CN101610174A - 一种日志关联分析系统与方法 - Google Patents

一种日志关联分析系统与方法 Download PDF

Info

Publication number
CN101610174A
CN101610174A CNA2009101573103A CN200910157310A CN101610174A CN 101610174 A CN101610174 A CN 101610174A CN A2009101573103 A CNA2009101573103 A CN A2009101573103A CN 200910157310 A CN200910157310 A CN 200910157310A CN 101610174 A CN101610174 A CN 101610174A
Authority
CN
China
Prior art keywords
event
incident
log
module
log event
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2009101573103A
Other languages
English (en)
Other versions
CN101610174B (zh
Inventor
戚建淮
曾旭东
唐娟
刘云
马诗真
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Y&D Electronics Information Co Ltd
Original Assignee
SHENZHEN RONGDA ELECTRONICS CO Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by SHENZHEN RONGDA ELECTRONICS CO Ltd filed Critical SHENZHEN RONGDA ELECTRONICS CO Ltd
Priority to CN2009101573103A priority Critical patent/CN101610174B/zh
Publication of CN101610174A publication Critical patent/CN101610174A/zh
Application granted granted Critical
Publication of CN101610174B publication Critical patent/CN101610174B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Computer And Data Communications (AREA)

Abstract

本发明提供了一种日志事件关联分析方法，其包括收集日志数据；通过预设的正则表达式提取日志数据的特征数据；根据提取到的特征数据构建统一格式的日志事件；查询日志事件的处理策略；根据策略指示对事件进行交叉关联分析和事件流逻辑关联分析；以及进行日志事件风险评估并自动响应的步骤。本发明的方法有效地减少了虚警，提高了风险评估的客观性，且其告警对用户具有更高的实际指导性。本发明还提供了一种对应上述方法的日志事件关联分析系统。

