CN113660115B - 基于告警的网络安全数据处理方法、装置及*** - Google Patents

基于告警的网络安全数据处理方法、装置及*** Download PDF

Info

Publication number
CN113660115B
CN113660115B CN202110858836.5A CN202110858836A CN113660115B CN 113660115 B CN113660115 B CN 113660115B CN 202110858836 A CN202110858836 A CN 202110858836A CN 113660115 B CN113660115 B CN 113660115B
Authority
CN
China
Prior art keywords
alarm
information
network
network node
relevance
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110858836.5A
Other languages
English (en)
Other versions
CN113660115A (zh
Inventor
杨腾霄
崔政强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Niudun Technology Co ltd
Original Assignee
Shanghai Niudun Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Niudun Technology Co ltd filed Critical Shanghai Niudun Technology Co ltd
Priority to CN202110858836.5A priority Critical patent/CN113660115B/zh
Publication of CN113660115A publication Critical patent/CN113660115A/zh
Application granted granted Critical
Publication of CN113660115B publication Critical patent/CN113660115B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/069—Management of faults, events, alarms or notifications using logs of notifications; Post-processing of notifications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0604—Management of faults, events, alarms or notifications using filtering, e.g. reduction of information by using priority, element types, position or time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/028—Capturing of monitoring data by filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/143—Termination or inactivation of sessions, e.g. event-controlled end of session

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供了一种基于告警的网络安全数据处理方法、装置及***，涉及网络安全技术领域。所述处理方法包括步骤：采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息；获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；根据前述关联性进行告警相关性分析，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述操作，直至得到告警因果关系。本发明的优势在于：在分析告警信息时，能够选取到准确的数据信息分析告警，并获得最佳的告警因果分析。

