[发明专利]一种网络安全事件分析方法、装置、电子设备及存储介质

说明书

本发明的实施例公开一种网络安全事件分析方法、装置、电子设备及存储介质，涉及计算机网络安全技术领域，能够解决现有网络安全事件分析方法只是基于服务器或设备的日志进行分析，无法获取被攻击前网络安全事件中的恶意代码的相关信息，不利于溯源分析的问题。所述网络安全事件分析方法包括获取网络安全事件的威胁指标信息，在所有主机内部检索威胁指标信息以获取网络安全事件中所有受害主机的基本信息和威胁指标对应的时间信息，根据所有受害主机的基本信息和威胁指标对应的时间信息分析出网络安全事件的定位信息，以根据定位信息对网络安全事件进行溯源，本发明通过多时间维度互相对照，完善恶意代码画像，从而提升对该恶意代码的防范。

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种网络安全事件分析方法、装置、电子设备及存储介质。

背景技术

网络安全事件是人为或者软硬件本身缺陷或故障所导致的，对城域网重点保护单位信息系统构成了潜在的危害，甚至影响到信息系统正常提供服务。目前网络安全事件分析方法，主要是针对安全事件后对某一个服务器或者设备进行取证，比如，人工查看被攻击服务器或设备的日志。现有网络安全事件分析方法基于服务器或设备的日志进行分析，仅能分析出被攻击的时间，无法分析出服务器或设备被攻击前网络安全事件中的恶意代码的相关信息，不利于恶意代码的溯源分析。

发明内容

有鉴于此，本发明实施例提供一种网络安全事件分析方法、装置、电子设备及存储介质，以解决现有网络安全事件分析方法只是基于服务器或设备的日志进行分析，无法获取被攻击前网络安全事件对应的恶意代码的相关信息，不利于溯源分析的问题。

第一方面，本发明实施例提供一种网络安全事件分析方法，应用于电子设备，包括：

获取网络安全事件的威胁指标信息；

在所有主机内部检索所述威胁指标信息以获取所述网络安全事件中所有受害主机的基本信息和威胁指标对应的时间信息；

根据所述所有受害主机的基本信息和威胁指标对应的时间信息分析出所述网络安全事件的定位信息，以根据所述定位信息对所述网络安全事件进行溯源。

根据本发明实施例的一种具体实现方式，所述网络安全事件的威胁指标信息，包括：

恶意代码创建主机的威胁指标信息和/或受害主机的威胁指标信息；

所述恶意代码创建主机的威胁指标信息包括网络安全事件对应恶意代码的进程名、恶意代码所在文件的文件名、恶意代码所在文件的文件路径和注册表键值中的一种或多种。

根据本发明实施例的一种具体实现方式，所述受害主机的基本信息，包括：

主机名称、MAC地址和IP地址中的至少一种。

根据本发明实施例的一种具体实现方式，还包括：

对威胁指标对应的时间信息进行过滤，筛选出与所述网络安全事件相关的威胁指标对应的时间信息。

进一步的，所述威胁指标对应的时间信息，包括：

所有受害主机恶意代码创建注册表时间、创建计划任务时间、访问域名时间、访问IP时间、文件执行时间、文件最近打开时间，日志中powershell执行时间和IP登录时间。

根据本发明实施例的一种具体实现方式，根据所述所有受害主机的基本信息和威胁指标对应的时间信息分析出所述网络安全事件的定位信息，包括：

对所有受害主机的威胁指标对应的时间进行统计和排序；

根据统计和排序结果确定最早感染恶意代码的受害主机；

根据所述最早感染恶意代码的受害主机的威胁指标对应的时间信息确定所述网络安全事件的定位信息。