CN113079126A - 网络安全威胁事件智能分析方法及设备 - Google Patents

Abstract

本发明实施例提供了一种网络安全威胁事件智能分析方法及设备。其中，所述方法包括：构建网络安全威胁事件模型；将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。本发明实施例提供的网络安全威胁事件智能分析方法及设备，可以降低网络安全事件调查的技术门槛，提高了网络的鲁棒性和稳定性，及时地消除网络威胁，保证业务系统安全运行，减少经济损失。

Description

网络安全威胁事件智能分析方法及设备

技术领域

本发明实施例涉及网络安全技术领域，尤其涉及一种网络安全威胁事件智能分析方法及设备。

背景技术

在网络安全事件发生后，往往要通过较长时间的调查工作，确认攻击真实性、影响范围、损失评估、背景研判等，之后才能做出合适的处置决策。这些分析过程十分耗费人力、物力和时间，对响应人员的网络安全水平和技术能力都有较高的要求，制约了事件响应的及时性，导致很多事件无法得到有效处置。因此，开发一种网络安全威胁事件智能分析方法，可以有效克服上述相关技术中的缺陷，就成为业界亟待解决的技术问题。

发明内容

针对现有技术存在的上述问题，本发明实施例提供了一种网络安全威胁事件智能分析方法及设备。

第一方面，本发明的实施例提供了一种网络安全威胁事件智能分析方法，包括：构建网络安全威胁事件模型；将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。

在上述方法实施例内容的基础上，本发明实施例中提供的网络安全威胁事件智能分析方法，所述构建网络安全威胁事件模型，包括：根据网络安全威胁事件的大数据信息，采用结构化处理语言，构建网络安全威胁事件模型。

在上述方法实施例内容的基础上，本发明实施例中提供的网络安全威胁事件智能分析方法，所述网络安全威胁事件产生的相关信息，包括：网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息。

在上述方法实施例内容的基础上，本发明实施例中提供的网络安全威胁事件智能分析方法，所述输入所述网络安全威胁事件模型进行分析，包括：对所述网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息，进行关联度分析、时序分析和/或统计分析。

在上述方法实施例内容的基础上，本发明实施例中提供的网络安全威胁事件智能分析方法，所述网络安全威胁事件对网络安全的威胁信息，包括：告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息。

在上述方法实施例内容的基础上，本发明实施例中提供的网络安全威胁事件智能分析方法，在所述确定所述网络安全威胁事件对网络安全的威胁信息之后，还包括：将所述告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息，进行可视化展示。

在上述方法实施例内容的基础上，本发明实施例中提供的网络安全威胁事件智能分析方法，在所述进行可视化展示之后，还包括：根据所述网络安全威胁事件对网络安全的威胁信息，构建网络安全应急响应规则及网络安全优化规则，并进行可视化展示。

第二方面，本发明的实施例提供了一种网络安全威胁事件智能分析装置，包括：

模型构建模块，用于构建网络安全威胁事件模型；

信息分析模块，用于将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。

第三方面，本发明的实施例提供了一种电子设备，包括：

至少一个处理器；以及

与处理器通信连接的至少一个存储器，其中：

存储器存储有可被处理器执行的程序指令，处理器调用程序指令能够执行第一方面的各种可能的实现方式中任一种可能的实现方式所提供的网络安全威胁事件智能分析方法。

第四方面，本发明的实施例提供了一种非暂态计算机可读存储介质，非暂态计算机可读存储介质存储计算机指令，计算机指令使计算机执行第一方面的各种可能的实现方式中任一种可能的实现方式所提供的网络安全威胁事件智能分析方法。

本发明实施例提供的网络安全威胁事件智能分析方法及设备，通过构建网络安全威胁事件模型，然后采用构建的网络安全威胁事件模型对网络安全威胁事件进行分析，并结合可视化的展示效果，可以降低网络安全事件调查的技术门槛，提高了网络的鲁棒性和稳定性，及时地消除网络威胁，保证业务系统安全运行，减少经济损失。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图做一简单的介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的网络安全威胁事件智能分析方法流程图；

图2为本发明实施例提供的网络安全威胁事件智能分析方法原理示意图；

图3为本发明实施例提供的网络安全威胁事件智能分析装置结构示意图；

图4为本发明实施例提供的电子设备的实体结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。另外，本发明提供的各个实施例或单个实施例中的技术特征可以相互任意结合，以形成可行的技术方案，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时，应当认为这种技术方案的结合不存在，也不在本发明要求的保护范围之内。

