CN116707935A - 一种安全剧本的处理方法、装置、系统、设备及介质 - Google Patents

Abstract

本发明公开了一种安全剧本的处理方法、装置、系统、设备及介质，涉及通信技术领域，该方法包括：获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程。本发明采用线程中高并发的方式处理安全剧本的并发情况，提高安全剧本响应的速率和吞吐量。

Description

一种安全剧本的处理方法、装置、系统、设备及介质

技术领域

本发明涉及通信技术领域，具体涉及一种安全剧本的处理方法、装置、系统、设备及介质。

背景技术

基于安全编排自动化与响应(Security Orchestration Automation andResponse，SOAR)技术的平台通过编排和执行安全剧本的方式，完成原来需要多人多系统多界面在线协同才能处置的安全任务，大幅节约响应时间，降低人员依赖，提升工作效率，保障应急处置质量，整体提高安全团队平均响应时间(Mean Time To Repair，MTTR)水平。

当前高并发处理SOAR时是在各个节点之间是顺序执行的，这样会导致当前节点后续的节点处于长时间的等待状态，进而影响其他响应策略的执行，整体的处理效率低下。

因此，如何在高并发情况下提高安全剧本的响应处理能力，是目前业界亟待解决的重要课题。

发明内容

有鉴于此，本发明实施例提供了一种安全剧本的处理方法、装置、系统、设备及介质，以解决高并发处理SOAR安全剧本时会让大量节点处于长时间的等待状态进而导致整体的处理效率低下问题。

根据第一方面，本发明实施例提供了一种安全剧本的处理方法，所述方法包括：

获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

结合第一方面，在第一方面第一实施方式中，所述方法中所述安全剧本和安全策略存储至预设安全威胁事件库中，且，所述安全威胁事件库中存储有至少一个所述安全剧本和至少一个安全策略并且建立了所述安全剧本和所述安全策略的映射关系。

结合第一方面，在第一方面第二实施方式中，所述对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程，具体包括：

基于所述安全策略的策略流程，对调用的所述安全剧本进行原子化编排，得到至少一个所述业务流程节点；每个所述业务流程节点均有其业务上对应的业务队列，且，业务流程节点具有对应的节点信息；

基于加载完毕所述安全策略的策略流程，为所述安全剧本分配对应数量的所述节点线程；

基于所述节点信息，将业务流程节点对应的所述节点线程入列到其对应的业务队列上。

结合第一方面第二实施方式，在第一方面第三实施方式中，所述基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息，具体包括：

基于所述线程标记属性，确定待执行的节点线程；

锁定待执行的节点线程对应的所述业务队列，从所述业务队列调用并执行对应的所述节点线程；

确定所述所述业务队列中所有入列的所述节点线程均被执行，解除所述业务队列的锁定，以允许所述节点线程入列至所述业务队列中。

结合第一方面第二实施方式，在第一方面第四实施方式中，所述基于所述安全策略的策略流程对调用的所述安全剧本进行原子化编排，得到至少一个所述业务流程节点，具体包括：

基于所述安全策略的策略流程，对安全剧本进行业务拆解，得到至少一个所述业务流程节点；

将所述业务流程节点分配给未被锁定的所述业务队列；当所述业务队列处于关系状态或者已经被分配任务占用时，所述业务队列被锁定。

结合第一方面第三实施方式，在第一方面第五实施方式中，所述基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息，具体包括，还包括：

未被调用的所述节点线程添加至同步队列中等待被唤醒；所述同步队列中各个节点线程具有前后节点的指示关系以及首尾节点的指示关系，且，当所述节点线程进入同步队列时，对所述节点线程添加加锁标志，当所述节点线程离开同步队列时，解除所述节点线程已添加的加锁标志。

