CN117610014A - 处理风险的方法、装置、设备、存储介质及程序产品 - Google Patents

Abstract

本公开提供了处理风险的方法、装置、电子设备、计算机可读存储介质及计算机程序产品，涉及数据处理、风险处理、深度学习、生成式模型等人工智能技术领域。该方法的一具体实施方式包括：获取日志信息，识别日志信息中是否存在风险信息；响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；利用策略模型处理描述信息，生成用于处理风险信息的处理策略，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；执行处理策略。该实施方式能够自动地识别风险，并自动地生成针对风险的处理策略、基于生成的处理策略处理相应的风险，能够提升对于风险的处理效率、降低系统维护难度，能够更好地保障系统运行安全。

Description

处理风险的方法、装置、设备、存储介质及程序产品

技术领域

本公开涉及计算机技术领域，具体涉及数据处理、风险处理、深度学习、生成式模型等人工智能技术领域，尤其涉及处理风险的方法、装置、电子设备、计算机可读存储介质及计算机程序产品。

背景技术

随着社会和计算机技术的发展，为了提升企业的管理、运营效率，信息化技术被逐渐用于企业的日常管理、经营中。在此背景下，安全运营的概念被提出，安全运营是指对企业整体安全进行管理与运营。安全运营是保障企业的业务系统持续安全运行的过程，并通过运营能力对各类数据实现统一管理、分析，可以对业务系统的安全持续优化。

相应地，随着企业规模、信息化能力的提升，企业对于安全运营业务的需求日益旺盛。由此，如何提升安全运行工作的效率、保障安全运营工作的质量，是值得关注和迫切需求的。

发明内容

本公开实施例提出了一种处理风险的方法、装置、电子设备、计算机可读存储介质及计算机程序产品。

第一方面，本公开实施例提出了一种处理风险的方法，包括：获取日志信息，识别日志信息中是否存在风险信息；响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；利用策略模型处理描述信息，生成用于处理风险信息的处理策略，其中，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；执行处理策略。

第二方面，本公开实施例提出了一种处理风险的装置，包括：风险信息识别单元，被配置成获取日志信息，识别日志信息中是否存在风险信息；描述信息提取单元，被配置成响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；处理策略生成单元，被配置成利用策略模型处理描述信息，生成用于处理风险信息的处理策略，其中，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；处理策略执行单元，被配置成执行处理策略。

第三方面，本公开实施例提供了一种电子设备，该电子设备包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，该指令被至少一个处理器执行，以使至少一个处理器执行时能够实现如第一方面中任一实现方式描述的处理风险的方法。

第四方面，本公开实施例提供了一种存储有计算机指令的非瞬时计算机可读存储介质，该计算机指令用于使计算机执行时能够实现如第一方面中任一实现方式描述的处理风险的方法。

第五方面，本公开实施例提供了一种包括计算机程序的计算机程序产品，该计算机程序在被处理器执行时能够实现如第一方面中任一实现方式描述的处理风险的方法。

本公开实施例提供的处理风险的方法、装置、电子设备、计算机可读存储介质及计算机程序产品，可以在获取日志信息后，识别日志信息中是否存在风险信息；然后，响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；然后，利用策略模型处理描述信息，生成用于处理风险信息的处理策略，其中，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；最后，执行处理策略。

本公开在识别到日志信息中存在风险时，利用基于风险标准操作手册和/或历史风险处置结果训练的策略处理模型，自动地生成用于处理所识别出的风险信息的处理策略，并通过执行该处理策略来解决该风险。由此，能够自动地识别、处理存在的风险信息，不仅能够降低系统的维护难度，还能够提升对于风险的处理效率，能够更好地保障系统的运行安全。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：

图1是本公开可以应用于其中的示例性系统架构；

图2为本公开实施例提供的一种处理风险的方法的流程图；

图3为本公开实施例提供的另一种处理风险的方法的流程图；

图4为本公开实施例提供的在一应用场景下的处理风险的方法的流程示意图；

图5为本公开实施例提供的一种处理风险的装置的结构框图；

图6为本公开实施例提供的一种适用于执行处理风险的方法的电子设备的结构示意图。

具体实施方式

以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。

此外，本公开涉及的技术方案中，所涉及的用户个人信息(例如本公开后续涉及的包含日志信息)的获取、存储、使用、加工、运输、提供和公开等处理，均符合相关法律法规的规定，且不违背公序良俗。