Description

基于告警的网络安全数据处理方法、装置及***
技术领域
本发明涉及网络安全技术领域，尤其涉及基于告警的网络安全数据处理。
背景技术
网络管理***，又叫网管***，是一个软硬件结合以软件为主的分布式网络应用***，其目的是管理网络，使网络高效正常运行。
在网管***中，告警信息管理是其中重要的管理功能之一，当设备或链路产生故障时，网管运维人员可以通过网管***中的告警信息快速定位故障点，帮助网管人员进行排查，管理和维护网络安全与稳定。
面对海量的告警信息，现有技术采用告警相关性分析的方式，在分析告警信息的过程中，会出现分析数据的选取不准确导致告警分析得出完全不同结论的状况，如此，会降低网管人员对网络安全的运维管理的工作效率，增加网管人员处理告警的人力和物力成本。基于此，要提供一种基于告警的网络安全数据处理方法、装置及***，在分析告警信息时，能够选取到准确的数据信息分析告警，并获得最佳的告警因果分析，是当前亟需解决的技术问题。
发明内容
本发明的目的在于：克服现有技术的不足，提供一种基于告警的网络安全数据处理方法、装置及***，采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；根据前述关联性进行告警相关性分析，获得判定为强关联性时，建立第一类元数据信息与前述告警信息的告警因果关系。
为解决现有的技术问题，本发明提供了如下技术方案：
一种基于告警的网络安全数据处理方法，其特征在于包括步骤：
采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；
获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；
根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
进一步，所述告警包括紧急告警和非紧急告警，判定为紧急告警时，对对应的网络节点进行安全防御，断开前述网络节点的网络访问，对网络节点所在的网络环境进行故障处理；和/或，定期检测出现过告警的网络节点，将前述网络节点的日志信息发送至网管***进行安全分析。
进一步，所述网络环境中的网络结构包括内部网络结构和外部网络结构；
所述内部网络结构涉及在同一网络环境中发生的同源告警，所述告警信息能够通过同一网络环境下的网管***进行数据采集；
所述外部网络结构涉及在不同网络环境中发生的同源告警，所述告警信息能够通过不同网络环境下的网管***进行数据采集，并对多个网络环境下采集的告警信息进行整合；
所述同源告警是指针对同一触发告警原因的告警。
进一步，在分析前述告警的原因前，对采集和获取到的信息进行数据预处理，得到数据清洗后的数据信息，所述数据清洗后的数据信息包括告警时间、攻击源IP、攻击目的IP、告警名称、源端口以及目的端口。
进一步，所述告警因果关系包括单一告警、同一事件引发的关联告警和多事件引起的关联告警中任一情形，导致告警发生的因果关系。
进一步，所述告警通过网络探针对发生告警的网络节点中未触发告警的端口和/或IP网段进行监控。
进一步，采集前述告警信息中网络节点的IP地址，获取前述IP地址的访问和/或操作记录信息，并进行轨迹追溯和/或轨迹安全分析。
进一步，对所述网络节点的输入/输出端口进行数据监控，在网络环境发生异常变化时，对在前述网络节点的执行的操作进行标注和追溯。
一种基于告警的网络安全数据处理装置，其特征在于包括结构：
信息采集单元，用以采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；
信息判断单元，用以获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；
信息分析单元，根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
一种基于告警的网络安全数据处理***，其特征在于包括：
网络节点，用于收发数据；
网管***，对前述网络节点的数据信息进行安全管理；
***服务器，所述***服务器连接网络节点和网管***；
所述***服务器被配置为：采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
本发明由于采用以上技术方案，与现有技术相比，作为举例，具有以下的优点和积极效果：采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
附图说明
图1为本发明实施例提供的方法的流程图。
图2为本发明实施例提供的装置的结构示意图。