根据第二方面，本发明实施例还提供一种安全剧本的处理装置，所述装置包括：

威胁获取模块，用于获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

剧本调度模块，用于根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

剧本编排模块，用于对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

节点确定模块，基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

线程执行模块，用于基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

根据第三方面，本发明实施例还提供一种安全剧本的处理系统，所述系统包括：

调度中心、策略中心、安全剧本响应中心、业务线程池、若干的分区线程处理中心；

所述调度中心用于接收外部的威胁告警信息，将所述威胁告警信息下发给所述策略中心，并获取所述策略中心根据所述威胁告警信息反馈的安全策略和安全剧本；

所述策略中心内存储有预设的安全剧本和安全策略，并确定与所述威胁告警信息相匹配的安全策略以及对应的安全剧本，并反馈给所述调度中心；

所述安全剧本响应中心用于接收所述调度中心下发的安全策略和安全剧本，并基于所述安全策略对应的策略流程，对安全剧本进行业务原子节点的重新编排，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；

每个所述分区线程处理中心均用于基于关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程，并基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

所述业务线程池用于给各个分区处理器分配相应数量的节点线程。

根据第四方面，本发明实施例还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述安全剧本的处理方法的步骤。

根据第五方面，本发明实施例还提供了一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述安全剧本的处理方法的步骤。

本发明的安全剧本的处理方法、装置、系统、设备及介质，通过将安全剧本原子化得到若干的业务流程节点并为业务流程节点分配相应的节点线程，使得安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰，在之后通过节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存以及节点线程具有线程标记属性，执行相应的节点线程，采用线程中高并发的处理方式来应对安全剧本的并发情况，提高安全剧本响应的速率和吞吐量，能让安全剧本的响应能力得到横向拓展和提高。

附图说明

通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中：

图1示出了本发明提供的安全剧本的处理方法的流程示意图；

图2示出了本发明提供的安全剧本的处理方法中节点线程分配的原理图；

图3示出了本发明提供的安全剧本的处理方法中节点线程分配过程的示意图；

图4示出了本发明提供的安全剧本的处理方法中同步队列的示意图；

图5示出了本发明提供的安全剧本的处理方法中同步队列入列时的示意图；

图6示出了本发明提供的安全剧本的处理方法中同步队列出列时的示意图；

图7示出了本发明提供的安全剧本的处理装置的结构示意图；

图8示出了本发明提供的安全剧本的处理系统的结构示意图之一；

图9示出了本发明提供的安全剧本的处理系统的结构示意图之二；

图10示出了本发明提供的安全剧本的处理方法的电子设备的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

简单的网络安全防范和阻止策略已经不足以应对现有的网络攻击，企业和组织必须更加注重在网络安全检测与响应方面的防范工作，即在网络已经遭受攻击的假定前提下构建集阻止、检测、响应和预防于一体的全新安全防护体系。

安全剧本则提供了这种一种集阻止、检测、响应和预防于一体的安全防护系统，安全剧本对现有的安全能力进行编排，定义一个工作流以及相应的触发规则，当外界的威胁告警信息(事件)满足了安全剧本的触发规则时，安全剧本中定义的工作流就会自动被执行，同时该安全剧本中被编排的安全能力也被调用，用以响应威胁告警信息。

为了执行安全剧本，SOAR技术应运而生，SOAR以安全编排和自动化为核心，将人、流程、技术和工具进行整合，辅助安全运营人员日常工作，提升安全运营效率。基于SOAR技术的平台通过编排和执行安全剧本的方式，完成原来需要多人多系统多界面在线协同才能处置的安全任务，大幅节约响应时间，降低人员依赖，提升工作效率，保障应急处置质量，整体提高安全团队MTTR水平。

当前的SOAR安全剧本是基于工作流模式的方式推进各个节点的处理，在高并发处理的情况时，基本通过安全能力自身的调度中心进行顺序执行。由于一些节点存在前后节点的执行顺序关系，当其中一个安全剧本在某一个节点执行的时间过长，会导致后续的节点处于长时间的等待状态，进而影响其他响应策略的执行，整体的处理效率低下。

因此，如何在高并发情况下提高安全剧本的响应处理能力，是目前业界亟待解决的重要课题。

为了解决上述问题，在本实施例中提供了一种安全剧本的处理方法，旨在并发处理安全剧本时，让大多数线程不会长时间处于空闲状态。本发明实施例的安全剧本的处理方法可用于电子设备中，电子设备包括但不局限于电脑、移动终端等，图1是根据本发明实施例的安全剧本的处理方法的流程示意图，如图1所示，该方法包括如下步骤：

S10、获取威胁告警信息，并确定威胁告警信息相匹配的安全策略。本发明实施例中，会根据不同的威胁告警信息进行不同程度的安全剧本响应处理，对于安全威胁进行动态策略防御。

S20、根据安全策略，调用相应的安全剧本，在本发明实施例中，安全策略对应有至少一个安全剧本。

该方法中，会预先存储有一些既定的安全剧本以及安全剧本对应的工作流，以及，预先存储一些既定的静态的安全策略，其中，安全策略为安全威胁事件整体的处理流程，一个安全策略需要至少一个安全剧本执行，因此安全策略对应至少一个安全剧本。当外部的威胁告警信息(事件)上报时，会根据预设规则进行匹配并自动分配相应的安全策略以及安全剧本。

在本发明实施例中，还会通过一个预设安全威胁事件库存储上述的安全策略和安全剧本，需要说明的是，安全威胁事件库中存储有至少一个安全剧本和至少一个安全策略并且建立了安全剧本和安全策略的映射关系。

优选的，安全策略可以根据威胁程度、威胁方式等进行具体制定，以响应不同的安全威胁事件。

该方法会为威胁告警信息匹配对应的安全策略，并在之后为每个安全剧本生成对应的业务流程节点以及产生相应的节点线程，加载完一个安全策略其策略流程的所有节点。

在本发明实施例一些可选实施方式中，若当前的节点线程数量不够进行分配，则不进行这一策略流程的加载，直到由足够的线程数量能够提供给安全策略。

S30、对调用的安全剧本进行原子化编排，并基于安全策略的策略流程，生成每个安全剧本执行安全策略所需的业务流程节点以及为每个业务流程节点分配对应的节点线程，其中每个业务流程节点对应有至少一个节点线程，节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个节点线程具有线程标记属性，线程标记属性用于表征重要性并包含了优先性、时间性和权重基点等信息。

需要说明的是，线程标记属性主要是用来判断节点线程执行的优先程度，主要包含业务优先度(优先性)、时间优先度(优先性)及调度中心或者人工赋予的权重基点等信息。通过为待执行的相关线程添加相应的属性，在安全剧本响应时，能够提高响应的速率。

根据当前的服务形式，针对获取到的安全策略和安全剧本后，会对安全剧本重新进行编排，针对每个业务流程节点产生相应的节点线程，并利用这些节点线程对安全剧本进行相应的处理，以进行威胁告警信息的安全能力响应。

具体的，会基于安全策略对应的策略流程，将威胁告警信息的业务请求分解拆分为一个个原子化的业务流程节点，并分配到对应的业务队列中。当获得一系列业务分解后的业务流程节点后，会不断问询业务队列，可以理解的是，存在同时询问多个业务队列，但是只能由一个业务处理线程占用业务队列。当业务处理线程占用业务队列后，会执行相应的入列操作，将业务流程节点进行入列操作，待当前业务队列操作完成后，继续执行下一个业务队列，直到将业务分解后的所有业务流程节点入列。

因此，在本发明实施例中，安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，这些都是可以作为一个原子化，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰。

S40、基于关系缓存，确定待执行的业务流程节点以及对应的节点线程。

S50、基于线程标记属性，确定待执行的节点线程，执行对应的节点线程，以响应威胁告警信息。

由于该关联缓存包含了节点线程的执行顺序以及业务流程节点前后关联关系，线程标记属性又能够表征节点的重要性，根据关联缓存以及对比了一系列线程标记属性后，能得到所有节点线程的执行顺序，即，该方法在调度各个节点线程时，会根据线程执行的关联缓存，判断线程的执行顺序，另外也会根据节点线程的线程标记属性判断。在本发明实施例中，在遇到一些尚未需要立即执行、有待相应的节点执行后才能执行的节点线程、当前处理器正在执行相应的节点线程等情况时，会将当前节点线程放入同步队列中，在当前节点线程被执行完毕后，随时被唤醒并接受调度。

可以理解的是，确定待执行的节点线程执行完毕后，会再次基于关系缓存以及线程标记属性，确定待执行的业务流程节点以及下一个待执行的节点线程。

在该方法中，当某个分配的节点线程完成线程标记属性的加载后，还会对已加载的节点线程进行注册，进行相应的线程信息注册以及校验。之后再将注册完成的节点线程加载到业务流程节点中，使得线程标记属性能够正确地作为之后执行顺序的判断标准。

