CN114020735A

CN114020735A - 安全告警日志降噪方法、装置、设备及存储介质

Info

Publication number: CN114020735A
Application number: CN202111326962.2A
Authority: CN
Inventors: 黄冬梅; 刘东鑫; 秦悦; 史国水; 汪来富
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2021-11-10
Filing date: 2021-11-10
Publication date: 2022-02-08

Abstract

本发明提供了安全告警日志降噪方法、装置、设备及存储介质，该方法包括：按第一时间窗口，对原始告警日志进行分组，获得第一告警集合；按地址信息以及事件类型，对第一告警集合进行分组，获得第二告警集合；基于第二告警集合的第一时间窗口内告警日志总数以及事件速率，筛选第二告警集合；对经筛选的第二告警集合：按第二时间段，切分第一时间窗口，形成窗口时间标签序列；按每一事件，生成事件时间标签序列；按原子安全事件，合并事件时间标签序列，形成时间序列集合；根据时间序列集合形成经降噪的告警日志。本发明以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤低风险告警，保留高价值信息。

Description

安全告警日志降噪方法、装置、设备及存储介质

技术领域

本发明涉及网络与信息安全领域，具体地说，涉及安全告警日志降噪方法、装置、设备及存储介质。

背景技术

当前，业界对安全告警日志的降噪主要包括两大类方法：基于叠加规则的日志过滤、基于统计聚合的日志合并。现有的降噪处理技术有一定效果，但是离一线安全运维人员的需求还有距离。具体存在以下缺点：

1)基于叠加规则的日志过滤方法。针对已有的安全告警日志，只筛选特定安全事件类型的日志。该方法不符合安全攻击行为特征，容易丢失对整体安全评估的关键信息。例如，如果只关注“远程命令执行”类告警，将会忽略如“Web敏感路径扫描”、“SQL注入”等大量告警日志，导致安全运维人员无法判别攻击者的原始入侵时间、方法路径。

基于统计聚合的日志合并。对于有相同攻击类型的告警日志上下文进行合并。该方法只能对同类型事件进行统计合并，没有对大量“工具尝试类”的相关事件做关联和降噪。安全运维人员后续依旧要凭借经验分析，过滤大量的低风险告警。例如，“SQLi(SQL注入)”和“CC(Challenge Collapsar，使用代理服务器向受害服务器发送大量貌似合法的请求)攻击”经常一起出现，前者充斥大量盲注尝试、后者充斥大量复杂的、异常的Web/SQL请求。

由此，如何对安全告警日志进行降噪，过滤大量低风险告警，保留高价值信息，是本领域技术人员亟待解决的技术问题。

需要说明的是，上述背景技术部分公开的信息仅用于加强对本发明的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

针对现有技术中的问题，本发明的目的在于提供安全告警日志降噪方法、装置、设备及存储介质，克服了现有技术的困难，对安全告警日志进行降噪，过滤大量低风险告警，保留高价值信息。

本发明的实施例提供一种安全告警日志降噪方法，包括：

按第一时间窗口，对原始告警日志进行分组，获得第一告警集合；

按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合；

基于所述第二告警集合的所述第一时间窗口内告警日志总数以及事件速率，筛选所述第二告警集合；

对经筛选的第二告警集合：

按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列；

按每一事件，生成事件时间标签序列；

按原子安全事件，合并所述事件时间标签序列，形成时间序列集合；

根据所述时间序列集合形成经降噪的告警日志。

在本申请的一些实施例中，所述第二告警集合以告警日志的源地址、目的地址、事件类型、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第二告警集合中原始告警日志的数量为标签生成第一告警日志。

在本申请的一些实施例中，所述基于所述第二告警集合的所述第一时间窗口内事件总数以及事件速率，筛选所述第二告警集合包括：

保留所述第一时间窗口内事件总数大于第一设定阈值，且所述第一时间窗口内的事件速率大于第二设定阈值的第二告警集合。

在本申请的一些实施例中，所述第二告警集合在所述第一时间窗口内的事件速率为所述第二告警集合在所述第一时间窗口内事件总数/(该第一时间窗口内最晚的时间标签-该第一时间窗口内最早的时间标签)。

在本申请的一些实施例中，所述根据所述时间序列集合形成经降噪的告警日志包括：

当所形成的事件序列集合为一个时，以告警日志的源地址、目的地址、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第一告警集合中原始告警日志的数量为标签生成经降噪的告警日志；

