CN113949621B - 入侵事件的告警关联方法、装置、电子设备及存储介质 - Google Patents

入侵事件的告警关联方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN113949621B
CN113949621B CN202111575902.4A CN202111575902A CN113949621B CN 113949621 B CN113949621 B CN 113949621B CN 202111575902 A CN202111575902 A CN 202111575902A CN 113949621 B CN113949621 B CN 113949621B
Authority
CN
China
Prior art keywords
alarm
event
entity
existing
events
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111575902.4A
Other languages
English (en)
Other versions
CN113949621A (zh
Inventor
陈杰
黄雅芳
童兆丰
薛锋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing ThreatBook Technology Co Ltd
Original Assignee
Beijing ThreatBook Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing ThreatBook Technology Co Ltd filed Critical Beijing ThreatBook Technology Co Ltd
Priority to CN202111575902.4A priority Critical patent/CN113949621B/zh
Publication of CN113949621A publication Critical patent/CN113949621A/zh
Application granted granted Critical
Publication of CN113949621B publication Critical patent/CN113949621B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Alarm Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请实施例提供一种入侵事件的告警关联方法、装置、电子设备及存储介质，涉及网络安全技术领域。该方法包括获取入侵事件的告警信息；从所述告警信息中提取告警实体；基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件；根据所述关联事件以及生成规则生成事件信息，将告警进行关联，形成关联事件，展示黑客攻击路线，便于监管，解决了现有方法没有将入侵事件进行关联的问题。

Description

入侵事件的告警关联方法、装置、电子设备及存储介质
技术领域
本申请涉及网络安全技术领域，具体而言，涉及一种入侵事件的告警关联方法、装置、电子设备及存储介质。
背景技术
随着互联网技术的发展，各种组织、企业等内部往往有成千上万台电脑组成的集群来用于生产，这些企业的电脑频繁遭受来自互联网黑客的攻击，这些攻击产生的日志数量往往达到十万甚至百万以上，企业内部的安全管理员面对这些海量的攻击日志往往分析不出头绪。
现有的入侵事件检测系统包括基于签名和基于异常的入侵检测，现有的告警以主机为单位，没有形成关联，且所有告警均为同一级别，无法及时发现严重级别的告警信息。
发明内容
本申请实施例的目的在于提供一种入侵事件的告警关联方法、装置、电子设备及存储介质，将告警进行关联，形成关联事件，展示黑客攻击路线，便于监管，解决了现有方法没有将入侵事件进行关联的问题。
本申请实施例提供了一种入侵事件的告警关联方法，该方法包括：
获取入侵事件的告警信息；
从所述告警信息中提取告警实体；
基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件；
根据所述关联事件以及生成规则生成事件信息。
在上述实现过程中，从告警信息中提取告警实体，实现实体关联，使单个的无序的入侵事件形成了一组有序的数据，解决了传统的入侵事件无法展示黑客攻击路线的问题，且所有的告警不区分主机，解决了传统入侵检测技术以主机为单位，主机与主机间入侵事件无法关联的弊端。
进一步地，所述从所述告警信息中提取告警实体，包括：
从所述告警信息中提取告警实体的实体名、实体类型和实体值，所述实体类型包括外网IP、进程信息、黑客组织、告警类型、文件信息和病毒家族名。