本发明的安全剧本的处理方法，通过将安全剧本原子化得到若干的业务流程节点并为业务流程节点分配相应的节点线程，使得安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰，在之后通过节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存以及节点线程具有线程标记属性，执行相应的节点线程，采用线程中高并发的处理方式来应对安全剧本的并发情况，提高安全剧本响应的速率和吞吐量，能让安全剧本的响应能力得到横向拓展和提高。

请参阅图2，每个策略流程内部均会被原子化得到多个业务流程节点，并且每个业务流程节点内均包含了相应的节点所有的处理信息等节点信息，这些节点信息主要作为之后资源池分配节点线程时，进行相应的加载。业务流程节点对应的线程分配产生后，会入队相应的业务队列，比如A流程只会进入A业务的队列。

具体的，请参阅图3，业务流程节点均有其业务上对应的业务队列，在为业务流程节点分配节点线程时，通过读取业务流程节点对应的节点信息，将业务流程节点对应的节点线程入列到其对应的业务队列上。即，先对调用的所述安全剧本进行原子化编排，得到至少一个业务流程节点，再基于能够加载完毕安全策略的策略流程，为安全剧本分配对应数量的节点线程，最后读取节点信息，将业务流程节点对应的节点线程入列到其对应的业务队列上。

更具体的，先锁定当前分区的所有业务队列入列功能，然后依次出列所有业务队列里的节点线程，最后再调用节点线程。该过程会根据关联缓存，判断节点线程的执行顺序，另外也会根据节点线程的线程标记属性进行判断，若当前已有节点线程被执行，则将其余的节点线程放入到同步队列，等待后续唤醒。完成读取执行业务队列里的所有节点线程后，会放开锁，允许各个业务队列重新入列。

请参阅图4、图5和图6，业务队列中还具有一个同步队列，同步队列中节点即放入至同步队列中的待执行的节点线程。

同步队列中包含head和tail信息，head指向第一个节点，即表示为同步队列的首结点，tail指向最后一个节点，即表示为同步队列的尾结点，同步队列中每个节点还具有prew、next、节点信息和线程标记属性等信息，其中，prew指向上一个节点的地址，next指向下一个节点的地址，节点内容主要是当前节点线程执行所需要的一些参数数据。

需要说明的是，在同步队列没有节点时，首节点指向空节点，同样的，在同步队列没有节点时，tail节点也指向空节点。

因此，加入至同步队列的线程节点是构成了一个双向链表，能从前往后遍历，也可以从后往前遍历。

同步队列入列通过以下方式实现：在节点线程准备执行时，会先去查询当前是否有其他节点线程占用，如果没有占用，则将直接执行节点线程。如果占用则标记该节点线程，准备进入同步队列。读取该节点线程的标记信息，将该节点线程添加加锁标志，这个加锁标志表明节点线程已经被其他队列入列，无法再次入该列以及加锁，加锁状态再次入该列/加锁会直接显示加锁失败相应的信息。在加锁标志添加成功后，将信息重新刷新到节点线程执行的关联缓存中，之后将该添加加锁标志的节点线程添加到同步队列的尾部。在新的节点线程入列时，当前队列中的tail指向新节点，新节点的prev指向同步队列中原来的尾节点。

同步队列出列通过以下方式实现：节点线程执行完毕后，则会根据next唤醒下一个节点线程，同时准备进行该执行完毕节点线程的同步出列操作。此时，会先解除节点线程的加锁标志，在解除加锁标志成功后，同样将信息重新刷新到节点线程执行关联缓存中。同步出列时，在首节点的线程释放同步状态后，将会唤醒后继节点的节点线程，并且后继节点的节点线程在获取到释放同步状态后将会将自己设置为首节点。

可以看出，在每个业务队列中都存储着队列锁，锁机制贯穿了业务执行的流程。在业务分解服务对业务进行解析分解后，将对应的业务流程节点存入相应的业务队列之前，业务处理线程会不断地向业务队列发起问询，如果当前队列锁处于关闭状态或者队列被其他线程服务占用，则会不断问询，直到队列锁打开，并且将分解后的业务节点进行入列操作，在完成所有业务队列服务后，会将队列锁进行释放，以便下一个业务处理线程继续处理。

在处理服务中，如果队列锁正在被占用，则会请求新的业务队列，在获取业务队列的处理后，会将队列锁关闭，并且将服务占用标志设置为自身所在服务，这样在处理业务过程中，能有效防止后面的入列线程的干扰，能让先进入业务队列的所有业务节点能先被处理完成，不会造成业务的大范围等待积压，能让进入各个业务队列的同一个业务，能几乎在同一个时间完成处理。在处理完成业务队列内所有的节点后，会将队列锁设置为开启，并且释放队列锁。这样后续的处理服务能继续下一轮业务队列的业务处理。

下面对本发明实施例提供的安全剧本的处理装置进行描述，下文描述的安全剧本的处理装置与上文描述的安全剧本的处理方法可相互对应参照。

为了解决上述问题，在本实施例中提供了一种安全剧本的处理装置，旨在并发处理安全剧本时，让大多数线程不会长时间处于空闲状态。本发明实施例的安全剧本的处理装置可用于电子设备中，电子设备包括但不局限于电脑、移动终端等，图7是根据本发明实施例的安全剧本的处理装置的结构示意图，如图7所示，该装置包括：

威胁获取模块10，用于获取威胁告警信息，并确定威胁告警信息相匹配的安全策略。本发明实施例中，会根据不同的威胁告警信息进行不同程度的安全剧本响应处理，对于安全威胁进行动态策略防御。

剧本调度模块20，用于根据安全策略，调用相应的安全剧本，在本发明实施例中，安全策略对应有至少一个安全剧本。

该装置中，会预先存储有一些既定的安全剧本以及安全剧本对应的工作流，以及，预先存储一些既定的静态的安全策略，其中，安全策略为安全威胁事件整体的处理流程，一个安全策略需要至少一个安全剧本执行，因此安全策略对应至少一个安全剧本。当外部的威胁告警信息(事件)上报时，会根据预设规则进行匹配并自动分配相应的安全策略以及安全剧本。

在本发明实施例中，还会通过一个预设安全威胁事件库存储上述的安全策略和安全剧本，需要说明的是，安全威胁事件库中存储有至少一个安全剧本和至少一个安全策略并且建立了安全剧本和安全策略的映射关系。

优选的，安全策略可以根据威胁程度、威胁方式等进行具体制定，以响应不同的安全威胁事件。

该装置会为威胁告警信息匹配对应的安全策略，并在之后为每个安全剧本生成对应的业务流程节点以及产生相应的节点线程，加载完一个安全策略其策略流程的所有节点。

在本发明实施例一些可选实施方式中，若当前的节点线程数量不够进行分配，则不进行这一策略流程的加载，直到由足够的线程数量能够提供给安全策略。

剧本编排模块30，用于对调用的安全剧本进行原子化编排，并基于安全策略的策略流程，生成每个安全剧本执行安全策略所需的业务流程节点以及为每个业务流程节点分配对应的节点线程，其中每个业务流程节点对应有至少一个节点线程，节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个节点线程具有线程标记属性，线程标记属性用于表征重要性并包含了优先性、时间性和权重基点等信息。

需要说明的是，线程标记属性主要是用来判断节点线程执行的优先程度，主要包含业务优先度(优先性)、时间优先度(优先性)及调度中心或者人工赋予的权重基点等信息。

根据当前的服务形式，针对获取到的安全策略和安全剧本后，会对安全剧本重新进行编排，针对每个业务流程节点产生相应的节点线程，并利用这些节点线程对安全剧本进行相应的处理，以进行威胁告警信息的安全能力响应。

具体的，会基于安全策略对应的策略流程，将威胁告警信息的业务请求分解拆分为一个个原子化的业务流程节点，并分配到对应的业务队列中。当获得一系列业务分解后的业务流程节点后，会不断问询业务队列，可以理解的是，存在同时询问多个业务队列，但是只能由一个业务处理线程占用业务队列。当业务处理线程占用业务队列后，会执行相应的入列操作，将业务流程节点进行入列操作，待当前业务队列操作完成后，继续执行下一个业务队列，直到将业务分解后的所有业务流程节点入列。

因此，在本发明实施例中，安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，这些都是可以作为一个原子化，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰。

节点确定模块40，用于基于关系缓存，确定待执行的业务流程节点以及对应的节点线程。

线程执行模块50，基于线程标记属性，确定待执行的节点线程，执行对应的节点线程，以响应威胁告警信息。

由于该关联缓存包含了节点线程的执行顺序以及业务流程节点前后关联关系，线程标记属性又能够表征节点的重要性，根据关联缓存以及对比了一系列线程标记属性后，能得到所有节点线程的执行顺序，即，该装置在调度各个节点线程时，会根据线程执行的关联缓存，判断线程的执行顺序，另外也会根据节点线程的线程标记属性判断。在本发明实施例中，在遇到一些尚未需要立即执行、有待相应的节点执行后才能执行的节点线程、当前处理器正在执行相应的节点线程等情况时，会将当前节点线程放入同步队列中，在当前节点线程被执行完毕后，随时被唤醒并接受调度。

可以理解的是，确定待执行的节点线程执行完毕后，会再次基于关系缓存以及线程标记属性，确定待执行的业务流程节点以及下一个待执行的节点线程。

在该装置中，当某个分配的节点线程完成线程标记属性的加载后，还会对已加载的节点线程进行注册，进行相应的线程信息注册以及校验。之后再将注册完成的节点线程加载到业务流程节点中，使得线程标记属性能够正确地作为之后执行顺序的判断标准。

本发明的安全剧本的处理装置，通过将安全剧本原子化得到若干的业务流程节点并为业务流程节点分配相应的节点线程，使得安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰，在之后通过节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存以及节点线程具有线程标记属性，执行相应的节点线程，采用线程中高并发的处理方式来应对安全剧本的并发情况，提高安全剧本响应的速率和吞吐量，能让安全剧本的响应能力得到横向拓展和提高。

请参阅图8和图9，本发明实施例还提供了一种安全剧本的处理系统，该系统主要由调度中心、策略中心、安全剧本响应中心、业务线程池、若干的分区线程处理中心组成。

其中，调度中心主要负责整个系统的总调度，相当于业务处理的总线程，各个业务都需要在调度中心处进行注册、接收校验、接收调度、添加解除加锁标志等。调度中心负责包括但不仅限于外部的威胁告警信息响应处理、对策略中心的调度、任务下发、对业务线程池的线程数量动态控制、接收各个节点线程的注册与校验功能。

策略中心中则会预先存储有一些既定的安全剧本以及安全剧本对应的工作流，以及，预先存储一些既定的静态的安全策略，安全策略为安全威胁事件整体的处理流程，一个安全策略需要至少一个安全剧本执行，因此安全策略对应至少一个安全剧本。当外部的威胁告警信息(事件)上报时，调度中心接收到外界的威胁告警信息后，会去策略中心进行相关的查询，策略中心会根据预设规则自动分配相应的安全策略以及安全剧本，并将安全策略和安全剧本反馈给调度中心。调度中心则根据当前的服务形式，针对从策略中心获取到的安全策略和安全剧本后，下发至安全剧本响应中心对安全剧本重新进行编排，进行威胁告警信息的安全能力响应。

优选的，安全策略可以根据威胁程度、威胁方式等进行具体制定，以响应不同的安全威胁事件。

安全剧本响应中心接收来自策略中心的数据，对已有的安全剧本进行业务原子节点的重新编排，再调用分区线程处理中心，针对每个业务流程节点产生相应的节点线程，并利用这些节点线程对安全剧本进行相应的处理。因此，在本发明实施例中，安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，这些都是可以作为一个原子化，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰。

每个分区线程处理中心内均含一个同步队列，该同步队列用于处理当前分区的所有节点线程，分区所有流程的所有节点线程分别进入对应的同步队列，然后再在同一个时间由分区线程处理中心加载所有当前的同步队列内的节点线程，依次进行处理。

具体的，分区线程处理中心会包含一个关联缓存，该关联缓存包含了节点线程的执行顺序以及业务流程节点前后关联关系，调度中心还可以根据节点线程以及业务流程节点的重要性，动态赋予的基点权重等线程标记属性，在对比了一系列线程标记属性后，分区线程处理中心会按照一定顺序处理相应的节点线程。在遇到一些尚未需要立即执行、有待相应的节点执行后才能执行的节点线程、当前处理器正在执行相应的节点线程等情况时，分区线程处理中心将当前节点线程放入同步队列中，在当前节点线程被执行完毕后，随时被唤醒并接受调度。