图1示出了可以应用本公开的处理风险的方法、装置、电子设备及计算机可读存储介质的实施例的示例性系统架构100。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103和服务器105上可以安装有各种用于实现两者之间进行信息通讯的应用，例如运营维护类应用、状态监控类应用、即时通讯类应用等。

终端设备101、102、103和服务器105可以是硬件，也可以是软件。当终端设备101、102、103为硬件时，可以是具有显示屏的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等；当终端设备101、102、103为软件时，可以安装在上述所列举的电子设备中，其可以实现成多个软件或软件模块，也可以实现成单个软件或软件模块，在此不做具体限定。当服务器105为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器；服务器为软件时，可以实现成多个软件或软件模块，也可以实现成单个软件或软件模块，在此不做具体限定。

服务器105通过内置的各种应用可以提供各种服务，以可以提供安全运营管理、维护和风险处理服务的运营维护类应用为例，服务器105在运行该运营维护类应用时可实现如下效果：首先，获取与需要被运行、维护的项目相关联的日志信息，并从中识别日志信息中是否存在风险信息；然后，服务器105根据响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；然后，服务器105利用策略模型处理描述信息，生成用于处理风险信息的处理策略，其中，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；最后，服务器105执行处理策略。

需要指出的是，日志信息除可以从服务器105本地获取外，服务器105也可以通过例如与终端设备101、102、103通过网络104进行通行的方式，来获取日志信息。例如，在一些场景下，终端设备101、102、103可能希望利用服务器105对其本地的运行状态进行维护。

由于长期地对监控日志信息、生成处理策略可能需要占用较多的运算资源和较强的运算能力，因此本公开后续各实施例所提供的处理风险的方法一般由拥有较强运算能力、较多运算资源的服务器105来执行，相应地，处理风险的装置一般也设置于服务器105中。但同时也需要指出的是，在终端设备101、102、103也具有满足要求的运算能力和运算资源时，终端设备101、102、103也可以通过其上安装的运营维护类应用完成上述本交由服务器105做的各项运算，进而输出与服务器105同样的结果。尤其是在同时存在多种具有不同运算能力的终端设备的情况下，但运营维护类应用判断所在的终端设备拥有较强的运算能力和剩余较多的运算资源时，可以让终端设备来执行上述运算，从而适当减轻服务器105的运算压力，相应的，处理风险的装置也可以设置于终端设备101、102、103中。在此种情况下，示例性系统架构100也可以不包括服务器105和网络104。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

请参考图2，图2为本公开实施例提供的一种处理风险的方法的流程图，其中流程200包括以下步骤：

步骤201：获取日志信息，识别日志信息中是否存在风险信息；

本步骤旨在由处理风险的方法的执行主体(为方便理解，示例性地以图1所示的服务器105作为执行主体进行说明)获取日志信息。如上述说明的，该日志信息可以是对应项目、程序等等而被生成、收集的运行日志。通常情况下，该日志可以记录对应的项目、程序的代码运行情况、访问情况等等。进一步地，执行主体可以基于对该日志信息进行分析，以确定日志信息中是否存在风险信息。例如，执行主体可以基于日志信息中所记录的访问请求的访问源，来确定该访问是否存在风险，例如，如果访问源是预先确定的黑名单中的用户，或者，访问源未经过安全认证，则执行主体可以确定本次访问可能是一个危险访问。又例如，执行主体可以基于日志信息来解析某次访问的代码是否为风险代码(例如，外部提供的代码为具有攻击性的代码)，某次访问是否为“未授权访问”等等，以识别日志信息中是否存在风险信息(也可以简称为，风险)。

需要指出的是，日志信息可以由上述执行主体直接从本地的存储设备获取，也可以从非本地的存储设备(例如图1所示的终端设备101、102、103)中获取。本地的存储设备可以是设置在上述执行主体内的一个数据存储模块，例如服务器硬盘，在此种情况下，日志信息可以在本地快速读取到；非本地的存储设备还可以为其它任何被设置用于存储数据的电子设备，例如一些用户终端等，在此情况下，上述执行主体可以通过向该电子设备发送获取命令来获取所需的日志信息。

