CN113037555B - 风险事件标记方法、风险事件标记装置和电子设备 - Google Patents

Abstract

本公开提供了一种风险事件标记方法、风险事件标记装置和电子设备，可用于信息安全领域、金融领域或其他领域，该方法包括：获取风险事件信息；从风险事件信息中获取攻击特征，并且获取与风险事件信息相关联对象的对象信息；基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度；以及基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记。

Description

风险事件标记方法、风险事件标记装置和电子设备

技术领域

本公开涉及信息安全技术领域、金融领域，更具体地，涉及一种风险事件标记方法、风险事件标记装置和电子设备。

背景技术

随着互联网技术的不断发展，网络安全成为被关注的热点问题。为了提升网络安全，机构部署了大量的网络安全防护设备。

在实现本公开构思的过程中，申请人发现相关技术中至少存在如下问题，防护设备不停地产生大量报警信息，导致安全防护人员投入大量的人力、时间去进行处理、分析，耗费过多精力。如何从大量报警信息中过滤威胁低的报警事件信息，以便聚焦高威胁的报警信息，是亟待解决的问题。

发明内容

有鉴于此，本公开提供一种有助于从大量风险事件信息中聚焦高威胁的风险事件信息的风险事件标记方法、风险事件标记装置和电子设备。

本公开的一个方面提供了一种由终端执行的风险事件标记方法，包括：获取风险事件信息；从风险事件信息中获取攻击特征，并且获取与风险事件信息相关联对象的对象信息；基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度；以及基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记，以便确定与经标记的风险事件信息对应的风险程度。

本公开的一个方面提供了一种风险事件标记装置，包括：风险事件获取模块、信息处理模块、信息匹配模块和标记模块。其中，风险事件获取模块用于获取风险事件信息；信息处理模块用于从风险事件信息中获取攻击特征，并且获取与风险事件信息相关联对象的对象信息；信息匹配模块用于基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度；以及标记模块用于基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记，以便确定与经标记的风险事件信息对应的风险程度。

本公开的另一方面提供了一种风险事件标记系统，包括：数据收集工具、风险事件标记工具、风险事件信息处理工具和数据输出工具。其中，数据收集工具用于获取风险事件信息和对象信息；风险事件标记工具用于标记风险事件信息的攻击特征与对象信息之间的对应关系；风险事件信息处理工具用于基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，对风险事件信息进行标记；数据输出工具用于输出经标记的风险事件信息。

本公开的另一方面提供了一种电子设备，包括一个或多个处理器以及存储装置，其中，存储装置用于存储可执行指令，可执行指令在被处理器执行时，实现如上的方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，指令在被执行时用于实现如上的训练风险事件标记模型训练的方法和/或风险事件标记方法。

本公开的另一方面提供了一种计算机程序，计算机程序包括计算机可执行指令，指令在被执行时用于实现如上的训练风险事件标记模型训练的方法和/或风险事件标记方法。

本公开实施例提供的风险事件标记方法、风险事件标记装置和电子设备，基于风险事件的攻击特征与风险事件信息相关联对象的对象信息的匹配程度来确定风险事件信息的风险程度，并对风险事件信息进行标记，有助于基于标记确定风险事件信息的处理顺序，以便从大量风险事件信息中聚焦高风险信息。

本公开实施例提供的风险事件标记方法、风险事件标记装置和电子设备，通过导入各类现有的风险事件信息和对象信息，对风险事件信息的攻击特征和被攻击对象的对象信息进行关联，得到风险映射关系，有效改善了风险事件信息与业务系统特性不关联的问题。

本公开实施例提供的风险事件标记方法、风险事件标记装置和电子设备，可以在发现风险事件时获取到包括资产功能、负责人及负责人联系方式等与被攻击对象相关的对象信息，减少整个安全攻击响应流程用时。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的风险事件标记方法、风险事件标记装置和电子设备的应用场景；

