[发明专利]安全事件检测和处理方法、系统、设备及存储介质

摘要

本发明提供了一种安全事件检测和处理方法、系统、设备及存储介质，该方法包括在web服务中预存多个安全事件的触发条件；在web服务中预设多个安全事件组的合并条件；从被监控系统中获取系统日志，筛选所述系统日志中待处理的记录，将待处理的记录存储至消息队列；从所述消息队列中提取待处理的记录，并统计同一关键字段的值出现的次数，根据多个安全事件的触发条件来确定是否生成安全事件，根据安全事件组的合并条件，确定安全事件的分组。本发明提高了运维安全响应人员的事件处理效率，提高了准确率，在事件集中化的基础上，引入事件组机制，将有一定关联关系的事件聚合成事件组，减小单一事件分析的局限性，输出更精确的事件组报警。

主权项

1.一种安全事件检测和处理方法，其特征在于，包括如下步骤：在web服务中预存多个安全事件的触发条件，各个所述安全事件的触发条件包括第一时间范围、至少一关键字段和对应该关键字段的触发次数；在web服务中预设多个安全事件组的合并条件，各个所述安全事件组的合并条件包括第二时间范围、至少一关键字段、该关键字段的值和安全事件类型；从被监控系统中获取系统日志，筛选所述系统日志中待处理的记录，将待处理的记录存储至消息队列；从所述消息队列中提取待处理的记录，并统计第一时间范围内，同一关键字段的值出现的次数，如果统计得到的次数达到一所述触发条件中对应关键字段的触发次数，则生成一新的安全事件；判断新的安全事件是否处于一所述安全事件组的第二时间范围内，该安全事件中达到触发次数的关键字段的值与该安全事件组中对应关键字段的值相同，且该安全事件的类型与该安全事件组中的安全事件类型相同；如果是，则将新的安全事件存储至对应的安全事件组；否则，新建一安全事件组，并将新的安全事件存储至新建的安全事件组；所述新建一安全事件组，包括如下步骤：新建一安全事件组，将新建的安全事件组的第二时间范围定为预设的默认时间范围；将该安全事件中达到触发次数的关键字段和该关键字段的值作为该安全事件组的合并条件中的关键字段和关键字段的值；将该安全事件的类型作为该安全事件组的安全事件类型。