将经降噪的告警日志的事件类型设置为综合工具攻击尝试。

根据相邻的所述时间序列集合的平均事件速率判断相邻的所述时间序列集合是否相关；

若否，则将该相邻的时间序列集合标记为两个独立的安全事件。

在本申请的一些实施例中，所述时间序列集合的平均事件速率为所述时间序列集合中各事件时间标签序列的事件速率的平均值。

根据本申请的另一方面，还提供一种安全告警日志降噪装置，包括：

第一分组模块，配置成按第一时间窗口，对原始告警日志进行分组，获得第一告警集合；

第二分组模块，配置成按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合；

筛选模块，配置成基于所述第二告警集合的所述第一时间窗口内告警日志总数以及事件速率，筛选所述第二告警集合；

切分模块，配置成对经筛选的第二告警集合，按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列；

第一生成模块，配置成对经筛选的第二告警集合，按每一事件，生成事件时间标签序列；

合并模块，配置成按原子安全事件，合并所述事件时间标签序列，形成时间序列集合；

告警日志生成模块，配置成根据所述时间序列集合形成经降噪的告警日志。

根据本发明的又一方面，还提供一种安全告警日志降噪处理设备，包括：

处理器；

存储器，其中存储有所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行如上所述安全告警日志降噪方法的步骤。

本发明的实施例还提供一种计算机可读存储介质，用于存储程序，所述程序被执行时实现上述安全告警日志降噪方法的步骤。

相比现有技术，本发明的目的在于：

本申请以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤大量低风险告警，保留高价值信息。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显。

图1是本发明的安全告警日志降噪方法的一种实施例的流程图。

图2是本发明的安全告警日志降噪方法的另一种实施例的流程图。

图3是本发明的安全告警日志降噪方法的又一种实施例的流程图。

图4是本发明的安全告警日志降噪装置的一种实施例的模块图。

图5是本发明的安全告警日志降噪装置的另一种实施例的模块图。

图6是本发明的安全告警日志降噪设备的结构示意图。

图7是本发明一实施例的计算机可读存储介质的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的实施方式。相反，提供这些实施方式使得本发明将全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的结构，因而将省略对它们的重复描述。

参见图1，图1是本发明的安全告警日志降噪方法的一种实施例的流程图。本发明的实施例提供一种安全告警日志降噪方法，包括以下步骤：

步骤S110：按第一时间窗口，对原始告警日志进行分组，获得第一告警集合。

具体而言，第一时间窗口可以按需设置，例如可以设置为5分钟、10分钟、15分钟等，本申请并非以此为限制。具体而言，原始告警日志可以包括多条告警信息，每条告警信息可以包括目的地址、源地址、事件类型、发生时间等。由此，步骤S110可以根据每条告警信息的发生时间，按第一时间窗口，进行分组。例如，可以将13：00-13：15的告警信息划分为一组；将13：15-13：30的告警信息划分为一组；将将13：30-13：40的告警信息划分为一组，依次类推。

步骤S120：按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合。

具体而言，地址信息可以包括源地址以及目的地址。由此，所述第二告警集合可以以告警日志的源地址、目的地址、事件类型、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第二告警集合中原始告警日志的数量为标签生成第一告警日志。例如，在13：00-13：15的第一时间窗口内，事件类型A，源地址128.XXX.XXX.XXX，目的地址127.XXX.XXX.XXX的多个告警信息，在该第一时间窗口内最早的时间标签(最早一条告警消息的时间)为13:02、该第一时间窗口内最晚的时间标签(最晚一条告警消息的时间)为13:12，则该13：00-13：15的第一时间窗口内的第一告警日志以事件类型A，源地址128.XXX.XXX.XXX，目的地址127.XXX.XXX.XXX，该第一时间窗口内最早的时间标签13:02，该第一时间窗口内最晚的时间标签13:12为标签生成第一告警日志。第一告警日志为中间告警日志，可以用于其它的分析处理，也可以在降噪为最终的告警日志后删除，本申请并非以此为限制。

步骤S130：基于所述第二告警集合的所述第一时间窗口内告警日志总数以及事件速率，筛选所述第二告警集合。

步骤S140：对经筛选的第二告警集合，按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列。

具体而言，第二时间段可以按需设置，例如可以设置为5秒、10秒、15秒等。对于15分钟的第一时间窗口，当第二时间段为5秒时，其可以生成15*60/5＝300个时间标签形成的窗口时间标签序列{0,1,2,…,299}。

步骤S150：对经筛选的第二告警集合，按每一事件，生成事件时间标签序列。

例如，同一第二告警集合中，对于事件类型为SQL注入，该事件其在第一时间窗口的该最早的时间标签至最晚的时间标签为00:01:00～00:02:00，则其事件时间标签序列为{12,13,14,…,23}

步骤S160：对经筛选的第二告警集合，按原子安全事件，合并所述事件时间标签序列，形成时间序列集合。

例如，对于事件时间标签序列SQL注入{0,1,2,…,299}；XSS(跨站脚本攻击){0,1,2,…,100}；RCE(远程代码执行){31,32,…,50}；CVE(Common Vulnerabilities&Exposures，通用漏洞披露)攻击{401,402,…,502}；文件上传攻击：{450,451,…,600}，可以根据步骤S160合并为时间序列集合A(SQL注入，XSS，RCE){0,1,2,…,299}，以及时间序列集合B(CVE攻击，文件上传攻击){401,402,…,600}。换言之，步骤S160相当于将连续的多个事件时间标签序列合并在一起。

步骤S170：对经筛选的第二告警集合，根据所述时间序列集合形成经降噪的告警日志。

本发明以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤大量低风险告警，保留高价值信息。

下面参见图2，图2是本发明的安全告警日志降噪方法的另一种实施例的流程图。

步骤S210：按第一时间窗口，对原始告警日志进行分组，获得第一告警集合。

步骤S220：按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合。

步骤S230：保留所述第一时间窗口内事件总数大于第一设定阈值，且所述第一时间窗口内的事件速率大于第二设定阈值的第二告警集合。

具体而言，所述第二告警集合在所述第一时间窗口内的事件速率为所述第二告警集合在所述第一时间窗口内事件总数/(该第一时间窗口内最晚的时间标签-该第一时间窗口内最早的时间标签)。

具体而言，所述第二告警集合在所述第一时间窗口内事件总数、该第一时间窗口内最晚的时间标签、该第一时间窗口内最早的时间标签可以根据前述的第一告警日志中的设置的标签来获取，由此，便于事件速率的计算。

步骤S240：对经筛选的第二告警集合，按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列。

步骤S250：对经筛选的第二告警集合，按每一事件，生成事件时间标签序列。

步骤S260：对经筛选的第二告警集合，按原子安全事件，合并所述事件时间标签序列，形成时间序列集合。

步骤S271：当所形成的事件序列集合为一个时，以告警日志的源地址、目的地址、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第一告警集合中原始告警日志的数量为标签生成经降噪的告警日志。

步骤S272：将经降噪的告警日志的事件类型设置为综合工具攻击尝试。

步骤S273：根据相邻的所述时间序列集合的平均事件速率判断相邻的所述时间序列集合是否相关。

具体而言，所述时间序列集合的平均事件速率为所述时间序列集合中各事件时间标签序列的事件速率(可以根据上述步骤S230计算获得)的平均值。

具体而言，相邻的所述时间序列集合的平均事件速率v1和v2符合|v1-v2|<＝v1*50％，则认为两个相邻时间序列集合的安全事件为连续的。

若步骤S273判断为否，则执行步骤S274：将该相邻(非连续)的时间序列集合标记为两个独立的安全事件。若是，则可以进一步合并该两个相邻的事件时间标签序列集合。

下面参见图3，图3是本发明的安全告警日志降噪方法的又一种实施例的流程图。图3中将原始安全告警日志300输入至步骤S310至步骤S340中。

步骤S310：基于上下文频繁项的安全告警日志降噪。

具体而言，其首先按照第一时间窗口，例如5/10/15分钟等，对原始告警日志分组。然后，以“源IP+目标IP+事件类型”，对原始告警日志再次分组。最后，对于同一个“源IP+目标IP+事件类型”内的原始安全告警日志集合，以时间排序找到，该时间窗口内最早的时间标签、最晚的时间标签，并统计该时间段内所有原始安全告警日志的总数。以“源IP+目标IP+事件类型”+“该时间窗口内最早的时间标签”+“该时间窗口内最晚的时间标签”+“原始安全告警日志的总数”，生成新的日志记录；

步骤S320：基于事件总数和速率的告警日志筛选。

具体而言，对于新生成的日志记录，以“该时间窗口内最晚的时间标签”为事件时间的上界，“该时间窗口内最早的时间标签”为事件时间的下界，按照如下公式计算事件发生速率：

原始安全告警日志的总数/(事件时间的上界-事件时间的下界)

