对各个告警序列产生的周期进行假设检验，确定周期性告警；

S406、去除周期性告警。

优选地，对数据库里的网络安全告警信息依据网络攻击的模式进行分类 的步骤包括：

依据网络攻击的模式，将网络攻击分为多个源IP地址到目的IP地址的分 布式攻击、一个源IP地址到多个目的IP地址的攻击和单个源IP地址到单个 目的IP地址的入侵攻击。

优选地，网络安全告警信息包括告警规则、源IP地址、目的IP地址、源 端口和目的端口；

数据库采用Mongodb数据库；

网络安全防护设备包括入侵防御系统、流量探针和防火墙。

本发明还提供一种网络安全智能值班系统，系统执行上述网络安全智能 值班方法；

系统包括数据处理终端和网络安全防护设备；