CN113098828A - 网络安全报警方法及装置 - Google Patents

网络安全报警方法及装置 Download PDF

Info

Publication number
CN113098828A
CN113098828A CN201911338777.8A CN201911338777A CN113098828A CN 113098828 A CN113098828 A CN 113098828A CN 201911338777 A CN201911338777 A CN 201911338777A CN 113098828 A CN113098828 A CN 113098828A
Authority
CN
China
Prior art keywords
alarm
network
log
similarity
network alarm
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201911338777.8A
Other languages
English (en)
Other versions
CN113098828B (zh
Inventor
徐金阳
刘冬岩
郑瑞刚
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Group Liaoning Co Ltd
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Group Liaoning Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Group Liaoning Co Ltd filed Critical China Mobile Communications Group Co Ltd
Priority to CN201911338777.8A priority Critical patent/CN113098828B/zh
Publication of CN113098828A publication Critical patent/CN113098828A/zh
Application granted granted Critical
Publication of CN113098828B publication Critical patent/CN113098828B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种网络安全报警方法及装置，该方法包括：从各个网络安全防护设备采集各个网络报警日志；计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；若网络安全态势大于预定值，进行安全报警。该方式通过网络报警数据评估网络态势，提升大数据态势感知中的自适应，同时也能够提升网络安全报警的准确性。