如果当前同步队列内没有加载到相应的节点线程，则分区线程处理中心执行自旋，占用当前的服务处理器，不会让出，直到新的业务队列资源被分配到，这使得处理服务处于一种非常高效的处理状态，随时能接收来自业务队列的业务资源，以备随时接收新的节点线程处理。

因此，节点线程执行关联缓存并存储有关业务节点线程的线程标记属性，线程标记属性至少包含业务优先度(优先性)、时间优先度(优先性)及调度中心或者人工赋予的权重基点等信息。

需要说明的是，每个分区线程处理中心都可以处理多个策略流程，即处理多个安全策略。

当确定好安全策略、业务流程节点以及节点线程后，会将相应的线程标记信息，比如业务优先度、权重基点、时间优先度等信息加载到相应的线程节点中。完成加载后的线程，会注册到调度中心，进行相应的线程信息注册以及校验。注册完成后的线程，待分区线程处理服务完成加载后，会统一将线程标记信息等关联信息刷新到分区线程处理中心当中，作为之后执行顺序的判断标准。线程中服务在调度各个业务流程节点的线程时，会根据节点线程的关联缓存，判断节点线程的执行顺序，另外也会根据节点线程的线程标记属性判断。如果当前已有节点线程执行，则将线程放入到同步H队列，等待后续唤醒。

具体的，请参阅图3，业务流程节点均有其业务上对应的业务队列，在为业务流程节点分配节点线程时，通过读取业务流程节点对应的节点信息，将业务流程节点对应的节点线程入列到其对应的业务队列上。

更具体的，分区线程处理中心处理服务时，先锁定当前分区的所有业务队列入列功能，然后依次出列所有业务队列里的节点线程，最后再调用节点线程。该过程会根据关联缓存，判断节点线程的执行顺序，另外也会根据节点线程的线程标记属性进行判断，若当前已有节点线程被执行，则将其余的线程放入到同步队列，等待后续唤醒。完成读取所有业务队列里的节点线程后，会放开锁，允许各个业务队列重新入列。

业务线程池主要给动态给各个分区处理器分配相应数量的节点线程，调度中心通过下发到业务线程池，控制总的节点线程并发数量，而业务线程池通过对各个分区处理器的监测，分别给相应的处理器下发相应数量的节点线程，进而控制各个分区线程处理中心的并发数量，以防止过度消耗服务资源导致响应缓慢。

该系统中若当前的节点线程数量不够进行分配，则不进行这一策略流程的加载，直到由足够的线程数量能够提供给安全策略。

本发明的安全剧本的处理系统，通过将安全剧本原子化得到若干的业务流程节点并为业务流程节点分配相应的节点线程，使得安全剧本并不是一个统一的整体，而是由一个个具体的安全能力业务操作构成，每个原子化的节点可以被视为一个整体并执行相应的操作，并且相同级别的节点之间，并行执行不受干扰，在之后通过节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存以及节点线程具有线程标记属性，执行相应的节点线程，采用线程中高并发的处理方式来应对安全剧本的并发情况，提高安全剧本响应的速率和吞吐量，能让安全剧本的响应能力得到横向拓展和提高。

图10示例了一种电子设备的实体结构示意图，如图10所示，该电子设备可以包括：处理器(processor)810、通信接口(Communications Interface)820、存储器(memory)830和通信总线840，其中，处理器810，通信接口820，存储器830通过通信总线840完成相互间的通信。处理器810可以调用存储器830中的逻辑指令，以执行安全剧本的处理方法，该方法包括：

获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

此外，上述的存储器830中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

另一方面，本发明还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，计算机程序可存储在非暂态计算机可读存储介质上，所述计算机程序被处理器执行时，计算机能够执行上述各方法所提供的安全剧本的处理方法，该方法包括：