然后，配置阈值。时间窗口内的事件总数阈值可以配置为A1，速率阈值可以配置为V1。阈值可以按需配置。

对于每条新的日志记录，只有当“原始安全告警日志的总数”大于或等于A1，且速率大于或等于V1时，才会进入步骤S330，否则流程结束。

步骤S330：基于行为特征的告警日志合并。

具体而言，首先执行基于时间标签序列的安全事件时间边界判断。其通过如下步骤执行：

对步骤S320的输出结果，按同一个“源IP+目标IP”分组；

将单位时间窗口按照每5s切分时间窗口，形成时间标签序列；

每个原子事件类型都可通过其时间上界和时间下界，生成其自己的时间标签序列；

所有的时间标签序列取并集，得到新的时间标签序列集合。这个时间标签序列集合可能只有1个集合，也可能有多个集合。

然后，执行基于行为速率的告警日志合并。

具体而言，对于只有1个集合的情况，则将“源IP+目标IP”所有的安全事件类型字段合并为1条。对于同一个“源IP+目标IP”的记录，以“源IP+目标IP”+“该时间窗口内所有事件最早的时间标签”+“该时间窗口内所有事件最晚的时间标签”+“该时间窗口内所有事件所有原始安全告警日志的总数”，生成新的日志记录，“事件类型”为“综合工具攻击尝试”。

对于存在多个集合的情况，首先，计算各集合内原子安全事件的平均速率；在相邻归并的原子事件集合内，以算术平均，得到该时间序列集合内的平均速率v1，v2；如果两个|v1-v2|<＝v1*50％，则认为两个相邻时间序列集合的安全事件为连续的；否则生成两个独立的超类安全事件。

步骤S340：生成新的安全告警日志类型标签，写入新的数据表，结束流程。数据表字段可以包括时间戳、源IP、目的IP、目的端口、威胁等级、告警时间类型、时间描述、起始时间、结束时间、原始时间次数、其它信息等。

由此，本申请通过以独有的基于事件总数和速率的告警日志分类方法，实现对大量低风险的“连续攻击尝试”类和潜在高风险的“离散恶意行为”区分；以独有的基于时间标签序列的安全事件时间边界判断方法，实现对各原子安全事件在时间范围的表达，以集合操作实现各原子安全事件时序相关性的快速判断，极大提升性能；最后，以独有的基于行为速率的告警日志合并方法，实现对不连续安全事件集合的相关性判断，极大提升告警降噪能力。

进一步地，本申请以基于事件总数和速率的告警日志分类方法，实现对“工具尝试类”和“手工操作类”安全告警日志的初步筛选，将降噪目标聚焦在对“工具尝试类”安全告警日志的分析处理；创造性地以“时间标签序列”的方式，实现对各原子安全事件在时间范围的表达，以集合操作实现各原子安全事件时序相关性的快速判断，极大提升性能；创造性地以“行为平均速率”，实现对不连续安全事件集合的相关性判断，极大提升告警降噪能力。

以上仅仅是示意性地描述本发明的具体实现方式，本发明并非也以此为限制，步骤的拆分、合并、执行顺序的变化、模块的拆分、合并、信息传输的变化皆在本发明的保护范围之内。

图4是本发明的安全告警日志降噪装置的一种实施例的模块示意图。本发明的安全告警日志降噪装置400，如图4所示，包括但不限于：第一分组模块410、第二分组模块420、筛选模块430、切分模块440、第一生成模块450、合并模块460以及告警日志生成模块470。

第一分组模块410配置成按第一时间窗口，对原始告警日志进行分组，获得第一告警集合；

第二分组模块420配置成按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合；

筛选模块430配置成基于所述第二告警集合的所述第一时间窗口内告警日志总数以及事件速率，筛选所述第二告警集合；

切分模块440配置成对经筛选的第二告警集合，按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列；

第一生成模块450配置成对经筛选的第二告警集合，按每一事件，生成事件时间标签序列；

合并模块460配置成按原子安全事件，合并所述事件时间标签序列，形成时间序列集合；

告警日志生成模块470配置成根据所述时间序列集合形成经降噪的告警日志。

上述模块的实现原理参见安全告警日志降噪方法中的相关介绍，此处不再赘述。

本发明的安全告警日志降噪装置以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤大量低风险告警，保留高价值信息。

图5是本发明的安全告警日志降噪装置的另一种实施例的模块示意图。本发明的安全告警日志降噪装置500包括但不限于：第一分组模块510、第二分组模块520、筛选模块530、切分模块540、第一生成模块550、合并模块560、第二生成模块571、类型设置模块572、判断模块573以及独立设置模块574。