图3为本发明实施例提供的***的结构示意图。
附图标记说明：
装置200，信息采集单元201，信息判断单元202，信息分析单元203；
***300，网络节点301，网管***302，***服务器303。
具体实施方式
以下结合附图和具体实施例对本发明公开的一种基于告警的网络安全数据处理方法、装置及***作进一步详细说明。应当注意的是，下述实施例中描述的技术特征或者技术特征的组合不应当被认为是孤立的，它们可以被相互组合从而达到更好的技术效果。在下述实施例的附图中，各附图所出现的相同标号代表相同的特征或者部件，可应用于不同实施例中。因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。
需说明的是，本说明书所附图中所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定发明可实施的限定条件，任何结构的修饰、比例关系的改变或大小的调整，在不影响发明所能产生的功效及所能达成的目的下，均应落在发明所揭示的技术内容所能涵盖的范围内。本发明的优选实施方式的范围包括另外的实现，其中可以不按所述的或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。
对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。
实施例
参见图1所示，为本发明提供的一个流程图。所述方法的实施步骤S100如下：
S101，采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息。
在本实施例的优选实施方式中，所述告警是一种用于传递告警信息的事件报告，简称告警。
在一次告警中，网管***的监控单元视故障情况给出告警信号，***每接收到一次的告警信号，就代表一次告警事件的发生，并通过告警信息的形式进行故障描述，并在网管***的告警信息管理中心显示告警信息。所述故障是通过网络中的设备产生的告警原因。
所述告警信息包括但不限制于有关故障设备名称、故障症状、发生部位、发生时间、发生原因等信息。
所述网络节点，是指处于网络环境中具有独立网络地址和数据处理功能的终端，所述的数据处理功能包括但不限于传送数据、接收数据和/或分析数据的功能。网络节点可以是工作站、客户、网络用户或个人计算机，也可以是服务器、打印机和其他网络连接的设备。整个网络环境中包括多个网络节点，这些网络节点通过通信线路连接，形成网络拓扑结构。所述通信线路可以是有线通信方式，也可以是无线通信方式。
所述网络节点的日志信息是指网络设备、***及服务程序等，在运作时产生的事件记录，其中，每一行日志都记载着日期、时间、使用者及动作等相关操作的描述。所述网络节点的日志信息包括但不限于下述信息：
连接持续的时间，其数值以秒为单位，例如，其数值范围可以是：[0，58329]；
协议类型，包括但不限于TCP、UDP、ICMP；
目标主机的网络服务类型；
连接正常或错误的状态；
从源主机到目标主机的数据字节数，例如，其数值范围可以是：[0,1379963888]；
从目标主机到源主机的数据字节数，例如，其数值范围可以是：
[0,1309937401]；
连接是否来自同一个主机，是否有相同的端口；
错误分段的数量，例如，其数值范围可以是：[0,3];
加急包的个数，例如，其数值范围可以是：[0,14]。
所述的定期检测可以设置检测时间或是检测时间周期，所述的定期检测可以是下述项目，包括但不限于：
网页防篡改，用以实时监控网站目录并通过备份恢复被篡改的文件或目录，保障重要***的网站信息不被恶意篡改，防止出现挂马、黑链、非法植入恐怖威胁等内容。
进程异常行为，用以检测资产中是否存在超出正常执行流程的行为。
异常登录，用以检测服务器上的异常登录行为。所述异常登录可以是ECS非合法IP登录、ECS在非常用地登录、ECS登录后执行异常指令序列等。
敏感文件篡改，用以检测是否存在对服务器中的敏感文件进行恶意修改。
恶意进程，用以实时检测服务器，并对检测到的病毒文件提供实时告警。可检测子项包括访问恶意IP、挖矿程序、自变异木马、恶意程序、木马程序等。
异常网络连接，检测网络显示断开或不正常的网络连接状态。所述异常网络连接可以是主动连接恶意下载源、访问恶意域名、矿池通信行为、可疑网络外连、反弹Shell网络外连、Windows异常网络连接、疑似内网横向攻击、疑似敏感端口扫描行为等。
异常账号，用以检测非合法的登录账号。
应用入侵事件，用以检测通过***的应用组件入侵服务器的行为。
