[发明专利]一种网络安全告警方法及系统

权利要求书

1.一种网络安全告警方法，其特征在于，包括：

步骤S1：实时收集分布在所述网络上不同地方的告警信息和日志信息，并将所述告警信息和所述日志信息实时发送；

步骤S2：接收所述告警信息和所述日志信息，并识别所述告警信息和所述日志信息中的原始安全事件信息，将所述原始安全事件信息进行保存；

步骤S3：对所述原始安全事件信息进行聚合处理，并得到高级安全事件信息，将所述高级安全事件信息的告警进行输出显示给用户；

对所述原始安全事件信息进行聚合处理,包括：

实时检测在100M的端口上每小时产生的所述告警信息，并去除所述告警信息中误报的误报告警信息，并得到高级安全事件信息，将所述高级安全事件信息转化为高级安全事件标准格式，其中，所述高级安全事件标准格式包括源IP信息和目的IP信息；

基于信息类型对所述高级安全事件信息进行分类；

基于预设的IDS告警分析模型，将各所述高级安全事件信息可能产生的告警进行聚类；

分别对所述源IP信息和所述目的IP信息进行告警聚类,根据各所述告警聚类中产生的告警的个数进行降序排列，列出产生预设比例告警的所述源IP信息和所述目的IP信息，以对所述告警信息进行幂率分析，其中，所述预设比例为90%；

基于所述幂率分析的分析结果分析各主要告警类产生告警的趋势性，以对所述告警信息进行趋势分析；

基于所述幂率分析的分析结果分析各主要告警类产生告警的周期性，以对所述告警信息进行周期分析；

基于所述趋势分析的分析结果和所述周期分析的分析结果建立统计分析模型，基于所述统计分析模型去除所述告警信息中误报的误报告警信息；

其中，基于所述统计分析模型去除所述告警信息中误报的误报告警信息包括：

当所述告警信息与所述趋势分析的分析结果和所述周期分析的分析结果相匹配时，去除所述告警信息。

2.根据权利要求1所述的一种网络安全告警方法，其特征在于，将各所述高级安全事件信息可能产生的告警进行聚类，包括：

步骤A：初始化一个告警链表，等待所述告警信息的到来;

步骤B：将所述告警信息与所述告警链表中的各个结点相匹配，当匹配成功时，则添加为该结点的一个子元素，同时所述结点的长度加 1，当匹配不成功时，重新初始化一个告警链表并重复执行所述步骤A直至匹配成功;

步骤C：检查各个结点的聚合长度，当所述聚合长度超过第一阈值时，产生超告警并输出，同时删除该所述结点;

步骤E：检查各个结点的聚合时差，当所述聚合时差超过第二阈值时，产生超告警并输出，同时删除该所述结点；

其中，所述超告警是由若干所述告警信息聚合而成，所述第一阈值为所述告警信息的个数，所述第二阈值为10s。

3.根据权利要求1所述的一种网络安全告警方法，其特征在于，所述步骤S1中还包括：

基于所述日志信息设定查询时间范围值，并基于所述日志信息中查询包含有预设关键字信息的日志信息，设置触发条件为包含有预设关键字信息，当所述日志信息中出现所述预设关键字信息时，触发告警并输出显示给用户；

基于所述查询时间范围值，统计所述查询时间范围值内出现所述预设关键字的次数，设置触发条件为包含有预设关键字信息，当所述查询时间范围值内所述日志信息中出现所述预设关键字信息的次数大于3次时，触发告警并输出显示给用户；

基于当前所述查询时间范围值内出现预设关键字信息的次数与前一天的所述查询时间范围值内出现预设关键字信息的次数的增长率，设置触发条件为包含有预设关键字信息，当出现预设关键字信息的次数与前一天的所述查询时间范围值内出现预设关键字信息的次数的增长率的比值大于10%时，触发告警并输出显示给用户。