Description

一种日志关联分析系统与方法
技术领域
本发明涉及一种网络安全管理系统及方法，具体涉及一种日志关联分析系统与方法。
背景技术
随着网络的迅速普及，网络安全管理逐渐成为一个重点，其中，通过日志获取网络系统情况是网络安全管理的一个重要分支。复杂网络系统由种类繁多的安全设备、网络设备、主机系统及其应用等组成，每天产生大量日志信息。如何对之进行统一管理，通过对它们分析及时了解系统状况，发现潜在威胁和攻击，并在第一时间对异常事件做出快速响应，是网络与系统管理亟待解决的问题，也是提高网络系统化整体安全性能的关键。基于日志的安全事件管理和分析关联系统就是为达到这一目标而诞生的只能反馈部件，其连接了评估、检测、防护、响应、恢复这些关键点安全过程，把海量的日志数据转化为人们可理解可管理的安全知识，从而促进安全闭环反馈系统的形成。该系统的难点在于：
(1)日志信息来源各异，格式存在诸多差异，如防火墙日志、IDS日志、安全审计系统相互间无法比较。
(2)日志数据信息量巨大，真实安全时间存在于大量的冗余日志中，仅依靠人工分析，建立日志时间关联将费时费力，故需要借助安全事件关联分析技术快速有效的从中挖掘有用的信息，找出事件的关联，及时响应和应对安全问题。
(3)网络系统中各部件运行环境各异，没有一套统一的协议规则来协调，无法实现各部件整体应对安全事件。
(4)安全产品大都基于单数据包进行检测，而网络攻击行为仅仅通过单一安全组件无法检测到，需要将各组件产生的时间报警进行关联分析和综合判断，才能准确发现并及时制止这些攻击。
目前，针对事件关联分析，有攻击建模的规则关联方法和聚类关联技术。其中攻击建模的规则关联方法包括：建立详细的攻击描述库，从条件、环境等多个角度对每种攻击进行描述；建立用于分析攻击特性的自动机，对攻击描述库进行处理，产生关联规则；建立报警匹配机，根据关联规则对原始报警时间进行模式匹配并产生安全事件。
但其缺点是在于依赖于对攻击场景预先进行合理准确的描述，如果攻击过程中包含未知的或未被检测的攻击步骤，则无法进行关联处理，因此对于新的或未知的攻击方式没有防范能力
聚类关联技术，采用的是一种算法，而不是规则匹配的方式关联。这种方法的处理方式如下：针对实践中的每个字段设计相似性函数，用于计算两个事件的对应之间的相似程度；在上一步的基础上，针对事件本身设计相似性函数，用于计算两个事件之间相似的程度；处理原始报警事件时，将彼此相似的事件关联起来，利用调节函数参数的方法，从不同角度得到不同层次的结果。
此方法的缺点在于采用统计的方式进行处理，得出的结果往往缺乏明确的实际意义。
发明内容
本发明的目的在于克服现有技术中的不足之处，提供一种可有效地减少了虚警，具有高风险评估客观性的日志事件关联分析方法和系统。
为实现上述目的，本发明提供了一种日志事件关联分析方法，其包括以下步骤：
收集日志数据；
通过预设的正则表达式提取日志数据的特征数据；
根据提取到的特征数据构建统一格式的日志事件；
查询日志事件的处理策略；
根据策略指示对事件进行交叉关联分析和事件流逻辑关联分析；以及，
进行日志事件风险评估并自动响应。
优选的是，所述特征数据，至少包含服务器、时间、源IP、源端口、目的IP、目标端口、协议、探测器标识、事件标识、可信度和优先级；所述探测器用于采集设备状态和性能参数，侦测安全弱点，并提交日志数据，其标识统一分配；所述事件标识用于表明事件的具体类型；所述探测器在提交日志数据中，明确了所述事件标识；所述可信度，用于标识所述日志事件的自信程度；所述优先级，由于标识所述日志事件的关注程度。
本发明所述一种日志事件关联分析方法中，所述处理策略，用于指导所述事件的处理，包括源地址、目标地址、优先级、端口组、探测器、时间范围、交叉关联标志、逻辑关联标志和风险评估标志；所述查询日志事件的处理策略，是依据所述日志事件的源IP、目的IP、目标端口、探测器标识和事件标识属性的组合为条件，查找处理策略表。
优选的是所述交叉关联分析包括漏洞关联分析和资产关联分析；所述漏洞关联分析，是通过所述日志事件中所携带的目的IP查找相应资产后，将事件与所述资产上已发现的漏洞关联；以及，所述资产关联分析，是依据所述日志事件中所携带的事件标识查找到漏洞所针对的操作系统和应用信息后，将事件与所述资产上的操作系统、应用服务以及活动端口与协议关联；以及，关联分析后，依据预设的规则，更新所述日志事件的可信度和优先级。
本发明所述一种日志事件关联分析方法中，所述事件流逻辑关联分析，包括：
(a)测试所述日志事件是否从属于当前已有事件链的后续事件；所述日志事件的探测器标识和事件标识属性与所述事件链的活动关联规则所要求的标识相匹配后，再比较所述日志事件的源IP、目的IP、源端口和目标端口属性与所述事件链中上已有事件的源IP、目的IP、源端口和目标端口比较；完全匹配时，构造并提交新的日志事件；或
(b)测试所述日志事件是否可用于新建事件链；所述日志事件的探测器标识和事件标识属性与所有预设的事件链规则的第一个关联规则比较，匹配成功后，所述日志事件为事件链事件；以及，
所述关联规则，包括事件源IP、源端口、目的IP、目的端口、新事件标识、新事件描述、探测器标识、日志事件标识、时间间隔和重复次数；所述关联规则，通过“和关系”，和/或“或关系”组成关联规则树，用于将所述日志事件关联成事件链，并产生新的事件；
本发明所述一种日志事件关联分析方法中，日志事件风险评估，包含：
利用所述日志事件的优先级、可信度和所述日志事件所针对的目标主机的价值结算而成的攻击威胁值，通过查找风险等级映射表，计算出攻击风险等级；更新目标主机以及目标网络的攻击威胁值；以及
利用所述日志事件的优先级、可信度和所述日志事件源主机的价值结算而成的危害威胁值，通过查找风险等级映射表，计算出危害风险等级；更新源主机以及源网络的危害威胁值；以及
以所计算的攻击威胁值和危害威胁值间的大者作为所述日志事件的风险值，并对风险值大于特定阈值，如1，的日志事件示警；且依据所述日志事件的事件标识自动响应。
本发明还提供了一种日志事件关联分析系统，其包括日志采集模块、日志规范化模块、关联分析模块、事件风险评估模块和告警模块；
所述日志采集模块用于采集网络设备、主机设备、终端以及各类业务应用的日志数据，提交到所述日志规范化模块；
所述日志规范化模块用于集中处理日志数据，转化为统一格式的日志事件后，提交到关联分析模块；
所述关联分析模块用于对规整化后的日志事件进行分析，包括更新日志事件的可信度和优先级；并在事件流中挖掘出新的事件；将分析后的事件提交到事件风险评估模块；
所述事件风险评估模块用于依据事件的可信度和优先级，并基于事件目标资产的价值，计算该事件的攻击威胁值，并计算攻击威胁风险等级；基于事件源主机的价值，计算该事件的危害威胁值，并计算危害威胁风险等级；以计算所得的攻击威胁值和危害威胁值间的大者为该事件的威胁值，提交事件到所述告警模块；
所述告警模块用于事件告警，并依据事件的事件标识属性值，自动响应。
优选的是，所述的日志事件关联分析系统，还包括数据库模块，用于保存所述管理分析模块、所述风险评估模块以及所述告警模块所需要的漏洞信息、资产数据、策略信息和事件信息。
优选的是，所述关联分析模块，包括关联引擎模块、交叉关联模块和逻辑关联模块；所述关联引擎模块，用于为所述日志事件分配处理策略，以牵引事件处理；所述交叉关联模块，用于对所述日志事件进行事件与漏洞关联、事件与资产关联，以更新该事件的优先级和可信度；所述逻辑管理模块，用于对所述事件进行事件链关联，以挖掘新事件，并提交到关联引擎模块。
优选的是，所述日志采集模块，可部署在日志服务器上，也可部署在专用主机上，用于采集设备的运行日志和运行状态数据，以及侦测安全弱点；
所述告警模块，分服务端与客户端，所述服务端与所述系统的其它模块部署在同一主机上，用于分发告警；所述客户端部署在指定终端上，用于声光示警和自动响应。
本发明提供了部署不同的探测器用于收集指定设备的运行状态合和日志数据，以及侦测指定设备，包括网络，的安全弱点的方法，既专注于需保护的核心资产，又因为探测器已标识了日志事件的类型标识，因此在风险评估时，可以快速进行事件与漏洞关联、事件与资产关联，提高了计算速度；
本发明提供了在事件与漏洞关联后，再进行事件与资产关联的方法，从而有效地减少了虚警，提高了风险评估的客观性；其告警对用户具有更高的实际指导性。
附图说明
图1是本发明所述日志事件关联分析系统的功能模块示意图
图2是本发明所述日志事件关联分析方法流程图
图3是所述的漏洞关联流程图
图4是所述的资产关联流程图
图5是所述的逻辑关联流程图
图6是所述的事件风险评估流程图
具体实施方式
核心思想是：构造一个日志事件关联分析系统，该系统利用不同的探测工具，采集设备的运行状况数据和日志数据，并侦测安全弱点，提交标准的日志数据；基于预设的正则表达式提取日志数据中特征数据组成标注日志事件，并对日志事件进行事件与漏洞关联、事件与资产关联以及事件链关联分析，以减少虚警，同时挖掘出新事件；再对分析后的事件进行基于事件可信度、优先级以及事件所涉及源资产、目标资产的价值，计算出事件针对源资产的危害威胁值与风险等级，以及对目标资产的攻击威胁值与风险等级后，对威胁值大于阈值1的事件进行示警，并依据该事件的事件类型标识进行响应。
如图1所示，是本发明所述日志事件关联分析系统的功能模块示意图，本系统包括：
日志采集模块11、日志规范化模块12、关联分析模块13、数据库模块14、事件风险评估模块15和告警模块16。
日志采集模块11收集来源于防火墙、网络设备、安全工具(如IDS、AV)、以及各类服务器上传的各类数据，包括日志、各类资产状态信息、请求/响应事件。简单规整化后，将原始事件提交到日志规范化模块12；
日志规范化模块12对源自日志采集模块11的各类日志数据通过预定的正则表达式，提取特征数据，并依据特征数据组建规范化的日志事件，提交到管理分析模块13。
规范化后的日志事件基本特征包括如下字段：服务器名称、起始日期、源IP、源端口、目的IP、目标端口、协议、探测器标识和日志事件种类标识、可信度值、优先级值。
关联分析模块13用于对日志事件进行事件与漏洞关联分析、事件与资产关联分析和事件链关联分析，以减少虚警，同时挖掘新事件，包括关联引擎131、交叉关联模块132、逻辑关联模块133。
其中，关联引擎131依据数据库模块14中策略库预存的策略，核定事件处理过程，并提交至交叉关联模块132，和/或逻辑关联模块133；
交叉关联模块132包括漏洞关联和资产关联两部分，所述漏洞信息主要来源于系统漏洞数据库，通过事件与事件所涉及目标资产上已发现的漏洞进行比较，并依据预设的规则更改事件可信度。所述资产关联通过比对事件所关联的漏洞所针对的操作系统类型、端口、协议、应用服务和服务版本数据，与事件所涉及的目标资产上的相应属性数据比较，并依据预设的规则对更新事件的可信度。
所述逻辑关联模块133将事件与预设的事件链规则相匹配，若事件与某个活动规则相匹配，则产生新事件；否则，如果事件与某个事件链的首个规则匹配，则产生新的活动事件链；
日志事件经关联分析模块13调整可信度后，被提交到事件风险评估模块15。风险评估模块15针对事件的优先级、可信度、事件对应资产价值计算出事件相应的攻击威胁值和危害威胁值，并计算该事件的风险值。
如果该模块计算出来的风险值大于等于1，则标记事件为告警事件，并提交到告警模块16。告警模块16产生告警，并发送到监控终端，监控终端将对不同类型的事件执行相应响应动作。
具体实施时，在日志服务器，即syslog服务器上，部署日志采集模块11；同时，将网络设备、主机等的syslog的服务器指向该日志服务器后，日志服务器上的日志将由日志采集模块11定期读取，并简单规整化后，提交到日志规范化模块12；同时，针对不支持syslog协议的设备，如果其上可部署日志采集模块11，则直接将日志采集模块11安装在该设备上；否则，将日志采集模块11安装在独立的主机上，且该日志采集模块11利用snmp协议采集设备的运行状况参数，同时接收snmp trap消息；数据库模块16部署在一台单独主机上；告警模块16分客户端与服务端2部分，其中服务端与日志规范化模块12、关联分析模块13、事件风险评估模块15部署在同一主机上，客户端部署在终端上。
本发明所述一个日志事件关联分析系统，其内部利用日志关联分析方法处理日志事件，从而实现日志数据分析，并最终更新主机及网络风险。如图2所示，是本发明所述日志事件关联分析方法流程图，包括：
步骤A1：日志采集模块采集事件，并发送到日志规范化模块；
针对支持syslog协议的设备，如网络设备，配置syslog服务器，强制其将日志统一输出到指定的服务器上；在该服务器上部署日志采集模块11；该日志采集模块11将不间断地采集日志，并向日志规范化模块12提交格式正确的日志事件数据；
针对不支持syslog协议，但允许安装系统的设备，如主机类设备，在其上部署日志采集模块11，采集操作系统日志、防火墙日志、文件完整性日志，、杀毒软件日志、入侵检测系统日志信息，并提交格式正确的日志事件数据到日志规范化模块12；
针对特殊设备(如未提供系统日志服务的设备、不支持syslog的设备等)，使用不同的日志采集模块11采集其运行状况数据，并将采集到的信息转换为系统日志。例如针对支持SNMP的设备，可采用snmptrapfmt工具，将snmptrap信息数据转换为系统日志数据。然后，采集转换后的系统日志数据，并提交到日志规范化模块12。
步骤A2：日志数据格式规范化，即日志规范化模块转化统一日志格式；
日志规范化模块12对源自日志采集模块11提交的各类日志事件进行集中处理后，转化为统一数据格式，并将事件保存到事件列队中，以提交关联分析处理，转步骤A3。
日志数据格式规范化处理，主要通过定义提取系统日志信息的正则表达式来提取敏感数据，并依据敏感数据构成规范化后的日志事件。
例如，针对snort工具产生的日志信息，定制正则表达式，即可提取到信息，具体如表一所示：
表一
系统日志 May 1 11:12:08 host1 snort：[1:1:1]IP Packet detected{TCP}192.168.7.125：1763->192.168.7.191：22
正则表达式 (\w+\s+\d{1，2}\s+\d\d:\d\d:\d\d)\s+(\w+)\s+snort:\s+\[(\d+):(\d+):\d+\].＊？{(\w+)}\s+([\d\.]+):？(\d+)？\s+.＊\s+([\d\.]+):？(\d+)？
提取结果 date＝$1，即May 1 11:12:08server＝$2，即host1sensor_id＝$3，即1sensor_sid＝$4，即1protocol＝$5，即TCPsrc_ip＝$6，即192.168.7.125src_port＝$7，即1763dst_ip＝$8，即192.168.7.191dst_port＝$9，即22
规范化后的日志事件基本特征包括如下字段：服务器名称、起始日期、源IP、源端口、目的IP、目标端口、协议、探测器标识与事件标识。在上表所示的示例中，服务器名称为“host1”，起始日期为“May 1 11:12:08”，源IP为“192.168.7.125”，源端口为“1763”，目的IP为“192.168.7.191”，目标端口为“22”，协议为“TCP”，探测器标识为“1”与事件标识为“1”。
将统一格式的日志事件按照事件来源做分类，具体可以分为：普通事件、操作系统类型事件、介质访问控制事件(MAC)和服务事件；
所述普通事件可以源自网络中安装的各种安全工具实体，如路由器，防火墙，操作系统，杀毒软件、各种入侵检测(IDS)上报的事件；所述操作系统类型事件：可以源自收集被动特征探测器类实体的日志事件。经格式化提交给关联分析模块，并存放在事件库主机操作系统表中。在资产关联分析过程，将从该表取得所需的信息。所述被动特征探测器(PassiveOperation system Fingerprinting)基于嗅探远程主机上的通信来代替主动式查询远程主机，抓取从远程主机上发送的信息包，根据每个操作系统的IP堆栈的不同特征，分析鉴别远程主机操作系统间不同之处。进而判断远程主机的操作系统。所述介质访问控制(MAC)事件：可以源自地址解析(ARP)探测器类实体的日志事件。针对此类事件的处理描述如下：地址解析探测器类实体在其运行中不断地将探测到的数据保存到一个预设的文件中，日志采集模块定期读取该数据文件，经格式化提交给关联分析模块，然后存放在事件库主机介质访问控制表中。MAC变化事件有助于探测ARP欺骗层2(layer 2)攻击；所述服务事件，可以源自扫描器类安全工具实体(如端口扫描工具)上报的事件，此类事件可以用于持续地更新相应网络资产所开放的服务端口，从而可用于对网络资产进行服务关联分析。
步骤A3：关联分析；
关联分析是对规范化后的日志事件，进行基于资产、基于漏洞的关联处理。关联分析模块中关联引擎不间断地从事件队列头取得事件数据，也就是优先处理最先收到的事件。
关联分析内部子步骤具体描述如下：