病毒检测，可用以对主流勒索病毒、DDoS木马、挖矿和木马程序、恶意程序、后门程序和蠕虫病毒等类型进行主动防御。
Web应用威胁检测，用以检测通过Web应用入侵服务器的行为。
恶意脚本，用以检测资产的***功能是否受到恶意脚本的攻击或篡改，对可能的恶意脚本攻击行为进行告警提示。
威胁情报用以利用威胁情报库对访问流量、日志进行关联分析，识别出可能已经发生的威胁事件，主要包括恶意域名访问、恶意下载源访问、恶意IP访问等不易直接发现的入侵行为。
恶意网络行为通过流量内容、服务器行为等日志综合判断的异常网络行为，包括攻击者通过开放的网络服务入侵主机、或主机沦陷后对外发起的异常网络行为。
所述元数据信息是指对网络节点的信息资源进行描述的信息。通过所述元数据信息对前述信息资源进行识别、评价、以及追踪在使用过程中的变化，从而实现对信息资源的有效发现、查找、一体化组织和对使用资源的有效管理等操作。所述元数据信息包括但不限制于五元组信息、流标识信息和统一资源定位符(英文：Uniform Resource Locator，简称：URL)信息。
此外，由于元数据也是数据，因此可以用类似数据的方法在数据库中进行存储和获取。如果提供数据的组织同时提供描述数据的元数据，则会使元数据的使用变得准确、高效。用户在使用数据时可以首先查看所述数据的元数据，以获取所需信息。因此，所述元数据信息可以从所述网络节点的日志信息中获取得到。
S102，获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性。
所述关联性是指前述操作与操作间存在的某种特定关系，所述特定关系例如因果关系、递进关系等。此处的某种特定关系可以是基于现有的数据挖掘现有技术中的频繁项集挖掘所涉及评价指标，建立告警关联规则进行判定。对应的，所述强关联性和弱关联性可以根据前述告警关联规则的结论得出。
例如，所述历史告警数据中存在形如A→B,B→C,C→D这样的告警关联规则时，这三条规则能够合并为一条规则，随着时间的推移，告警数据量越来越大，且上述告警关联规则依然有效时，则可以认定存在告警关联规则A→D，即告警D是由告警A引起的，告警A与告警D之间具有强关联性，此时，无需关心告警B和C；反之，如果随着时间的推移，告警数据量越来越大，与告警A具有强关联性的告警不再是告警D时，此时，告警A与告警D之间具有弱关联性，此时，仍需关心告警B和C，甚至要考虑新出现的告警E、告警F等，然后结合前述告警关联规则得出具备强关联性的触发告警的原因。
S103，根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
所述告警相关性分析是指对涉及的前述元数据信息，仅从前述元数据信息中选取与触发告警具有强关联性的数据信息进行告警分析，在此期间可以不考虑与触发告警具有弱关联性的数据信息。
优选的，所述告警包括紧急告警和非紧急告警，判定为紧急告警时，对对应的网络节点进行安全防御，断开前述网络节点的网络访问，对网络节点所在的网络环境进行故障处理；和/或，定期检测出现过告警的网络节点，将前述网络节点的日志信息发送至网管***进行安全分析。
所述紧急告警能够对告警中突然发生的异常数据进行报警，所述异常数据可以是异常操作、异常行为、异常数值等；优选的，所产生的紧急告警可以在网管***基于告警数据进行分析后得出，并能够提供显示异常数据的指针；所述非紧急告警是指除紧急告警之外的其它告警情形，针对非紧急告警的情形，可以参照现有技术中针对非紧急告警的处理方案进行处置。
所述故障处理针对网络环境中出现的故障进行排查，包括步骤：观察、描述故障现象，收集可能产生故障原因的信息；分析故障的原因，并制定解决方案；逐一实施解决方案，记录故障排查过程，直至网络恢复正常。
优选的，所述网络环境中的网络结构包括内部网络结构和外部网络结构。
所述内部网络结构涉及在同一网络环境中发生的同源告警，所述告警信息能够通过同一网络环境下的网管***进行数据采集。
所述外部网络结构涉及在不同网络环境中发生的同源告警，所述告警信息能够通过不同网络环境下的网管***进行数据采集，并对多个网络环境下采集的告警信息进行整合。
所述同源告警是指针对同一触发告警原因的告警；所述内部网络结构和所述外部网络结构针对同源告警具有相对性，所述内部网络结构针对在同一网络环境中发生同源告警的情形，而所述外部网络结构针对在跨网络环境下网络节点间相互通信，导致同源告警的情形。
优选的，在分析前述告警的原因前，对采集和获取到的信息进行数据预处理，得到数据清洗后的数据信息，所述数据清洗后的数据信息包括告警时间、攻击源IP、攻击目的IP、告警名称、源端口以及目的端口。