Description

网络安全报警方法及装置
技术领域
本发明涉及网络安全技术领域，具体涉及一种网络安全报警方法及装置。
背景技术
随着计算机和通信技术的迅速发展，计算机网络的应用越来越广泛，其规模越来越庞大，多层面的网络安全威胁和安全风险也在不断增加，网络病毒、Dos/DDos攻击等构成的威胁和损失越来越大，网络攻击行为向着分布化、规模化、复杂化等趋势发展，仅仅依靠防火墙、入侵检测、防病毒、访问控制等单一的网络安全防护技术，已不能满足网络安全的需求，迫切需要新的技术，及时发现网络中的异常事件，实时掌握网络安全状况，将之前很多时候亡羊补牢的事中、事后处理，转向事前自动评估预测，降低网络安全风险，提高网络安全防护能力。
目前常通过大数据技术进行安全检测。大数据技术特有的海量存储、并行计算、高效查询等特点，借助大数据分析，对成千上万的网络日志等信息进行自动分析处理与深度挖掘，对网络的安全进行分析评价。具体通过大数据技术对网络日志等信息进行分析，检测安全。
但是，发明人在实现本发明的过程中发现：大数据是离散的，并不能从整体上动态反应网络安全状况，进而无法准确地进行网络安全报警。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的网络安全报警方法及装置。
根据本发明的一个方面，提供了一种网络安全报警方法，包括：
从各个网络安全防护设备采集各个网络报警日志；
计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；
针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；
根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
若网络安全态势大于预定值，进行安全报警。
可选地，从各个网络安全防护设备采集各个网络报警日志之后，方法进一步包括：
对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
可选地，从各个网络安全防护设备采集各个网络报警日志之后，方法进一步包括：
对各个网络报警日志进行数据清理；其中，数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理；
针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志；
则计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合进一步包括：
计算各个有效网络报警日志之间的相似度，根据相似度将各个有效网络报警日志划分为各个日志分类集合。
可选地，计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合具体包括：
步骤S0，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志；
步骤S1，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度；
步骤S2，将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所属的日志分类集合中；
步骤S3，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；
步骤S4，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S1；若否，确定分类结束。
可选地，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志进一步包括：
判断最大相似度与最小相似度之间差值是否超过预设阈值；
若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
可选地，计算各个网络报警日志之间的相似度具体包括：
针对于每两个网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度；
根据报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个网络报警日志的相似度。
可选地，若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间的相似度为零；
若该两个网络报警日志的报警事件的源端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。
计算该两个网络报警日志的报警事件的IP地址的相似度具体包括：
计算该两个网络报警日志的报警事件的源IP地址的相似度和目的IP地址的相似度，根据源IP地址的相似度和目的IP地址的相似度确定IP地址相似度。
根据本发明的另一方面，提供了一种网络安全报警装置，该装置包括：
日志采集模块，适于从各个网络安全防护设备采集各个网络报警日志；
日志分类模块，适于计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；
攻击事件分析模块，适于针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；
安全态势分析模块，适于根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
报警模块，适于若网络安全态势大于预定值，进行安全报警。
可选地，装置还包括：预处理模块，适于对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
可选地，装置还包括：清理模块，适于对各个网络报警日志进行数据清理；其中，数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理；
针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志；
则日志分类模块进一步适于：计算各个有效网络报警日志之间的相似度，根据相似度将各个有效网络报警日志划分为各个日志分类集合。
可选地，日志分类模块进一步适于执行以下步骤：
步骤S0，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志；
步骤S1，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度；
步骤S2，将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所属的日志分类集合中；
步骤S3，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；
步骤S4，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S1；若否，确定分类结束。
可选地，日志分类模块进一步适于：判断最大相似度与最小相似度之间差值是否超过预设阈值；若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
可选地，日志分类模块进一步适于：针对于每两个网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度；
根据报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个网络报警日志的相似度。
可选地，日志分类模块进一步适于：
若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间的相似度为零；
若该两个网络报警日志的报警事件的源端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。
计算该两个网络报警日志的报警事件的源IP地址的相似度和目的IP地址的相似度，根据源IP地址的相似度和目的IP地址的相似度确定IP地址相似度。
根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述网络安全报警方法对应的操作。
根据本发明的再一方面，提供了一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如上述网络安全报警方法对应的操作。
根据本发明的网络安全报警方法及装置，该方法包括：从各个网络安全防护设备采集各个网络报警日志；计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；若网络安全态势大于预定值，进行安全报警。该方式通过计算网络报警日志之间的相似度，寻找同一攻击事件对应的网络报警日志，再根据不同攻击事件对应的网络报警数据感知网络态势，进而进行安全报警，能够提升大数据态势感知中的自适应，同时也能够提升网络安全报警的准确性。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了本发明实施例提供的网络安全报警方法的流程图；
图2示出了本发明另一实施例提供的网络安全报警方法的流程图；
图3示出了本发明实施例中一种网络拓扑的示意图；
图4示出了本发明另一实施例提供的网络安全报警方法的流程图；