步骤A31：检索处理策略；策略用于指导关联分析的操作步骤，以便更快速地进行事件风险评估，是用于指导具体的计算的规则。策略包括源地址、目标地址、优先级、端口组、探测器、时间范围、交叉关联标志、逻辑关联标志、风险评估标志；查找事件的处理策略方法描述如下：首先通过事件的源IP、目标IP、目标端口、探测器标识为条件，查找策略，如果存在策略且在该策略的有效时间内，则优先级最高的策略为当前事件的处理策略；否则，依次删除最后一个条件项，再次查找策略；直到条件项为空。
在本实施例中，若日志事件匹配了某一特定策略，则更改事件的优先级属性为相应策略的优先级别。所述策略的优先级别是在配置策略时手工预置。当事件查无匹配策略时，则启用缺省策略，即对该事件需要进行交叉关联、逻辑管理、风险评估。
步骤A32：交叉关联；交叉关联通过事件所携带的IP地址查找资产数据，使事件与资产的漏洞、操作系统类型、服务(端口，协议、版本)关联，改变该事件的优先级和可信度值。该类关联只处理有目标IP属性的事件，分漏洞关联和资产关联：所述交叉关联需要关联存放于数据库的目标资产的属性，由于目标资产需要依靠IP地址来确定，所以交叉关联只处理有目标IP的事件；所述漏洞关联，是根据漏洞关联的结果调整可信度。其中漏洞信息主要来源是系统漏洞数据库。这些特征信息统一保存在主机与安全漏洞对应关系表中。其中，通过漏洞库该表中记录的安全工具标识和日志事件标识，来描述一个事件对应的漏洞、OS类型、开放的端口；通过比较日志采集模块产生的事件的探测器标识和日志事件标识，判断事件的可信度。
具体实施时，首先测试事件处理策略的交叉关联标志是否为真，如果为假，转A33；否则，才执行本步骤。
漏洞关联的基本处理规则是：如果入侵检测系统发现针对某个IP的攻击事件，且之前的漏洞扫描结果也显示该IP对应的主机资产存在受该攻击事件影响的漏洞，那么该攻击事件的可信度将被提高到10。
如图3所示，是所述漏洞关联分析的流程图，其步骤具体为：
步骤S1：测试事件所针对的目标资产是否存在；以事件所携带的目标IP属性值为条件，在资产数据表中查找资产信息，如果资产不存在，则结束，否则转步骤S2；
资产信息表是自动维护的，通过IP扫描工具扫描到设备后，将新资产插入临时资产信息表中，包括MAC地址集合(有些设备可能有多个网络接口)，以及与MAC地址相连接的IP地址集合(有些MAC地址可能配置多于1个IP地址)。操作员通过确认后，将资产信息自动从临时资产表转移到资产数据表中。
采用如下方法测试设备是否为一个新资产：以MAC地址为条件在资产数据表，如果不存在，则认为是新资产，在插入临时资产信息表前，将包含了该MAC地址的条目删除掉。
步骤S2：测试目标资产的活动漏洞是否为空；以所检索出的目标资产的标识为条件，在主机与安全漏洞关系表中检索到所有的安全漏洞，包括发现此漏洞的安全工具的类型标识、日志事件标识；如果安全漏洞为空，则结束，否则，转步骤S3；
所述主机与安全漏洞关系表是由安全工具自动维护的，安全工具对目标主机进行检测，并发现存在安全风险(如存在漏洞)后，自动将目标主机IP地址、安全工具的类型ID、以及安全工具为此漏洞分配的日志事件标识保存到此表中；所有日志事件标识、安全工具标识全统一维护。
安全工具是用来检测弱点的。安全工具首先是利用扫描的方法识别出漏洞，并为所有漏洞维护统一的漏洞实体标识表。
步骤S3：测试需要专注的安全事件是否为空；以步骤S2检索出来的安全工具的类型标识、日志事件标识为条件，检索探测工具与安全工具关联表，查找需要关注的威胁事件，如果为空，则结束，否则，转步骤S4；
探测工具与安全工具关联表是手工维护的，内部包括日志事件的探测工具类型标识、探测工具所标注的事件标识、与探测工具配合的安全工具的标识，以及安全工具能识别的事件标识。探测工具类型统一分配，如IDS为“IDS”；而事件标识需要依据现场实际事件自动进行分配，所有日志事件实体标识都是预设的，探测工具只能上报自己所能支持的日志事件类别的事件；探测工具是用来检测日志事件的。
操作员在有新的安全工具，和/或新的漏洞，和/或探测工具，和/或新的日志事件类型时，都需要在威胁事件关联表新增数据；同时，操作员可以在确定安全工具，和/或漏洞，和/或探测工具，和/或日志事件类型被取消后，需要将相关信息从表中剥离，以便提高查找效率。
步骤S4：修正当前事件的可信度；以事件所携带的探测工具类型标识、日志事件标识为条件，在步骤S3所检索出来的威胁事件集合中进行检索，如果为空，则结束，否则，该事件属于目标资产的可确定威胁事件，直接提高该事件的可信度为10，并确认是攻击行为。
资产关联的目标是：消除虚警。因为在漏洞关联后，只是确定该事件确实与资产上的已有漏洞相吻合，但是，该漏洞是否能真正触发，还需要进行事件与资产关联分析，从漏洞所依赖的操作系统、应用名称、应用版本上进行检测，以验证是否真的能触发漏洞。
资产关联依然需要策略库中主机与安全漏洞对应关系表和策略库中探测工具与安全工具关系表，同时，还需要主机端口属性，该信息保存在资产库主机服务表中，且该表是自动维护的，端口扫描工具(归属于安全工具类)定期对预设的主机群进行扫描，并将扫描结果更新到此表中，包括IP、端口、协议、版本信息、端口状态。每次更新前，将目标主机IP相关的端口状态都复位，每更新一记录，则端口状态置位；插入的新记录，其端口状态置位；版本信息包括应用程序以及详细版本。如图4所示，是所述资产关联流程图，具体包括：
步骤1：以事件所携带的目标IP属性值为条件，在资产数据表中查找目标资产是否存在，如果不存在，则结束；否则，获得目标资产的全部活动服务端口信息，转2；
步骤2：以事件所携带的服务端口属性、使用协议为条件，在步骤1所检索出的活动端口信息中再次进行检索，如果为空，则结束；否则，获得应用服务的版本信息，转3；
步骤3：以事件所携带的探测工具类型标识、事件标识、以及安全工具类型为“漏洞工具”为条件，检索探测工具与安全工具引用关系表，如果为空，则结束；否则，获得所有漏洞标识，转步骤4；
步骤4：以漏洞标识为条件，检索应用与漏洞关系表，如果为空，则结束，否则，获得与日志事件相对应的全部应用程序；如果所获得的应用程序中包括了步骤2所获得版本信息中的应用程序，则该当前待处理事件的威胁可信度加1，转5；否则，结束；
“漏洞工具”用于扫描主机漏洞，其内携带了一个应用与漏洞信息表，用于维护日志事件、应用程序间关系，此表是手工维护的，在漏洞工具能发现新的漏洞后，往该表内增加一新记录。
步骤5：以步骤3检索出的漏洞标识为条件，检索漏洞条目信息表，如果为空，则结束，否则，获得与日志事件相对应的所有应用程序版本；如果版本中包括了与步骤2所获得版本信息中的版本信息，则当前待处理事件的威胁可信度置9，确信这是真正的攻击。
资产关联时，事件可信度的变化可由表二来描述。
表二
资产关联类型 可信度匹配 不匹配 没有足够信息来确定 例
OS +1 0 保持不变 “OpenBSD”
Port 保持不变 0 保持不变 “80”
Protocol 保持不变 0 保持不变 “TCP”
Service +2 保持不变 保持不变 “Apache”
Version 9 保持不变 保持不变 “1.3.33”
首先比较日志事件所匹配漏洞的操作系统类型与目标资产的操作系统类型，如果一致，则该事件的可信度加1，否则，如果不匹配，则该事件的可信度置0；否则，该事件的可信度保持不变；
其次比较日志事件的端口与协议是否与目标资产上活动端口与协议，如果不匹配，则可信该事件的可信度置0；否则，保持不变；
再其次比较日志事件所匹配漏洞的应用服务与目标资产的应用服务，如果交集不为空，则该事件的可信度加3；否则，保持不变
最后比较日志事件所匹配漏洞的应用版本与目标资产的应用版本，如果完全匹配，则事件的可信端更新为9；否则，保持不变。
例如，事件所对应目标资产的操作系统是OpenBSD，且安装了Apache服务版本为1.33；经过通过漏洞扫描工具扫描后，发现该资产上存在针对版本为1.33的Apache的漏洞，且该漏洞与操作系统无关。此后，IDS检测到针对Apache的攻击事件，该事件利用80端口，TCP协议承载。在通过事件标识找到漏洞信息后，首先比较操作系统，因为漏洞信息表明该漏洞与操作系统无关，故OpenBSD与漏洞条件匹配，事件可信度加1；Apache服务启动后，缺省的将侦听TCP 80端口，故事件的端口与协议与目标资产相符；接着比较应用名称，漏洞针对Apache，而目标资产上有Apache服务，故事件的可信度加3；最后比较版本信息，漏洞描述中表明该漏洞针对1.33版本有效，而目标资产上Apache服务的版本为1.33，故该事件的可信度更新为9，确认是攻击。
步骤A33：逻辑关联：逻辑关联用于对事件流进行基于预设规则的关联分析，以挖掘出新事件。首先测试事件处理策略的逻辑关联标志是否为真，如果为假，转A4；否则，执行如图5所示的内部流程。如图5所示，为本发明所述逻辑关联流程图，包括如下步骤：
步骤A331：关联规则维护。所述关联规则分为三个大类，包括木马规则、蠕虫规则、一般攻击规则。规则的属性包括规则事件编号、名称、超时情况、发生次数、源地址、目标地址、探测器类型、日志事件标识、可信度和事件数据域。规则来源于经验，也可以来源于第三方产品的事件关联规则，操作员可以在任何时候维护规则。有效的规则以树的方式保存在系统中，即有效规则由一个顶层子规则、以及多个通过“且关系”，和/或“或关系”拼接的子关系聚合而成。
步骤A332：在当前已激活的规则树集中验证事件是否与某个树中的某个活动规则相匹配。如果全部不匹配，则转步骤A334；否则，转步骤A333；
匹配过程具体为：首先测试当前事件的探测器标识与事件标识是否包含在规则所要求的探测器类型、日志事件标识内；匹配成功后，再依据规则指示，将事件的具体内容与已匹配的历史事件的对应域进行匹配，若规则指示为“ANY”，则此域不参与比较。
步骤A333：创建新日志事件，即依据关联规则构建关联事件。所述关联事件的探测器标识为“逻辑关联模块标识”，日志事件标识为“规则事件编号”，服务器名称、起始日期、源IP、源端口、目的IP、目标端口和协议直接拷贝当前事件的相应属性，并将关联事件提交到待处理事件队列；将事件的源IP、源端口、目标IP、目标端口内容保存到当前匹配规则的事件数据域上，更新活动规则指针，将当前匹配规则的所有直接儿子规则加入活动规则链，并调整活动规则的链首指针指向最左儿子规则。
特殊的，如果当前匹配规则为叶子规则，或超时，则将规则树从活动规则树缓存区中清除。
步骤A334：事件与所有关联规则树的根规则匹配，即在全部预设的规则树中查找相匹配的规则。首先将当前事件的探测器标识、事件标识依次同每个有效规则的根子规则比较，验证事件的探测器标识、事件标识是否包含在根规则所要求的范围内，如果是，则匹配成功并结束比较；否则继续比较下一个规则的根子规则，直到全部比较完。其次，如果成功匹配，则将该有效规则树拷贝到步骤A332所述的已激活的规则树集中，并将当前事件的源IP、源端口、目标IP、目标端口内容保存到该树的根规则的事件数据域上，并将根规则的直接儿子规则加入该树的活动规则链中。
步骤A4：事件风险评估；
事件风险评估针对事件的优先级、可信度、事件对应资产价值调整确认，通过风险评估算法计算风险值后，转步骤A5。
首先测试事件处理策略的风险评估标志是否为真，缺省的，如果事件处理策略的交叉分析标志为真，则风险评估标志必须为真。如果为假，转A5；否则，执行如图6所示的内部流程，如图6所示，为本发明所述事件风险评估流程图，包括下边步骤：
步骤A41：确认并调整事件的优先级。  检测事件的优先级是否为0，如果为0，则首先利用事件所携带的探测器标识和日志事件标识属性，查找探测工具表，取得该探测工具的优先级，并将当前事件的优先级值替换为检索到的优先级数值；否则，当前事件的优先级保持不变。
探测工具表保存了所有探测类安全工具的属性，包括分类标识、事件标识、优先级、可信度等属性，所有数据由手工维护。
步骤A42：确认事件的可信度。检测事件的可信度是否为0，如果为0，则利用事件的探测器标识，检索探测工具表，获取该探测器的可信度；将事件的可信度更新为所取得的探测器的可信度值。
步骤A43：计算资产的价值，包括：
首先：根据事件的源IP分别取得源主机信息以及包含该源IP的源网络信息；根据事件的目标IP分布取得目标主机信息以及包含该目标IP的目标网络信息。
其次：查询事件的源IP对应资产的价值；包括，通过从源主机信息中取得源主机的价值，从源网络信息中取得源网络的价值；
最后：查询事件的目标IP对应资产的价值；包括，通过从目标主机信息中取得目标主机的价值，从目标网络信息中取得目标网络的价值。
资产的价值是由操作员手工设定的，缺省的，业务价值低于2万者为0，2～100万者为1，100～200万者为2，200～500万者为3，500～1200万者为4，大于1200万者为5。
步骤A44：计算事件的风险值。利用前面3步取得事件优先级、事件可信度以及资产的价值，代入下边计算公式，计算出风险值。
攻击风险的计算公式为：RiskA＝(Priority*Reliability*DestinationAsset)/25；危害风险的计算公式为：RiskC＝(Priority*Reliability*SourceAsset)/25；其中Priority指日志事件的优先级(0-5)，Reliability是事件的可信度(0-10)，DestinationAsset指目标资产价值(0-5)，SourceAsset是源资产价值(0-5)。取MAX(RiskA，RiskC)作为当前待评估事件的风险值。
如果事件的风险值大于1，则事件的风险标志置位。
步骤A45：更新主机及网络的风险等级。如果事件的风险值不大于1，则直接跳转到A5；否则，首先，更新主机风险；本实施中使用主机风险等级列内存表维护所有主机的“C&A”风险值，如果主机已经在该列表中，则直接将事件的RiskA累加到目标主机的“A”值上，  将事件的RiskC累加到源主机的“C”值上；并同步更新数据库中主机风险度量表中事件源主机资产的C类风险和目标主机的A类风险值；否则使用事件的IP(源IP，和/或目标IP)，以及计算所得的RiskA和RiakC值创建一个新的主机风险对象，并添加到主机风险等级列内存表中；同时，往数据库中主机风险度量表中插入一新记录，包括IP、C类风险值、A类风险值、风险等级、时间。
主机风险评估中采用表三计算事件的风险等级，主机当前的风险等级由所有与之相关联的日志事件的最高风险等级确定；同时主机资产上保存各等级的事件的统计数。
表三
    日志事件的风险值     风险等级
    1.00-3.00     1级
    3.01-5.99     2级
    6.00-7.99     3级
    8.00-9.00     4级
    9.00-10.00     5级
所述C&A”风险值，其中“C”是危害等级，在本发明中，用来描述事件所涉及源资产的风险等级，如发起攻击的机器，其“C”值将提升，表示其危害程度在提高。如被木马控制的机器，甚至是安装了安全扫描工具的机器，其“C”值都会较高。其中“A”是攻击等级，本发明中，用来描述事件所涉及目标资产的风险等级，如被DOS攻击的机器，其“A”值将提升。以攻击为例，A值越高，表示攻击一旦成功，其危害性越高。
其次，更新网络风险。网络风险就是当电子信息在网络上传输时，由于网络设备的故障、缺陷或没有将内部网络与互联网进行物理隔断导致遭受外界侵袭造成的风险。本实施中使用网络风险等级内存表维护所有网络的“C&A”风险值，如果网络已经在该列表中，则直接将事件的RiskA累加到目标网络的“A”值上，将事件的RiskC累加到源网络的“C”值上；并同步更新数据库中网络风险度量表源网络资产的C类风险和目标网络的A类风险值；否则使用事件的IP所确定的网络(包括源IP，和/或目标IP所确定网络，该网络是包含源IP，或目标IP的最小网络，即子网掩码mask最大者)，以及所计算的RiskA和RiakC值创建新的网络风险对象，并添加到网络风险内存表中；同时，往数据库中网络风险度量表中插入新记录，包括网络IP，C类风险值、A类风险值、风险等级、时间。
网络风险评估中采用表四计算事件的风险等级，网络当前风险等级以所关联的日志事件的最高风险等级所决定；同时网络资产上保存各等级的日志事件的统计数。
表四
  日志事件的风险值     风险等级
  1.00-4.00     1级
  4.01-5.99     2级
  6.00-7.00     3级
  7.01-9.00     4级
  9.00-10.00     5级
步骤A5：事件告警；
如果事件被标记为告警事件，即该事件的告警标志置位，则把该事件压入告警事件队列。此类事件将发送到监控终端，监控终端将对不同类型的事件标识执行相应响应动作，首先展示告警，并播放不同的预设语音；然后执行外部程序，如直接结束进程、配置防火墙规则等；或者发送EMAIL到预设的管理员邮箱；或者通过QQ或MSN机器人发送及时消息到管理员。
以上所述的具体实施例，仅用于例释本发明的特点及功效，而非用于限定本发明的可实施范畴，在未脱离本发明上述的精神与技术范围的情况下，任何运用本发明所揭示内容而完成的等效改变及修饰，均仍应被上述的权利要求所涵盖。