在上述实现过程中，提取告警信息的告警实体，以便通过告警实体进行告警之间或告警与事件之间的关联。
进一步地，所述基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件，包括：
根据告警实体和实体类型，判断是否存在现有事件；
若不存在，则根据关联规则生成新事件；
若存在，则根据所述关联规则判断所述告警是否属于现有事件；
若所述告警不属于任意一个现有事件，则根据所述关联规则生成新事件；
若所述告警属于现有事件中的一个，则将所述告警添加至所述现有事件中；
若所述告警属于现有事件中的多个，则将多个现有事件按照合并规则合并成关联事件。
在上述实现过程中，根据告警实体和告警类型建立告警之间的关联，告警关联形成关联事件。
进一步地，所述根据关联规则进行关联，包括：
若所述实体类型为外网IP，且所述告警实体指向同一个外网IP，则将告警与对应的事件或告警进行关联；
若所述实体类型为进程ID或父进程ID，且第一告警的进程ID与第二告警的进程ID或父进程ID相同，则将第一告警和第二告警进行关联；
若所述实体类型为进程ID或父进程ID，且第一告警的父进程ID与第二告警的进程ID或父进程ID相同，则将第一告警和第二告警进行关联；
若所述实体类型是黑客组织，且为同一个黑客组织，则进行关联；
若所述实体类型是告警类型，且所述告警类型是后门或木马，则指向所述后门或木马的可疑文件下载或执行告警都将会被关联；
若所述告警实体的实体值相同，则进行关联。
在上述实现过程中，给出了关联规则，根据实体类型使得具有相同特性的告警进行关联，生成关联事件，便于了解黑客攻击路线。
进一步地，所述若所述告警属于现有事件中的多个，则将多个现有事件按照合并规则合并成关联事件，包括：
若所述现有事件在同一个主机下，且告警类型有且仅有webshell告警，则将所述现有事件合并成一个；
若所述现有事件在同一个主机下，且告警类型为木马或者后门，则将所述现有事件合成一个；
若所述现有事件在同一个主机下，则合并成一个。
在上述实现过程中，对于现有事件的关联可以以主机为单位，进行合并。
进一步地，所述事件信息包括事件名称、威胁分类、严重级别和置信度，所述根据所述关联事件以及生成规则生成事件信息，包括：
根据所述关联事件的告警类型数量和主机数量，生成事件名称；
根据所述关联事件的告警类型判断威胁分类，所述关联事件的威胁分类包括入侵执行、巩固阵地、提权横移、躲避检测、建立外连、破坏窃取中的一个或多个；
根据所述关联事件中的告警，获取告警与严重级别、威胁等级、置信度的映射关系。
在上述实现过程中，根据事件信息生成关联事件与事件信息之间的映射关系。
进一步地，所述严重级别包括信息、低、中、高、严重，所述方法还包括：根据严重级别生成规则获取关联事件的严重级别：
若告警类型具有高置信度，则所述关联事件的严重级别为高以上；
若所述告警类型包括特定组合事件，则所述关联事件的严重级别根据所述特定组合事件进行打分；
若所述告警类型满足特定时间序列，所述关联事件的严重级别按照所述特定时间序列进行打分；
若所述关联事件按照告警类型和告警严重级别打分，则公式为：
Figure F_211209173727720_720955001
；
其中，tlevel表示告警严重级别，ttype表示告警类型，r为打分的结果；max()表示取最大值，exp()代表以e为底的指数函数；
基于告警类型，利用预设的机器学习模型判断关联事件的严重级别。
在上述实现过程中，根据告警的严重级别和类型，确定关联事件的严重级别，可实时将事件的严重级别，及时反馈给企业安全管理员，解决了传统入侵事件检测系统反应慢的问题。
本申请实施例还提供一种入侵事件的告警关联装置，所述装置包括：
告警信息获取模块，用于获取入侵事件的告警信息；
提取模块，用于从所述告警信息中提取告警实体；
关联模块，用于基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件；
事件信息生成模块，用于根据所述关联事件以及生成规则生成事件信息。
在上述实现过程中，从告警信息中提取告警实体，实现实体关联，使单个的无序的入侵事件形成了一组有序的数据，解决了传统的入侵事件无法展示黑客攻击路线的问题，且所有的告警不区分主机，解决了传统入侵检测技术以主机为单位，主机与主机间入侵事件无法关联的弊端。
本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行上述中任一项所述的入侵事件的告警关联方法。
本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述中任一项所述的入侵事件的告警关联方法。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。