图5示出了本发明实施例提供的网络安全报警装置的结构示意图；
图6示出了本发明实施例提供的计算设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。
图1示出了本发明实施例提供的网络安全报警方法的流程图，如图1所示，该方法包括以下步骤：
步骤S101，从各个网络安全防护设备采集各个网络报警日志。
网络防护设备会对特定的操作和其操作结果按时间有序进行记录，生成日志，例如事件报警。本步骤中，从各种网络安全防护设备的中收集事件报警日志，网络防护设备可以是入侵检测系统IDS、防护墙等等，本发明对此不做限定。
步骤S102，计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合。
计算网络报警日志之间的相似程度，并根据网络报警日志之间的相似程度对网络报警日志进行聚类，将相似的网络报警日志归于一个日志分类集合。
步骤S103，针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件。
其中，攻击事件具有相应的攻击特征，并且具有相应的安全等级，具体实施时，可通过大数据分析的方法确定攻击事件的攻击特征，而攻击事件的安全等级是根据攻击事件的影响范围、被发现的难易程度确定的。
针对于每一个日志分类集合，对该日志分类集合中的网络报警日志进行分析，分析出这些网络报警日志的攻击特征，确定与攻击特征相对应的攻击事件，得到各个日志分类集合所对应的攻击事件。
步骤S104，根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势，若网络安全态势大于预定值，进行安全报警。
最终，根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，计算网络安全态势。如果计算出来的网络安全态势大于预定值，表明网络是不安全的，则进行安全报警。
根据本实施例提供的网络安全报警方法，通过计算网络报警日志之间的相似度，寻找同一攻击事件对应的网络报警日志，再根据不同攻击事件对应的网络报警数据感知网络态势，进而进行安全报警。该方式通过网络报警数据评估网络态势，提升大数据态势感知中的自适应，同时也能够提升网络安全报警的准确性。
图2示出了本发明另一实施例提供的网络安全报警方法的流程图，如图2所示，该方法包括以下步骤：
步骤S201，从各个网络安全防护设备采集各个网络报警日志。
网络防护设备会对特定的操作和其操作结果按时间有序进行记录，生成日志，例如事件报警。本步骤中，从网络的各种网络安全防护设备的中收集事件报警日志，网络防护设备可以是入侵检测系统IDS、防护墙等等，本发明对此不做限定。
步骤S202，对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
由于各个网络安全防护设备产生的日志格式不一致，本实施例对获取到的各个网络安全防护设备的网络报警日志进行预处理，处理成统一的格式，以便于后续处理。
步骤S203，对预处理后的各个网络报警日志进行数据清理；其中，数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理。
对格式统一之后的各个网络报警日志进行数据清理，主要包括：清理记录的无效数据以及填补空缺值。
步骤S204，针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志。
其中，报警有效数据包括：报警时间、报警编号、报警事件的IP地址以及报警事件的源端口等等，总之，报警有效数据指的是与报警事件相关的数据。
网络报警日志经过预处理和数据清理之后，则从网络报警日志中选择跟报警相关数据，如报警时间、报警编号、报警事件的IP地址以及报警事件的源端口，将每一个网络报警日志中的这些报警相关数据筛选出来，作为该网络报警日志对应的有效网络报警日志。
步骤S205，针对于每两个有效网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度。
根据有效网络报警日志之间的相似度，将有效网络报警日志进行分类，是对应于同一网络攻击事件的报警日志归于一类。首先，需要计算任意两个有效网络报警日志之间的相似度。可按照网络报警日志生成的时间顺序，计算有效网络报警日志之间的相似度。
一方面，同一攻击事件引起的网络报警时间应该非常接近，因此，可以从时间维度确定两个网络报警日志是否对应同一个攻击事件。另一方面，同一攻击事件引起的网络报警对应的端口很可能是相同的，因此，可以从端口维度确定两个网络报警日志是否对应同一个攻击事件。再一方面，攻击事件的源IP地址和目的IP地址之间也存在一定的相似度，因此，可以从IP地址维度确定两个网络报警日志之间是否对应同一个攻击事件。
综上所述，本发明实施例中，针对每两个有效网络报警日志，分别计算报警时间维度、报警事件的IP地址维度以及报警事件的源端口维度的相似度。下面以网络报警日志i和j为例分别对具体的计算方式进行解释。
第一，以sim_t(i,j)表示网络报警日志j与网络报警日志i之间的报警时间的相似度，计算两个有效网络报警日志的报警时间维度的相似度的具体公式如下：
sim_t(i,j)＝1-|网络报警日志i的产生时间-网络报警日志j的产生时间|/时间差阈值。
优选地，若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间相似度为零。例如，如果|网络报警日志i产生时间-网络报警日志j产生时间|/时间差阈值>2,则将sim_t(i,j)更新为0。时间差阈值是预先设定的一个可容忍的时间差值，例如由于网络延迟，对于正常的同一攻击事件引起的网络报警时间也会存在一定的时间差，此处的时间差阈值即使对此种情况的处理。
第二，以sim_p(i,j)表示网络报警日志j与网络报警日志i之间的端口相似度，确定两个有效网络报警日志的报警事件的源端口的相似度具体实施方式如下：
如果网络报警日志i的产生端口与网络报警日志j的产生端口一致，则sim_t(i,j)＝1。
如果网络报警日志i的产生端口与网络报警日志j的产生端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。具体地：sim_t(i,j)＝1-|网络报警日志i对应的节点级别-网络报警日志j对应的节点级别|/最大级别。
其中，节点级别是基于网络拓扑得到的。网络中的节点可以通过网络拓扑标识其逻辑关系，图3示出了本发明实施例中一种网络拓扑的示意图，如图3所示，根据逻辑关系，网关A，网关B，网关C均为同一级别的。本地服务器A，本地服务器B，本地服务器C为同一级别的，但本地服务器级别比网关级别高一级别。云服务器的级别比本地服务器高一个级别，比网关高两个级别。
举例来说，网络报警日志i由网关A产生，网络报警日志j由网关C产生，网关A产生端口不同于网关C产生端口，则sim_t(i,j)＝1-|网络报警日志i对应的节点级别(1)-网络报警日志j对应的节点级别(1)|/最大级别(3)＝1。
第三，以sim_ip(i,j)表示网络报警日志j与网络报警日志i之间的IP地址相似度。确定两个有效网络报警日志的报警事件的IP地址之间的相似度的具体实施方式如下：
sim_ip(i,j)＝网络报警日志i与网络报警日志j之间的源IP相似度*网络报警日志i与网络报警日志j之间的目的IP相似度。其中，网络报警日志i与网络报警日志j之间的源IP相似度的计算方法与网络报警日志i与网络报警日志j之间的目的IP相似度的计算方法相同。
下面仅介绍网络报警日志i与网络报警日志j之间的源IP相似度的计算过程，对于网络报警日志i与网络报警日志j之间的目的IP相似度的计算过程与其相似，在此不进行赘述。
具体根据两个源IP地址之间不同的数值在IP地址中的位置，以及不同的数值之间的差值计算源IP地址的相似度。
IP地址分为4个十进制数。例如，120.244.110.131。
从源IP地址最左的一个十进制数开始依次比较网络报警日志i与网络报警日志j在该位的数值是否相同，寻找第一个不同的十进制数所在的位置。例如网络报警日志i的源IP为120.244.110.131，网络报警日志j的源IP为120.244.110.100，那么第一个不同的十进制数在最右。
以AAA.BBB.CCC.DDD为例。
如果第一个不同的十进制数在最右组，即DDD的位置，则网络报警日志i与网络报警日志j之间的源IP相似度＝1-两个不同数之差的绝对值/255。
如果第一个不同的十进制数在右数第二组，即CCC的位置，则网络报警日志i与网络报警日志j之间的源IP相似度＝(1-两个不同数之差的绝对值/255)/2；如果第一个不同的十进制数在左数第二组，即BBB的位置，则网络报警日志i与网络报警日志j之间的源IP相似度＝(1-两个不同数之差的绝对值/255)/4；如果第一个不同的十进制数在最左组，即AAA的位置，则网络报警日志i与网络报警日志j之间的源IP相似度＝(1-两个不同数之差的绝对值/255)/8。
通过本步骤，能够计算得到两个有效网络报警日志的报警时间的相似度、报警事件的IP地址的相似度以及报警事件的源端口的相似度。
步骤S206，根据报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个有效网络报警日志的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合。