针对网络安全调查场景进行分析拆解，验证当前数据对当前常见场景的业务覆盖度，对于可实现覆盖调查场景，力争将调查分析过程自动化展示。通过对网络安全威胁日志建立可视化网络威胁模型，从而判断告警和异常的准确性，并作出应急响应和规则优化。基于上述思想，本发明实施例提供了一种网络安全威胁事件智能分析方法，参见图1，该方法包括：

101、构建网络安全威胁事件模型；

102、将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。需要说明的是，对于常见的网络安全威胁事件，可以固化后形成对常见网络安全威胁事件的自动化分析，从而提高分析效率。

具体地，网络安全威胁事件智能分析方法的原理可以参见图2。由图2中可见，可视化网络威胁模型对告警、安全事件、异常行为、网络攻击威胁情报、日志/资产等信息进行收集，经过可视化网络威胁模型的分析，对告警和异常的准确性，攻击是否有效，受到攻击影响的资产以及其它攻击行为进行判断和评估。在此基础上，进行应急响应和规则优化，重新制定更加有效的网络安全防护规则。

基于上述方法实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析方法，所述构建网络安全威胁事件模型，包括：根据网络安全威胁事件的大数据信息，采用结构化处理语言，构建网络安全威胁事件模型。

基于上述方法实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析方法，所述网络安全威胁事件产生的相关信息，包括：网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息。具体地，可以根据网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息，按照需求构建网络安全威胁事件模型，实现不同告警、资产和情报数据的ELP(Entity-link-Property)建模。

基于上述方法实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析方法，所述输入所述网络安全威胁事件模型进行分析，包括：对所述网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息，进行关联度分析、时序分析和/或统计分析。具体地，网络安全事件分析常用的可视化分析方式，包括关联分析、时序分析、统计分析等多种分析模式，将这些模式应用在网络安全事件分析中，可以提高日常安全事件调查便利性，降低调查分析工作的专业性和技术门槛。

基于上述方法实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析方法，所述网络安全威胁事件对网络安全的威胁信息，包括：告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息。

基于上述方法实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析方法，在所述确定所述网络安全威胁事件对网络安全的威胁信息之后，还包括：将所述告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息，进行可视化展示。

基于上述方法实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析方法，在所述进行可视化展示之后，还包括：根据所述网络安全威胁事件对网络安全的威胁信息，构建网络安全应急响应规则及网络安全优化规则，并进行可视化展示。

本发明实施例提供的网络安全威胁事件智能分析方法，通过构建网络安全威胁事件模型，然后采用构建的网络安全威胁事件模型对网络安全威胁事件进行分析，并结合可视化的展示效果，可以降低网络安全事件调查的技术门槛，提高了网络的鲁棒性和稳定性，及时地消除网络威胁，保证业务系统安全运行，减少经济损失。

本发明各个实施例提供的网络安全威胁事件智能分析方法，通过对网络信息事件相关信息的直观展示和网络安全相关业务建模，降低了事件调查人员的技术门槛，使得普通的安全运维人员即可完成相关工作。在传统的事件调查过程中，由于需要经过数据取证、分析和撰写报告的过程，人力和时间成本巨大，通过将常见网络安全事件调查方式的分析固化，在面对类似的安全事件无需重复操作，而是直接展现事件的基本情况，迅速完成调查研判工作。网络安全事件调查中，需要了解攻击背景、攻击影响、攻击手法等，通过将威胁、资产和情报数据进行结合，实现了对事件全貌的还原，有助于尽快做出响应决策。弥补了不能及时地进行分析和展示安全威胁点的缺陷，网络安全事件发生后，往往要通过较长时间的调查工作，主要是为了确认攻击真实性、影响范围、损失评估、背景研判等，后续才能做出合适的处置决策。这些分析过程十分耗费人力和时间，对响应人员的网络安全水平和技术能力都有较高的要求，制约了事件响应的及时性，导致很多事件无法得到有效处置。通过对网络信息事件相关信息的直观展示和网络安全相关业务建模，降低了事件调查人员的技术门槛，使得普通的安全运维人员即可完成相关工作，极大地提高了网络的鲁棒性，从而保证业务系统安全运行，减少了经济损失。

本发明各个实施例的实现基础是通过具有处理器功能的设备进行程序化的处理实现的。因此在工程实际中，可以将本发明各个实施例的技术方案及其功能封装成各种模块。基于这种现实情况，在上述各实施例的基础上，本发明的实施例提供了一种网络安全威胁事件智能分析装置，该装置用于执行上述方法实施例中的网络安全威胁事件智能分析方法。参见图3，该装置包括：

模型构建模块301，用于构建网络安全威胁事件模型；

信息分析模块302，用于将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。

本发明实施例提供的网络安全威胁事件智能分析装置，采用模型构建模块和信息分析模块，通过构建网络安全威胁事件模型，然后采用构建的网络安全威胁事件模型对网络安全威胁事件进行分析，并结合可视化的展示效果，可以降低网络安全事件调查的技术门槛，提高了网络的鲁棒性和稳定性，及时地消除网络威胁，保证业务系统安全运行，减少经济损失。