图2示意性示出了根据本公开实施例的可以应用风险事件标记方法、风险事件标记装置的示例性系统架构；

图3示意性示出了根据本公开实施例的风险事件标记方法的流程图；

图4示意性示出了根据本公开实施例的风险映射关系的示意图；

图5示意性示出了根据本公开实施例的风险程度的示意图；

图6示意性示出了根据本公开实施例的经标记的风险事件信息的示意图；

图7示意性示出了根据本公开实施例的风险事件标记装置的方框图；

图8示意性示出了根据本公开实施例的风险事件标记系统的方框图；以及

图9示意性示出了根据本公开实施例的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个特征。

相关技术中主要依赖人工判断攻击报警是否对业务产生实际影响。防护设备的报警标记主要针对于漏洞本身的风险水平，高风险报警经过分析后可能对业务产生的威胁并不高，低风险报警可能同样需要关注。在大量报警处理过程中，耗费大量人力，造成一定的报警泛滥，处理用时过长可能导致针对真正入侵的分析被延误。

本公开的实施例提供了一种风险事件标记方法、风险事件标记装置和电子设备。该风险事件标记方法包括风险程度分析过程和风险标记过程，在风险程度分析过程中，首先，获取风险事件信息，然后，从风险事件信息中获取攻击特征，并且获取与风险事件信息相关联对象的对象信息，接着，基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度。在完成风险程度分析过程之后进入风险标记过程，基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记。

图1示意性示出了根据本公开实施例的风险事件标记方法、风险事件标记装置和电子设备的应用场景。

如图1所示，本公开实施例针对收集到的风险事件1～风险事件n，分别进行标记，其中，n是大于或等于1的正整数。经标记的风险事件1～n的标记信息包括风险事件的攻击特征相对于攻击对象的对象信息的适配度，适配度越高，则表明该风险事件对业务的威胁度越高。此外，为了便于用户优先处理威胁度高的风险事件，可以对风险事件1～n进行排序，如优先展示重度匹配的风险事件和关键匹配，使得可以从大量风险事件信息中聚焦高威胁度的风险事件信息。

图2示意性示出了根据本公开实施例的可以应用风险事件标记方法、风险事件标记装置的示例性系统架构。需要注意的是，图2所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。需要说明的是，本公开实施例提供的风险事件标记方法、风险事件标记装置和电子设备可用于信息安全领域在风险事件标记相关方面，也可用于除信息安全领域之外的多种领域，如金融领域等，本公开实施例提供的风险事件标记方法、风险事件标记装置和电子设备的应用领域不做限定。

如图2所示，根据该实施例的系统架构200可以包括终端设备201、202、203，网络204和服务器205。网络204可以包括多个网关、路由器、集线器、网线等，用以在终端设备201、202、203和服务器205之间提供通信链路的介质。网络204可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备201、202、203通过网络204与其他终端设备和服务器205进行交互，以接收或发送信息等，如发送风险事件处理请求、上传风险映射关系、发送风险事件标记请求、接收风险事件标记结果等。终端设备201、202、203可以安装有各种通讯客户端应用，例如，网页浏览器应用、银行类应用、电商类应用、搜索类应用、办公类应用、即时通信工具、邮箱客户端、社交平台软件等应用(仅为示例)。

终端设备201、202、203包括但不限于智能手机、台式电脑、增强现实设备、平板电脑、膝上型便携计算机等等可以支持网页浏览等功能的电子设备。

服务器205可以接收风险事件处理请求、接收风险映射关系、接收风险事件标记请求等，并对请求进行处理。例如，服务器205可以为后台管理服务器、服务器集群等。后台管理服务器可以对接收到的风险事件处理请求、风险事件标记请求等进行分析处理，并将处理结果(如经标记的风险事件等)反馈给终端设备。

需要说明的是，本公开实施例所提供的风险事件标记方法可以由服务器205执行。相应地，本公开实施例所提供的风险事件标记装置可以设置于服务器205中。应该理解，终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

图3示意性示出了根据本公开实施例的风险事件标记方法的流程图。如图3所示，该风险事件标记方法可以包括操作S302～操作S308。

在操作S302中，获取风险事件信息。

在本实施例中，可以从多种防护告警设备中提取记录有风险事件信息的数据，包括但不限于：设备告警事件类型、设备告警日志等中至少一种数据。为了便于后续使用风险事件信息，可以将各类数据存储在数据库待用。其中，可以按照预设周期获取风险事件信息，也可以在需要进行风险事件标记时获取风险事件信息。