本发明实施例中，在日志之间相似度计算时，不再考虑时间，端口，IP地址相似的权重，而是采用了在一种条件发生下，另一种条件发生的条件概率，使得计算出的相似度更加考虑时间，端口，IP地址之间的内在关联关系，更加能够反映现实场景，相似度结果更加准确。
具体计算公式如下：
有效网络报警日志之间的相似度＝报警时间的相似度*第一概率*第二概率+报警事件的源端口的相似度*第五概率*第六概率+报警事件的IP地址的相似度*第三概率*第四概率。
其中，第一概率为报警事件的源端口相似的情况下时间也相似的概率，第二概率为在报警事件的IP地址相似的情况下时间也相似的概率；第三概率为在报警时间相似的情况下报警事件的源端口也相似的概率，第四概率为在报警事件的IP地址相似的情况下报警事件的源端口也相似的概率；第五概率为在报警时间相似的情况下报警事件的IP地址也相似的概率，第六概率为在报警事件的源端口相似的情况下报警事件的IP地址也相似的概率。上述条件概率都是根据历史数据进行分析所得到的。
沿用上述示例，网络报警日志i和网络报警日志j之间的相似度sim(i,j)的计算公式如下：
sim(i,j)＝P(t|p)*P(t|ip)*sim_t(i,j)+P(p|t)*P(p|ip)*sim_p(i,j)+P(ip|t)*P(ip|p)*sim_ip(i,j)。
其中，P(t|p)为在端口相似的情况下时间也相似的概率，P(t|ip)为在ip地址相似的情况下时间也相似的概率，P(p|t)为在时间相似的情况下端口也相似的概率，P(p|ip)为在ip地址相似的情况下端口也相似的概率，P(ip|t)为在时间相似的情况下ip地址也相似的概率，P(ip|p)为在端口相似的情况下ip地址也相似的概率。
然后，再根据各个有效网络报警日志之间的相似度，对各个有效网络报警日志进行分类，划分为各个日志分类集合，如将相似度较高的多个有效网络报警日志划分到一个日志分类集合中。
步骤S207，针对于任一日志分类集合，对该日志分类集合所包含的有效网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件。
其中，攻击事件具有相应的攻击特征，并且具有相应的安全等级，具体实施时，可通过大数据分析的方法确定攻击事件的攻击特征，而攻击事件的安全等级是根据攻击事件的影响范围、被发现的难易程度确定的。具体可通过k-means算法对每个日志分类集合中的有效网络报警日志进行聚类分析，得到其对应的攻击特征，确定与攻击特征匹配的攻击事件。
步骤S208，根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及有效网络报警日志的总数量，确定网络安全态势，若网络安全态势大于预定值，进行安全报警。
最终，根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及有效网络报警日志的总数量，计算网络安全态势。如果计算出来的网络安全态势大于预定值，表明网络是不安全的，则进行安全报警。
具体计算公式如下：
网络安全态势＝Σ(每个日志分类集合包括的有效网络报警日志数量^安全等级+每个日志分类集合的平均相似度)/有效网络报警日志总数量。
根据本实施例提供的网络安全报警方法，该方式结合三个维度的数据计算网络报警日志之间的相似度，寻找同一攻击事件对应的网络报警日志，再根据不同攻击事件对应的网络报警数据感知网络态势，进而进行安全报警，通过网络报警数据评估网络态势，提升大数据态势感知中的自适应，同时也能够提升网络安全报警的准确性。
图4示出了本发明另一实施例提供的网络安全报警方法的流程图，如图4所示，该方法包括以下步骤：
步骤S401，从各个网络安全防护设备采集各个网络报警日志。
具体实施方式参照上述实施例中的描述，在此不进行赘述。
步骤S402，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志。
举例来说，首先，选择一个网络报警日志j，作为一个日志分类集合的中心。
步骤S403，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度。
然后，依次选择一个未分类的网络报警日志，未分类的网络报警日志与网络报警日志j之间的相似度。相似度的计算方法参照上述实施例中的描述，在此不进行赘述。
步骤S404，将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所属的日志分类集合中。
将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所在的日志分类集合中，也即，认为该最大相似度对应的未分类的网络报警日志与该最大相似度对应的中心网络报警日志是一类的。
在第一轮循环中，由于只有一个日志分类集合的中心网络报警日志j，那么，最大相似度对应的中心网络报警日志也就是网络报警日志j，则将最大相似度对应的未分类的网络报警日志划分到中心网络报警日志j所属的日志分类集合。
步骤S405，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
将最小相似度对应的未分类的网络报警日志确定为另一个新的日志分类集合的中心网络报警日志，在后续的循环中，该中心网络报警日志也会作为基准，计算未分类的网络报警日志与该中心网络报警日志之间的相似度，从而对网络报警日志进行分类。
根据上述内容可知，在第一轮结束之后，会有两个日志分类集合及其中心网络报警日记，即中心网络报警日志j及其日志分类集合，以及，最小相似度对应的未分类的网络报警日志作为的中心网络报警日志及其日志分类集合。
优选地，判断最大相似度与最小相似度之间差值是否超过预设阈值；若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。如果最大相似度与最小相似度之间的差值大于或等于预设阈值，则将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；如果差值小于预设阈值，则对该最小相似度对应的未分类的网络报警日志不进行处理，留待下一轮进行处理。
步骤S406，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S403；若否，执行步骤S407。
一轮分类结束之后，判断此时还有没有未分类的网络报警日志，若有，则跳转执行步骤S403；若没有，表明所有的网络报警日志都完成了分类，此时得到各个日志分类集合，分类处理结束。
步骤S407，针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件。
具体实施方式参照上述实施例中的描述，在此不进行赘述。
步骤S408，根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势，若网络安全态势大于预定值，进行安全报警。
具体实施方式参照上述实施例中的描述，在此不进行赘述。
根据本实施例提供的网络安全报警方法，该方式通过计算网络报警日志之间的相似度，寻找同一攻击事件对应的网络报警日志，再根据不同攻击事件对应的网络报警数据感知网络态势，进而进行安全报警，通过网络报警数据评估网络态势，提升大数据态势感知中的自适应，同时也能够提升网络安全报警的准确性。
图5示出了本发明网络安全报警装置实施例的结构示意图。如图5所示，该装置包括：
日志采集模块51，适于从各个网络安全防护设备采集各个网络报警日志；
日志分类模块52，适于计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；
攻击事件分析模块53，适于针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；
安全态势分析模块54，适于根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
报警模块55，适于若网络安全态势大于预定值，进行安全报警。
在一种可选的方式中，装置还包括：预处理模块，适于对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
在一种可选的方式中，装置还包括：清理模块，适于对各个网络报警日志进行数据清理；其中，数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理；
针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志；
则日志分类模块52进一步适于：计算各个有效网络报警日志之间的相似度，根据相似度将各个有效网络报警日志划分为各个日志分类集合。
在一种可选的方式中，日志分类模块52进一步适于执行以下步骤：
步骤S0，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志；
步骤S1，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度；
步骤S2，将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所属的日志分类集合中；
步骤S3，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；
步骤S4，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S1；若否，确定分类结束。
