[发明专利]基于结构化事件数据搜索的网络安全检测方法和系统

说明书

本发明涉及网络安全技术领域，提供一种基于结构化事件数据搜索的网络安全检测方法和系统。方法包括根据可疑事件数据确定事件函数，并基于所述事件函数对结构化存储的事件数据集合执行查询，得到行为数据查询结果；根据所述行为数据查询结果确定所述可疑事件数据对应有恶意行为，则针对所述恶意行为执行预设的安全操作；本发明通过基于事件和行为的网络安全检测，一方面避免了传统的失陷指标IOCs方案中检测脆弱和在发现未知攻击时无效的问题；另一方面降低了检索的语法复杂度和入门门槛；此外，基于结构化存储的事件数据集合，能够汇总融合不同数据来源的日志文件，使得多个数据源的聚合分析更为高效简便。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于结构化事件数据搜索的网络安全检测方法和系统。

背景技术

传统安全检测只关注失陷指标IOCs会导致检测脆弱和在发现未知攻击时无效。此外，许多数据库和搜索平台繁琐且不直观，语法复杂，入门门槛高。检测可疑行为需要分析多个数据源，多个数据源的聚合分析才能确定数据是否可疑。如果是非技术人员，需要熟悉对应数据的存储平台以及数据的查询语言。

因此，如何提供一种更为高效、低门槛的网络安全检测方法和系统成为了业内亟需解决的技术问题。

发明内容

本发明提供一种基于结构化事件数据搜索的网络安全检测方法和系统，用以解决现有技术中只关注失陷指标IOCs导致检测脆弱的缺陷，实现基于结构化事件数据搜索的网络安全检测。

本发明提供一种基于结构化事件数据搜索的网络安全检测方法，包括：

根据可疑事件数据确定事件函数，并基于所述事件函数对结构化存储的事件数据集合执行查询，得到行为数据查询结果；

根据所述行为数据查询结果确定所述可疑事件数据对应有恶意行为，则针对所述恶意行为执行预设的安全操作；

其中，所述事件函数是根据所述可疑事件数据定位对应行为数据的查询函数；所述行为数据包括至少一个事件数据；所述结构化存储的事件数据集合是提取日志文件得到的。

根据本发明提供的一种基于结构化事件数据搜索的网络安全检测方法，所述可疑事件数据是通过预设的检测模型检测得到的、包括可疑项的事件数据；所述可疑项包括可疑IP和/或可疑事件类型；

所述针对所述恶意行为执行预设的安全操作的步骤包括：

根据ATTCK模型确定针对所述恶意行为的对抗行为；

将所述对抗行为作为安全操作并予以执行。

根据本发明提供的一种基于结构化事件数据搜索的网络安全检测方法，所述基于所述事件函数对结构化存储的事件数据集合执行查询，得到行为数据查询结果的步骤包括：

确定所述事件函数属于缓存事件函数集合，则根据所述事件函数调用缓存数据，得到行为数据查询结果；

所述缓存数据包括所述缓存事件函数集合中事件函数的行为数据查询结果。

根据本发明提供的一种基于结构化事件数据搜索的网络安全检测方法，还包括：

确定所述结构化存储的事件数据集合更新，则对应更新所述缓存数据。

根据本发明提供的一种基于结构化事件数据搜索的网络安全检测方法，所述结构化存储的事件数据集合中的事件数据包括事件任务ID项、事件时间项、事件类型项以及事件描述项；

所述事件任务ID项、事件时间项、事件类型项以及事件描述项是提取日志文件得到的，所述日志文件包括系统日志、数据库日志以及程序日志中的任一者或任多者组合。

根据本发明提供的一种基于结构化事件数据搜索的网络安全检测方法，所述结构化存储的事件数据集合的数据结构是以事件类型项为索引的B-Tree结构。

根据本发明提供的一种基于结构化事件数据搜索的网络安全检测方法，所述事件函数包括根据所述可疑事件数据确定的、待查询的事件类型项；