作为备选或附加地，在一些场景中，风险信息也可以被称为告警(Alert)。

步骤202：响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；

在上述步骤201的基础上，本步骤旨在，如果执行主体确定到日志信息中存在风险信息，即，执行主体基于日志信息理解到运行过程中可能存在“风险”，则执行主体可以从日志信息中获取与该风险信息相关联的描述信息。描述信息通常可以是与风险信息相关联的代码、记录等等，以用于描述风险信息性质的内容。例如，描述信息可以是存在风险信息的数据访问用户的身份信息、授权信息，存在风险的、攻击性代码的具体代码，攻击代码所指向的被攻击目标的名称、路径等等。

步骤203：利用策略模型处理描述信息，生成用于处理风险信息的处理策略；

在上述步骤202的基础上，本步骤旨在，执行主体调用策略模型，并将描述信息作为该策略模型的模型输入，以利用该策略模型来生成、输出用于处理该风险的处理策略。在本公开的实施例中，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练。例如，策略模型可以以例如自然语言处理(Natural Language Processing简称，NLP)模型来被搭建，然后可以预先以一些已知的风险信息作为输入模板，以基于采用风险标准操作手册和/或历史风险处置结果确定出对于这些已知的风险信息采用的处理策略作为输出模板，对初始的策略模型进行训练。相应地，在满足要求(例如，用于监督训练的损失函数收敛等)的情况下，得到策略模型。得到策略模型后，可以利用策略模型来对输入的风险信息进行处理，生成(或者说，由策略模型输出)用于处理该风险信息的处理策略。

通常情况下，风险标准操作手册，可以基于日志信息所对应的具体的应用场景来进行收集、获取。风险标准操作手册中记录有对应于某一具体的风险信息所采用的、执行策略。在一些场景中，风险标准操作手册中所记录的处理方式(处理策略)，也可以被称为专家策略、专家知识等等。作为备选或附加地，例如，运维人员、安全专家可以通过预先编辑风险标注操作手册的方式，来提供针对各个类型的风险信息的处理策略。相应地，执行主体可以利用该风险标准操作手册对策略模型进行训练，以使得策略模型具有将风险信息与风险标准操作手册所记录的处理策略相对应的能力。

类似地，还可以利用历史针对风险信息进行处理(例如，人工手动处理)时所采用的历史处理策略，即，历史风险处置结果作为样本，训练策略模型，以使得策略模型可以以历史处理策略作为参考，选择、输出针对风险信息所采用的处理策略。

示例性地，策略模型可以输出的策略，基于风险信息的不同，可以被示例为屏蔽访问源、删除恶意代码、控制数据接口端口断开以拒绝访问等等。

步骤204：执行处理策略。

在上述步骤203的基础上，本步骤旨在，在执行主体利用策略处理模型处理描述信息、生成用于处理风险信息的处理策略后，在本地执行该处理策略以处理风险信息。例如，处理策略指示需要屏蔽某些数据源、删除风险代码的情况下，执行主体可以基于处理策略的指示，来屏蔽存在风险的数据源，并删除该风险的数据源已经传入的风险代码，以自动地在识别到风险信息后，对风险信息进行处理，保障系统运行安全。

作为备选或附加地，处理策略中还可以指示执行主体通过从本地、第三方中获取其他类型的基础数据作为参考、调用执行插件和应用执行进程等，来对风险信息进行处理。例如，处理策略中可以指示执行主体利用防火墙插件来屏蔽数据源，调用封禁插件等来切断数据流，调用删除插件来删除风险代码。

本公开实施例提供的处理风险的方法，在识别到日志信息中存在风险时，利用基于风险标准操作手册和/或历史风险处置结果训练的策略处理模型，自动地生成用于处理所识别出的风险信息的处理策略，并通过执行该处理策略来解决该风险。由此，能够自动地识别、处理存在的风险信息，不仅能够降低系统的维护难度，还能够提升对于风险的处理效率，能够更好地保障系统的运行安全。

在本实施例的一些可选的实现方式中，执行主体还可以获取风险信息所属的风险类别；响应于风险类别为预先配置的目标类型，将处理策略和处理结果发送至目标用户设备。

具体地，为了满足用户不同的监测需求，用户还可以控制执行主体对一些“用户可能具有高关注度”的风险信息所采用的处理策略和处理结果进行反馈。例如，用户可以设置一些风险类别为“高危类别”。在此情况下，执行主体在风险信息属于该预先配置的目标类型，例如“高危类别”的情况下，在生成处理策略、执行该处理策略得到处理结果后(例如，是否成功地屏蔽了数据源、删除了高危代码)，将处理策略和处理结果发送至目标用户设备(例如，图1所示出的终端设备101、102、103)来实现对用户的反馈。例如，执行主体可以基于预先维护的通信协议、通信策略和通信地址，与目标用户设备进行通信，以发送处理策略和处理结果。由此，使得用户可以基于风险信息的风险类别差异性地实现监控，以进一步地保障监测、维护质量。