在一种可选的方式中，日志分类模块52进一步适于：判断最大相似度与最小相似度之间差值是否超过预设阈值；若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
在一种可选的方式中，日志分类模块52进一步适于：针对于每两个网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度；
根据报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个网络报警日志的相似度。
在一种可选的方式中，日志分类模块进一步适于：
若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间的相似度为零；
若该两个网络报警日志的报警事件的源端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。
计算该两个网络报警日志的报警事件的源IP地址的相似度和目的IP地址的相似度，根据源IP地址的相似度和目的IP地址的相似度确定IP地址相似度。
本发明实施例提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的网络安全报警方法。
可执行指令具体可以用于使得处理器执行以下操作：
从各个网络安全防护设备采集各个网络报警日志；
计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；
针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；
根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
若网络安全态势大于预定值，进行安全报警。
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：对各个网络报警日志进行数据清理；其中，数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理；
针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志；
计算各个有效网络报警日志之间的相似度，根据相似度将各个有效网络报警日志划分为各个日志分类集合。
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
步骤S0，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志；
步骤S1，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度；
步骤S2，将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所属的日志分类集合中；
步骤S3，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；
步骤S4，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S1；若否，确定分类结束。
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：判断最大相似度与最小相似度之间差值是否超过预设阈值；
若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：针对于每两个网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度；
根据报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个网络报警日志的相似度。
在一种可选的方式中，所述可执行指令使所述处理器执行以下操作：
若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间的相似度为零；
若该两个网络报警日志的报警事件的源端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。
计算该两个网络报警日志的报警事件的源IP地址的相似度和目的IP地址的相似度，根据源IP地址的相似度和目的IP地址的相似度确定IP地址相似度。
图6示出了本发明计算设备实施例的结构示意图，本发明具体实施例并不对计算设备的具体实现做限定。
如图6所示，该计算设备可以包括：处理器(processor)602、通信接口(Communications Interface)604、存储器(memory)606、以及通信总线608。
其中：处理器602、通信接口604、以及存储器606通过通信总线608完成相互间的通信。通信接口604，用于与其它设备比如客户端或其它服务器等的网元通信。处理器402，用于执行程序610，具体可以执行上述用于计算设备的网络安全报警方法实施例中的相关步骤。
具体地，程序610可以包括程序代码，该程序代码包括计算机操作指令。
处理器602可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。
存储器606，用于存放程序610。存储器606可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。
程序610具体可以用于使得处理器602执行以下操作：
从各个网络安全防护设备采集各个网络报警日志；
计算各个网络报警日志之间的相似度，根据相似度对各个网络报警日志进行分类，得到各个日志分类集合；
针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与攻击特征匹配的攻击事件；
根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
若网络安全态势大于预定值，进行安全报警。
在一种可选的方式中，所述程序610使所述处理器602执行以下操作：
对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
在一种可选的方式中，所述程序610使所述处理器602执行以下操作：
对各个网络报警日志进行数据清理；其中，数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理；
针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志；
计算各个有效网络报警日志之间的相似度，根据相似度将各个有效网络报警日志划分为各个日志分类集合。
在一种可选的方式中，所述程序610使所述处理器602执行以下操作：
步骤S0，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志；
步骤S1，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度；
步骤S2，将最大相似度对应的未分类的网络报警日志划分到最大相似度对应的中心网络报警日志所属的日志分类集合中；
步骤S3，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；
步骤S4，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S1；若否，确定分类结束。
在一种可选的方式中，所述程序610使所述处理器602执行以下操作：
判断最大相似度与最小相似度之间差值是否超过预设阈值；
若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
在一种可选的方式中，所述程序610使所述处理器602执行以下操作：
针对于每两个网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度；
根据报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个网络报警日志的相似度。
在一种可选的方式中，所述程序610使所述处理器602执行以下操作：
若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间的相似度为零；
若该两个网络报警日志的报警事件的源端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。
计算该两个网络报警日志的报警事件的源IP地址的相似度和目的IP地址的相似度，根据源IP地址的相似度和目的IP地址的相似度确定IP地址相似度。
在此提供的算法或显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明实施例也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本发明并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明实施例的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。上述实施例中的步骤，除有特殊说明外，不应理解为对执行顺序的限定。

Claims (10)

1.一种网络安全报警方法，包括：
从各个网络安全防护设备采集各个网络报警日志；
计算各个网络报警日志之间的相似度，根据相似度对所述各个网络报警日志进行分类，得到各个日志分类集合；
针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与所述攻击特征匹配的攻击事件；
根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
若所述网络安全态势大于预定值，进行安全报警。
2.根据权利要求1所述的方法，其中，所述从各个网络安全防护设备采集各个网络报警日志之后，所述方法进一步包括：
对各个网络报警日志进行预处理，将各个网络报警日志处理为相同的格式。
3.根据权利要求1所述的方法，其中，所述从各个网络安全防护设备采集各个网络报警日志之后，所述方法进一步包括：
对各个网络报警日志进行数据清理；其中，所述数据清理包括以下中的至少一种处理：无效数据的清理处理、空缺数据的填补处理；
针对于任一清理后的网络报警日志，筛选出其中包含的报警有效数据作为有效网络报警日志；
则所述计算各个网络报警日志之间的相似度，根据相似度对所述各个网络报警日志进行分类，得到各个日志分类集合进一步包括：
计算各个有效网络报警日志之间的相似度，根据相似度将各个有效网络报警日志划分为各个日志分类集合。
4.根据权利要求1-3中任一项所述的方法，其中，所述计算各个网络报警日志之间的相似度，根据相似度对所述各个网络报警日志进行分类，得到各个日志分类集合具体包括：
步骤S0，选择至少一个网络报警日志分别作为至少一个日志分类集合的中心网络报警日志；
步骤S1，计算各个未分类的网络报警日志与各个日志分类集合的中心网络报警日志的相似度；
步骤S2，将最大相似度对应的未分类的网络报警日志划分到所述最大相似度对应的中心网络报警日志所属的日志分类集合中；
步骤S3，将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志；
步骤S4，判断是否存在未分类的网络报警日志；若是，则跳转执行步骤S1；若否，确定分类结束。
5.根据权利要求4所述的方法，其中，所述将最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志进一步包括：
判断最大相似度与最小相似度之间差值是否超过预设阈值；
若是，则最小相似度对应的未分类的网络报警日志确定为一个新的日志分类集合的中心网络报警日志。
6.根据权利要求4所述的方法，其中，所述计算各个网络报警日志之间的相似度具体包括：
针对于每两个网络报警日志，分别计算该两个网络报警日志的报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度；
根据所述报警时间的相似度、报警事件的源端口的相似度以及报警事件的IP地址的相似度，得到该两个网络报警日志的相似度。
7.根据权利要求6所述的方法，其中，若该两个网络报警日志的报警时间之间的时间差超过预设阈值时，确定报警时间的相似度为零；
若该两个网络报警日志的报警事件的源端口不一致，则根据该两个网络报警日志对应的端口节点级别之间的差异确定报警事件的源端口的相似度。
计算该两个网络报警日志的报警事件的IP地址的相似度具体包括：
计算该两个网络报警日志的报警事件的源IP地址的相似度和目的IP地址的相似度，根据源IP地址的相似度和目的IP地址的相似度确定IP地址相似度。
8.一种网络安全报警装置，包括：
日志采集模块，适于从各个网络安全防护设备采集各个网络报警日志；
日志分类模块，适于计算各个网络报警日志之间的相似度，根据相似度对所述各个网络报警日志进行分类，得到各个日志分类集合；
攻击事件分析模块，适于针对于任一日志分类集合，对该日志分类集合所包含的网络报警日志进行聚类分析，得到攻击特征，确定与所述攻击特征匹配的攻击事件；
安全态势分析模块，适于根据各个日志分类集合对应的攻击事件的安全等级、各个日志分类集合的平均相似度以及网络报警日志的总数量，确定网络安全态势；
报警模块，适于若所述网络安全态势大于预定值，进行安全报警。
9.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-7中任一项所述的网络安全报警方法对应的操作。
10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-7中任一项所述的网络安全报警方法对应的操作。
CN201911338777.8A 2019-12-23 2019-12-23 网络安全报警方法及装置 Active CN113098828B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911338777.8A CN113098828B (zh) 2019-12-23 2019-12-23 网络安全报警方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911338777.8A CN113098828B (zh) 2019-12-23 2019-12-23 网络安全报警方法及装置