在一个具体实施例中，从各类安全防护设备获取包括风险事件信息的数据，如入侵防护(检测)设备、应用防火墙、流量分析设备等的告警类型、告警日志信息等。

例如，通过程序自动化从登陆的多个安全设备中或海量监控报警日志等，并且对这些报警日志进行格式统一。

在操作S304中，从风险事件信息中获取攻击特征，并且获取与风险事件信息相关联对象的对象信息。

在本实施例中，攻击特征可以表征风险事件信息中用于攻击被攻击对象的特征，如所针对的操作系统、所针对的服务、所针对的组件框架、目标类型等。如果攻击特征与所攻击对象采用的操作系统、服务、组件框架等不匹配，则该风险事件可能对业务造成的影响有限，或者无法造成影响。如果攻击特征与所攻击对象采用的操作系统、服务、组件框架等匹配，则该风险事件可能对业务造成的影响，如成功入侵并造成损失等。

对象信息可以是从资产维护设备中获取的与被攻击对象相关的对象信息，如各设备使用的互联网协议地址(Internet Protocol Address，简称IP地址)、操作系统(及其版本)、提供的服务或采用的组件框架等。例如，从资产维护设备获取数据，如网络资产测绘分析设备的资产相关信息：IP地址、应用标识、IP映射关系、操作系统、端口及服务、组件等信息。

在一个实施例中，为了从风险事件信息中获取攻击特征，该攻击特征可以通过如下操作来进行提取。

首先，从风险事件信息中提取关键词。例如，可以基于文本分词、关键词识别等技术来确定关键词。其中，文本分词和关键词识别技术可以采用多种相关技术，如基于深度学习技术从文本中选取语义相似度与段落语义相似度最高的词，或者基于词频等从文本中选取关键词等。

然后，基于特征映射关系确定与关键词匹配的攻击特征，特征映射关系包括关键词与特征之间的对应关系。例如，可以利用预先标定的攻击特征与关键词之间的对应关系来确定与关键词匹配的攻击特征。例如，针对Windows系统，与攻击特征：服务对应的关键词可以是：HTTP，与攻击特征：组件对应的关键词可以是sql_buddy。这样就便于从风险事件信息中提取攻击特征。其中，特征映射关系可以是预先标定的。通过将攻击类型与目标资产特性进行关联，有助于基于该特征映射关系便捷地从文本信息中提取攻击特征。这样有助于提高监控响应速度。

例如，由于不同的攻击事件针对的攻击目标的系统、协议、服务、编码语言、框架等类型不同，可以预先进行标定。一种攻击对应多种特征。提取各个攻击事件的多个“攻击特征”以便于分析该攻击事件能成功入侵并对业务产生影响的威胁度。

图4示意性示出了根据本公开实施例的风险映射关系的示意图。

如图4所示，示出了攻击特征、告警事件类型和关键词之间的映射关系。漏洞类型1所针对的系统类型是Windows，所针对的组件在风险事件信息中通常使用关键词sql_buddy、所针对的服务在风险事件信息中通常使用关键词HTTP、所针对的目标类型在风险事件信息中通常使用关键server。漏洞类型2所针对的系统类型是ALL，所针对的组件在风险事件信息中通常使用关键词http_server、所针对的服务在风险事件信息中通常使用关键词HTTP、所针对的目标类型在风险事件信息中通常使用关键server。漏洞类型2所针对的系统类型是Linux，所针对的组件在风险事件信息中通常使用关键词ALL、所针对的服务在风险事件信息中通常使用关键词TCP、所针对的目标类型在风险事件信息中通常使用关键ALL。需要说明的是以上仅为示例性举例，还可以采用其他关键词表征攻击特征，在此不做限定。