Claims (10)

1.一种日志事件关联分析方法，其特征在于，包括以下步骤：
收集日志数据，
通过预设的正则表达式提取日志数据的特征数据；
根据提取到的特征数据构建统一格式的日志事件；
查询日志事件的处理策略；
根据策略指示对事件进行交叉关联分析和事件流逻辑关联分析；以及
进行日志事件风险评估并自动响应。
2.根据权利要求1所述的日志事件关联分析方法，其特征在于：所述特征数据，至少包含服务器、时间、源IP、源端口、目的IP、目标端口、协议、探测器标识、事件标识、可信度或优先级中的一种或多种。
3.根据权利要求1所述的日志事件关联方法，其特征在于，所述处理策略用于指导所述事件的处理，包括源地址、目标地址、优先级、端口组、探测器、时间范围、交叉关联标志、逻辑关联标志和风险评估标志；所述查询日志事件的处理策略，是依据所述日志事件的源IP、目的IP、目标端口、探测器标识和事件标识属性的组合为条件，查找处理策略表。
4.根据权利要求3所述的日志事件关联方法，其特征在于，所述交叉关联分析包括漏洞关联分析和资产关联分析；所述漏洞关联分析，是通过所述日志事件中所携带的目的IP查找相应资产后，将事件与所述资产上已发现的漏洞关联；
所述资产关联分析，是依据所述日志事件中所携带的事件标识查找到漏洞所针对的操作系统和应用信息后，将事件与所述资产上的操作系统、应用服务以及活动端口与协议关联；以及
关联分析后，依据预设的规则，更新所述日志事件的可信度和优先级。
5.根据权利要求4所述的日志事件关联方法，其特征在于，所述事件流逻辑关联分析，包括：测试所述日志事件是否从属于当前已有事件链的后续事件；所述日志事件的探测器标识和事件标识属性与所述事件链的活动关联规则所要求的标识相匹配后，再比较所述日志事件的源IP、目的IP、源端口和目标端口属性与所述事件链中上已有事件的源IP、目的IP、源端口和目标端口比较；完全匹配时，构造并提交新的日志事件；或测试所述日志事件是否可用于新建事件链；所述日志事件的探测器标识和事件标识属性与所有预设的事件链规则的第一个关联规则比较，匹配成功后，所述日志事件为事件链事件；以及
所述关联规则，包括事件源IP、源端口、目的IP、目的端口、新事件标识、新事件描述、探测器标识、日志事件标识、时间间隔和重复次数；所述关联规则，通过和关系，和/或或关系组成关联规则树，用于将所述日志事件关联成事件链，并产生新的事件。
6.根据权利要求1所述的日志事件关联方法，其特征在于，日志事件风险评估，包含：
利用所述日志事件的优先级、可信度和所述日志事件所针对的目标主机的价值结算而成的攻击威胁值，通过查找风险等级映射表，计算出攻击风险等级；更新目标主机以及目标网络的攻击威胁值；
利用所述日志事件的优先级、可信度和所述日志事件源主机的价值结算而成的危害威胁值，通过查找风险等级映射表，计算出危害风险等级；更新源主机以及源网络的危害威胁值；以及
以所计算的攻击威胁值和危害威胁值间的大者作为所述日志事件的风险值，并对风险值大于特定阈值的日志事件示警；且依据所述日志事件的事件标识自动响应。
7.一种日志事件关联分析系统，其特征在于：包括日志采集模块、日志规范化模块、关联分析模块、事件风险评估模块和告警模块，其中：
所述日志采集模块用于采集网络设备、主机设备、终端以及各类业务应用的日志数据，提交到所述日志规范化模块；
所述日志规范化模块用于集中处理日志数据，转化为统一格式的日志事件后，提交到关联分析模块；
所述关联分析模块用于对规整化后的日志事件进行分析，包括更新日志事件的可信度和优先级；并在事件流中挖掘出新的事件；将分析后的事件提交到事件风险评估模块；
所述事件风险评估模块用于依据事件的可信度和优先级，并基于事件目标资产的价值，计算该事件的攻击威胁值，并计算攻击威胁风险等级；基于事件源主机的价值，计算该事件的危害威胁值，并计算危害威胁风险等级；以计算所得的攻击威胁值和危害威胁值间的大者为该事件的威胁值，提交事件到所述告警模块；且
所述告警模块用于事件告警，并依据事件的事件标识属性值，自动响应。
8.根据权利要求7所述的日志事件关联分析系统，其特征在于，还包括数据库模块，用于保存所述管理分析模块、所述风险评估模块以及所述告警模块所需要的漏洞信息、资产数据、策略信息或事件信息。
9.根据权利要求7所述的日志事件关联分析系统，其特征在于，所述关联分析模块，包括关联引擎模块、交叉关联模块和逻辑关联模块；
所述关联引擎模块，用于为所述日志事件分配处理策略，以牵引事件处理；
所述交叉关联模块，用于对所述日志事件进行事件与漏洞关联、事件与资产关联，以更新该事件的优先级和可信度；
所述逻辑管理模块，用于对所述事件进行事件链关联，以挖掘新事件，并提交到关联引擎模块。
10.根据权利要求7所述的日志事件关联分析系统，其特征在于，还包括：
所述日志采集模块，可部署在日志服务器上，也可部署在专用主机上，用于采集设备的运行日志和运行状态数据，以及侦测安全弱点；
所述告警模块，分服务端与客户端，所述服务端与所述系统的其它模块部署在同一主机上，用于分发告警；所述客户端部署在指定终端上，用于声光示警和自动响应。
CN2009101573103A 2009-07-24 2009-07-24 一种日志事件关联分析系统与方法 Active CN101610174B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN2009101573103A CN101610174B (zh) 2009-07-24 2009-07-24 一种日志事件关联分析系统与方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN2009101573103A CN101610174B (zh) 2009-07-24 2009-07-24 一种日志事件关联分析系统与方法

Publications (2)

Publication Number Publication Date
CN101610174A true CN101610174A (zh) 2009-12-23
CN101610174B CN101610174B (zh) 2011-08-24

Family

ID=41483772

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009101573103A Active CN101610174B (zh) 2009-07-24 2009-07-24 一种日志事件关联分析系统与方法

Country Status (1)

Country Link
CN (1) CN101610174B (zh)