图1为本申请实施例提供的一种入侵事件的告警关联方法的流程图；
图2为本申请实施例提供的告警关联流程图；
图3为本申请实施例提供的告警实体的示意图；
图4为本申请实施例提供的关联流程图；
图5为本申请实施例提供的获得的一个待处理的告警和告警实体示意图；
图6为本申请实施例提供的另一个告警和告警实体示意图；
图7为本申请实施例提供的告警之间按照关联规则进行关联示意图；
图8为本申请实施例提供的合并关联成功的告警；
图9为本申请实施例提供的继续与其他告警进行关联的示意图；
图10为本申请实施例提供的生成新事件示意图；
图11为本申请实施例提供的事件信息生成流程图；
图12为本申请实施例提供的一种入侵事件的告警关联装置的结构框图。
图标：
100-告警信息获取模块；200-提取模块；300-关联模块；400-事件信息生成模块。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。
请参看图1，图1为本申请实施例提供的一种入侵事件的告警关联方法的流程图。该方法通过提取告警的实体特征，对所有的告警进行关联，形成多个操作链，对这些操作链进行分析，通过实体特征对疑似攻击的操作链进行打分，根据打分，形成一个个具体的攻击事件。该方法具体包括以下步骤：
步骤S100：获取入侵事件的告警信息；
可基于现有的入侵检测技术，即基于签名的入侵检测和基于异常的入侵检测，获取入侵事件的告警信息。
步骤S200：从所述告警信息中提取告警实体；
具体地，如图2所示，为告警关联流程图，从所述告警信息中提取告警实体的实体名、实体类型和实体值，所述实体类型包括外网IP、进程信息如进程ID、父进程ID等、黑客组织、告警类型、文件信息和病毒家族名。后续可以根据获得的其他告警信息对告警实体进行扩充和丰富。
告警实体可表示为Entity（name，type，value），name为实体的名，type为实体的类型，value为实体值，如图3所示，为告警实体的示意图。
步骤S300：基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件；
以告警实体为点，以实体类型为关系，可根据以下关联规则将告警与现有事件或告警进行关联。如图4所示，为关联流程图，在告警与现有事件进行关联时，具体包括：
步骤S301：根据告警实体和实体类型，判断是否存在现有事件；
步骤S302：若不存在，则根据关联规则进行关联，以生成新事件；
示例地，对于生成新事件，如图5所示，为获得的一个待处理的告警和告警实体示意图，对于所有的告警和实体集合，取出其中一个告警和告警实体；图6为另一个告警和告警实体示意图，图7为告警之间按照关联规则进行关联示意图，将告警和告警实体之间按照指定的规则进行关联；图8为合并关联成功的告警，如果满足任意一个关联规则，则关联成功，可合并关联成功的告警和告警实体；图9为继续与其他告警进行关联的示意图，继续取出告警和告警实体，重复上述步骤，直到所有的告警和告警实体都比较过；图10为生成新事件示意图，将没有任何关联关系的最大子集构建出新事件，且新事件与新事件之间没有交集。
步骤S303：若存在，则根据所述关联规则判断所述告警是否属于现有事件；
步骤S304：若所述告警不属于任意一个现有事件，则根据所述关联规则生成新事件；
步骤S305：若所述告警属于现有事件中的一个，则将所述告警添加至所述现有事件中；
步骤S306：若所述告警属于现有事件中的多个，则将多个现有事件按照合并规则合并成关联事件。
其中，现有事件是指将相关联的告警集合在一起构成的关联告警的集合，关联对象可以是将告警与对应的事件进行关联或者将两个告警进行关联生成事件，具体的关联规则如下：
根据实体类型判断当前告警是否能够与现有事件进行关联，或者现有事件能否合并。
具体的关联规则包括但不限于：
若所述实体类型为外网IP，且所述告警实体指向同一个外网IP，则将告警与对应的事件或告警进行关联，即将告警合并到对应的事件中，或者告警与告警关联生成事件；
若所述实体类型为进程ID或父进程ID，且第一告警的进程ID与第二告警的进程ID或父进程ID相同，则将第一告警和第二告警进行关联；
将第一告警的进程ID或父进程ID与第二警的进程ID或父进程ID进行比较，只要有任意一个ID相同，则将第一告警和第二告警进行关联。例如，告警a的进程ID的值为a1，父进程ID的值为a2，告警b的进程ID的值为b1，父进程ID的值为b2，若告警a的实体类型为进程ID、值为a1，告警b的实体类型的进程ID的值为b1、父进程ID的值为b2，那么比较过程为：
a1与b1进行比较，再将a1与b2进行比较，如果a1等于b1，或者a1等于b2，那么将告警a和告警b进行关联。
若所述实体类型是黑客组织，且为同一个黑客组织，则进行关联；
若所述实体类型是告警类型，且所述告警类型是后门或木马，则指向所述后门或木马的可疑文件下载或执行告警都将会被关联；