在一个实施例中，获取与风险事件信息相关联对象的对象信息可以包括如下操作。

首先，获取对象信息集合，并且获取风险事件信息的风险对象信息。例如，从资产维护设备获取数据，如网络资产测绘分析设备的资产相关信息：IP地址、应用标识、应用名称、应用版本、操作系统、端口及服务、组件等信息。此外还有确定风险事件信息中所针对对象的IP地址等，以便于确定风险事项所针对的设备和设备相关信息等。

然后，将对象信息集合中与风险对象信息相匹配的对象信息作为与风险事件信息相关联对象的对象信息。这样就可以基于风险事件信息中所针对对象的IP地址等确定风险事件所针对的设备，进而确定该设备的设备信息，如应用标识、应用名称、应用版本、操作系统、端口及服务、组件等信息。

在操作S306中，基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度。

由于风险事件可能使用攻击特征中的部分特征来实现非法目的。因此，可以通过攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度。匹配程度越高，则风险事件的风险度越高。例如，如果风险事件信息的攻击特征全部匹配，则该风险事件成功影响业务运行的威胁度极高，需要工作人员尽快处理该风险事件，避免影响或损失扩大。

在操作S308中，基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记。

在本实施例中，标记方法可以采用多种相关技术。例如，可以通过写入信息的方式进行标记，也可以通过建立映射关系的方式进行标记等。此外，为了便于用户快速处理风险事件信息，还可以将至少部分对象与风险事件信息之间进行关联，如该风险事件信息所针对的设备信息、设备的负责人、设置所在的服务器中心、设备采用的操作信息、组件框架信息等。其中，匹配程度可以通过百分比等进行表示，匹配程度也可以进行分级，然后利用等级对匹配程度进行表示。例如，匹配程度可以是A％，A为0～100。例如，匹配程度可以是完全匹配、重度匹配、部分匹配、不匹配等。

本公开实施例可以对风险事件信息进行标记，以便能够快速筛选出有效攻击，并且能够定位与风险事件信息对应的目标对象信息，提高安全监控人员风险事件处理响应速度。

在一个实施例中，为了进一步提升对风险事件信息进行标记的准确度，可以将对攻击特征进行分级细化，如给重要的攻击特征更高的权重。例如，攻击特征包括核心特征和辅助特征。

相应地，基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度可以包括如下操作。

首先，确定核心特征与风险事件信息相关联对象的对象信息的第一匹配结果，并且确定辅助特征与风险事件信息相关联对象的对象信息的第二匹配结果。其中，第一匹配结果和第二匹配结果可以包括：匹配成功、匹配失败或部分匹配成功。

然后，基于风险映射关系确定与第一匹配结果和第二匹配结果对应的风险程度，风险映射关系包括第一匹配结果和第二匹配结果与风险程度之间的对应关系。

图5示意性示出了根据本公开实施例的风险程度的示意图。

如图5所示，第一匹配结果是针对R1(核心特征，简称核心，如系统类型)、R2(核心特征，简称核心，如组件)各自的匹配结果。其中，当针对该特征匹配成功时，则可以使用1进行表示，否则使用0进行表示。

第二匹配结果是针对R3(辅助特征，简称辅助，如服务)、R4(核心特征，简称核心，如目标类型)各自的匹配结果。其中，当针对该特征匹配成功时，则可以使用1进行表示，否则使用0进行表示。

在一个具体实施例中，风险程度包括威胁度依次降低的重度匹配、关键匹配、部分匹配和无匹配信息。

相应地，风险映射关系可以包括如下操作。

如果第一匹配结果和第二匹配结果都是匹配成功，则风险程度是重度匹配。

如果第一匹配结果是匹配成功，并且第二匹配结果是匹配失败，则风险程度是关键匹配。

如果第一匹配结果是部分匹配，并且第二匹配结果是匹配成功，则风险程度是部分匹配。

如果第一匹配结果是匹配失败，并且第二匹配结果是匹配成功，则风险程度是无匹配。

例如，首先对“攻击特征”进行分类，如基于关键性将攻击特征分为核心特征和辅助特征。在特征提取上一般不为空值，且对结果判断起到关键作用的特性(例如操作系统等)归类为核心特征。在特征提取上可能存在空值，或者在判定时某类特性可能不足以支持结果，仅作为辅助作用的(如组件)，此类属于辅助性指标的归类为辅助特征。对每项资产特征数值与“攻击特征”数值的对比结果进行设置。