在一些场景中，可能会存在一些预先未被预见、策略模型难以生成有效的处理策略、基于策略模型生成的处理策略难以有效被解决的风险信息。对于这样的风险信息，执行主体可能难以基于例如图2所说明的过程对其进行处理、解决风险。例如，执行主体可能在基于策略模型生成的处理策略对风险信息进行处理后，未能成功地解决、清除该风险，使得执行主体仍可基于日志信息反复、多次地识别到该风险信息。在此情况下，执行主体不仅不能对其进行处理，导致系统存在安全隐患，还会导致执行主体反复地识别、对其生成策略，造成资源浪费。由此，在本实施例的一些可选的实现方式中，利用策略模型处理描述信息，生成用于处理风险信息的处理策略，包括：响应于风险信息为第一次被识别出的新历史风险信息，利用策略模型处理描述信息，生成用于处理风险信息的处理策略。

具体地，执行主体在识别到风险信息后，还可以判断该风险信息是否是第一次被识别出的新历史风险信息。如果是，则执行主体再选择利用策略模型处理描述信息，生成用于处理风险信息的处理策略。由此，避免因执行主体对于某些风险信息难以处理的情况下，仍反复地生成策略、执行策略，造成运算资源浪费。

相应地，执行主体如果确定风险信息为曾经被识别出过至少一次的历史风险信息，则执行主体可以对此进行响应，将历史风险信息发送至目标用户设备。例如，执行主体可以基于预先维护的通信协议、通信策略和通信地址，与目标用户设备进行通信，以发送历史风险信息。由此，执行主体可以将某些难以处理的风险信息提供至用户侧、目标用户设备(例如，用户所使用的终端设备101、102、103)，以借助例如人工介入的方式(或者说，采用用户介入的处理策略)来对“执行主体难以自行完成处理的风险信息”进行处理，提升处理效率、避免资源浪费。

作为备选或附加地，执行主体中还可以被配置有约束时间条件，使得仅对在该约束时间条件内重复出现的风险信息，采用用户介入的处理策略，以降低用户介入的频率。

在一些实施例中，执行主体在利用策略模型生成处理策略后，也可以选择将其反馈至目标用户设备，以要求用户进行确认。相应地，如果目标用户设备针对处理策略返回确认信息，则执行主体再选择执行处理策略。由此，可以通过例如人工复核的方式，避免错误的、不能满足用户选取的处理策略被执行，提升系统鲁棒性。

请参考图3，图3为本公开实施例提供的另一种处理风险的方法的流程图，其中流程300包括以下步骤：

步骤301：获取日志信息，识别日志信息中是否存在风险信息；

步骤302：响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；

以上步骤301-302与如图2所示的步骤201-202相类似，相同部分内容请参见上一实施例的相应部分，此处不再进行赘述。

步骤303：响应于存在多条风险信息，获取各个风险信息所属的风险类别；

具体地，如果执行主体基于日志信息识别出多条风险信息，则执行主体可以进一步地对风险信息进行分析，以确定各个风险信息所属的类别。例如，执行主体确定出风险信息A、B和C的情况下，执行主体可以进一步地确定风险信息A、B属于第一风险类别，而风险信息C属于第二类别。

在本实施例的一些可选的实现方式中，可以预先基于风险信息是否由同一个数据源产生、是否关联相同的数据源、是否关联相同的攻击代码、是否攻击相同的目标位置等等，来划定风险类别。示例性地，由同一个数据源产生的多个风险信息可以被归为同一个风险类别。攻击相同的目标位置的多个风险信息也可以被归为同一个风险类别。