第一分组模块510配置成按第一时间窗口，对原始告警日志进行分组，获得第一告警集合。

第二分组模块520配置成按地址信息以及事件类型，对所述第一告警集合进行分组，获得第二告警集合。

筛选模块530配置成保留所述第一时间窗口内事件总数大于第一设定阈值，且所述第一时间窗口内的事件速率大于第二设定阈值的第二告警集合。

切分模块540配置成对经筛选的第二告警集合，按第二时间段，切分所述第一时间窗口，形成窗口时间标签序列。

第一生成模块550配置成对经筛选的第二告警集合，按每一事件，生成事件时间标签序列。

合并模块560配置成对经筛选的第二告警集合，按原子安全事件，合并所述事件时间标签序列，形成时间序列集合。

第二生成模块571配置成当所形成的事件序列集合为一个时，以告警日志的源地址、目的地址、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第一告警集合中原始告警日志的数量为标签生成经降噪的告警日志。

类型设置模块572配置成将经降噪的告警日志的事件类型设置为综合工具攻击尝试。

判断模块573配置成根据相邻的所述时间序列集合的平均事件速率判断相邻的所述时间序列集合是否相关。

独立设置模块574配置成当判断模块573判断为否，则将该相邻(非连续)的时间序列集合标记为两个独立的安全事件。若是，则可以进一步合并该两个相邻的事件时间标签序列集合。

图4和图5仅仅是示意性的分别示出本发明提供的安全告警日志降噪装置400以及500，在不违背本发明构思的前提下，模块的拆分、合并、增加都在本发明的保护范围之内。本发明提供的安全告警日志降噪装置400以及500可以由软件、硬件、固件、插件及他们之间的任意组合来实现，本发明并非以此为限。

本发明实施例还提供一种安全告警日志降噪处理设备，包括处理器。存储器，其中存储有处理器的可执行指令。其中，处理器配置为经由执行可执行指令来执行的安全告警日志降噪方法的步骤。

如上所示，该实施例本发明的安全告警日志降噪处理设备以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤大量低风险告警，保留高价值信息。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“平台”。

图6是本发明的安全告警日志降噪处理设备的结构示意图。下面参照图6来描述根据本发明的这种实施方式的电子设备600。图6显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同平台组件(包括存储单元620和处理单元610)的总线630、显示单元640等。

其中，存储单元存储有程序代码，程序代码可以被处理单元610执行，使得处理单元610执行本说明书上述安全告警日志降噪方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，处理单元610可以执行如图1中所示的步骤。

存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。

存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备6001(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储平台等。

本发明实施例还提供一种计算机可读存储介质，用于存储程序，程序被执行时实现的安全告警日志降噪方法的步骤。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述安全告警日志降噪方法部分中描述的根据本发明各种示例性实施方式的步骤。

如上所示，该实施例的用以执行安全告警日志降噪的计算机可读存储介质以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤大量低风险告警，保留高价值信息。

图7是本发明的计算机可读存储介质的结构示意图。参考图7所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品700，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

综上，本申请以地址信息以及事件类型为初始分组条件，基于时间和行为特征实现对上下文安全告警日志的降噪，过滤大量低风险告警，保留高价值信息。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims

1.一种安全告警日志降噪方法，其特征在于，包括：

对经筛选的第二告警集合：

按每一事件，生成事件时间标签序列；

根据所述时间序列集合形成经降噪的告警日志。

2.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述第二告警集合以告警日志的源地址、目的地址、事件类型、该第一时间窗口内最早的时间标签、该第一时间窗口内最晚的时间标签、所述第二告警集合中原始告警日志的数量为标签生成第一告警日志。

3.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述基于所述第二告警集合的所述第一时间窗口内事件总数以及事件速率，筛选所述第二告警集合包括：

4.根据权利要求3所述的安全告警日志降噪方法，其特征在于，所述第二告警集合在所述第一时间窗口内的事件速率为所述第二告警集合在所述第一时间窗口内事件总数/(该第一时间窗口内最晚的时间标签-该第一时间窗口内最早的时间标签)。

5.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述根据所述时间序列集合形成经降噪的告警日志包括：

将经降噪的告警日志的事件类型设置为综合工具攻击尝试。

6.根据权利要求1所述的安全告警日志降噪方法，其特征在于，所述根据所述时间序列集合形成经降噪的告警日志包括：

7.根据权利要求6所述的安全告警日志降噪方法，其特征在于，所述时间序列集合的平均事件速率为所述时间序列集合中各事件时间标签序列的事件速率的平均值。

8.一种安全告警日志降噪装置，其特征在于，包括：

9.一种安全告警日志降噪处理设备，其特征在于，包括：

处理器；

存储器，其中存储有所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1至7任意一项所述安全告警日志降噪方法的步骤。

10.一种计算机可读存储介质，用于存储程序，其特征在于，所述程序被执行时实现权利要求1至7任意一项所述安全告警日志降噪方法的步骤。