Publications (2)

Publication Number Publication Date
CN113098828A true CN113098828A (zh) 2021-07-09
CN113098828B CN113098828B (zh) 2023-07-18

Family

ID=76662931

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911338777.8A Active CN113098828B (zh) 2019-12-23 2019-12-23 网络安全报警方法及装置

Country Status (1)

Country Link
CN (1) CN113098828B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113961425A (zh) * 2021-08-04 2022-01-21 云智慧（北京）科技有限公司 一种告警消息的处理方法、装置及设备
CN114090850A (zh) * 2021-11-15 2022-02-25 马上消费金融股份有限公司 日志分类方法、电子设备及计算机可读存储介质
CN114205146A (zh) * 2021-12-10 2022-03-18 北京天融信网络安全技术有限公司 一种多源异构安全日志的处理方法及装置
CN115296876A (zh) * 2022-07-26 2022-11-04 北京科能腾达信息技术股份有限公司 一种自适应拟态技术的网络安全预警系统
CN115550072A (zh) * 2022-11-30 2022-12-30 浙江省能源集团有限公司 网络攻击监控预警方法及系统
CN117061250A (zh) * 2023-10-12 2023-11-14 中孚安全技术有限公司 基于数据中台的网络安全预警方法、系统、设备及介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104539626A (zh) * 2015-01-14 2015-04-22 中国人民解放军信息工程大学 一种基于多源报警日志的网络攻击场景生成方法
US20160226904A1 (en) * 2015-02-03 2016-08-04 Cisco Technology, Inc. Global clustering of incidents based on malware similarity and online trustfulness
CN108494810A (zh) * 2018-06-11 2018-09-04 中国人民解放军战略支援部队信息工程大学 面向攻击的网络安全态势预测方法、装置及系统
US20180324219A1 (en) * 2017-05-08 2018-11-08 Fortinet, Inc. Network security framework based scoring metric generation and sharing
CN110445807A (zh) * 2019-08-23 2019-11-12 瑞森网安(福建)信息科技有限公司 网络安全态势感知系统及方法
US20190379678A1 (en) * 2018-06-12 2019-12-12 Secureworks Corp. Systems and Methods for Threat Discovery Across Distinct Organizations

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104539626A (zh) * 2015-01-14 2015-04-22 中国人民解放军信息工程大学 一种基于多源报警日志的网络攻击场景生成方法
US20160226904A1 (en) * 2015-02-03 2016-08-04 Cisco Technology, Inc. Global clustering of incidents based on malware similarity and online trustfulness
US20180324219A1 (en) * 2017-05-08 2018-11-08 Fortinet, Inc. Network security framework based scoring metric generation and sharing
CN108494810A (zh) * 2018-06-11 2018-09-04 中国人民解放军战略支援部队信息工程大学 面向攻击的网络安全态势预测方法、装置及系统
US20190379678A1 (en) * 2018-06-12 2019-12-12 Secureworks Corp. Systems and Methods for Threat Discovery Across Distinct Organizations
CN110445807A (zh) * 2019-08-23 2019-11-12 瑞森网安(福建)信息科技有限公司 网络安全态势感知系统及方法

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113961425A (zh) * 2021-08-04 2022-01-21 云智慧（北京）科技有限公司 一种告警消息的处理方法、装置及设备
CN113961425B (zh) * 2021-08-04 2022-06-07 云智慧（北京）科技有限公司 一种告警消息的处理方法、装置及设备
CN114090850A (zh) * 2021-11-15 2022-02-25 马上消费金融股份有限公司 日志分类方法、电子设备及计算机可读存储介质
CN114205146A (zh) * 2021-12-10 2022-03-18 北京天融信网络安全技术有限公司 一种多源异构安全日志的处理方法及装置
CN114205146B (zh) * 2021-12-10 2024-01-26 北京天融信网络安全技术有限公司 一种多源异构安全日志的处理方法及装置
CN115296876A (zh) * 2022-07-26 2022-11-04 北京科能腾达信息技术股份有限公司 一种自适应拟态技术的网络安全预警系统
CN115550072A (zh) * 2022-11-30 2022-12-30 浙江省能源集团有限公司 网络攻击监控预警方法及系统
CN115550072B (zh) * 2022-11-30 2023-03-17 浙江省能源集团有限公司 网络攻击监控预警方法及系统
CN117061250A (zh) * 2023-10-12 2023-11-14 中孚安全技术有限公司 基于数据中台的网络安全预警方法、系统、设备及介质
CN117061250B (zh) * 2023-10-12 2023-12-15 中孚安全技术有限公司 基于数据中台的网络安全预警方法、系统、设备及介质

Also Published As

Publication number Publication date
CN113098828B (zh) 2023-07-18

Similar Documents

Publication Publication Date Title
CN113098828B (zh) 网络安全报警方法及装置
CN111355697B (zh) 僵尸网络域名家族的检测方法、装置、设备及存储介质
US20160294859A1 (en) Apparatus and method for detecting malicious domain cluster
CN111565171B (zh) 异常数据的检测方法、装置、电子设备及存储介质
CN114598504B (zh) 一种风险评估方法、装置、电子设备及可读存储介质
CN111222137A (zh) 一种程序分类模型训练方法、程序分类方法及装置
CN112131571B (zh) 威胁溯源方法及相关设备
EP3913888A1 (en) Detection method for malicious domain name in domain name system and detection device
CN115484112B (zh) 支付大数据安全防护方法、系统及云平台
CN113098827B (zh) 基于态势感知的网络安全预警方法及装置
CN113923009A (zh) 一种网络安全事件溯源分析方法、装置、介质及电子设备
CN114205146B (zh) 一种多源异构安全日志的处理方法及装置
CN114760113B (zh) 一种异常告警检测方法、装置及电子设备和存储介质
CN106446687B (zh) 恶意样本的检测方法及装置
CN113542200B (zh) 风险控制方法、装置和存储介质
CN117391214A (zh) 模型训练方法、装置及相关设备
CN114398633A (zh) 一种蜜罐攻击者的画像分析方法及装置
CN115118500A (zh) 攻击行为规则获取方法、装置及电子设备
US20230008765A1 (en) Estimation apparatus, estimation method and program
CN114285639A (zh) 一种网站安全防护方法及装置
CN113032774B (zh) 异常检测模型的训练方法、装置、设备及计算机存储介质
US20230199029A1 (en) Industrial Control System Security Analysis Method and Apparatus
CN113572781A (zh) 网络安全威胁信息归集方法
CN115600195A (zh) 一种web攻击检测方法、装置、设备及可读存储介质
CN113779564A (zh) 一种安全事件预测方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant