[发明专利]一种原始告警信息处理的方法及装置

摘要

本发明涉及网络安全领域，尤其涉及一种原始告警信息处理的方法及装置。该方法为，将原始告警信息分类，确定原始告警信息的攻击类别；根据攻击类别，将原始告警信息分别和预设的正向推理状态机进行特征匹配操作，以及和预设的反向推理状态机进行关联事件匹配操作，在匹配成功后，生成相应的高威胁告警事件；其中，正向推理状态机表征预设的攻击事件特征规则，反向推理状态机表征预设的与攻击事件关联的其他事件，这样，通过正向推理状态机，及早发现受威胁度最高的目的IP及威胁度最高的源IP；通过反向推理状态机，对攻击事件进行行为推理，可以发现没有检测出的攻击甚至0day攻击，且在攻陷后，及早反查出攻击链，进行告警提醒。

主权项

1.一种原始告警信息处理的方法，其特征在于，包括：获取原始告警信息，以及根据所述原始告警信息的类型标签字段和所述原始告警信息的上下文，确定所述原始告警信息归属的预设的攻击类别；针对所述原始告警信息和预设的正向推理状态机，执行对应所述攻击类别设置的特征匹配操作，在确定匹配成功后，将所述原始告警信息中记载的攻击事件作为高威胁告警事件；其中，所述正向推理状态机表征预设的攻击事件特征规则；所述正向推理状态机中至少记录有第一预设时间内的各个原始告警信息中的攻击事件对应的源IP、目的IP、源IP对目的IP的攻击次数、源IP对目的IP的攻击类别个数、源IP攻击的目的IP个数，目的IP受攻击的源IP个数；针对所述原始告警信息和预设的反向推理状态机，执行对应所述攻击类别设置的关联事件匹配操作，在确定匹配成功后，将所述原始告警信息中记载的攻击事件的关联事件作为高威胁告警事件；其中，所述反向推理状态机表征预设的与攻击事件关联的其他事件；所述反向推理状态机中至少记录有第二预设时间内的原始告警信息中的各个攻击事件的风险标识。