步骤304：响应于存在属于同一目标风险类别的目标风险信息，合并目标风险信息和对应的描述信息，得到组合风险信息和组合描述信息；

具体地，在上述步骤303的基础上，本步骤旨在将属于同一个风险类别(为方便描述，将关联至少两个风险信息的风险类别描述为目标风险类别)的目标风险信息，则执行主体可以从“风险类别”这一维度，合并目标风险信息和对应的描述信息，得到组合风险信息和组合描述信息。例如，上述示例中，风险信息A和风险信息B可以被合并，以得到组合风险信息A’，组合风险信息A’所对应的描述信息可以由风险信息A和风险信息B各自对应的描述信息组合而来(例如，拼接描述信息后去重，得到组合描述信息)。

步骤305：利用策略模型处理组合描述信息，生成用于处理组合风险信息的处理策略；

具体地，执行主体可以利用策略模型，处理组合后的组合描述信息，以生成针对组合风险信息A’的处理策略，该处理策略被执行后，可以用于同时解决风险信息A和B。

步骤306：执行处理策略。

该步骤306与如图2所示的步骤204相类似，相同部分内容请参见上一实施例的相应部分，此处不再进行赘述。

由此，执行主体可以通过合并同一类别的风险信息的方式，避免对于相同类型的风险信息重复地生成处理策略，节约运算资源。这样的方式还能够对存在关联关系(例如，连续攻击)的整体性地生成策略、进行处理，避免孤立地生成处理策略，便于策略模型提升决策质量。

在本公开的一些可选实施例中，获取日志信息，识别日志信息中是否存在风险信息，包括：利用预先配置的风险检测模型，处理日志信息，识别日志信息中是否存在风险信息，其中，风险检测模型用于表征作为模型输入的日志信息与作为输出的风险信息之间的对应关系。

具体地，执行主体也可以利用风险检测模型，来处理日志信息，识别日志信息中是否存在风险信息。风险检测模型用于表征作为模型输入的日志信息与作为输出的风险信息之间的对应关系，例如，风险检测模型也同样可以基于NLP被搭建后，以(样本)日志信息作为初始风险检测模型的输入，与日志信息相关联的风险信息标签作为输出，对初始模型进行训练，以使得训练后得到的风险检测模型具有表征作为模型输入的日志信息与作为输出的风险信息之间的对应关系的能力。由此，使得执行主体可以通过调用风险检测模型便可具有识别日志信息中是否存在风险信息的能力，简化配置难度。

在本公开的一些可选实施例中，策略模型也可以基于生成式大语言模型的模型框架训练得到。具体地，生成式大语言模型，也可以被称为生成式模型、大语言模型(LargeLanguage Model，简称LLM)。LLM是一种人工智能模型，旨在理解和生成人类语言，并且LLM可以基于其理解的内容，相应地执行处理操作，以得到对应的处理结果。例如，在获取到风险信息的描述信息后，LLM可以在理解指示(例如，基于风险标准操作手册和/或历史风险处置结果生成针对风险信息的描述策略)后，从风险标准操作手册和/或历史风险处置结果选择出用于解决、处理风险信息的处理策略。

LLM可以在大量的文本数据上进行训练，可以执行广泛的任务，包括文本总结、翻译、情感分析等等。LLM的特点是规模庞大，通常其可以包括大量的参数，以帮助它们学习语言数据中的复杂模式。这些模型通常基于深度学习架构，如转化器，这有助于它们在各种NLP任务上提供更好的处理性能。在本公开的实施例中，执行主体可以利用生成式大语言模型(例如，LLM)作为策略模型，来处理描述信息，生成用于处理风险信息的处理策略来提升生成处理策略的速度和质量，以更快地提供更有效的处理策略。在一些场景中，鉴于LLM的分析能力，LLM可能在预先未被训练的情况下，其处理速度便能满足基于风险标准操作手册和/或历史风险处置结果，处理描述信息、生成对应的处理策略的能力要求，在此情况下，执行主体还可以通过直接指示LLM参考风险标准操作手册和/或历史风险处置结果，来寻找描述信息对应的处理策略。

此外对于生成式模型，其可以通过被默认配置的方式，以省略“引导词”。例如，对于处理描述信息，生成用于处理风险信息的处理策略这一目的，LLM可以基于被默认的配置，当然地理解需要对输入的描述信息执行的操作。由此，以通过默认配置的方式，使得生成式模型能够稳定、定向地对描述信息进行处理，寻找、生成对应的处理策略。由此，不仅可以利用生成式大语言模型模型更效率、质量地执行生成处理策略的进程。

在本实施例的一些可选的实现方式中，风险检测模型也可以基于生成式大语言模型的模型框架训练得到。例如，可以基于上述示例的对于风险检测模型进行训练时使用的样本，通过不同的引导词，训练用于实现识别日志信息中是否存在风险信息的生成式大语言模型作为风险检测模型。由此，以利用生成式大语言模型，来提升执行主体对于处理日志信息，识别日志信息中是否存在风险信息的能力。

作为备选或附加地，还可以利用生成模型来同时执行生成处理策略、识别日志信息中是否存在风险两个过程，以进一步地提升效率、简化配置。例如，执行主体可以利用同时具有生成处理策略、识别是否存在风险能力的LLM，来同时执行生成处理策略、识别日志信息中是否存在风险两个进程。

在本公开的一些可选实施例中，执行主体在向目标用户设备反馈相关信息(例如，处理策略、处理结果、历史风险信息等等)时，执行主体也可以利用LLM，以将待反馈的各类信息处理为更容易为用户所阅读、理解的“自然语言”，以方便用户阅读。

为加深理解，本公开还结合一个具体应用场景，给出了一种具体的实现方案，请参见如图4所示的流程400。

在该应用场景中，同样示例性地以服务器105(图中未示出)作为执行主体进行说明。

执行主体可以在获取日志信息410后，基于步骤S401来解析、识别日志信息410中是否存在风险信息。

示例性地，执行主体解析日志信息410后，至少识别存在风险信息421、422和423。

进一步地，执行主体执行步骤S402，来从日志信息410中，获取与风险信息421、422和423各自对应的描述信息，例如，执行主体可以从日志信息410中获取到风险信息421的描述信息431，风险信息422的描述信息432，以及风险信息423的描述信息433。

进一步地，执行主体可以执行步骤S403，以识别风险信息421、422和423的风险类别，并对属于相同的风险类型的风险执行合并。示例性地，执行主体可以将属于同一风险类别的风险信息421和422进行合并，得到组合风险信息424，以及合并风险信息421和422各自对应的描述信息(即，描述信息431和433)，以生成组合描述信息434。

接下来，执行主体可以继续执行步骤S404，以调用生成式大语言模型450作为策略模型，来基于风险标准操作手册461和/或历史风险处置结果462，对组合描述信息434和描述信息433进行处理、生成对应的处理策略。例如，执行主体可以利用生成式大语言模型450，参考风险标准操作手册461生成用于处理、解决组合风险信息424的处理策略471，参考历史风险处置结果462生成用于处理、解决风险信息423的处理策略472。

最终，执行主体可以结合基础数据、应用480，来执行步骤S405，以执行处理策略471和472。

进一步参考图5，作为对上述各图所示方法的实现，本公开提供了一种处理风险的装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图5所示，本实施例的处理风险的装置500可以包括：风险信息识别单元501、描述信息提取单元502、处理策略生成单元503和处理策略执行单元504。其中，风险信息识别单元501，被配置成获取日志信息，识别日志信息中是否存在风险信息；描述信息提取单元502，被配置成响应于日志信息中存在风险信息，从日志信息中获取与风险信息相关联的描述信息；处理策略生成单元503，被配置成利用策略模型处理描述信息，生成用于处理风险信息的处理策略，其中，策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；处理策略执行单元504，被配置成执行处理策略。

在本实施例中，处理风险的装置500中：风险信息识别单元501、描述信息提取单元502、处理策略生成单元503和处理策略执行单元504的具体处理及其所带来的技术效果可分别参考图2对应实施例中的步骤201-204的相关说明，在此不再赘述。

在本实施例的一些可选的实现方式中，装置500还包括：第一风险类别获取单元，被配置成响应于存在多条风险信息，获取各个风险信息所属的风险类别；同类告警合并单元，被配置成响应于存在属于同一目标风险类别的目标风险信息，合并目标风险信息和对应的描述信息，得到组合风险信息和组合描述信息；以及处理策略生成单元503，进一步被配置成，利用策略模型处理组合描述信息，生成用于处理组合风险信息的处理策略。

在本实施例的一些可选的实现方式中，处理策略生成单元503，进一步被配置成，响应于风险信息为第一次被识别出的新历史风险信息，利用策略模型处理描述信息，生成用于处理风险信息的处理策略。

在本实施例的一些可选的实现方式中，装置500还包括：历史告警提示单元，被配置成响应于风险信息为曾经被识别出过至少一次的历史风险信息，将历史风险信息发送至目标用户设备。

在本实施例的一些可选的实现方式中，装置500还包括：第二风险类别获取单元，被配置成获取风险信息所属的风险类别；策略和结果推送单元，被配置成响应于风险类别为预先配置的目标类型，将处理策略和处理结果发送至目标用户设备。

在本实施例的一些可选的实现方式中，风险信息识别单元501，进一步被配置成，利用预先配置的风险检测模型，处理日志信息，识别日志信息中是否存在风险信息，其中，风险检测模型用于表征作为模型输入的日志信息与作为输出的风险信息之间的对应关系。

在本实施例的一些可选的实现方式中，风险检测模型基于生成式大语言模型的模型框架训练得到。

在本实施例的一些可选的实现方式中，装置500还包括：处理策略推送单元，被配置成将处理策略发送至目标用户设备；以及处理策略执行单元，进一步被配置成，响应于目标用户设备针对处理策略返回确认信息，执行处理策略。

在本实施例的一些可选的实现方式中，策略模型基于生成式大语言模型的模型框架训练得到。

本实施例作为对应于上述方法实施例的装置实施例存在，本实施例提供的处理风险的装置，在识别到日志信息中存在风险时，利用基于风险标准操作手册和/或历史风险处置结果训练的策略处理模型，自动地生成用于处理所识别出的风险信息的处理策略，并通过执行该处理策略来解决该风险。由此，能够自动地识别、处理存在的风险信息，不仅能够降低系统的维护难度，还能够提升对于风险的处理效率，能够更好地保障系统的运行安全。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。

图6示出了可以用来实施本公开的实施例的示例电子设备600的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

如图6所示，设备600包括计算单元601，其可以根据存储在只读存储器(ROM)602中的计算机程序或者从存储单元608加载到随机访问存储器(RAM)603中的计算机程序，来执行各种适当的动作和处理。在RAM 603中，还可存储设备600操作所需的各种程序和数据。计算单元601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

设备600中的多个部件连接至I/O接口605，包括：输入单元606，例如键盘、鼠标等；输出单元607，例如各种类型的显示器、扬声器等；存储单元608，例如磁盘、光盘等；以及通信单元609，例如网卡、调制解调器、无线通信收发机等。通信单元609允许设备600通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

计算单元601可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元601的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元601执行上文所描述的各个方法和处理，例如处理风险的方法。例如，在一些实施例中，处理风险的方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元608。在一些实施例中，计算机程序的部分或者全部可以经由ROM 602和/或通信单元609而被载入和/或安装到设备600上。当计算机程序加载到RAM 603并由计算单元601执行时，可以执行上文描述的处理风险的方法的一个或多个步骤。备选地，在其他实施例中，计算单元601可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行处理风险的方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决传统物理主机与虚拟专用服务器(VPS，Virtual Private Server)服务中存在的管理难度大，业务扩展性弱的缺陷。服务器也可以分为分布式系统的服务器，或者是结合了区块链的服务器。

根据本公开实施例的技术方案，在识别到日志信息中存在风险时，利用基于风险标准操作手册和/或历史风险处置结果训练的策略处理模型，自动地生成用于处理所识别出的风险信息的处理策略，并通过执行该处理策略来解决该风险。由此，能够自动地识别、处理存在的风险信息，不仅能够降低系统的维护难度，还能够提升对于风险的处理效率，能够更好地保障系统的运行安全。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开提供的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (21)

1.一种处理风险的方法，包括：

获取日志信息，识别所述日志信息中是否存在风险信息；

响应于日志信息中存在所述风险信息，从所述日志信息中获取与所述风险信息相关联的描述信息；

利用策略模型处理所述描述信息，生成用于处理所述风险信息的处理策略，其中，所述策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；

执行所述处理策略。

2.根据权利要求1所述的方法，还包括：

响应于存在多条所述风险信息，获取各个所述风险信息所属的风险类别；

响应于存在属于同一目标风险类别的目标风险信息，合并所述目标风险信息和对应的描述信息，得到组合风险信息和组合描述信息；以及

所述利用策略模型处理所述描述信息，生成用于处理所述风险信息的处理策略，包括：

利用策略模型处理所述组合描述信息，生成用于处理所述组合风险信息的处理策略。

3.根据权利要求1所述的方法，其中，所述利用策略模型处理所述描述信息，生成用于处理所述风险信息的处理策略，包括：

响应于所述风险信息为第一次被识别出的新历史风险信息，利用策略模型处理所述描述信息，生成用于处理所述风险信息的处理策略。

4.根据权利要求3所述的方法，还包括：

响应于所述风险信息为曾经被识别出过至少一次的历史风险信息，将所述历史风险信息发送至目标用户设备。

5.根据权利要求1所述的方法，还包括：

获取所述风险信息所属的风险类别；

响应于所述风险类别为预先配置的目标类型，将所述处理策略和处理结果发送至目标用户设备。

6.根据权利要求1所述的方法，其中，所述获取日志信息，识别所述日志信息中是否存在风险信息，包括：

利用预先配置的风险检测模型，处理所述日志信息，识别所述日志信息中是否存在风险信息，其中，所述风险检测模型用于表征作为模型输入的日志信息与作为输出的风险信息之间的对应关系。

7.根据权利要求6所述的方法，其中所述风险检测模型基于生成式大语言模型的模型框架训练得到。

8.根据权利要求1所述的方法，还包括：

将所述处理策略发送至目标用户设备；以及

所述执行所述处理策略，包括：

响应于所述目标用户设备针对所述处理策略返回确认信息，执行所述处理策略。

9.根据权利要求1-8中任一项所述的方法，其中，所述策略模型基于生成式大语言模型的模型框架训练得到。

10.一种处理风险的装置，包括：

风险信息识别单元，被配置成获取日志信息，识别所述日志信息中是否存在风险信息；

描述信息提取单元，被配置成响应于日志信息中存在所述风险信息，从所述日志信息中获取与所述风险信息相关联的描述信息；

处理策略生成单元，被配置成利用策略模型处理所述描述信息，生成用于处理所述风险信息的处理策略，其中，所述策略处理模型基于风险标准操作手册和/或历史风险处置结果被训练；

处理策略执行单元，被配置成执行所述处理策略。

11.根据权利要求10所述的装置，还包括：

第一风险类别获取单元，被配置成响应于存在多条所述风险信息，获取各个所述风险信息所属的风险类别；

同类告警合并单元，被配置成响应于存在属于同一目标风险类别的目标风险信息，合并所述目标风险信息和对应的描述信息，得到组合风险信息和组合描述信息；以及

所述处理策略生成单元，进一步被配置成，利用策略模型处理所述组合描述信息，生成用于处理所述组合风险信息的处理策略。

12.根据权利要求10所述的装置，所述处理策略生成单元，进一步被配置成，响应于所述风险信息为第一次被识别出的新历史风险信息，利用策略模型处理所述描述信息，生成用于处理所述风险信息的处理策略。

13.根据权利要求12所述的装置，还包括：

历史告警提示单元，被配置成响应于所述风险信息为曾经被识别出过至少一次的历史风险信息，将所述历史风险信息发送至目标用户设备。

14.根据权利要求10所述的装置，还包括：

第二风险类别获取单元，被配置成获取所述风险信息所属的风险类别；

策略和结果推送单元，被配置成响应于所述风险类别为预先配置的目标类型，将所述处理策略和处理结果发送至目标用户设备。

15.根据权利要求10所述的装置，其中，所述风险信息识别单元，进一步被配置成，利用预先配置的风险检测模型，处理所述日志信息，识别所述日志信息中是否存在风险信息，其中，所述风险检测模型用于表征作为模型输入的日志信息与作为输出的风险信息之间的对应关系。

16.根据权利要求15所述的装置，其中所述风险检测模型基于生成式大语言模型的模型框架训练得到。

17.根据权利要求10所述的装置，还包括：

处理策略推送单元，被配置成将所述处理策略发送至目标用户设备；以及

所述处理策略执行单元，进一步被配置成，响应于所述目标用户设备针对所述处理策略返回确认信息，执行所述处理策略。

18.根据权利要求10-17中任一项所述的装置，其中，所述策略模型基于生成式大语言模型的模型框架训练得到。

19.一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-9中任一项所述的处理风险的方法。

20.一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行权利要求1-9中任一项所述的处理风险的方法。

21.一种计算机程序产品，包括计算机程序，所述计算机程序在被处理器执行时实现根据权利要求1-9中任一项所述的处理风险的方法。