Cited By (117)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888309A (zh) * 2010-06-30 2010-11-17 中国科学院计算技术研究所 在线日志分析方法
CN102082694A (zh) * 2011-03-04 2011-06-01 宇龙计算机通信科技(深圳)有限公司 一种应用评价方法及应用服务器
CN102158355A (zh) * 2011-03-11 2011-08-17 广州蓝科科技股份有限公司 一种可并发和断续分析的日志事件关联分析方法和装置
CN102279891A (zh) * 2011-09-02 2011-12-14 深圳中兴网信科技有限公司 一种并行搜索it日志的检索方法、装置及系统
CN102457475A (zh) * 2010-10-15 2012-05-16 中国人民解放军国防科学技术大学 网络安全数据集成与转换系统
CN102546641A (zh) * 2012-01-14 2012-07-04 杭州安恒信息技术有限公司 一种在应用安全系统中进行精确风险检测的方法及系统
CN102571469A (zh) * 2010-12-23 2012-07-11 北京启明星辰信息技术股份有限公司 攻击检测方法和装置
CN102594783A (zh) * 2011-01-14 2012-07-18 中国科学院软件研究所 一种网络安全应急响应方法
CN102685095A (zh) * 2011-12-26 2012-09-19 北京安天电子设备有限公司 基于风险级别事件处理的方法及系统
CN102724068A (zh) * 2012-04-05 2012-10-10 杭州安恒信息技术有限公司 一种在IPv6混合网络中进行审计日志资产识别的方法
CN102750462A (zh) * 2011-12-13 2012-10-24 北京安天电子设备有限公司 基于环境的日志分析转换方法及装置
CN102932188A (zh) * 2012-11-21 2013-02-13 南京奇幻通信科技有限公司 基于服务信息进行处理的系统
WO2013026312A1 (zh) * 2011-08-23 2013-02-28 中兴通讯股份有限公司 基于日志检测的告警方法及系统
CN103001796A (zh) * 2012-11-13 2013-03-27 北界创想（北京）软件有限公司 服务端处理网络日志数据的方法及装置
CN103198434A (zh) * 2013-03-11 2013-07-10 昆明能讯科技有限责任公司 一种新颖的电网设备状态评价方法
CN103279708A (zh) * 2012-12-28 2013-09-04 武汉安天信息技术有限责任公司 一种移动终端恶意代码行为监控和分析的方法及系统
CN103378991A (zh) * 2012-04-17 2013-10-30 碁震（上海）云计算科技有限公司 一种在线服务异常监测方法及其监测系统
CN103546579A (zh) * 2013-11-07 2014-01-29 陈靓 一种用数据日志提高分布式存储系统可用性的方法
CN103563302A (zh) * 2011-06-01 2014-02-05 惠普发展公司，有限责任合伙企业 网络资产信息管理
CN103580900A (zh) * 2012-08-01 2014-02-12 上海宝信软件股份有限公司 一种基于事件链的关联分析系统
CN103607291A (zh) * 2013-10-25 2014-02-26 北京科东电力控制系统有限责任公司 用于电力二次系统内网安全监视平台的告警解析归并方法
CN103812676A (zh) * 2012-11-08 2014-05-21 深圳中兴网信科技有限公司 一种实现日志数据实时关联装置及方法
CN103812679A (zh) * 2012-11-12 2014-05-21 深圳中兴网信科技有限公司 一种海量日志统计分析系统和方法
CN103823852A (zh) * 2014-02-14 2014-05-28 北京国双科技有限公司 数据库服务器日志的处理方法和装置
CN103875222A (zh) * 2011-09-15 2014-06-18 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN104038466A (zh) * 2013-03-05 2014-09-10 中国银联股份有限公司 用于云计算环境的入侵检测系统、方法及设备
CN104052739A (zh) * 2014-05-22 2014-09-17 汉柏科技有限公司 一种基于安全管理平台的改进交叉关联方法及系统
CN104115463A (zh) * 2011-11-07 2014-10-22 网络流逻辑公司 用于处理网络元数据的流式传输方法和系统
CN104144063A (zh) * 2013-05-08 2014-11-12 朱烨 基于日志分析和防火墙安全矩阵的网站安全监控报警系统
CN104321780A (zh) * 2012-06-27 2015-01-28 英特尔公司 用于使用持久信任日志来监测并断言信任等级的设备、系统、和方法
CN104376254A (zh) * 2013-08-16 2015-02-25 北京神州泰岳软件股份有限公司 一种日志审计方法及系统
CN104579782A (zh) * 2015-01-12 2015-04-29 国家电网公司 一种热点安全事件的识别方法及系统
CN104636494A (zh) * 2015-03-04 2015-05-20 浪潮电子信息产业股份有限公司 一种基于Spark大数据平台的日志审计倒查系统
CN104811452A (zh) * 2015-04-30 2015-07-29 北京科技大学 一种基于数据挖掘的自学习分级预警入侵检测系统
CN104869022A (zh) * 2015-05-27 2015-08-26 北京京东尚科信息技术有限公司 一种日志采集方法及系统
CN105119945A (zh) * 2015-09-24 2015-12-02 西安未来国际信息股份有限公司 一种用于安全管理中心的日志关联分析方法
CN105138593A (zh) * 2015-07-31 2015-12-09 山东蚁巡网络科技有限公司 一种利用正则表达式自定义提取日志关键信息的方法
CN105207829A (zh) * 2014-06-04 2015-12-30 腾讯科技（深圳）有限公司 一种入侵检测数据处理方法、装置，及系统
CN105227582A (zh) * 2015-11-03 2016-01-06 蓝盾信息安全技术股份有限公司 基于入侵检测和漏洞扫描联动的黑客行为发现及分析
CN105468765A (zh) * 2015-12-03 2016-04-06 中国南方电网有限责任公司信息中心 一种多节点web服务异常检测方法和系统
CN105471882A (zh) * 2015-12-08 2016-04-06 中国电子科技集团公司第三十研究所 一种基于行为特征的网络攻击检测方法及装置
CN105528280A (zh) * 2015-11-30 2016-04-27 中电科华云信息技术有限公司 系统日志与健康监控关系决定日志告警等级的方法及系统
CN105656706A (zh) * 2014-11-14 2016-06-08 北京通达无限科技有限公司 业务数据的处理方法及设备
CN105847029A (zh) * 2015-09-08 2016-08-10 南京联成科技发展有限公司 一种基于大数据分析的信息安全事件自动关联及快速响应的方法及系统
CN106202004A (zh) * 2016-07-13 2016-12-07 上海轻维软件有限公司 基于正则表达及分隔符的组合式数据切割方法
CN106209826A (zh) * 2016-07-08 2016-12-07 瑞达信息安全产业股份有限公司 一种网络安全设备监测的安全事件分析方法
CN106230800A (zh) * 2016-07-25 2016-12-14 恒安嘉新(北京)科技有限公司 一种对资产主动探测和漏洞预警的方法
CN106295331A (zh) * 2016-08-22 2017-01-04 浪潮电子信息产业股份有限公司 一种主动防御及异常上报系统的设计方法
CN106385413A (zh) * 2016-09-12 2017-02-08 杭州迪普科技有限公司 入侵报文流的处理方法及装置
CN106528619A (zh) * 2016-09-30 2017-03-22 国家电网公司 一种基于关键字段的交换机日志快速聚合方法
CN106598827A (zh) * 2016-12-19 2017-04-26 东软集团股份有限公司 提取日志数据的方法及装置
CN106603264A (zh) * 2015-10-20 2017-04-26 阿里巴巴集团控股有限公司 一种定位故障根源的方法和设备
CN106815120A (zh) * 2017-01-20 2017-06-09 北京数码视讯科技股份有限公司 嵌入式日志管理系统和方法
CN106844170A (zh) * 2015-12-04 2017-06-13 阿里巴巴集团控股有限公司 一种故障处理、分析故障的影响面方法和设备
CN107113202A (zh) * 2015-03-02 2017-08-29 微软技术许可有限责任公司 监视并报告从源位置到目的地位置的数据上传的传输及完整性
WO2017166644A1 (zh) * 2016-03-31 2017-10-05 乐视控股（北京）有限公司 一种数据采集方法和系统
CN107404465A (zh) * 2016-05-20 2017-11-28 阿里巴巴集团控股有限公司 网络数据分析方法及服务器
CN107426227A (zh) * 2017-08-02 2017-12-01 江苏省邮电规划设计院有限责任公司 一种自动化安全渗透测试方法
CN107426191A (zh) * 2017-06-29 2017-12-01 上海凯岸信息科技有限公司 一种漏洞预警及应急响应自动告警系统
CN107463648A (zh) * 2017-07-26 2017-12-12 苏州乐麟无线信息科技有限公司 基于分布式通信的数据分析方法及系统
CN107483472A (zh) * 2017-09-05 2017-12-15 中国科学院计算机网络信息中心 一种网络安全监控的方法、装置、存储介质及服务器
CN107562768A (zh) * 2016-09-14 2018-01-09 彩讯科技股份有限公司 一种数据处理过程动态回溯追踪方法
CN107566163A (zh) * 2017-08-10 2018-01-09 北京奇安信科技有限公司 一种用户行为分析关联的告警方法及装置
CN107729206A (zh) * 2017-09-04 2018-02-23 上海斐讯数据通信技术有限公司 告警日志的实时分析方法、系统和计算机处理设备
CN107769958A (zh) * 2017-09-01 2018-03-06 杭州安恒信息技术有限公司 基于日志的服务器网络安全事件自动化分析方法及系统
CN107809321A (zh) * 2016-09-08 2018-03-16 南京联成科技发展股份有限公司 一种安全风险评估和告警生成的实现方法
CN107844572A (zh) * 2017-11-04 2018-03-27 公安部第三研究所 多维度事件关联分析方法
CN108021809A (zh) * 2017-12-19 2018-05-11 北京明朝万达科技股份有限公司 一种数据处理方法及系统
CN108092985A (zh) * 2017-12-26 2018-05-29 厦门服云信息科技有限公司 网络安全态势分析方法、装置、设备及计算机存储介质
CN108243060A (zh) * 2017-01-19 2018-07-03 上海直真君智科技有限公司 一种基于大数据预分类的网络安全告警风险判定方法
CN108259449A (zh) * 2017-03-27 2018-07-06 新华三技术有限公司 一种防御apt攻击的方法和系统
CN108304311A (zh) * 2015-06-26 2018-07-20 中兴通讯股份有限公司 一种日志信息检测方法及装置
CN108494727A (zh) * 2018-02-06 2018-09-04 成都清华永新网络科技有限公司 一种用于网络安全管理的安全事件闭环处理方法
CN108551449A (zh) * 2018-04-13 2018-09-18 上海携程商务有限公司 防病毒管理系统及方法
CN108629042A (zh) * 2017-07-06 2018-10-09 深圳中兴飞贷金融科技有限公司 大数据采集方法、装置及系统
CN108694213A (zh) * 2017-04-12 2018-10-23 艺龙网信息技术（北京）有限公司 日志文件的生成方法、检索方法及装置
CN108964995A (zh) * 2018-07-03 2018-12-07 上海新炬网络信息技术股份有限公司 基于时间轴事件的日志关联分析方法
CN109033840A (zh) * 2018-06-28 2018-12-18 成都飞机工业（集团）有限责任公司 一种对计算机终端进行保密检查的方法
CN109101644A (zh) * 2018-08-21 2018-12-28 上海新炬网络信息技术股份有限公司 一种动静态日志文件扫描采集方法
CN109257329A (zh) * 2017-07-13 2019-01-22 国网浙江省电力公司电力科学研究院 一种基于海量Web日志的网站风险指数计算系统及方法
CN109347892A (zh) * 2018-08-03 2019-02-15 北京奇安信科技有限公司 一种互联网工业资产扫描处理方法及装置
CN109450671A (zh) * 2018-10-22 2019-03-08 北京安信天行科技有限公司 一种日志多组合告警归类方法及系统
CN109474510A (zh) * 2017-12-25 2019-03-15 北京安天网络安全技术有限公司 一种邮箱安全交叉审计方法、系统及存储介质
CN109634982A (zh) * 2018-12-14 2019-04-16 万翼科技有限公司 告警生成方法、装置及计算机可读存储介质
CN109639631A (zh) * 2018-10-30 2019-04-16 国网陕西省电力公司信息通信公司 一种网络安全巡检系统及巡检方法
CN109684877A (zh) * 2018-12-12 2019-04-26 深圳互联先锋科技有限公司 数据完整性的监测方法、装置及计算机可读存储介质
CN109714351A (zh) * 2018-12-29 2019-05-03 北京神州绿盟信息安全科技股份有限公司 一种资产保护方法及服务器
CN109783330A (zh) * 2018-12-10 2019-05-21 北京京东金融科技控股有限公司 日志处理方法、显示方法和相关装置、系统
CN110073302A (zh) * 2017-01-31 2019-07-30 欧姆龙株式会社 信息处理装置、信息处理装置的控制方法以及控制程序
CN110086812A (zh) * 2019-04-29 2019-08-02 广州大学 一种安全可控的内网安全巡警系统及方法
CN110113345A (zh) * 2019-05-13 2019-08-09 四川长虹电器股份有限公司 一种基于物联网流量的资产自动发现的方法
CN110177024A (zh) * 2019-05-06 2019-08-27 北京奇安信科技有限公司 热点设备的监控方法及客户端、服务端、系统
CN110334119A (zh) * 2019-06-21 2019-10-15 腾讯科技（深圳）有限公司 一种数据关联处理方法、装置、设备及介质
CN110545276A (zh) * 2019-09-03 2019-12-06 新华三信息安全技术有限公司 威胁事件告警方法、装置、告警设备及机器可读存储介质
CN110598404A (zh) * 2019-09-17 2019-12-20 腾讯科技（深圳）有限公司 安全风险监控方法、监控装置、服务器和存储介质
CN110597687A (zh) * 2019-08-27 2019-12-20 厦门亿联网络技术股份有限公司 一种日志处理方法和装置
CN110750795A (zh) * 2019-10-25 2020-02-04 华夏银行股份有限公司 一种信息安全风险的处理方法及装置
JP2020028092A (ja) * 2018-08-17 2020-02-20 三菱電機株式会社 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
CN110825873A (zh) * 2019-10-11 2020-02-21 支付宝(杭州)信息技术有限公司 用于对日志异常分类规则进行扩充的方法及装置
CN111147529A (zh) * 2020-04-08 2020-05-12 国网区块链科技(北京)有限公司 一种网络攻击数据的处理方法、系统及预警平台
CN111158997A (zh) * 2019-12-24 2020-05-15 河南文正电子数据处理有限公司 一种多日志系统的安全监测方法及装置
CN111414402A (zh) * 2020-03-19 2020-07-14 北京神州绿盟信息安全科技股份有限公司 一种日志威胁分析规则生成方法及装置
CN111770106A (zh) * 2020-07-07 2020-10-13 杭州安恒信息技术股份有限公司 数据威胁分析的方法、装置、系统、电子装置和存储介质
CN111885012A (zh) * 2020-07-03 2020-11-03 安徽继远软件有限公司 基于多种网络设备信息采集的网络态势感知方法及系统
CN111917769A (zh) * 2020-07-30 2020-11-10 中盈优创资讯科技有限公司 一种安全事件的自动处置方法、装置和电子设备
CN112434949A (zh) * 2020-11-25 2021-03-02 平安普惠企业管理有限公司 基于人工智能的业务预警处理方法、装置、设备和介质
CN112511213A (zh) * 2020-11-18 2021-03-16 四川安迪科技实业有限公司 基于日志分析的缺陷定位方法及系统
CN112559595A (zh) * 2020-12-14 2021-03-26 东软集团股份有限公司 安全事件挖掘方法、装置、存储介质及电子设备
CN112651026A (zh) * 2020-12-30 2021-04-13 微梦创科网络科技（中国）有限公司 一种具有业务安全问题的应用版本挖掘方法及装置
CN112860471A (zh) * 2021-02-05 2021-05-28 北京通付盾人工智能技术有限公司 一种基于决策流的业务操作日志审计与告警方法及系统
CN113271220A (zh) * 2021-03-30 2021-08-17 国家计算机网络与信息安全管理中心 一种基于配置文件和日志文件的跨组件数据流向审计方法和系统
CN113542253A (zh) * 2021-07-12 2021-10-22 杭州安恒信息技术股份有限公司 一种网络流量检测方法、装置、设备及介质
CN113596044A (zh) * 2021-08-03 2021-11-02 北京恒安嘉新安全技术有限公司 一种网络防护方法、装置、电子设备及存储介质
CN114080792A (zh) * 2019-06-21 2022-02-22 Ntt通信公司 引导目标评价装置、引导目标评价方法以及程序
CN115664853A (zh) * 2022-12-15 2023-01-31 北京六方云信息技术有限公司 网络安全数据关联分析方法、装置、系统以及存储介质
US11921571B2 (en) 2018-12-20 2024-03-05 Koninklijke Philips N.V. Method to efficiently evaluate a log pattern
CN117938431A (zh) * 2023-12-11 2024-04-26 广州安行信息安全科技有限公司 一种基于关联规则的工业控制系统复杂攻击检测方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100456687C (zh) * 2003-09-29 2009-01-28 华为技术有限公司 网络故障实时相关性分析方法及系统
CN100362803C (zh) * 2004-10-15 2008-01-16 华中科技大学 基于聚类与关联的网络安全报警系统
CN100386993C (zh) * 2005-09-05 2008-05-07 北京启明星辰信息技术有限公司 网络入侵事件风险评估方法及系统