所述数据预处理包括数据清洗操作，在进行数据清洗时，能够滤除无效数据和/或是无用数据，将前述告警信息整理成便于进行分析的数据。
优选的，所述告警因果关系包括单一告警、同一事件引发的关联告警和多事件引起的关联告警中任一情形，导致告警发生的因果关系。
其中，所述同一事件是指基于时间顺序和/或告警事件发展顺序而导致的一系列网管***告警事件，从所述的告警事件中梳理出前述通信路径，例如所述通信路径可以依序为发起方网络节点、中间方网络节点和接收方网络节点，针对所述通信路径执行的操作包括但不限制于访问、编辑、读入和/或存取等。
还需要说明的是，所述告警针对不同的情形会得出完全不同的结论，针对单一告警可以直接从获取到的元数据信息中直接得出触发告警的原因，而在所述同一事件的分析过程中考虑多个因素，所述因素包括但不限制于：告警时间上的关联关系、告警事件前后的因果关系、递进关系等。通过梳理所述同一事件的分析过程，能够从所述告警信息依照时间顺序和/或告警事件发展顺序中得出所述告警的根源告警，即所述告警的触发原因。
优选的，所述告警通过网络探针对发生告警的网络节点中未触发告警的端口和/或IP网段进行监控。所述网络探针是用于捕获、分析网络数据，因此，可以通过网络探针实现对发生告警的网络节点中未触发告警的端口和/或IP网段的监控，在触发告警时，所述告警会显示针对触发告警的网络节点的端口信息，同时，对其他未触发告警的网络节点的端口的执行操作进行监控，能够确保网络安全的实时布控，使前述端口和/或IP网段在未触发告警时保持与其他网络节点的正常通信和稳定运行。
优选的，采集前述告警信息中网络节点的IP地址，获取前述IP地址的访问和/或操作记录信息，并进行轨迹追溯和/或轨迹安全分析。
所述IP地址可以是根据用户遵守的IP协议所提供的统一的地址格式，所述IP地址可以为处于网络环境中的每一个网络节点和用户提出访问申请的终端设备分配一个逻辑地址，以便于网管***对用户的访问路径进行跟踪，以及发生告警时，对告警事件进行追踪溯源。
优选的，对所述网络节点的输入/输出端口进行数据监控，在网络环境发生异常变化时，对在前述网络节点的执行的操作进行标注和追溯。
上述技术方案尤其适用于基于告警实现网络安全数据处理的情形。
其它技术特征参考在前实施例，在此不再赘述。
参见图2所示，本发明还给出了一个实施例，提供了一种基于告警的网络安全数据处理装置200，其特征在于包括结构：
信息采集单元201，用以采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；
信息判断单元202，用以获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；
信息分析单元203，根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
此外，参见图3所示，本发明还给出了一个实施例，提供了一种基于告警的网络安全数据处理***300，其特征在于包括：
网络节点301，用于收发数据；
网管***302，对前述网络节点301的数据信息进行安全管理；
***服务器303，所述***服务器连接网络节点301和网管***302；
所述***服务器303被配置为：
采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；
获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；
根据前述关联性进行告警相关性分析，其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
其它技术特征参见在前实施例，在此不再赘述。
在上面的描述中，在本公开内容的目标保护范围内，各组件可以以任意数目选择性地且操作性地进行合并。另外，像“包括”、“囊括”以及“具有”的术语应当默认被解释为包括性的或开放性的，而不是排他性的或封闭性，除非其被明确限定为相反的含义。所有技术、科技或其他方面的术语都符合本领域技术人员所理解的含义，除非其被限定为相反的含义。在词典里找到的公共术语应当在相关技术文档的背景下不被太理想化或太不实际地解释，除非本公开内容明确将其限定成那样。
虽然已出于说明的目的描述了本公开内容的示例方面，但是本领域技术人员应当意识到，上述描述仅是对本发明较佳实施例的描述，并非对本发明范围的任何限定，本发明的优选实施方式的范围包括另外的实现，其中可以不按所述出现或讨论的顺序来执行功能。本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (10)

