[发明专利]网络安全数据检测方法及装置、电子设备、存储介质

权利要求书

1.一种网络安全数据检测方法，其特征在于，包括：

获取预定周期内的安全事件，获得安全事件集；

基于误报事件筛选规则对所述安全事件集中的安全事件进行筛选，得到误报事件集，其中，所述误报事件筛选规则基于安全事件的规则id、响应码类型和属性值确定；

基于重要性评估模型对所述误报事件集中的规则id进行重要度评估，得到规则id重要度值；

基于所述规则id重要度值和所述误报事件集生成误报事件检测报告。

2.根据权利要求1所述的网络安全数据检测方法，其特征在于，基于所述规则id重要度值和所述误报事件集生成误报事件检测报告，包括：

获取安全规则集；

对所述安全事件集和所述安全规则集进行匹配处理，得到匹配规则集；

基于所述匹配规则集对所述误报事件集中的安全事件进行正则匹配测试，得到正则匹配结果；

基于所述正则匹配结果和所述规则id重要度值，生成所述误报事件检测报告。

3.根据权利要求2所述的网络安全数据检测方法，其特征在于，基于所述匹配规则集对所述误报事件集中的安全事件进行正则匹配测试，得到正则匹配结果，包括：

对所述匹配规则集中的正则表达式进行预编译处理，得到预编译规则；

基于所述预编译规则对所述误报事件集中的安全事件进行正则匹配，得到匹配字串；

记录所述匹配子串及对应的匹配位置。

4.根据权利要求3所述的网络安全数据检测方法，其特征在于，对所述匹配规则集中的正则表达式进行预编译处理，得到预编译规则，包括：

获取字符串转码规则；

按照所述字符串转码规则对正则表达式进行预编译，得到预编译表达式；

判断所述预编译表达式是否符合预定格式；

若是，则以所述预编译表达式为所述预编译规则。

5.根据权利要求1所述的网络安全数据检测方法，其特征在于，基于误报事件筛选规则对所述安全事件集中的安全事件进行筛选，得到误报事件集，包括：

基于规则id将所述安全事件集划分成多个安全事件子集；

对于每个所述安全事件子集，执行以下步骤：

判断所述安全事件子集中是否存在响应码为预设值的安全事件；

若是，则保留响应码为所述预设值的安全事件，生成保留事件集；

若否，则保留所有安全事件，生成保留事件集；

获取所述保留事件集中每个响应码对应的安全事件的数量；

将安全事件数量最多的预定数量个的响应码作为筛选响应码；

获取所述筛选响应码对应的安全事件，得到筛选事件集；

基于属性值对所述筛选事件集进行筛选，得到误报事件；

汇总所有所述安全事件子集中的误报事件，得到所述误报事件集。

6.根据权利要求5所述的网络安全数据检测方法，其特征在于，基于属性值对所述筛选事件集进行筛选，得到误报事件，包括：

将所述筛选事件集中属性值非空最多的安全事件作为误报事件。

7.根据权利要求5所述的网络安全数据检测方法，其特征在于，所述响应码的预设值为2xx，x表示任意数值。

8.根据权利要求1所述的网络安全数据检测方法，其特征在于，基于重要性评估模型对所述误报事件集中的规则id进行重要度评估，得到规则id重要度值，包括：

获取所述误报事件集中的规则id；

获取所述重要性评估模型，其中，所述重要性评估模型表达为：

其中，f(b，n，g)表示规则id的重要度；b∈{0，1}，存在响应码为预设值的安全事件时，b＝1，不存在响应码为预设值的安全事件时，b＝0；n表示规则id对应的安全事件的数量，g表示规则id对应的风险等级，G表示风险等级的类别数目，G为常量；

获取所述规则id对应的模型参数，所述模型参数包括b、n、g；

将所述模型参数输入所述重要性评估模型中，得到所述规则id的重要度值。