若所述告警实体的值相同，则进行关联。
每个告警包括多个实体（实质为关键字段），实体的值即为关键字段的值，例如，木马后门告警有个实体为MD5，则实体值为这个文件的MD5的值。
此外，还可以使用机器学习算法进行关联规则的识别和设置。
步骤S306中的合并规则，包括但不限于：
若所述现有事件在同一个主机下，且告警类型有且仅有webshell告警，则将所述现有事件合并成一个；
若所述现有事件在同一个主机下，且告警类型为木马或者后门，则将所述现有事件合成一个；
若所述现有事件在同一个主机下，则合并成一个。
也就是说，在同一个主机下的现有事件才有可能满足合并条件。
步骤S400：根据所述关联事件以及生成规则生成事件信息。
将新生成的、修改后的或者合并生成的关联事件按照指定的生成规则生成事件信息。其中，事件信息包括事件名称、威胁分类、严重级别和置信度。例如，可将关联事件表示为Incident（name,level,severity,confidence，……），其中，name为事件名称，level为威胁分类，severity为严重级别，confidence为置信度。如图11所示，为事件信息生成流程图，具体包括以下步骤：
步骤S401：根据所述关联事件的告警类型数量和主机数量，生成事件名称；
例如，2台主机存在后门木马告警，可据此生成事件名称。
步骤S402：根据所述关联事件的告警类型判断威胁分类，所述关联事件的威胁分类包括入侵执行、巩固阵地、提权横移、躲避检测、建立外连、破坏窃取中的一个或多个；
一个关联事件可以有多个威胁分类，根据事件中的告警类型来判断威胁分类，比如告警类型为木马或后门，则事件的威胁分类包含巩固阵地。
步骤S403：根据所述关联事件中的告警，获取告警与严重级别、威胁等级、置信度的映射关系。
将事件的告警根据指定规则设置事件的置信度，例如，可根据告警的威胁等级，提取最大的置信度作为事件的置信度。
告警类型的严重级别包括信息、低、中、高、严重，分别对应的分值为0、1、2、3、4。根据告警类型的严重级别得到关联事件的严重级别的具体的严重级别生成规则如下：
若告警类型具有高置信度，则所述关联事件的严重级别为高以上；
此处的高置信度定义为检测引擎检测到告警类型为准确率高、误报率低的告警类型，例如webshell，木马后门这种类型告警，误报率比较低，所以属于高置信度的告警类型。
若所述告警类型包括特定组合事件，则所述关联事件的严重级别根据所述特定组合事件进行打分；
例如，有一个告警类型组合为：['异常资源使用','后门类木马']，该组合的分数为3分，如果有一个事件，其告警类型包含异常资源使用和后门类木马，那么该事件打3分，即事件严重级别为3。
若所述告警类型满足特定时间序列，所述关联事件的严重级别按照所述特定时间序列进行打分，特定事件序列为按照时间顺序执行一组动作，该组动作具体对应一个严重级别，此时，关联事件的严重级别与该特定事件序列的严重级别一致；
若所述关联事件按照告警类型和告警严重级别打分，则公式为：
Figure F_211209173727846_846472002
；
其中，tlevel表示告警严重级别，ttype表示告警类型，r为打分的结果；max()表示取最大值，exp()代表以e为底的指数函数。
利用分值大小来表征事件的严重级别，事件的严重级别由告警类型和告警严重级别利用上述公式计算得到。
基于告警类型，利用预设的机器学习模型判断关联事件的严重级别，例如基于N-grams、KNN、GBDT等算法对关联事件的几个特征如告警个数、告警类型等进行模型训练，模型输出结果为LOSS值（取值为0或1），模型输出事件严重级别和LOSS值相关，当LOSS值为0时事件严重级别不做任何改变，当LOSS值为1时，事件严重级别定义为高，替换上一步获得的事件严重级别。
在后续生成的告警，将继续重复上述步骤，从而对关联事件进行扩充和丰富。
本申请所述的方法从所有告警中提取告警实体，通过告警实体进行关联，使单个的无序入侵事件通过告警实体变成了一组有序数据，解决了传统的入侵事件无法展示黑客攻击路线的问题，且所有的告警不区分主机，解决了传统入侵检测技术以主机为单位，主机与主机间入侵事件无法关联的弊端。
为每个入侵事件设置了严重级别和置信度，解决了企业安全管理员在面对海量的入侵事件时，不知道优先处理哪个的问题。
此外，还会不断的获取入侵事件的相关告警，并实时的加入到现有事件中，并依据事件的严重级别，及时反馈给企业安全管理员，解决了传统入侵事件检测系统反应慢的问题。
总之，通过从入侵事件的相关告警中，提取告警实体，利用告警实体并按照一些关联规则将告警进行关联，使离散的入侵事件关联起来，解决了传统入侵事件无法关联的问题。
本申请实施例还提供一种入侵事件的告警关联装置，如图12所示，为一种入侵事件的告警关联装置的结构框图，所述装置包括：
告警信息获取模块100，用于获取入侵事件的告警信息；
提取模块200，用于从所述告警信息中提取告警实体；