需要说明的是，本发明提供的装置实施例中的装置，除了可以用于实现上述方法实施例中的方法外，还可以用于实现本发明提供的其他方法实施例中的方法，区别仅仅在于设置相应的功能模块，其原理与本发明提供的上述装置实施例的原理基本相同，只要本领域技术人员在上述装置实施例的基础上，参考其他方法实施例中的具体技术方案，通过组合技术特征获得相应的技术手段，以及由这些技术手段构成的技术方案，在保证技术方案具备实用性的前提下，就可以对上述装置实施例中的装置进行改进，从而得到相应的装置类实施例，用于实现其他方法类实施例中的方法。例如：

基于上述装置实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析装置，还包括：结构化处理语言模块，用于根据网络安全威胁事件的大数据信息，采用结构化处理语言，构建网络安全威胁事件模型。

基于上述装置实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析装置，还包括：三度分析模块，用于对所述网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息，进行关联度分析、时序分析和/或统计分析。

基于上述装置实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析装置，还包括：可视化展示模块，用于将所述告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息，进行可视化展示。

基于上述装置实施例的内容，作为一种可选的实施例，本发明实施例中提供的网络安全威胁事件智能分析装置，还包括：安全规则重构模块，用于根据所述网络安全威胁事件对网络安全的威胁信息，构建网络安全应急响应规则及网络安全优化规则，并进行可视化展示。

本发明实施例的方法是依托电子设备实现的，因此对相关的电子设备有必要做一下介绍。基于此目的，本发明的实施例提供了一种电子设备，如图4所示，该电子设备包括：至少一个处理器(processor)401、通信接口(Communications Interface)404、至少一个存储器(memory)402和通信总线403，其中，至少一个处理器401，通信接口404，至少一个存储器402通过通信总线403完成相互间的通信。至少一个处理器401可以调用至少一个存储器402中的逻辑指令，以执行如下方法：构建网络安全威胁事件模型；将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。

此外，上述的至少一个存储器402中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。例如包括：构建网络安全威胁事件模型；将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。基于这种认识，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

在本专利中，术语"包括"、"包含"或者其任何其它变体意在涵盖非排它性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其它要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句"包括……"限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种网络安全威胁事件智能分析方法，其特征在于，包括：

构建网络安全威胁事件模型；

将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。

2.根据权利要求1所述的网络安全威胁事件智能分析方法，其特征在于，所述构建网络安全威胁事件模型，包括：

根据网络安全威胁事件的大数据信息，采用结构化处理语言，构建网络安全威胁事件模型。

3.根据权利要求1所述的网络安全威胁事件智能分析方法，其特征在于，所述网络安全威胁事件产生的相关信息，包括：

网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息。

4.根据权利要求3所述的网络安全威胁事件智能分析方法，其特征在于，所述输入所述网络安全威胁事件模型进行分析，包括：

对所述网络告警信息、安全事件信息、网络异常行为信息、网络攻击威胁情报信息、网络安全威胁日志信息和资产状态信息，进行关联度分析、时序分析和/或统计分析。

5.根据权利要求1所述的网络安全威胁事件智能分析方法，其特征在于，所述网络安全威胁事件对网络安全的威胁信息，包括：

告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息。

6.根据权利要求5所述的网络安全威胁事件智能分析方法，其特征在于，在所述确定所述网络安全威胁事件对网络安全的威胁信息之后，还包括：

将所述告警和异常的准确性信息、攻击有效性信息和/或受到攻击的资产状态信息，进行可视化展示。

7.根据权利要求6所述的网络安全威胁事件智能分析方法，其特征在于，在所述进行可视化展示之后，还包括：

根据所述网络安全威胁事件对网络安全的威胁信息，构建网络安全应急响应规则及网络安全优化规则，并进行可视化展示。

8.一种网络安全威胁事件智能分析装置，其特征在于，包括：

模型构建模块，用于构建网络安全威胁事件模型；

信息分析模块，用于将网络安全威胁事件产生的相关信息，输入所述网络安全威胁事件模型进行分析，根据分析结果，确定所述网络安全威胁事件对网络安全的威胁信息。

9.一种电子设备，其特征在于，包括：

至少一个处理器、至少一个存储器、通信接口和总线；其中，

所述处理器、存储器、通信接口通过所述总线完成相互间的通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令，以执行如权利要求1至7任一项权利要求所述的方法。

10.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行如权利要求1至7中任一项权利要求所述的方法。

Images