Cited By (170)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888309A (zh) * 2010-06-30 2010-11-17 中国科学院计算技术研究所 在线日志分析方法
CN101888309B (zh) * 2010-06-30 2012-07-04 中国科学院计算技术研究所 在线日志分析方法
CN102457475A (zh) * 2010-10-15 2012-05-16 中国人民解放军国防科学技术大学 网络安全数据集成与转换系统
CN102571469A (zh) * 2010-12-23 2012-07-11 北京启明星辰信息技术股份有限公司 攻击检测方法和装置
CN102594783B (zh) * 2011-01-14 2014-10-22 中国科学院软件研究所 一种网络安全应急响应方法
CN102594783A (zh) * 2011-01-14 2012-07-18 中国科学院软件研究所 一种网络安全应急响应方法
CN102082694A (zh) * 2011-03-04 2011-06-01 宇龙计算机通信科技(深圳)有限公司 一种应用评价方法及应用服务器
CN102158355B (zh) * 2011-03-11 2013-08-14 广州蓝科科技股份有限公司 一种可并发和断续分析的日志事件关联分析方法和装置
CN102158355A (zh) * 2011-03-11 2011-08-17 广州蓝科科技股份有限公司 一种可并发和断续分析的日志事件关联分析方法和装置
CN103563302A (zh) * 2011-06-01 2014-02-05 惠普发展公司，有限责任合伙企业 网络资产信息管理
US9438616B2 (en) 2011-06-01 2016-09-06 Hewlett Packard Enterprise Development Lp Network asset information management
CN103563302B (zh) * 2011-06-01 2016-09-14 惠普发展公司，有限责任合伙企业 网络资产信息管理
WO2013026312A1 (zh) * 2011-08-23 2013-02-28 中兴通讯股份有限公司 基于日志检测的告警方法及系统
CN102957550A (zh) * 2011-08-23 2013-03-06 中兴通讯股份有限公司 基于日志检测的告警方法及系统
CN102279891A (zh) * 2011-09-02 2011-12-14 深圳中兴网信科技有限公司 一种并行搜索it日志的检索方法、装置及系统
CN103875222A (zh) * 2011-09-15 2014-06-18 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN104115463A (zh) * 2011-11-07 2014-10-22 网络流逻辑公司 用于处理网络元数据的流式传输方法和系统
CN104115463B (zh) * 2011-11-07 2017-04-05 网络流逻辑公司 用于处理网络元数据的流式传输方法和系统
CN102750462B (zh) * 2011-12-13 2015-07-29 北京安天电子设备有限公司 基于环境的日志分析转换方法及装置
CN102750462A (zh) * 2011-12-13 2012-10-24 北京安天电子设备有限公司 基于环境的日志分析转换方法及装置
CN102685095A (zh) * 2011-12-26 2012-09-19 北京安天电子设备有限公司 基于风险级别事件处理的方法及系统
CN102546641A (zh) * 2012-01-14 2012-07-04 杭州安恒信息技术有限公司 一种在应用安全系统中进行精确风险检测的方法及系统
CN102546641B (zh) * 2012-01-14 2014-12-31 杭州安恒信息技术有限公司 一种在应用安全系统中进行精确风险检测的方法及系统
CN102724068A (zh) * 2012-04-05 2012-10-10 杭州安恒信息技术有限公司 一种在IPv6混合网络中进行审计日志资产识别的方法
CN103378991A (zh) * 2012-04-17 2013-10-30 碁震（上海）云计算科技有限公司 一种在线服务异常监测方法及其监测系统
CN104321780A (zh) * 2012-06-27 2015-01-28 英特尔公司 用于使用持久信任日志来监测并断言信任等级的设备、系统、和方法
CN103580900A (zh) * 2012-08-01 2014-02-12 上海宝信软件股份有限公司 一种基于事件链的关联分析系统
CN103580900B (zh) * 2012-08-01 2016-12-21 上海宝信软件股份有限公司 一种基于事件链的关联分析系统
CN103812676A (zh) * 2012-11-08 2014-05-21 深圳中兴网信科技有限公司 一种实现日志数据实时关联装置及方法
CN103812679A (zh) * 2012-11-12 2014-05-21 深圳中兴网信科技有限公司 一种海量日志统计分析系统和方法
CN103812679B (zh) * 2012-11-12 2018-01-30 深圳中兴网信科技有限公司 一种海量日志统计分析系统和方法
CN103001796A (zh) * 2012-11-13 2013-03-27 北界创想（北京）软件有限公司 服务端处理网络日志数据的方法及装置
CN102932188A (zh) * 2012-11-21 2013-02-13 南京奇幻通信科技有限公司 基于服务信息进行处理的系统
CN102932188B (zh) * 2012-11-21 2015-06-17 南京奇幻通信科技有限公司 基于服务信息进行处理的系统
CN103279708A (zh) * 2012-12-28 2013-09-04 武汉安天信息技术有限责任公司 一种移动终端恶意代码行为监控和分析的方法及系统
CN104038466A (zh) * 2013-03-05 2014-09-10 中国银联股份有限公司 用于云计算环境的入侵检测系统、方法及设备
CN104038466B (zh) * 2013-03-05 2018-09-21 中国银联股份有限公司 用于云计算环境的入侵检测系统、方法及设备
CN103198434A (zh) * 2013-03-11 2013-07-10 昆明能讯科技有限责任公司 一种新颖的电网设备状态评价方法
CN104144063B (zh) * 2013-05-08 2018-08-10 朱烨 基于日志分析和防火墙安全矩阵的网站安全监控报警系统
CN104144063A (zh) * 2013-05-08 2014-11-12 朱烨 基于日志分析和防火墙安全矩阵的网站安全监控报警系统
CN104376254A (zh) * 2013-08-16 2015-02-25 北京神州泰岳软件股份有限公司 一种日志审计方法及系统
CN104376254B (zh) * 2013-08-16 2017-08-04 北京神州泰岳软件股份有限公司 一种日志审计方法及系统
CN103607291A (zh) * 2013-10-25 2014-02-26 北京科东电力控制系统有限责任公司 用于电力二次系统内网安全监视平台的告警解析归并方法
CN103546579A (zh) * 2013-11-07 2014-01-29 陈靓 一种用数据日志提高分布式存储系统可用性的方法
CN103546579B (zh) * 2013-11-07 2017-01-04 陈靓 一种用数据日志提高分布式存储系统可用性的方法
CN103823852B (zh) * 2014-02-14 2017-10-27 北京国双科技有限公司 数据库服务器日志的处理方法和装置
CN103823852A (zh) * 2014-02-14 2014-05-28 北京国双科技有限公司 数据库服务器日志的处理方法和装置
CN104052739A (zh) * 2014-05-22 2014-09-17 汉柏科技有限公司 一种基于安全管理平台的改进交叉关联方法及系统
CN104052739B (zh) * 2014-05-22 2017-03-22 汉柏科技有限公司 一种基于安全管理平台的改进交叉关联方法及系统
CN105207829A (zh) * 2014-06-04 2015-12-30 腾讯科技（深圳）有限公司 一种入侵检测数据处理方法、装置，及系统
CN105207829B (zh) * 2014-06-04 2020-08-04 腾讯科技（深圳）有限公司 一种入侵检测数据处理方法、装置，及系统
CN105656706A (zh) * 2014-11-14 2016-06-08 北京通达无限科技有限公司 业务数据的处理方法及设备
CN104579782A (zh) * 2015-01-12 2015-04-29 国家电网公司 一种热点安全事件的识别方法及系统
CN104579782B (zh) * 2015-01-12 2018-03-27 国家电网公司 一种热点安全事件的识别方法及系统
CN107113202A (zh) * 2015-03-02 2017-08-29 微软技术许可有限责任公司 监视并报告从源位置到目的地位置的数据上传的传输及完整性
CN104636494A (zh) * 2015-03-04 2015-05-20 浪潮电子信息产业股份有限公司 一种基于Spark大数据平台的日志审计倒查系统
CN104811452A (zh) * 2015-04-30 2015-07-29 北京科技大学 一种基于数据挖掘的自学习分级预警入侵检测系统
CN104869022A (zh) * 2015-05-27 2015-08-26 北京京东尚科信息技术有限公司 一种日志采集方法及系统
CN104869022B (zh) * 2015-05-27 2019-01-11 北京京东尚科信息技术有限公司 一种日志采集方法及系统
CN108304311A (zh) * 2015-06-26 2018-07-20 中兴通讯股份有限公司 一种日志信息检测方法及装置
CN105138593A (zh) * 2015-07-31 2015-12-09 山东蚁巡网络科技有限公司 一种利用正则表达式自定义提取日志关键信息的方法
CN105847029B (zh) * 2015-09-08 2019-08-09 南京联成科技发展股份有限公司 一种基于大数据的信息安全事件自动关联及快速响应系统
CN105847029A (zh) * 2015-09-08 2016-08-10 南京联成科技发展有限公司 一种基于大数据分析的信息安全事件自动关联及快速响应的方法及系统
CN105119945A (zh) * 2015-09-24 2015-12-02 西安未来国际信息股份有限公司 一种用于安全管理中心的日志关联分析方法
CN106603264A (zh) * 2015-10-20 2017-04-26 阿里巴巴集团控股有限公司 一种定位故障根源的方法和设备
CN105227582A (zh) * 2015-11-03 2016-01-06 蓝盾信息安全技术股份有限公司 基于入侵检测和漏洞扫描联动的黑客行为发现及分析
CN105528280A (zh) * 2015-11-30 2016-04-27 中电科华云信息技术有限公司 系统日志与健康监控关系决定日志告警等级的方法及系统
CN105468765A (zh) * 2015-12-03 2016-04-06 中国南方电网有限责任公司信息中心 一种多节点web服务异常检测方法和系统
CN106844170B (zh) * 2015-12-04 2021-03-19 创新先进技术有限公司 一种故障处理、分析故障的影响面方法和设备
CN106844170A (zh) * 2015-12-04 2017-06-13 阿里巴巴集团控股有限公司 一种故障处理、分析故障的影响面方法和设备
CN105471882A (zh) * 2015-12-08 2016-04-06 中国电子科技集团公司第三十研究所 一种基于行为特征的网络攻击检测方法及装置
WO2017166644A1 (zh) * 2016-03-31 2017-10-05 乐视控股（北京）有限公司 一种数据采集方法和系统
CN107404465A (zh) * 2016-05-20 2017-11-28 阿里巴巴集团控股有限公司 网络数据分析方法及服务器
CN107404465B (zh) * 2016-05-20 2020-08-04 阿里巴巴集团控股有限公司 网络数据分析方法及服务器
CN106209826A (zh) * 2016-07-08 2016-12-07 瑞达信息安全产业股份有限公司 一种网络安全设备监测的安全事件分析方法
CN106202004A (zh) * 2016-07-13 2016-12-07 上海轻维软件有限公司 基于正则表达及分隔符的组合式数据切割方法
CN106202004B (zh) * 2016-07-13 2019-10-11 上海轻维软件有限公司 基于正则表达及分隔符的组合式数据切割方法
CN106230800A (zh) * 2016-07-25 2016-12-14 恒安嘉新(北京)科技有限公司 一种对资产主动探测和漏洞预警的方法
CN106230800B (zh) * 2016-07-25 2019-07-05 恒安嘉新（北京）科技股份公司 一种对资产主动探测和漏洞预警的方法
CN106295331A (zh) * 2016-08-22 2017-01-04 浪潮电子信息产业股份有限公司 一种主动防御及异常上报系统的设计方法
CN107809321A (zh) * 2016-09-08 2018-03-16 南京联成科技发展股份有限公司 一种安全风险评估和告警生成的实现方法
CN106385413A (zh) * 2016-09-12 2017-02-08 杭州迪普科技有限公司 入侵报文流的处理方法及装置
CN107562768A (zh) * 2016-09-14 2018-01-09 彩讯科技股份有限公司 一种数据处理过程动态回溯追踪方法
CN106528619A (zh) * 2016-09-30 2017-03-22 国家电网公司 一种基于关键字段的交换机日志快速聚合方法
CN106598827B (zh) * 2016-12-19 2019-05-31 东软集团股份有限公司 提取日志数据的方法及装置
CN106598827A (zh) * 2016-12-19 2017-04-26 东软集团股份有限公司 提取日志数据的方法及装置
CN108243060A (zh) * 2017-01-19 2018-07-03 上海直真君智科技有限公司 一种基于大数据预分类的网络安全告警风险判定方法
CN106815120B (zh) * 2017-01-20 2020-08-11 北京数码视讯科技股份有限公司 嵌入式日志管理系统和方法
CN106815120A (zh) * 2017-01-20 2017-06-09 北京数码视讯科技股份有限公司 嵌入式日志管理系统和方法
CN110073302A (zh) * 2017-01-31 2019-07-30 欧姆龙株式会社 信息处理装置、信息处理装置的控制方法以及控制程序
CN110073302B (zh) * 2017-01-31 2022-02-15 欧姆龙株式会社 信息处理装置、信息处理装置的控制方法以及存储介质
US11435714B2 (en) 2017-01-31 2022-09-06 Omron Corporation Information processing device, control method, and recording medium for specifying related event from collected event logs
CN108259449A (zh) * 2017-03-27 2018-07-06 新华三技术有限公司 一种防御apt攻击的方法和系统
US11405419B2 (en) 2017-03-27 2022-08-02 New H3C Technologies Co., Ltd. Preventing advanced persistent threat attack
CN108694213A (zh) * 2017-04-12 2018-10-23 艺龙网信息技术（北京）有限公司 日志文件的生成方法、检索方法及装置
CN107426191A (zh) * 2017-06-29 2017-12-01 上海凯岸信息科技有限公司 一种漏洞预警及应急响应自动告警系统
CN108629042A (zh) * 2017-07-06 2018-10-09 深圳中兴飞贷金融科技有限公司 大数据采集方法、装置及系统
CN109257329A (zh) * 2017-07-13 2019-01-22 国网浙江省电力公司电力科学研究院 一种基于海量Web日志的网站风险指数计算系统及方法
CN107463648A (zh) * 2017-07-26 2017-12-12 苏州乐麟无线信息科技有限公司 基于分布式通信的数据分析方法及系统
CN107426227A (zh) * 2017-08-02 2017-12-01 江苏省邮电规划设计院有限责任公司 一种自动化安全渗透测试方法
CN107426227B (zh) * 2017-08-02 2019-09-10 中通服咨询设计研究院有限公司 一种自动化安全渗透测试方法
CN107566163B (zh) * 2017-08-10 2020-11-06 奇安信科技集团股份有限公司 一种用户行为分析关联的告警方法及装置
CN107566163A (zh) * 2017-08-10 2018-01-09 北京奇安信科技有限公司 一种用户行为分析关联的告警方法及装置
CN107769958A (zh) * 2017-09-01 2018-03-06 杭州安恒信息技术有限公司 基于日志的服务器网络安全事件自动化分析方法及系统
CN107729206A (zh) * 2017-09-04 2018-02-23 上海斐讯数据通信技术有限公司 告警日志的实时分析方法、系统和计算机处理设备
CN107483472B (zh) * 2017-09-05 2020-12-08 中国科学院计算机网络信息中心 一种网络安全监控的方法、装置、存储介质及服务器
CN107483472A (zh) * 2017-09-05 2017-12-15 中国科学院计算机网络信息中心 一种网络安全监控的方法、装置、存储介质及服务器
CN107844572B (zh) * 2017-11-04 2022-02-22 公安部第三研究所 多维度事件关联分析方法
CN107844572A (zh) * 2017-11-04 2018-03-27 公安部第三研究所 多维度事件关联分析方法
CN108021809A (zh) * 2017-12-19 2018-05-11 北京明朝万达科技股份有限公司 一种数据处理方法及系统
CN109474510A (zh) * 2017-12-25 2019-03-15 北京安天网络安全技术有限公司 一种邮箱安全交叉审计方法、系统及存储介质
CN108092985A (zh) * 2017-12-26 2018-05-29 厦门服云信息科技有限公司 网络安全态势分析方法、装置、设备及计算机存储介质
CN108092985B (zh) * 2017-12-26 2021-04-06 厦门服云信息科技有限公司 网络安全态势分析方法、装置、设备及计算机存储介质
CN108494727A (zh) * 2018-02-06 2018-09-04 成都清华永新网络科技有限公司 一种用于网络安全管理的安全事件闭环处理方法
CN108551449B (zh) * 2018-04-13 2021-02-05 上海携程商务有限公司 防病毒管理系统及方法
CN108551449A (zh) * 2018-04-13 2018-09-18 上海携程商务有限公司 防病毒管理系统及方法
CN109033840A (zh) * 2018-06-28 2018-12-18 成都飞机工业（集团）有限责任公司 一种对计算机终端进行保密检查的方法
CN108964995A (zh) * 2018-07-03 2018-12-07 上海新炬网络信息技术股份有限公司 基于时间轴事件的日志关联分析方法
CN109347892A (zh) * 2018-08-03 2019-02-15 北京奇安信科技有限公司 一种互联网工业资产扫描处理方法及装置
CN109347892B (zh) * 2018-08-03 2021-09-03 奇安信科技集团股份有限公司 一种互联网工业资产扫描处理方法及装置
JP2020028092A (ja) * 2018-08-17 2020-02-20 三菱電機株式会社 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
JP7019533B2 (ja) 2018-08-17 2022-02-15 三菱電機株式会社 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
CN109101644A (zh) * 2018-08-21 2018-12-28 上海新炬网络信息技术股份有限公司 一种动静态日志文件扫描采集方法
CN109450671A (zh) * 2018-10-22 2019-03-08 北京安信天行科技有限公司 一种日志多组合告警归类方法及系统
CN109639631A (zh) * 2018-10-30 2019-04-16 国网陕西省电力公司信息通信公司 一种网络安全巡检系统及巡检方法
CN109783330A (zh) * 2018-12-10 2019-05-21 北京京东金融科技控股有限公司 日志处理方法、显示方法和相关装置、系统
CN109684877A (zh) * 2018-12-12 2019-04-26 深圳互联先锋科技有限公司 数据完整性的监测方法、装置及计算机可读存储介质
CN109634982A (zh) * 2018-12-14 2019-04-16 万翼科技有限公司 告警生成方法、装置及计算机可读存储介质
US11921571B2 (en) 2018-12-20 2024-03-05 Koninklijke Philips N.V. Method to efficiently evaluate a log pattern
CN109714351B (zh) * 2018-12-29 2021-05-04 绿盟科技集团股份有限公司 一种资产保护方法及服务器
CN109714351A (zh) * 2018-12-29 2019-05-03 北京神州绿盟信息安全科技股份有限公司 一种资产保护方法及服务器
CN110086812B (zh) * 2019-04-29 2021-11-30 广州大学 一种安全可控的内网安全巡警系统及方法
CN110086812A (zh) * 2019-04-29 2019-08-02 广州大学 一种安全可控的内网安全巡警系统及方法
CN110177024A (zh) * 2019-05-06 2019-08-27 北京奇安信科技有限公司 热点设备的监控方法及客户端、服务端、系统
CN110113345B (zh) * 2019-05-13 2021-04-06 四川长虹电器股份有限公司 一种基于物联网流量的资产自动发现的方法
CN110113345A (zh) * 2019-05-13 2019-08-09 四川长虹电器股份有限公司 一种基于物联网流量的资产自动发现的方法
CN114080792B (zh) * 2019-06-21 2024-08-20 Ntt通信公司 引导目标评价装置、引导目标评价方法以及程序
CN114080792A (zh) * 2019-06-21 2022-02-22 Ntt通信公司 引导目标评价装置、引导目标评价方法以及程序
CN110334119B (zh) * 2019-06-21 2024-06-11 腾讯科技（深圳）有限公司 一种数据关联处理方法、装置、设备及介质
US12015546B2 (en) 2019-06-21 2024-06-18 Ntt Communications Corporation Routing destination evaluation apparatus, routing destination evaluating method and program
CN110334119A (zh) * 2019-06-21 2019-10-15 腾讯科技（深圳）有限公司 一种数据关联处理方法、装置、设备及介质
CN110597687B (zh) * 2019-08-27 2022-07-22 厦门亿联网络技术股份有限公司 一种日志处理方法和装置
CN110597687A (zh) * 2019-08-27 2019-12-20 厦门亿联网络技术股份有限公司 一种日志处理方法和装置
CN110545276B (zh) * 2019-09-03 2022-06-21 新华三信息安全技术有限公司 威胁事件告警方法、装置、告警设备及机器可读存储介质
CN110545276A (zh) * 2019-09-03 2019-12-06 新华三信息安全技术有限公司 威胁事件告警方法、装置、告警设备及机器可读存储介质
CN110598404A (zh) * 2019-09-17 2019-12-20 腾讯科技（深圳）有限公司 安全风险监控方法、监控装置、服务器和存储介质
CN110825873A (zh) * 2019-10-11 2020-02-21 支付宝(杭州)信息技术有限公司 用于对日志异常分类规则进行扩充的方法及装置
CN110750795A (zh) * 2019-10-25 2020-02-04 华夏银行股份有限公司 一种信息安全风险的处理方法及装置
CN111158997B (zh) * 2019-12-24 2023-05-23 广西电网有限责任公司 一种多日志系统的安全监测方法及装置
CN111158997A (zh) * 2019-12-24 2020-05-15 河南文正电子数据处理有限公司 一种多日志系统的安全监测方法及装置
CN111414402A (zh) * 2020-03-19 2020-07-14 北京神州绿盟信息安全科技股份有限公司 一种日志威胁分析规则生成方法及装置
CN111147529A (zh) * 2020-04-08 2020-05-12 国网区块链科技(北京)有限公司 一种网络攻击数据的处理方法、系统及预警平台
CN111885012A (zh) * 2020-07-03 2020-11-03 安徽继远软件有限公司 基于多种网络设备信息采集的网络态势感知方法及系统
CN111885012B (zh) * 2020-07-03 2022-03-25 安徽继远软件有限公司 基于多种网络设备信息采集的网络态势感知方法及系统
CN111770106A (zh) * 2020-07-07 2020-10-13 杭州安恒信息技术股份有限公司 数据威胁分析的方法、装置、系统、电子装置和存储介质
CN111917769A (zh) * 2020-07-30 2020-11-10 中盈优创资讯科技有限公司 一种安全事件的自动处置方法、装置和电子设备
CN112511213A (zh) * 2020-11-18 2021-03-16 四川安迪科技实业有限公司 基于日志分析的缺陷定位方法及系统
CN112511213B (zh) * 2020-11-18 2022-07-22 四川安迪科技实业有限公司 基于日志分析的缺陷定位方法及系统
CN112434949A (zh) * 2020-11-25 2021-03-02 平安普惠企业管理有限公司 基于人工智能的业务预警处理方法、装置、设备和介质
CN112559595A (zh) * 2020-12-14 2021-03-26 东软集团股份有限公司 安全事件挖掘方法、装置、存储介质及电子设备
CN112651026B (zh) * 2020-12-30 2024-05-24 微梦创科网络科技（中国）有限公司 一种具有业务安全问题的应用版本挖掘方法及装置
CN112651026A (zh) * 2020-12-30 2021-04-13 微梦创科网络科技（中国）有限公司 一种具有业务安全问题的应用版本挖掘方法及装置
CN112860471A (zh) * 2021-02-05 2021-05-28 北京通付盾人工智能技术有限公司 一种基于决策流的业务操作日志审计与告警方法及系统
CN113271220A (zh) * 2021-03-30 2021-08-17 国家计算机网络与信息安全管理中心 一种基于配置文件和日志文件的跨组件数据流向审计方法和系统
CN113542253B (zh) * 2021-07-12 2023-04-07 杭州安恒信息技术股份有限公司 一种网络流量检测方法、装置、设备及介质
CN113542253A (zh) * 2021-07-12 2021-10-22 杭州安恒信息技术股份有限公司 一种网络流量检测方法、装置、设备及介质
CN113596044B (zh) * 2021-08-03 2023-04-25 北京恒安嘉新安全技术有限公司 一种网络防护方法、装置、电子设备及存储介质
CN113596044A (zh) * 2021-08-03 2021-11-02 北京恒安嘉新安全技术有限公司 一种网络防护方法、装置、电子设备及存储介质
CN115664853A (zh) * 2022-12-15 2023-01-31 北京六方云信息技术有限公司 网络安全数据关联分析方法、装置、系统以及存储介质
CN117938431A (zh) * 2023-12-11 2024-04-26 广州安行信息安全科技有限公司 一种基于关联规则的工业控制系统复杂攻击检测方法

Also Published As

Publication number Publication date
CN101610174B (zh) 2011-08-24

Similar Documents

Publication Publication Date Title
CN101610174B (zh) 一种日志事件关联分析系统与方法
CN110620759B (zh) 基于多维关联的网络安全事件危害指数评估方法及其系统
CN112637220B (zh) 一种工控系统安全防护方法及装置
CN101350745B (zh) 一种入侵检测方法及装置
CN109861995A (zh) 一种网络空间安全大数据智能分析方法、计算机可读介质
CN103026345B (zh) 用于事件监测优先级的动态多维模式
CN106534146B (zh) 一种安全监测系统及方法
CN104767757A (zh) 基于web业务的多维度安全监测方法和系统
CN111600857A (zh) 数据中心账号维护系统
CN105027510A (zh) 网络监视装置、网络监视方法以及网络监视程序
CN113691566B (zh) 基于空间测绘和网络流量统计的邮件服务器窃密检测方法
CN114598525A (zh) 一种针对网络攻击的ip自动封禁的方法和装置
CN104283889A (zh) 基于网络架构的电力系统内部apt攻击检测及预警系统
CN114021040B (zh) 基于业务访问的恶意事件的告警及防护方法和系统
CN103561012A (zh) 一种基于关联树的web后门检测方法及系统
KR101788410B1 (ko) 보안 이벤트로그 분석을 통한 보안침해 분석시스템 및 분석방법
CN112491784A (zh) Web网站的请求处理方法及装置、计算机可读存储介质
CN109347808B (zh) 一种基于用户群行为活动的安全分析方法
KR101692982B1 (ko) 로그 분석 및 특징 자동 학습을 통한 위험 감지 및 접근제어 자동화 시스템
CN111510463A (zh) 异常行为识别系统
CN112039858A (zh) 一种区块链服务安全加固系统与方法
CN117596078B (zh) 一种基于规则引擎实现的模型驱动用户风险行为判别方法
IL279893A (en) A system and method for detecting exposures of online vulnerabilities, which are abused using honey traps
CN113849810B (zh) 风险操作行为的识别方法、装置、设备及存储介质
CN112839029B (zh) 一种僵尸网络活跃度的分析方法与系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C56 Change in the name or address of the patentee

Owner name: SHENZHEN YONGDA ELECTRONIC INFORMATION CO., LTD.

Free format text: FORMER NAME: SHENZHEN RONGDA ELECTRONICS CO., LTD.

CP01 Change in the name or title of a patent holder

Address after: 518057 Shenzhen Aerospace Science and Technology Innovation Research Institute, South ten road, Nanshan District science and technology, Guangdong, Shenzhen D301-D309

Patentee after: Shenzhen Yongda electronic Touchplus information Corp

Address before: 518057 Shenzhen Aerospace Science and Technology Innovation Research Institute, South ten road, Nanshan District science and technology, Guangdong, Shenzhen D301-D309

Patentee before: Shenzhen Rongda Electronics Co., Ltd.

PE01 Entry into force of the registration of the contract for pledge of patent right
PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of invention: Log correlation analysis system and method

Effective date of registration: 20190807

Granted publication date: 20110824

Pledgee: Bank of Beijing Limited by Share Ltd Shenzhen branch

Pledgor: Shenzhen Yongda electronic Touchplus information Corp

Registration number: Y2019440020003

PC01 Cancellation of the registration of the contract for pledge of patent right
PC01 Cancellation of the registration of the contract for pledge of patent right

Date of cancellation: 20201203

Granted publication date: 20110824

Pledgee: Bank of Beijing Limited by Share Ltd. Shenzhen branch

Pledgor: SHENZHEN Y&D ELECTRONICS INFORMATION Co.,Ltd.

Registration number: Y2019440020003

PE01 Entry into force of the registration of the contract for pledge of patent right
PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of invention: A log event correlation analysis system and method

Effective date of registration: 20201216

Granted publication date: 20110824

Pledgee: Bank of Beijing Limited by Share Ltd. Shenzhen branch

Pledgor: SHENZHEN Y&D ELECTRONICS INFORMATION Co.,Ltd.

Registration number: Y2020980009416

PC01 Cancellation of the registration of the contract for pledge of patent right
PC01 Cancellation of the registration of the contract for pledge of patent right

Date of cancellation: 20220408

Granted publication date: 20110824

Pledgee: Bank of Beijing Limited by Share Ltd. Shenzhen branch

Pledgor: SHENZHEN Y&D ELECTRONICS INFORMATION Co.,Ltd.

Registration number: Y2020980009416