CN110620790A - 一种网络安全设备联动处置方法及装置 - Google Patents

Abstract

本发明公开了一种网络安全设备联动处置方法，包括以下步骤：S1、建立多源网络安全设备原始告警日志与标准化日志的映射关系；S2、设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；S3、收集安全设备原始告警日志并对原始告警日志进行标准化；S4、根据收集的日志信息判断是否符合该安全场景下的关联分析规则，如果否，根据响应处置规则进行响应处置；如果是，转到步骤S3。还公开了一种网络安全设备联动处置装置，将多种安全设备协同联动，对出现的疑似网络攻击事件进行自动化的发现、研判、响应、处置。

Description

一种网络安全设备联动处置方法及装置

技术领域

本发明涉及互联网安全技术领域，尤其是一种应用在电力系统互联网大区、信息内网、数据中心办公终端与服务器的多源网络安全设备日志处理方法及装置。

背景技术

随着电力行业泛在电力物联网建设，将电力用户及其设备，电网企业及其设备，发电企业及其设备，供应商及其设备，以及人和物连接起来，产生共享数据，为用户、电网、发电、供应商和政府社会服务；以电网为枢纽，发挥平台和共享作用，为全行业和更多市场主体发展创造更大机遇，提供价值服务。但是开放的网络和标准化的硬软件设施也带来了诸多的潜在的安全威胁，为很多不法分子用技术手段获取电网机密信息和用户信息提供了窗口。近年来，国内外网络安全形势不断发生变化，网络安全事件逐年增多，公司网络与信息安全面临的形势日益严峻复杂。为了应对日益严峻的网络安全形势，公司根据各种需求装备了数量、种类众多的安全设备。但不同的安全设备之间没有协同机制，在发生攻击事件时，往往各自进行告警，产生了海量的日志及告警，网络安全运维人员需要花费时间理解不同厂家不同格式的安全日志，在海量的告警日志中进行查询筛选、关联分析，然后进行手动处置。因此发生网络攻击事件后，容易在定位、确认、处置环节出现响应不及时或者响应滞后，导致错过网络安全事件处置的最佳时段，所以自动化的安全设备处置联动，实现网络攻击事件自动化分析研判、自动化响应、自动化处置具有重要意义。

目前，由于安全设备种类、数量众多，网络攻击分析研判、响应、处置都需要依赖较高水平的网络安全运维人员进行，一方面耗时耗人工，另一方面，运维人员精力有限，面对大量告警日志时，难以做到对所有告警进行分析，可能导致处置遗漏现象。致使在网络攻击研判、响应、处置过程中效率较低，具体问题如下：

(1)安全设备日志种类多

一个电力系统单位往往拥有几十台安全设备，涉及防火墙、WAF、IPS、IDS、APT、流量审计、终端准入、桌面管控等十几类，甚至可能涉及十几个几十个安全厂商，不同安全厂商往往都有各自的告警日志格式，甚至同一安全厂商不同类型的安全设备之间的日志格式也不尽相同。当出现攻击事件时，往往会导致在多台设备产生多条告警，网络安全运维人员需要理解不同的日志格式，然后进行关联查询、筛选、分析研判，然后进行网络攻击响应和攻击处置，网络攻击分析效率较低。

(2)缺乏自动化协同处置机制

目前网络攻击研判、响应、处置大多数依赖有经验的网络安全运维人员，依靠网络安全运维管理经验，对每台安全设备进行常态化网络安全巡检，发现网络攻击事件后人工处置。不同安全设备之间没有协同联动机制，没有自动化的分析研判、响应、处置流程，这对实施人员提出了很高要求的同时也增加了工作复杂度。

(3)网络攻击处置灵活性较差

由于网络安全设备众多，网络攻击处置基本网络安全运维人员的经验，标准化程度低，整个处置过程也没有完整的标准化日志记录，相同安全场景之间没有标准化的处置流程。

发明内容

本发明的目的是提供一种网络安全设备联动处置方法及装置，将多种安全设备协同联动，对出现的疑似网络攻击事件进行自动化的发现、研判、响应、处置。

为实现上述目的，本发明采用下述技术方案：

本发明第一方面提供了一种网络安全设备联动处置方法，包括以下步骤：

S1、建立多源网络安全设备原始告警日志与标准化日志的映射关系；

S2、设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；

S3、收集安全设备原始告警日志并对原始告警日志进行标准化；

S4、根据收集的日志信息判断是否符合该安全场景下的关联分析规则，如果否，根据响应处置规则进行响应处置；如果是，转到步骤S3。

结合第一方面，在第一方面第一种可能的实现方式中，所述建立多源网络安全设备原始告警日志与标准化日志的映射关系，具体包括：

分别为不同网络安全设备创建标准化模版并保存为配置文件，标准化模板为Key-Value类型，Key为当前网络安全设备的告警日志字段，Value为对应的标准化日志格式的字段名。

结合第一方面，在第一方面第二种可能的实现方式中，所述设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则，具体包括：

根据不同的安全场景，为多个网络安全设备的告警日志分别设置不同的权值，并设置该场景的事件处置触发阈值；

生成不同的安全场景下的安全设备处置顺序步骤。

结合第一方面，在第一方面第三种可能的实现方式中，所述收集安全设备原始告警日志并对原始告警日志进行标准化，具体包括：

将安全设备告警日志原始信息暂存至日志数据库，并将告警日志放入日志高速缓存队列；

周期性读取日志高速缓存队列中的告警日志信息，选择相应的标准化模板，将告警日志统一为同一标准格式。

结合第一方面，在第一方面第四种可能的实现方式中，所述根据收集的日志信息判断是否符合该安全场景下的关联分析规则，具体包括：

对收集到的告警日志信息进行重复告警去重归并、关联告警关联分析、无效告警删减剔除，计算告警日志权值标签数值，判断告警日志权值数值是否超过阈值。

结合第一方面，在第一方面第五种可能的实现方式中，所述根据响应处置规则进行响应处置，具体包括：

根据相应的网络安全场景制定的的响应处置规则，采用SSH连接方式控制各类安全设备，按处置顺序发送处置命令。

本发明第二方面提供了一种网络安全设备联动处置装置，包括：

日志映射关系生成模块，建立多源网络安全设备原始告警日志与标准化日志的映射关系；

安全场景规则设置模块，设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；

日志收集标准化模块，收集安全设备原始告警日志并对原始告警日志进行标准化；

网络攻击分析研判模块，根据收集的日志信息判断是否符合该安全场景下的关联分析规则，若不符合，根据响应处置规则进行响应。

本发明第二方面的所述多源网络安全设备日志处理装置能够实现第一方面及第一方面的各实现方式中的方法，并取得相同的效果。

发明内容中提供的效果仅仅是实施例的效果，而不是发明所有的全部效果，上述技术方案中的一个技术方案具有如下优点或有益效果：

(1)不同网络安全设备集中分析

实现了将不同的网络安全设备日志格式进行统一标准化，能够将采集到的所有安全设备日志统一为统一标准格式。

(2)网络安全场景定制

实现了不同网络安全场景的灵活定制。一是定制网络安全场景攻击处置触发条件，二是定制不同网络安全攻击场景触发流程。

(3)自动化网络安全攻击研判

实现了自动化网络攻击研判，能够根据安全场景，将安全设备告警中的重复告警去重归并，无效告警删减剔除，关联告警关联分析，自动化分析安全事件是否达到处置阈值，并触发自动化网络攻击响应处置。

(4)自动化网络安全攻击响应处置

实现了网络安全设备集中控制，能够根据定制的安全场景，当某一安全场景触发响应处置时，能够根据预设的网络攻击处置流程连接各类网络安全设备，发送攻击事件处置指令。实现网络安全事件自动化处置。

附图说明

图1是本发明方法实施例一流程图；

图2是本发明方法实施例二流程图；

图3是本发明装置实施例一示意图；

图4是本发明装置实施例二示意图。

具体实施方式

为能清楚说明本方案的技术特点，下面通过具体实施方式，并结合其附图，对本发明进行详细阐述。下文的公开提供了许多不同的实施例或例子用来实现本发明的不同结构。为了简化本发明的公开，下文中对特定例子的部件和设置进行描述。此外，本发明可以在不同例子中重复参考数字和/或字母。这种重复是为了简化和清楚的目的，其本身不指示所讨论各种实施例和/或设置之间的关系。应当注意，在附图中所图示的部件不一定按比例绘制。本发明省略了对公知组件和处理技术及工艺的描述以避免不必要地限制本发明。

如图1所示，一种网络安全设备联动处置方法，包括以下步骤：

S1、建立多源网络安全设备原始告警日志与标准化日志的映射关系；

S2、设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；

S3、收集安全设备原始告警日志并对原始告警日志进行标准化；

S4、根据收集的日志信息判断是否符合该安全场景下的关联分析规则，如果否，根据响应处置规则进行响应处置；如果是，转到步骤S3。

如图2所示，一种网络安全设备联动处置方法，包括以下步骤：

S1、分别为不同网络安全设备创建标准化模版并保存为配置文件。

标准化模板为Key-Value类型，Key为当前网络安全设备的告警日志字段，Value为对应的标准化日志格式的字段名。

网络安全运维人员根据不同的安全设备日志格式设置当前日志与标准化日志的对应关系并保存为标准化模板。需要为不同的安全设备分别创建标准化模板。

S2、根据不同的安全场景，为多个网络安全设备的告警日志分别设置不同的权值，并设置该场景的事件处置触发阈值。

S3、生成不同的安全场景下的安全设备处置顺序步骤。

网络安全运维人员通过网络安全场景定制模块为网络安全自动化研判模块创建关联分析规则，为自动化响应处置模块创建响应处置规则。根据不同的安全场景，为不同设备的不同告警设置不同的权值，并设置事件处置触发阈值，一次安全事件会同时触发多种告警日志，当告警权值累加超过阈值时，则认为此事件为需要进行攻击响应的事件。为不同的安全场景定义不同的响应规则，即设计当出现某一安全事件时，安全设备自动化处置的顺序、步骤。

S4、将安全设备告警日志原始信息暂存至日志数据库，并将告警日志放入日志高速缓存队列；

S5、周期性读取日志高速缓存队列中的告警日志信息，选择相应的标准化模板，将告警日志统一为同一标准格式。

日志标准化模块启动后，首先会进行初始化，读取系统中的所有日志标准化模板。初始化完成后，开启多个线程，周期性读取日志高速缓存队列中的日志信息，选择相应的标准化模板，将日志统一为同一标准格式。

S6、对收集到的告警日志信息进行重复告警去重归并、关联告警关联分析、无效告警删减剔除，计算告警日志权值标签数值，判断告警日志权值数值是否超过阈值。

日志标准化模块将标准化以后的日志发送至网络攻击分析研判模块，网络分析研判模块根据定制的网络攻击场景规则，将重复告警去重归并、关联告警关联分析、无效告警删减剔除，最后为分析后的告警日志打上权值标签，当某一事件的告警日志权值超过阈值，则出发自动化攻击响应处置。

S7、根据相应的网络安全场景制定的的响应处置规则，采用SSH连接方式控制各类安全设备，按处置顺序发送处置命令。

攻击事件经分析符合某一网络攻击场景时，触发网络攻击自动发响应处置，网络攻击自动化响应处置模块，根据相应的网络安全场景定制的处置规则，采用SSH连接方式控制各类安全设备，按处置顺序发送处置命令。如发现某办公终端发生感染勒索病毒事件，则可根据定制的如下处置规则进行处置：

1、SSH连接防火墙，将此终端IP地址封禁，防止纵向传播。

2、SSH连接桌面管理系统，通过桌面管理系统向终端推送通知。

3、SSH连接准入系统，将此终端准入账号下线断网。

如图3所示，一种网络安全设备联动处置装置，包括：

日志映射关系生成模块101，建立多源网络安全设备原始告警日志与标准化日志的映射关系；

安全场景规则设置模块102，设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；

日志收集标准化模块103，收集安全设备原始告警日志并对原始告警日志进行标准化；

网络攻击分析研判模块104，根据收集的日志信息判断是否符合该安全场景下的关联分析规则，若不符合，根据响应处置规则进行响应。

如图4所示，一种网络安全设备联动处置装置，包括：

日志采集模块201，日志采集模块连接所有的安全设备，在安全设备上设置syslog的地址为日志采集模块的地址，将所有的安全设备日志集中收集。

日志标准化模块202，在初始化阶段，日志标准化模块为不同的安全设备创建标准化模板，标准化模板为Key-Value类型，Key为当前设备告警日志字段，Value为标准化日志格式的字段名，通过标准化模板，建立原始告警日志与标准化日志格式之间的映射关系，并保存为配置文件。在应用阶段，根据不同的安全设备，读取相应安全设备的标准化模板，通过解析标准化模板，将安全设备日志提取、统一为同一标准格式。

安全场景定制模块203，网络安全运维人员可以利用该模块定制特定的安全场景，安全场景定制具有两个方面功能：为网络安全自动化研判模块提供关联分析规则，为自动化响应处置模块提供响应处置规则。

自动化分析研判模块204，自动化分析研判模块根据定制的安全场景，根据既定规则，当事件告警综合分析得分达到阈值时，即认为此事件为需要进行响应处置的事件，并向响应处置模块发送信息，触发响应处置流程。

自动化响应处置模块205，自动化响应处置模块能够根据定制的安全场景，根据既定规则，当某场景出发响应处置时，能够按设计的自动化处置流程，控制各安全设备对自动化进行攻击响应处置。

上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (7)

1.一种网络安全设备联动处置方法，其特征是，包括以下步骤：

S1、建立多源网络安全设备原始告警日志与标准化日志的映射关系；

S2、设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；

S3、收集安全设备原始告警日志并对原始告警日志进行标准化；

S4、根据收集的日志信息判断是否符合该安全场景下的关联分析规则，如果否，根据响应处置规则进行响应处置；如果是，转到步骤S3。

2.如权利要求1所述的多源网络安全设备日志处理方法，其特征是，所述建立多源网络安全设备原始告警日志与标准化日志的映射关系，具体包括：

分别为不同网络安全设备创建标准化模版并保存为配置文件，标准化模板为Key-Value类型，Key为当前网络安全设备的告警日志字段，Value为对应的标准化日志格式的字段名。

3.如权利要求1所述的多源网络安全设备日志处理方法，其特征是，所述设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则，具体包括：

根据不同的安全场景，为多个网络安全设备的告警日志分别设置不同的权值，并设置该场景的事件处置触发阈值；

生成不同的安全场景下的安全设备处置顺序步骤。

4.如权利要求1所述的多源网络安全设备日志处理方法，其特征是，所述收集安全设备原始告警日志并对原始告警日志进行标准化，具体包括：

将安全设备告警日志原始信息暂存至日志数据库，并将告警日志放入日志高速缓存队列；

周期性读取日志高速缓存队列中的告警日志信息，选择相应的标准化模板，将告警日志统一为同一标准格式。

5.如权利要求1所述的多源网络安全设备日志处理方法，其特征是，所述根据收集的日志信息判断是否符合该安全场景下的关联分析规则，具体包括：

对收集到的告警日志信息进行重复告警去重归并、关联告警关联分析、无效告警删减剔除，计算告警日志权值标签数值，判断告警日志权值数值是否超过阈值。

6.如权利要求1所述的多源网络安全设备日志处理方法，其特征是，所述根据响应处置规则进行响应处置，具体包括：

根据相应的网络安全场景制定的的响应处置规则，采用SSH连接方式控制各类安全设备，按处置顺序发送处置命令。

7.一种网络安全设备联动处置装置，其特征是，包括：

日志映射关系生成模块，建立多源网络安全设备原始告警日志与标准化日志的映射关系；

安全场景规则设置模块，设定不同安全场景下告警日志权值的关联分析规则和触发阈值的响应处置规则；

日志收集标准化模块，收集安全设备原始告警日志并对原始告警日志进行标准化；

网络攻击分析研判模块，根据收集的日志信息判断是否符合该安全场景下的关联分析规则，若不符合，根据响应处置规则进行响应。