关联模块300，用于基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件；
事件信息生成模块400，用于根据所述关联事件以及生成规则生成事件信息。
对于具体的实施过程已在上述方法实施例中具体描述，在此不再赘述。
该装置将告警进行关联，形成关联事件，展示黑客攻击路线，便于监管，解决了现有方法没有将入侵事件进行关联的问题。
本申请实施例还提供一种电子设备，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行上述中任一项所述的入侵事件的告警关联方法。
本申请实施例还提供一种可读存储介质，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述中任一项所述的入侵事件的告警关联方法。
在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。
所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (7)

1.一种入侵事件的告警关联方法，其特征在于，所述方法包括：
获取入侵事件的告警信息；
从所述告警信息中提取告警实体：
从所述告警信息中提取告警实体的实体名、实体类型和实体值，所述实体类型包括外网IP、进程信息、黑客组织、告警类型、文件信息和病毒家族名；
基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件：
根据告警实体和实体类型，判断是否存在现有事件；
若不存在，则根据关联规则进行关联，以生成新事件；
若存在，则根据所述关联规则判断所述告警是否属于现有事件；
若所述告警不属于任意一个现有事件，则根据所述关联规则生成新事件；
若所述告警属于现有事件中的一个，则将所述告警添加至所述现有事件中；
若所述告警属于现有事件中的多个，则将多个现有事件按照合并规则合并成关联事件；
所述若所述告警属于现有事件中的多个，则将多个现有事件按照合并规则合并成关联事件，包括：
若所述现有事件在同一个主机下，且告警类型有且仅有webshell告警，则将所述现有事件合并成一个；
若所述现有事件在同一个主机下，且告警类型为木马或者后门，则将所述现有事件合成一个；
若所述现有事件在同一个主机下，则合并成一个；
根据所述关联事件以及生成规则生成事件信息。
2.根据权利要求1所述的入侵事件的告警关联方法，其特征在于，所述根据关联规则进行关联，包括：
若所述实体类型为外网IP，且所述告警实体指向同一个外网IP，则将告警与对应的事件或告警进行关联；
若所述实体类型为进程ID或父进程ID，且第一告警的进程ID与第二告警的进程ID或父进程ID相同，则将第一告警和第二告警进行关联；
若所述实体类型为进程ID或父进程ID，且第一告警的父进程ID与第二告警的进程ID或父进程ID相同，则将第一告警和第二告警进行关联；
若所述实体类型是黑客组织，且为同一个黑客组织，则进行关联；
若所述实体类型是告警类型，且所述告警类型是后门或木马，则指向所述后门或木马的可疑文件下载或执行告警都将会被关联；
若所述告警实体的实体值相同，则进行关联。
3.根据权利要求1所述的入侵事件的告警关联方法，其特征在于，所述事件信息包括事件名称、威胁分类、严重级别和置信度，所述根据所述关联事件以及生成规则生成事件信息，包括：
根据所述关联事件的告警类型数量和主机数量，生成事件名称；
根据所述关联事件的告警类型判断威胁分类，所述关联事件的威胁分类包括入侵执行、巩固阵地、提权横移、躲避检测、建立外连、破坏窃取中的一个或多个；
根据所述关联事件中的告警，获取告警与严重级别、威胁等级、置信度的映射关系。
4.根据权利要求1所述的入侵事件的告警关联方法，其特征在于，所述告警类型的严重级别包括信息、低、中、高、严重，所述方法还包括：根据严重级别生成规则获取关联事件的严重级别：
若告警类型具有高置信度，则所述关联事件的严重级别为高以上；
若所述告警类型包括特定组合事件，则所述关联事件的严重级别根据所述特定组合事件进行打分；
若所述告警类型满足特定时间序列，所述关联事件的严重级别按照所述特定时间序列进行打分；
若所述关联事件按照告警类型和告警严重级别打分，则公式为：
Figure F_220224184633204_204195001
；
其中，tlevel表示告警严重级别，ttype表示告警类型，r为打分的结果；max()表示取最大值，exp()代表以e为底的指数函数；
基于告警类型，利用预设的机器学习模型判断关联事件的严重级别。
5.一种入侵事件的告警关联装置，其特征在于，所述装置包括：
告警信息获取模块，用于获取入侵事件的告警信息；
提取模块，用于从所述告警信息中提取告警实体：
从所述告警信息中提取告警实体的实体名、实体类型和实体值，所述实体类型包括外网IP、进程信息、黑客组织、告警类型、文件信息和病毒家族名；
