[发明专利]安全事件生成方法、装置、设备及计算机可读存储介质

权利要求书

1.一种安全事件生成方法，其特征在于，包括：

获得多个告警信息，其中，所述告警信息是待检测数据触发预设规则后产生的；

基于所述规则的属性信息，对所述告警信息进行分析以确定是否满足生成安全事件的条件；

若满足生成安全事件的条件，则根据预设方式将所述告警信息生成安全事件。

2.根据权利要求1所述的方法，其特征在于，所述属性信息包括规则置信度，所述规则置信度表征所述规则对所述待检测数据检测后得到检测结果的准确程度，所述多个告警信息对应的待检测数据触发了多个规则；所述对所述告警信息进行分析以确定是否满足生成安全事件的条件包括：

确定所述多个规则各自对应的规则置信度；

根据所述多个规则的规则置信度对所述告警信息进行分析以确定是否满足生成安全事件的条件。

3.根据权利要求1所述的方法，其特征在于，所述属性信息包括规则标识，所述对所述告警信息进行分析以确定是否满足生成安全事件的条件包括：

基于所述规则标识将所述多个告警信息各自映射到对应的攻击阶段；

基于各个攻击阶段之间的逻辑关系对所述多个告警信息进行关联以确定是否满足生成安全事件的条件。

4.根据权利要求3所述的方法，其特征在于，所述基于各个攻击阶段之间的逻辑关系对所述多个告警信息进行关联以确定是否满足生成安全事件的条件，包括：

基于各个攻击阶段之间的逻辑关系确定每个类别的安全事件对应的预设攻击阶段数量和/或各个攻击阶段各自对应的数量和/或预设攻击阶段类型；

基于所述每个类别的安全事件对应的预设攻击阶段数量和/或各个攻击阶段各自对应的数量和/或预设攻击阶段类型，对所述多个告警信息进行关联以确定是否满足生成安全事件的条件。

5.根据权利要求1所述的方法，其特征在于，所述根据预设方式将所述告警信息生成安全事件，包括：

确定所述告警信息所属于的目标安全事件；

若所述目标安全事件为历史的安全事件，则将所述告警信息加入所述历史的安全事件；

若确定所述告警信息不属于历史的安全事件，则将所述告警信息生成新的安全事件，所述新的安全事件为所述目标安全事件。

6.根据权利要求1所述的方法，其特征在于，所述根据预设方式将所述告警信息生成安全事件，包括：

将所述告警信息输入预先训练的模型，由所述模型对所述告警信息的特征进行识别和分析，得到所述预设模型输出的所述告警信息所属于的预测安全事件，并将所述告警信息生成所述预测安全事件；其中，所述特征包括攻击的类型、攻击的目标、攻击的资产、攻击者信息、攻击者的方法、受害者的信息、攻击的影响、攻击的频次和/或攻击的时间；和/或

根据预设安全基线对所述告警信息进行检测，得到检测结果，若所述检测结果与预设安全基线之间的差距大于或等于预设差距阈值，则根据所述检测结果确定所述告警信息所属于的目标安全事件，并将所述告警信息生成所述目标安全事件。

7.根据权利要求1所述的方法，其特征在于，基于所述规则的属性信息，对所述告警信息进行分析以确定是否生成安全事件之后，所述方法还包括：

若生成多个安全事件，则根据多个安全事件之间的时间相似性和/或会话关联性和/或设备关联信息来生成事件链。

8.一种安全事件生成装置，其特征在于，包括：

获得单元，用于获得多个告警信息，其中，所述告警信息是待检测数据触发预设规则后产生的；

分析单元，用于基于所述规则的属性信息，对所述告警信息进行分析以确定是否满足生成安全事件的条件；

生成单元，用于若满足生成安全事件的条件，则根据预设方式将所述告警信息生成安全事件。