[发明专利]基于结构化事件数据搜索的网络安全检测方法和系统

权利要求书

1.一种基于结构化事件数据搜索的网络安全检测方法，其特征在于，包括：

根据可疑事件数据确定事件函数，并基于所述事件函数对结构化存储的事件数据集合执行查询，得到行为数据查询结果；

根据所述行为数据查询结果确定所述可疑事件数据对应有恶意行为，则针对所述恶意行为执行预设的安全操作；

其中，所述事件函数是根据所述可疑事件数据定位对应行为数据的查询函数；所述行为数据包括至少一个事件数据；所述结构化存储的事件数据集合是提取日志文件得到的。

2.根据权利要求1所述的基于结构化事件数据搜索的网络安全检测方法，其特征在于，所述可疑事件数据是通过预设的检测模型检测得到的、包括可疑项的事件数据；所述可疑项包括可疑IP和/或可疑事件类型；

所述针对所述恶意行为执行预设的安全操作的步骤包括：

根据ATTCK模型确定针对所述恶意行为的对抗行为；

将所述对抗行为作为安全操作并予以执行。

3.根据权利要求1所述的基于结构化事件数据搜索的网络安全检测方法，其特征在于，所述基于所述事件函数对结构化存储的事件数据集合执行查询，得到行为数据查询结果的步骤包括：

确定所述事件函数属于缓存事件函数集合，则根据所述事件函数调用缓存数据，得到行为数据查询结果；

所述缓存数据包括所述缓存事件函数集合中事件函数的行为数据查询结果。

4.根据权利要求1所述的基于结构化事件数据搜索的网络安全检测方法，其特征在于，还包括：

确定所述结构化存储的事件数据集合更新，则对应更新所述缓存数据。

5.根据权利要求1所述的基于结构化事件数据搜索的网络安全检测方法，其特征在于，所述结构化存储的事件数据集合中的事件数据包括事件任务ID项、事件时间项、事件类型项以及事件描述项；

所述事件任务ID项、事件时间项、事件类型项以及事件描述项是提取日志文件得到的，所述日志文件包括系统日志、数据库日志以及程序日志中的任一者或任多者组合。

6.根据权利要求5所述的基于结构化事件数据搜索的网络安全检测方法，其特征在于，所述结构化存储的事件数据集合的数据结构是以事件类型项为索引的B-Tree结构。

7.根据权利要求7所述的基于结构化事件数据搜索的网络安全检测方法，其特征在于，所述事件函数包括根据所述可疑事件数据确定的、待查询的事件类型项；

所述事件函数还包括至少一个条件项；所述条件项包括根据所述可疑事件数据确定的、待查询的事件任务ID项、事件时间项或者事件描述项；

多个所述条件项间通过与或非逻辑符号连接；

所述事件函数还包括至少一个聚合分析项；所述聚合分析项包括计数项、过滤项、时间排列项、事件类型排列项或者匹配度排列项；

所述计数项用于在行为数据查询结果中附加所述待查询的事件类型项的发生次数；所述过滤项用于在行为数据查询结果的基础上进行二次过滤；所述时间排列项、事件类型排列项、匹配度排列项分别用于以时间顺序、事件类型顺序、匹配度顺序展示所述行为数据查询结果。

8.一种基于结构化事件数据搜索的网络安全检测系统，其特征在于，包括：

查询模块，用于根据可疑事件数据确定事件函数，并基于所述事件函数对结构化存储的事件数据集合执行查询，得到行为数据查询结果；

安全模块，用于根据所述行为数据查询结果确定所述可疑事件数据对应有恶意行为，则针对所述恶意行为执行预设的安全操作；

其中，所述事件函数是根据所述可疑事件数据定位对应行为数据的查询函数；所述行为数据包括至少一个事件数据；所述结构化存储的事件数据集合是提取日志文件得到的。

9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至12任一项所述基于结构化事件数据搜索的网络安全检测方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至12任一项所述基于结构化事件数据搜索的网络安全检测方法的步骤。