关联模块，用于基于所述告警实体，根据关联规则将告警与告警或者将告警与现有事件进行关联，以获得关联事件：
根据告警实体和实体类型，判断是否存在现有事件；
若不存在，则根据关联规则进行关联，以生成新事件；
若存在，则根据所述关联规则判断所述告警是否属于现有事件；
若所述告警不属于任意一个现有事件，则根据所述关联规则生成新事件；
若所述告警属于现有事件中的一个，则将所述告警添加至所述现有事件中；
若所述告警属于现有事件中的多个，则将多个现有事件按照合并规则合并成关联事件：
若所述现有事件在同一个主机下，且告警类型有且仅有webshell告警，则将所述现有事件合并成一个；
若所述现有事件在同一个主机下，且告警类型为木马或者后门，则将所述现有事件合成一个；
若所述现有事件在同一个主机下，则合并成一个；
事件信息生成模块，用于根据所述关联事件以及生成规则生成事件信息。
6.一种电子设备，其特征在于，所述电子设备包括存储器以及处理器，所述存储器用于存储计算机程序，所述处理器运行所述计算机程序以使所述电子设备执行根据权利要求1至4中任一项所述的入侵事件的告警关联方法。
7.一种可读存储介质，其特征在于，所述可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行权利要求1至4任一项所述的入侵事件的告警关联方法。
CN202111575902.4A 2021-12-22 2021-12-22 入侵事件的告警关联方法、装置、电子设备及存储介质 Active CN113949621B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111575902.4A CN113949621B (zh) 2021-12-22 2021-12-22 入侵事件的告警关联方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111575902.4A CN113949621B (zh) 2021-12-22 2021-12-22 入侵事件的告警关联方法、装置、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN113949621A CN113949621A (zh) 2022-01-18
CN113949621B true CN113949621B (zh) 2022-03-29

Family

ID=79339209

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111575902.4A Active CN113949621B (zh) 2021-12-22 2021-12-22 入侵事件的告警关联方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN113949621B (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101272286A (zh) * 2008-05-15 2008-09-24 上海交通大学 网络入侵事件关联检测方法
CN104021195A (zh) * 2014-06-13 2014-09-03 中国民航信息网络股份有限公司 基于知识库的告警关联分析方法
CN107547262A (zh) * 2017-07-25 2018-01-05 新华三技术有限公司 告警级别的生成方法、装置和网管设备
CN108923993A (zh) * 2018-09-06 2018-11-30 北京天元创新科技有限公司 网络告警关联方法及装置
WO2020194449A1 (ja) * 2019-03-25 2020-10-01 日本電気株式会社 警告装置、制御方法、及びプログラム
CN112887310A (zh) * 2021-01-27 2021-06-01 华南理工大学 一种提升网络攻击风险评估效率的方法、设备及介质

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101272286A (zh) * 2008-05-15 2008-09-24 上海交通大学 网络入侵事件关联检测方法
CN104021195A (zh) * 2014-06-13 2014-09-03 中国民航信息网络股份有限公司 基于知识库的告警关联分析方法
CN107547262A (zh) * 2017-07-25 2018-01-05 新华三技术有限公司 告警级别的生成方法、装置和网管设备
CN108923993A (zh) * 2018-09-06 2018-11-30 北京天元创新科技有限公司 网络告警关联方法及装置