设置规则可以如式(1)所示。

其中，R为各个特征值比对结果，a、b分别为提取出来的攻击特征的取值和从资产信息中提取出的被攻击对象的对象信息。

风险事件信息的标记规则可以包括：当与核心特征与辅助特征值对应的匹配结果全为1时，标记“重度匹配”；仅与核心特征值对应的匹配结果为1时，标记“关键匹配”；当与核心特征值对应的匹配结果存在0.5且不存在0时标记“部分匹配”；当与核心特征值对应的匹配结果存在0时标记无匹配信息。

通过如对攻击特征的细化，将其分类核心和辅助两类，在不降低标记信息准确度的前提下，有效减少了标记信息的类型的数量，便于用户快速直观地通过标记信息确定风险事件的威胁度。

在一个实施例中，在完成标记过程之后，可以输出经标记的风险事件信息，以便于对风险事件进行处理。

具体地，上述方法还可以包括如下操作，在基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记之后，输出经标记的风险事件信息，以便确定针对风险事件信息的处理顺序。

例如，给终端设备发送经标记的风险事件信息。该经标记的风险事件信息可以通过短信、邮件、系统提示等方式发送给终端设备。其中，可以仅输出经标记的风险事件信息中的部分信息，如重度匹配的风险事件信息、关键匹配的风险事件信息和部分匹配的风险事件信息中的至少一种。

图6示意性示出了根据本公开实施例的经标记的风险事件信息的示意图。

如图6所示，针对如图1所示的风险事件1～n，经过如上的风险事件标记方法的处理之后，可以确定风险事件1的标记信息包括重度匹配，风险事件3的标记信息包括关键匹配，其余风险事件的风险程度是部分匹配或无匹配信息，则为了便于用户优先处理威胁度高的风险事件，则可以仅给终端设备发送经标记的风险事件1和风险事件3。其中，为了便于用户确定与该风险事件所针对的对象的负责人，可以基于至少部分与该对象关联的对象信息对该对象进行标记。例如，风险事件1的标记信息中还可以包括：服务器a、服务b和负责人信息等。风险事件2的标记信息中还可以包括：服务器c、服务d和负责人信息等。

在一个实施例中，为了便于用户快速地从海量风险事件信息中筛选出对业务运行威胁度高的事件，上述方法还可以包括如下操作。

在基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记之后，基于威胁度对经标记的风险事件信息进行排序。

例如，可以将重度匹配的风险事件信息设置为优先显示等级，将关键匹配的风险事件信息设置为次优先显示等级，将部分匹配的风险事件的显示等级设置为低于次优先显示等级，将无匹配信息的风险事项信息的显示等级设置为最低。

本公开实施例对至少部分风险事件信息进行标记、筛选，将攻击特征与目标对象的特性进行关联匹配，以实现综合判断，提高了识别有效攻击的准确率。这样使得安全监控人员可以优先处理高威胁的风险事件信息，提高监控响应速度。

本公开实施例将资产信息中的对象信息和风险事件信息中的目标资产进行梳理匹配，监控人员可以在发现风险攻击时第一时间获取到与风险事件对应的全量信息，包括资产功能、负责人及负责人联系方式等，可以及时联系资产负责人进行情况确认，减少整个安全攻击响应流程时间。

本公开的另一方面提供了一种风险事件标记装置。

图7示意性示出了根据本公开实施例的风险事件标记装置的方框图。

如图7所示，该风险事件标记装置700可以包括：风险事件获取模块710、信息处理模块720、信息匹配模块730和标记模块740。

其中，风险事件获取模块710用于获取风险事件信息。

信息处理模块720用于从风险事件信息中获取攻击特征，并且获取与风险事件信息相关联对象的对象信息。

信息匹配模块730用于基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，确定风险事件信息的风险程度。

标记模块740用于基于风险程度和至少部分对象信息，或者风险程度对风险事件信息进行标记，以便确定与经标记的风险事件信息对应的风险程度。

其中，各模块可以基于与方法中对应部分的操作来实现所需的功能等，在此不再赘述。

本公开的另一方面提供了一种风险事件标记系统。

图8示意性示出了根据本公开实施例的风险事件标记系统的方框图。

如图8所示，该风险事件标记系统800可以包括：数据收集工具810、风险事件标记工具820、风险事件信息处理工具830和数据输出工具840。

其中，数据收集工具810用于获取风险事件信息和对象信息，此外，还可以获取风险事件类型，以便确定攻击特征和风险事件类型之间的对应关系。

风险事件标记工具820用于标记风险事件信息的攻击特征、对象信息之间的对应关系，或者标记风险事件信息的攻击特征、对象信息和风险事件类型之间的对应关系。

风险事件信息处理工具830用于基于攻击特征与风险事件信息相关联对象的对象信息的匹配程度，对风险事件信息进行标记。

数据输出工具840用于输出经标记的风险事件信息。

在一个具体实施例中，数据收集工具810主要功能是从各类安全防护设备的事件库获取日志数据以及从资产数据库中获取资产相关的数据。风险事件标记工具820主要功能是对各类设备的定义的攻击事件进行标记。风险事件信息处理工具830主要功能是对日志数据进行梳理汇总分析，并与资产数据通过预先设定的筛选方式进行对比、标记。数据输出工具840输出对比处理结果。通过四个工具的相互协作共同实现了网络安全报警事件的筛选标记。

其中，风险事件信息处理工具830根据预先设定规则标记事件告警日志中攻击类型的“攻击特征”和攻击所针对的资产的对象信息的匹配程度，匹配程度越高，风险相对越大。对于风险较低的可以降低关注度，优先关注强针对性攻击。例如：某攻击类型针对的目标特性(即“攻击特征”)与实际资产的特性完全不一致，此类报警即便攻击类型属于高危，但是针对资产应用的实际影响不大，此类攻击类型与目标资产无匹配的告警将标记为“无匹配信息”。如果攻击类型针对的目标特性与实际资产的特性完全一致，则表明该攻击具有针对性，对于完全匹配的告警将标记为“重度匹配”，对于匹配关键信息的告警标记为“关键匹配”，需要优先处置分析。对于部分匹配告警，将其标记为“部分匹配”。以此对报警日志进行筛选标记。

例如，数据收集工具810包括：数据获取单元、数据预处理单元以及数据存入单元。

其中，数据获取单元实现两个功能：一个从各类安全防护设备获取数据，如入侵防护(检测)设备、应用防火墙、流量分析设备等的告警类型、告警日志信息等。另一个从资产维护设备获取数据，如网络资产测绘分析设备的与资产相关的对象信息：IP地址、应用、IP映射关系、操作系统、端口及服务、组件等信息。

数据预处理单元：分析不同设备的数据格式，从各类数据中提取关键信息，如提取告警日志信息的时间、源IP地址、目的IP地址、报警类型等以及提取告警类型的IP地址、名称、针对的操作系统、针对的服务、针对的组件框架等。

例如，风险事件标记工具820包括：事件梳理单元，攻击类型数据标记单元。

其中，事件梳理单元，用于将获取到的事件类型进行统一梳理汇总。

攻击类型数据标记单元，从事件类型描述信息中提取关键词，并进行关键字筛选，将涉及的攻击操作系统、攻击的服务、攻击的组件等此类“攻击特性”进行标记。

例如，风险事件信息处理工具830包括：告警日志梳理单元，告警日志对比单元，告警日志标记单元。

其中，告警日志梳理单元：对告警日志数据等进行汇总梳理。

告警日志对比单元：将攻击特征标记信息、资产数据与日志信息根据预先设定的判断依据进行对比。

告警日志标记单元：对日志信息等进行标记。

例如，数据输出工具840包括：标记报警日志输出单元。

其中，标记报警日志输出单元：用于将经标记的风险事件信息及关联信息进行输出，包括标记的信息和关联的对象信息等。其中，关联的对象信息包括目标IP地址对应的资产名称、资产系统、资产提供服务、用到的组件，标记的信息包括无匹配信息、部分匹配、关键匹配、重度匹配。

本公开实施例中，首先导入来自各类防护设备的风险事件信息以及企业的网络资产信息，统一对风险事件信息进行数据梳理，根据预先设定对数据进行统一关联、归类，根据网络资产信息与风险事件信息的攻击特征进行比对，对于风险事件信息进行统一的标记，优先处理攻击特征与被攻击对象的对象信息完全匹配的风险事件信息，方便安全监控人员及时排除低风险，聚焦高风险。

本公开实施例中，有效改善了相关技术中进行风险事件处理过程中人工判断工作量大、潜在威胁大的风险事件信息容易被忽略、风险事件与业务系统特性不关联等困难。通过导入各类现有的风险事件信息和资产信息，统一对风险事件信息与资产特性做关联对比，将风险事件信息与实际业务系统相结合进行标记，标记威胁大、需要重点关注的事件。

需要说明的是，装置部分实施例中各模块/单元等的实施方式、解决的技术问题、实现的功能、以及达到的技术效果分别与方法部分实施例中各对应的步骤的实施方式、解决的技术问题、实现的功能、以及达到的技术效果相同或类似，在此不再一一赘述。

根据本公开的实施例的模块、单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，风险事件获取模块710、信息处理模块720、信息匹配模块730和标记模块740中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，风险事件获取模块710、信息处理模块720、信息匹配模块730和标记模块740中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，风险事件获取模块710、信息处理模块720、信息匹配模块730和标记模块740中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图9示意性示出了根据本公开实施例的电子设备的方框图。图9示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图9所示，根据本公开实施例的电子设备900包括处理器901，其可以根据存储在只读存储器(ROM)902中的程序或者从存储部分908加载到随机访问存储器(RAM)903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 903中，存储有电子设备900操作所需的各种程序和数据。处理器901、ROM902以及RAM 903通过总线904彼此通讯连接。处理器901通过执行ROM 902和/或RAM 903中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，程序也可以存储在除ROM 902和RAM 903以外的一个或多个存储器中。处理器901也可以通过执行存储在一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备900还可以包括输入/输出(I/O)接口905，输入/输出(I/O)接口905也连接至总线904。电子设备900还可以包括连接至I/O接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至I/O接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 902和/或RAM 903和/或ROM 902和RAM 903以外的一个或多个存储器。

本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行本公开实施例所提供的方法的程序代码，当计算机程序产品在电子设备上运行时，该程序代码用于使电子设备实现本公开实施例所提供的图像模型训练方法或风险事件标记方法。

在该计算机程序被处理器901执行时，执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分909被下载和安装，和/或从可拆卸介质911被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (11)

1.一种风险事件标记方法，包括：

获取风险事件信息；

从所述风险事件信息中获取攻击特征；其中，所述攻击特征表征所述风险事件信息中用于攻击被攻击对象的特征，其中，所述攻击特征包括所述风险事件信息中针对的操作系统、协议、服务、编码语言、组件、框架或目标类型中的至少之一；

获取与所述风险事件信息相关联对象的对象信息；其中，与所述风险事件信息相关联对象的对象信息是与被攻击对象相关的对象信息，包括以下至少之一：IP地址、应用标识、应用名称、应用版本、操作系统、端口、服务和组件；

基于所述攻击特征与所述风险事件信息相关联对象的对象信息的匹配程度，确定所述风险事件信息的风险程度；以及

基于所述风险程度和至少部分对象信息，或者基于所述风险程度对所述风险事件信息进行标记。

2.根据权利要求1所述的方法，其中，所述攻击特征包括核心特征和辅助特征；

所述基于所述攻击特征与所述风险事件信息相关联对象的对象信息的匹配程度，确定所述风险事件信息的风险程度包括：

确定所述核心特征与所述风险事件信息相关联对象的对象信息的第一匹配结果，并且确定所述辅助特征与所述风险事件信息相关联对象的对象信息的第二匹配结果；以及

基于风险映射关系确定与所述第一匹配结果和所述第二匹配结果对应的风险程度，所述风险映射关系包括所述第一匹配结果和所述第二匹配结果与风险程度之间的对应关系。

3.根据权利要求2所述的方法，其中，所述风险程度包括威胁度依次降低的重度匹配、关键匹配、部分匹配和无匹配信息；

所述风险映射关系包括：

如果所述第一匹配结果和所述第二匹配结果都是匹配成功，则所述风险程度是重度匹配；

如果所述第一匹配结果是匹配成功，并且所述第二匹配结果是匹配失败，则所述风险程度是关键匹配；

如果所述第一匹配结果是部分匹配，并且所述第二匹配结果是匹配成功，则所述风险程度是部分匹配；

如果所述第一匹配结果是匹配失败，并且所述第二匹配结果是匹配成功，则所述风险程度是无匹配。

4.根据权利要求3所述的方法，还包括：在所述基于所述风险程度和至少部分对象信息，或者基于所述风险程度对所述风险事件信息进行标记之后，

基于所述威胁度对经标记的风险事件信息进行排序。

5.根据权利要求1至4任一项所述的方法，其中，所述获取与所述风险事件信息相关联对象的对象信息包括：

获取对象信息集合，并且获取所述风险事件信息的风险对象信息；以及

将所述对象信息集合中与所述风险对象信息相匹配的对象信息作为与所述风险事件信息相关联对象的对象信息。

6.根据权利要求1至4任一项所述的方法，其中，所述从所述风险事件信息中获取攻击特征包括：

从所述风险事件信息中提取关键词；以及

基于特征映射关系确定与所述关键词匹配的攻击特征，所述特征映射关系包括关键词与攻击特征之间的对应关系。

7.根据权利要求1至4任一项所述的方法，还包括：在所述基于所述风险程度和至少部分对象信息，或者基于所述风险程度对所述风险事件信息进行标记之后，

输出经标记的风险事件信息，以便确定针对所述风险事件信息的处理顺序。

8.一种风险事件标记装置，包括：

风险事件获取模块，用于获取风险事件信息；

信息处理模块，用于从所述风险事件信息中获取攻击特征；其中，所述攻击特征表征所述风险事件信息中用于攻击被攻击对象的特征，其中，所述攻击特征包括所述风险事件信息中针对的操作系统、协议、服务、编码语言、组件、框架或目标类型中的至少之一；以及，所述信息处理模块还用于获取与所述风险事件信息相关联对象的对象信息；其中，与所述风险事件信息相关联对象的对象信息是与被攻击对象相关的对象信息，包括以下至少之一：IP地址、应用标识、应用名称、应用版本、操作系统、端口、服务和组件；

信息匹配模块，用于基于所述攻击特征与所述风险事件信息相关联对象的对象信息的匹配程度，确定所述风险事件信息的风险程度；以及

标记模块，用于基于所述风险程度和至少部分对象信息，或者基于所述风险程度对所述风险事件信息进行标记，以便确定与经标记的风险事件信息对应的风险程度。

9.一种风险事件标记系统，包括：

数据收集工具，用于获取风险事件信息和对象信息；

风险事件标记工具，用于标记风险事件信息的攻击特征与对象信息之间的对应关系；其中，所述攻击特征表征所述风险事件信息中用于攻击被攻击对象的特征，其中，所述攻击特征包括所述风险事件信息中针对的操作系统、协议、服务、编码语言、组件、框架或目标类型中的至少之一；其中，与所述风险事件信息相关联对象的对象信息是与被攻击对象相关的对象信息，包括以下至少之一：IP地址、应用标识、应用名称、应用版本、操作系统、端口、服务和组件；

风险事件信息处理工具，用于基于所述攻击特征与所述风险事件信息相关联对象的对象信息的匹配程度，对所述风险事件信息进行标记；以及

数据输出工具，用于输出经标记的风险事件信息。

10.一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储可执行指令，所述可执行指令在被所述处理器执行时，实现根据权利要求1~7任一项所述的方法。

11.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时，实现根据权利要求1~7任一项所述的方法。

Images