获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法提供的安全剧本的处理方法，该方法包括：

获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种安全剧本的处理方法，其特征在于，所述方法包括：

获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

2.根据权利要求1所述的安全剧本的处理方法，其特征在于，所述方法中所述安全剧本和安全策略存储至预设安全威胁事件库中，且，所述安全威胁事件库中存储有至少一个所述安全剧本和至少一个安全策略并且建立了所述安全剧本和所述安全策略的映射关系。

3.根据权利要求1所述的安全剧本的处理方法，其特征在于，所述对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程，具体包括：

基于所述安全策略的策略流程，对调用的所述安全剧本进行原子化编排，得到至少一个所述业务流程节点；每个所述业务流程节点均有其业务上对应的业务队列，且，业务流程节点具有对应的节点信息；

基于加载完毕所述安全策略的策略流程，为所述安全剧本分配对应数量的所述节点线程；

基于所述节点信息，将业务流程节点对应的所述节点线程入列到其对应的业务队列上。

4.根据权利要求3所述的安全剧本的处理方法，其特征在于，所述基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息，具体包括：

基于所述线程标记属性，确定待执行的节点线程；

锁定待执行的节点线程对应的所述业务队列，从所述业务队列调用并执行对应的所述节点线程；

确定所述所述业务队列中所有入列的所述节点线程均被执行，解除所述业务队列的锁定，以允许所述节点线程入列至所述业务队列中。

5.根据权利要求3所述的安全剧本的处理方法，其特征在于，所述基于所述安全策略的策略流程对调用的所述安全剧本进行原子化编排，得到至少一个所述业务流程节点，具体包括：

基于所述安全策略的策略流程，对安全剧本进行业务拆解，得到至少一个所述业务流程节点；

将所述业务流程节点分配给未被锁定的所述业务队列；当所述业务队列处于关系状态或者已经被分配任务占用时，所述业务队列被锁定。

6.根据权利要求4所述的安全剧本的处理方法，其特征在于，所述基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息，具体包括，还包括：

未被调用的所述节点线程添加至同步队列中等待被唤醒；所述同步队列中各个节点线程具有前后节点的指示关系以及首尾节点的指示关系，且，当所述节点线程进入同步队列时，对所述节点线程添加加锁标志，当所述节点线程离开同步队列时，解除所述节点线程已添加的加锁标志。

7.一种安全剧本的处理装置，其特征在于，所述装置包括：

威胁获取模块，用于获取威胁告警信息，并确定所述威胁告警信息相匹配的安全策略；

剧本调度模块，用于根据所述安全策略，调用相应的安全剧本；所述安全策略对应有至少一个安全剧本；

剧本编排模块，用于对调用的所述安全剧本进行原子化编排，并基于所述安全策略的策略流程，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

节点确定模块，基于所述关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程；

线程执行模块，用于基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息。

8.一种安全剧本的处理系统，其特征在于，所述系统包括：

调度中心、策略中心、安全剧本响应中心、业务线程池、若干的分区线程处理中心；

所述调度中心用于接收外部的威胁告警信息，将所述威胁告警信息下发给所述策略中心，并获取所述策略中心根据所述威胁告警信息反馈的安全策略和安全剧本；

所述策略中心内存储有预设的安全剧本和安全策略，并确定与所述威胁告警信息相匹配的安全策略以及对应的安全剧本，并反馈给所述调度中心；

所述安全剧本响应中心用于接收所述调度中心下发的安全策略和安全剧本，并基于所述安全策略对应的策略流程，对安全剧本进行业务原子节点的重新编排，生成每个安全剧本执行所述安全策略所需的业务流程节点以及为业务流程节点分配对应的节点线程；

每个所述分区线程处理中心均用于基于关系缓存，确定待执行的所述业务流程节点以及对应的所述节点线程，并基于所述线程标记属性，确定待执行的节点线程，执行对应的所述节点线程，以响应所述威胁告警信息；每个所述业务流程节点对应有至少一个所述节点线程，所述节点线程之间形成用于指示节点线程执行顺序以及业务流程节点前后关联关系的关系缓存，每个所述节点线程具有线程标记属性，所述线程标记属性用于表征重要性并至少包含优先性、时间性和权重基点；

所述业务线程池用于给各个分区处理器分配相应数量的节点线程。

9.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至6任一项所述安全剧本的处理方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述安全剧本的处理方法的步骤。