WO2020194449A1 (ja) * 2019-03-25 2020-10-01 日本電気株式会社 警告装置、制御方法、及びプログラム
CN112887310A (zh) * 2021-01-27 2021-06-01 华南理工大学 一种提升网络攻击风险评估效率的方法、设备及介质

Also Published As

Publication number Publication date
CN113949621A (zh) 2022-01-18

Similar Documents

Publication Publication Date Title
US9237161B2 (en) Malware detection and identification
US11030311B1 (en) Detecting and protecting against computing breaches based on lateral movement of a computer file within an enterprise
US20190286819A1 (en) Advanced Malware Classification
Soska et al. Automatically detecting vulnerable websites before they turn malicious
AU2010202627B2 (en) Automated forensic document signatures
CN111953697B (zh) 一种apt攻击识别及防御方法
Xiao et al. From patching delays to infection symptoms: Using risk profiles for an early discovery of vulnerabilities exploited in the wild
CN112333195B (zh) 基于多源日志关联分析的apt攻击场景还原检测方法及系统
CN113422763B (zh) 基于攻击场景构建的报警关联分析方法
EP3531328B1 (en) Cardinality based activity pattern detection
EP3531324B1 (en) Identification process for suspicious activity patterns based on ancestry relationship
Yang et al. Poirot: Causal correlation aided semantic analysis for advanced persistent threat detection
Nalavade et al. Mining association rules to evade network intrusion in network audit data
CN116566674A (zh) 自动化渗透测试方法、系统、电子设备及存储介质
Kuppa et al. Finding rats in cats: Detecting stealthy attacks using group anomaly detection
Ariu et al. Machine learning in computer forensics (and the lessons learned from machine learning in computer security)
CN107196942B (zh) 一种基于用户语言特征的内部威胁检测方法
KR102366637B1 (ko) 전자 장치의 사이버 위협 탐지 방법
EP3705974B1 (en) Classification device, classification method, and classification program
CN113343228B (zh) 事件可信度分析方法、装置、电子设备及可读存储介质
Tsai Network intrusion detection using association rules
Davies et al. Majority voting ransomware detection system
Wen et al. Detecting and predicting APT based on the study of cyber kill chain with hierarchical knowledge reasoning
CN113949621B (zh) 入侵事件的告警关联方法、装置、电子设备及存储介质
CN112287340A (zh) 用于终端攻击的取证溯源方法、装置、计算机设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant