[发明专利]一种网络安全事件关联方法

摘要

本发明公开了一种网络安全事件关联方法，先对原始安全事件进行分类，分别获取单条原始安全事件的IP地址、端口号、时间戳、原始安全事件分类以及警报内容等属性值，再对不同原始安全事件属性值的相似度进行判断，通过原始安全事件间的相似程度对原始安全事件进行关联处理，把有内在联系的超警报关联起来；本发明方法依赖原始安全事件之间的相似程度对网络安全事件进行聚类，能够更好地把有内在联系的超警报关联起来。

主权项

一种网络安全事件关联方法，其特征在于：步骤如下S1，对原始安全事件进行分类，分别获取每条原始安全事件的五个属性值： IP地址、端口号、时间戳、原始安全事件分类以及警报内容；S11，记录网络环境中物理设备的IP地址，若有明确的拓扑结构，则按照网络拓扑划分网络节点中IP地址，若无明确的拓扑结构但知晓IP地址，则定义四段数字构成的IP地址a.b.c.d为子节点，前三段数字相同的IP地址a.b.c.*具有共同的父节点，前两段数字相同的IP地址a.b.*.*具有共同的祖先节点；S12，针对标准网络协议，将端口分为系统常用端口、常见恶意软件占用端口、私有端口和公有端口；S13，按照工作日与非工作日对原始安全事件进行时间戳的属性标注，再按照上午、中午、下午和晚上对每日的原始安全事件进行属性标注；S14，将原始安全事件涉及的网络行为分为常规行为和异常行为，再将每种行为分为基于主机的行为和基于网络的行为；S15，将原始安全事件的具体内容分为基于行为的警报和基于特定协议的警报，将属于同一种行为或者同一种协议的原始安全事件类别归为一类；S16，属性树的定义：从根节点开始对属性值进行分类，每一个节点的子节点代表一个子类别，直到每一个具体的属性值均属于一个叶子节点为止，形成一棵自顶向下构建的树形数据结构；S2，在不同的属性树上找两条原始安全事件之间的五个最短距离L；S3，根据以下公式对五个最短距离L中对应属性的相似度进行计算：根据最短距离L得到原始安全事件属性值间的相似度：一对原始安全事件属性值间的最短距离越小，说明两原始安全事件的相似度越高；S4，根据五个属性相似度得到两条原始安全事件之间各属性的相似度，通过加权平均的方式计算两个单条原始安全事件之间的相似度；S5，将单条原始安全事件的每个属性视为一个维度，每条原始安全事件对应于一个n维空间中的点，通过DBSCAN聚类算法寻找空间中最密集的点并进行聚类：S51，与目标原始安全事件的相似度大于相似度阈值的单条原始安全事件的数量超过数量阈值，则判定为核心点；落在核心点的距离半径之内，与核心点的相似度高于相似度阈值的判定为边界点；任何非核心、非边界的点均判定为噪声点；S52，将所有的点标记为核心点、边界点或噪声点，然后删除噪声点，将所有距离在阈值threshold之内的核心点划分为同一类，定义为一条超警报信息；S53，得到超警报信息以后，从时间序列中寻找超警报信息之间存在的关联关系：不考虑APT攻击的情况下，如果一个单条原始安全事件发生以后在一个动态时间窗口没有发生新的单条原始安全事件，那么认为该单条原始安全事件与下一个单条原始安全事件之间关联关系很小；S54，根据时间窗口生成原始的事务信息集合，使用DBSCAN聚类方法将所述的事务信息生成全局的超警报信息字典，得到单条原始安全事件与超警报信息的映射关系；S55，根据映射关系使用超警报信息替换原始的事务信息中的每一个原始安全事件，得到新的事务信息集合，新的事务信息集合内的条款项均为超警报信息；S6，根据关联算法得到的超警报信息，通过动态时间窗口定义事务，通过FP‑Growth算法对事务进行数据挖掘，通过数据挖掘得到伴生超警报信息。