1.一种基于告警的网络安全数据处理方法，其特征在于包括步骤：
采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；所述元数据信息是对网络节点的信息资源进行描述的信息；所述元数据信息从所述网络节点的日志信息中获得；
获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；其中，所述关联性是前述二者的因果关系或递进关系，所述因果关系或递进关系是基于数据挖掘中的频繁项集挖掘评价指标，建立告警关联规则判定得到；
根据前述关联性进行告警相关性分析；所述告警相关性分析能够仅从前述元数据信息中选取与触发告警具有强关联性的数据信息进行告警分析；其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
2.根据权利要求1所述的方法，其特征在于，所述告警包括紧急告警和非紧急告警，判定为紧急告警时，对对应的网络节点进行安全防御，断开前述网络节点的网络访问，对网络节点所在的网络环境进行故障处理；
和/或，定期检测出现过告警的网络节点，将前述网络节点的日志信息发送至网管***进行安全分析。
3.根据权利要求2所述的方法，其特征在于，所述网络环境中的网络结构包括内部网络结构和外部网络结构；
所述内部网络结构涉及在同一网络环境中发生的同源告警，所述告警信息能够通过同一网络环境下的网管***进行数据采集；
所述外部网络结构涉及在不同网络环境中发生的同源告警，所述告警信息能够通过不同网络环境下的网管***进行数据采集，并对多个网络环境下采集的告警信息进行整合；
所述同源告警是指针对同一触发告警原因的告警。
4.根据权利要求1所述的方法，其特征在于，在分析前述告警的原因前，对采集和获取到的信息进行数据预处理，得到数据清洗后的数据信息，所述数据清洗后的数据信息包括告警时间、攻击源IP、攻击目的IP、告警名称、源端口以及目的端口。
5.根据权利要求1所述的方法，其特征在于，所述告警因果关系包括单一告警、同一事件引发的关联告警和多事件引起的关联告警中任一情形，导致告警发生的因果关系。
6.根据权利要求1所述的方法，其特征在于，所述告警通过网络探针对发生告警的网络节点中未触发告警的端口和/或IP网段进行监控。
7.根据权利要求1所述的方法，其特征在于，采集前述告警信息中网络节点的IP地址，获取前述IP地址的访问和/或操作记录信息，并进行轨迹追溯和/或轨迹安全分析。
8.根据权利要求1所述的方法，其特征在于，对所述网络节点的输入/输出端口进行数据监控，在网络环境发生异常变化时，对在前述网络节点的执行的操作进行标注和追溯。
9.一种基于告警的网络安全数据处理装置，其特征在于包括结构：
信息采集单元，用以采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；所述元数据信息是对网络节点的信息资源进行描述的信息；所述元数据信息从所述网络节点的日志信息中获得；
信息判断单元，用以获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；其中，所述关联性是前述二者的因果关系或递进关系，所述因果关系或递进关系是基于数据挖掘中的频繁项集挖掘评价指标，建立告警关联规则判定得到；
信息分析单元，根据前述关联性进行告警相关性分析；所述告警相关性分析能够仅从前述元数据信息中选取与触发告警具有强关联性的数据信息进行告警分析；其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
10.一种基于告警的网络安全数据处理***，其特征在于包括：
网络节点，用于收发数据；
网管***，对前述网络节点的数据信息进行安全管理；
***服务器，所述***服务器连接网络节点和网管***；
所述***服务器被配置为：
采集网管***中的告警信息，以及与前述告警信息相关的网络节点的日志信息，所述日志信息包括多种类型的元数据信息；所述元数据信息是对网络节点的信息资源进行描述的信息；所述元数据信息从所述网络节点的日志信息中获得；
获取前述网络节点的日志信息中的第一类元数据信息，判断前述告警信息与前述第一类元数据信息之间的关联性；所述关联性是指前述告警信息与前述第一类元数据信息的匹配关系，二者匹配时判定为强关联性，否则判定为弱关联性；其中，所述关联性是前述二者的因果关系或递进关系，所述因果关系或递进关系是基于数据挖掘中的频繁项集挖掘评价指标，建立告警关联规则判定得到；
根据前述关联性进行告警相关性分析；所述告警相关性分析能够仅从前述元数据信息中选取与触发告警具有强关联性的数据信息进行告警分析；其中，判定为强关联性时建立第一类元数据信息与前述告警信息的告警因果关系，结束告警相关性分析；否则，依次获取前述网络节点的日志信息的其它类型的元数据信息，重复执行前述判断操作和告警相关性分析操作，直至得到告警因果关系。
CN202110858836.5A 2021-07-28 2021-07-28 基于告警的网络安全数据处理方法、装置及*** Active CN113660115B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110858836.5A CN113660115B (zh) 2021-07-28 2021-07-28 基于告警的网络安全数据处理方法、装置及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110858836.5A CN113660115B (zh) 2021-07-28 2021-07-28 基于告警的网络安全数据处理方法、装置及***

Publications (2)

Publication Number Publication Date
CN113660115A CN113660115A (zh) 2021-11-16
CN113660115B true CN113660115B (zh) 2023-10-03

Family

ID=78490793

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110858836.5A Active CN113660115B (zh) 2021-07-28 2021-07-28 基于告警的网络安全数据处理方法、装置及***

Country Status (1)

Country Link
CN (1) CN113660115B (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114338825B (zh) * 2021-12-15 2022-11-29 ***数智科技有限公司 基于TR069协议的SRv6网络分布式日志压缩方法
CN114760185A (zh) * 2022-03-15 2022-07-15 深信服科技股份有限公司 告警信息处理方法、装置、电子设备及存储介质
CN115037643B (zh) * 2022-03-25 2023-05-30 武汉烽火技术服务有限公司 一种网络健康状态数据采集标注的方法和装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017016386A1 (zh) * 2015-07-28 2017-02-02 中兴通讯股份有限公司 一种实现射频拉远单元故障分析的方法和装置
CN109151867A (zh) * 2017-06-15 2019-01-04 中兴通讯股份有限公司 一种告警分析方法、装置及基站
CN110149350A (zh) * 2019-06-24 2019-08-20 国网安徽省电力有限公司信息通信分公司 一种告警日志关联的网络攻击事件分析方法及装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017016386A1 (zh) * 2015-07-28 2017-02-02 中兴通讯股份有限公司 一种实现射频拉远单元故障分析的方法和装置
CN109151867A (zh) * 2017-06-15 2019-01-04 中兴通讯股份有限公司 一种告警分析方法、装置及基站
CN110149350A (zh) * 2019-06-24 2019-08-20 国网安徽省电力有限公司信息通信分公司 一种告警日志关联的网络攻击事件分析方法及装置

Also Published As

Publication number Publication date
CN113660115A (zh) 2021-11-16

Similar Documents

Publication Publication Date Title
CN113660115B (zh) 基于告警的网络安全数据处理方法、装置及***
US9848004B2 (en) Methods and systems for internet protocol (IP) packet header collection and storage
US7903566B2 (en) Methods and systems for anomaly detection using internet protocol (IP) traffic conversation data
US7995496B2 (en) Methods and systems for internet protocol (IP) traffic conversation detection and storage
US20100031093A1 (en) Internal tracing method for network attack detection
US20030084328A1 (en) Method and computer-readable medium for integrating a decode engine with an intrusion detection system
CN114006723B (zh) 基于威胁情报的网络安全预测方法、装置及***
CN113839935B (zh) 网络态势感知方法、装置及***
US8762515B2 (en) Methods and systems for collection, tracking, and display of near real time multicast data
RU2757597C1 (ru) Системы и способы сообщения об инцидентах компьютерной безопасности
Debar et al. Intrusion detection: Introduction to intrusion detection and security information management
US20030084330A1 (en) Node, method and computer readable medium for optimizing performance of signature rule matching in a network
CN112257069A (zh) 一种基于流量数据分析的服务器安全事件审计方法
CN114189361B (zh) 防御威胁的态势感知方法、装置及***
CN114006722B (zh) 发现威胁的态势感知验证方法、装置及***
CN113660223B (zh) 基于告警信息的网络安全数据处理方法、装置及***
CN113794590A (zh) 处理网络安全态势感知信息的方法、装置及***
CN114006719B (zh) 基于态势感知的ai验证方法、装置及***
CN113904920B (zh) 基于失陷设备的网络安全防御方法、装置及***
CN114172881A (zh) 基于预测的网络安全验证方法、装置及***
Kerschbaum et al. Using internal sensors and embedded detectors for intrusion detection
CN116155519A (zh) 威胁告警信息处理方法、装置、计算机设备和存储介质
CN114006802B (zh) 失陷设备的态势感知预测方法、装置及***
CN114006720B (zh) 网络安全态势感知方法、装置及***
Kushwah et al. An approach to meta-alert generation for anomalous tcp traffic

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant