一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方法及系統(tǒng)的制作方法
【專利摘要】本發(fā)明提供了一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方法及系統(tǒng)，該方法包括在傳統(tǒng)的交叉關(guān)聯(lián)表的基礎(chǔ)之上增加事件目的ip和狀態(tài)state兩項(xiàng)內(nèi)容，使改進(jìn)的交叉關(guān)聯(lián)表包含：事件目的ip、事件設(shè)備號(hào)id、事件類型號(hào)sid、關(guān)聯(lián)事件設(shè)備號(hào)id_reference、關(guān)聯(lián)事件類型號(hào)sid_reference、關(guān)聯(lián)事件狀態(tài)state。本發(fā)明提高了交叉關(guān)聯(lián)算法的正確性和有效性，降低了安全管理平臺(tái)產(chǎn)生誤告警以及冗余告警信息的概率。
【專利說明】一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方法及系統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及計(jì)算機(jī)【技術(shù)領(lǐng)域】，具體涉及一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方 法及系統(tǒng)。

【背景技術(shù)】
[0002] 安全管理平臺(tái)集成了多種網(wǎng)絡(luò)安全設(shè)備例如防火墻，入侵檢測(cè)工具，漏掃工具，資 產(chǎn)掃描工具等的日志信息，并根據(jù)不同的算法提取出有效的日志，轉(zhuǎn)換成安全事件進(jìn)行關(guān) 聯(lián)分析，并根據(jù)一定的計(jì)算公式計(jì)算事件的風(fēng)險(xiǎn)值，產(chǎn)生新的告警信息。為了減少無效的報(bào) 警，將入侵檢測(cè)獲得的信息與漏洞掃描獲得的信息進(jìn)行關(guān)聯(lián)，判斷系統(tǒng)是否容易受到某種 安全事件的威脅，從而決定是否產(chǎn)生相應(yīng)的報(bào)警。這種關(guān)聯(lián)方法也稱為漏洞關(guān)聯(lián)，在一定程 度上有助于識(shí)別系統(tǒng)中的誤報(bào)警。除了將入侵檢測(cè)信息與漏洞信息進(jìn)行關(guān)聯(lián)外，現(xiàn)有的安 全管理平臺(tái)還增加了其他安全檢測(cè)信息之間的關(guān)聯(lián)，比如防火墻與漏洞信息之間的關(guān)聯(lián)， 這種關(guān)聯(lián)方法也可以統(tǒng)一的稱為交叉關(guān)聯(lián)方法。
[0003] 現(xiàn)有的交叉關(guān)聯(lián)技術(shù)在上報(bào)的安全事件出現(xiàn)較大的時(shí)間延誤或者某個(gè)漏洞已經(jīng) 被處理，但未及時(shí)更新的情況時(shí)，容易造成重復(fù)處理，或錯(cuò)誤的處理，降低了交叉關(guān)聯(lián)的效 率。


【發(fā)明內(nèi)容】

[0004] 針對(duì)現(xiàn)有技術(shù)的不足，本發(fā)明提供一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方法及 系統(tǒng)，提高了交叉關(guān)聯(lián)算法的正確性和有效性，降低了安全管理平臺(tái)產(chǎn)生誤告警以及冗余 告警信息的概率。
[0005] 為實(shí)現(xiàn)上述目的，本發(fā)明通過以下技術(shù)方案予以實(shí)現(xiàn)：
[0006] -種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方法，該方法包括：
[0007] S1.在傳統(tǒng)的交叉關(guān)聯(lián)表的基礎(chǔ)之上增加事件目的ip和狀態(tài)state兩項(xiàng)內(nèi)容，使 改進(jìn)的交叉關(guān)聯(lián)表包含：事件目的ip、事件設(shè)備號(hào)id、事件類型號(hào)sid、關(guān)聯(lián)事件設(shè)備號(hào)id_ reference、關(guān)聯(lián)事件類型號(hào)sid_reference、關(guān)聯(lián)事件狀態(tài)state ;其中，所述關(guān)聯(lián)事件狀 態(tài) state 的值為 old、closed 或 new ;
[0008] S2.對(duì)于狀態(tài)為new的事件，根據(jù)該事件設(shè)備號(hào)id、事件類型號(hào)sid查找所述改進(jìn) 的交叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將該事件目的ip存入所述改進(jìn)的交叉關(guān)聯(lián)表中；否則， 丟棄該事件；
[0009] S3.判斷所述事件的目的ip與其關(guān)聯(lián)事件的目的ip是否匹配，如果ip匹配，則 判斷關(guān)聯(lián)事件狀態(tài)state,若state為new,執(zhí)行步驟S4 ;若state為old,執(zhí)行步驟S5 ;若 state為closed,執(zhí)行步驟S6 ;如果ip不匹配，則丟棄該關(guān)聯(lián)事件；
[0010] S4.提升所述關(guān)聯(lián)事件的優(yōu)先級(jí)；
[0011] S5.判斷state為old狀態(tài)持續(xù)時(shí)間是否超過預(yù)設(shè)的閾值，若是，丟棄該關(guān)聯(lián)事件； 否則，提升所述關(guān)聯(lián)事件的優(yōu)先級(jí)；
[0012] S6.丟棄該關(guān)聯(lián)事件。
[0013] 優(yōu)選地，所述事件的目的ip為受攻擊的主機(jī)ip或網(wǎng)段ip。
[0014] 優(yōu)選地，該方法還包括：對(duì)于狀態(tài)為closed的事件，根據(jù)該事件設(shè)備號(hào)id、事件類 型號(hào)sid查找所述改進(jìn)的交叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將關(guān)聯(lián)事件的狀態(tài)改為closed。
[0015] 優(yōu)選地，該方法還包括：每隔設(shè)定的時(shí)間間隔，將交叉關(guān)聯(lián)表中狀態(tài)為closed的 事件記錄清除。
[0016] 優(yōu)選地，該方法還包括：判斷關(guān)聯(lián)事件是否產(chǎn)生告警，若產(chǎn)生告警，則存儲(chǔ)兩個(gè)關(guān) 聯(lián)事件，其中，判斷關(guān)聯(lián)事件是否產(chǎn)生告警的方法為：
[0017] S51.設(shè)定告警閾值；
[0018] S52.獲取所述關(guān)聯(lián)事件的優(yōu)先級(jí)、可靠性、源ip和目地ip主機(jī)的資產(chǎn)重要性，根 據(jù)公式：risk =(可靠性*優(yōu)先級(jí)*ip主機(jī)重要性）/預(yù)設(shè)值，分別計(jì)算該關(guān)聯(lián)事件在源 ip和目的ip主機(jī)上對(duì)應(yīng)的風(fēng)險(xiǎn)值，比較這兩個(gè)風(fēng)險(xiǎn)值，取較大的作為所述關(guān)聯(lián)事件的風(fēng)險(xiǎn) 值；
[0019] S53.判斷所述關(guān)聯(lián)事件的風(fēng)險(xiǎn)值是否超過設(shè)定的告警閾值，若超過，則產(chǎn)生告警， 否則，不告警。
[0020] 一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)系統(tǒng)，該系統(tǒng)包括：
[0021] 交叉關(guān)聯(lián)表設(shè)置模塊，用于在傳統(tǒng)的交叉關(guān)聯(lián)表的基礎(chǔ)之上增加事件目的ip和 狀態(tài)state兩項(xiàng)內(nèi)容，使改進(jìn)的交叉關(guān)聯(lián)表包含：事件目的ip、事件設(shè)備號(hào)id、事件類型 號(hào)sid、關(guān)聯(lián)事件設(shè)備號(hào)id_reference、關(guān)聯(lián)事件類型號(hào)sid_reference、關(guān)聯(lián)事件狀態(tài) state ;其中，所述關(guān)聯(lián)事件狀態(tài)state的值為old、closed或new ;
[0022] 改進(jìn)交叉關(guān)聯(lián)表更新模塊，用于對(duì)于狀態(tài)為new的事件，根據(jù)該事件設(shè)備號(hào)id、事 件類型號(hào)sid查找所述改進(jìn)的交叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將該事件目的ip存入所述 改進(jìn)的交叉關(guān)聯(lián)表中；
[0023] 匹配判斷模塊，用于判斷所述事件的目的ip與其關(guān)聯(lián)事件的目的ip是否匹配，如 果ip匹配，則執(zhí)行關(guān)聯(lián)狀態(tài)判斷模塊；如果ip不匹配，則執(zhí)行第二執(zhí)行模塊；
[0024] 關(guān)聯(lián)狀態(tài)判斷模塊，用于判斷關(guān)聯(lián)事件狀態(tài)state，若state為new，執(zhí)行第一執(zhí)行 模塊；若state為old,執(zhí)行超時(shí)判斷模塊；若state為closed,執(zhí)行第二執(zhí)行模塊；
[0025] 超時(shí)判斷模塊，用于判斷state為old狀態(tài)持續(xù)時(shí)間是否超過預(yù)設(shè)的閾值，若是， 執(zhí)行第二執(zhí)行模塊；否則，執(zhí)行第一執(zhí)行模塊；
[0026] 第一執(zhí)行模塊，用于提升所述關(guān)聯(lián)事件的優(yōu)先級(jí)；
[0027] 第二執(zhí)行模塊，用于丟棄該關(guān)聯(lián)事件。
[0028] 優(yōu)選地，所述事件的目的ip為受攻擊的主機(jī)ip或網(wǎng)段ip。
[0029] 優(yōu)選地，該系統(tǒng)還包括closed狀態(tài)事件處理模塊，用于對(duì)狀態(tài)為closed的事件， 根據(jù)該事件設(shè)備號(hào)id、事件類型號(hào)sid查找所述改進(jìn)的交叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將 關(guān)聯(lián)事件的狀態(tài)改為closed。
[0030] 優(yōu)選地，該系統(tǒng)還包括記錄清除模塊，用于每隔設(shè)定的時(shí)間間隔，將交叉關(guān)聯(lián)表中 狀態(tài)為closed的事件記錄清除。
[0031] 優(yōu)選地，該系統(tǒng)還包括告警模塊，包括告警判斷單元和存儲(chǔ)單元，告警判斷單元用 于判斷關(guān)聯(lián)事件是否產(chǎn)生告警，若產(chǎn)生告警，并則執(zhí)行存儲(chǔ)單元；
[0032] 存儲(chǔ)單元，用于存儲(chǔ)兩個(gè)關(guān)聯(lián)事件；
[0033] 其中，告警判斷單元包括：
[0034] 告警閾值設(shè)定子單元，用于設(shè)定告警閾值；
[0035] 風(fēng)險(xiǎn)值計(jì)算子單元，用于獲取所述關(guān)聯(lián)事件的優(yōu)先級(jí)、可靠性、源ip和目地ip主 機(jī)的資產(chǎn)重要性，根據(jù)公式：risk =(可靠性*優(yōu)先級(jí)*ip主機(jī)重要性）/預(yù)設(shè)值，分別計(jì) 算該關(guān)聯(lián)事件在源ip和目的ip主機(jī)上對(duì)應(yīng)的風(fēng)險(xiǎn)值，比較這兩個(gè)風(fēng)險(xiǎn)值，取較大的作為所 述關(guān)聯(lián)事件的風(fēng)險(xiǎn)值；
[0036] 判斷子單元，用于判斷所述關(guān)聯(lián)事件的風(fēng)險(xiǎn)值是否超過設(shè)定的告警閾值，若超過， 則產(chǎn)生告警，否則，不告警。
[0037] 本發(fā)明至少具有如下的有益效果：
[0038] 現(xiàn)有技術(shù)不能實(shí)時(shí)的對(duì)安全事件進(jìn)行處理，需要經(jīng)常更新漏洞庫，以保證關(guān)聯(lián)的 正確性。本發(fā)明在關(guān)聯(lián)方法中考慮了安全事件的狀態(tài)，能夠保證對(duì)系統(tǒng)實(shí)時(shí)安全狀態(tài)的處 理，以受攻擊主機(jī)的ip做為關(guān)聯(lián)的一個(gè)條件，則能夠更產(chǎn)生更準(zhǔn)確的關(guān)聯(lián)結(jié)果，減少誤報(bào) 和冗余告警事件，減輕安全管理平臺(tái)處理報(bào)警的壓力。

【專利附圖】

【附圖說明】
[0039] 為了更清楚地說明本發(fā)明實(shí)施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對(duì)實(shí)施例或現(xiàn) 有技術(shù)描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖是本發(fā)明 的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù) 這些附圖獲得其他的附圖。
[0040] 圖1是本發(fā)明一個(gè)實(shí)施例中基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)的流程圖；
[0041] 圖2是本發(fā)明一個(gè)實(shí)施例中基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)系統(tǒng)的結(jié)構(gòu)示意 圖。

【具體實(shí)施方式】
[0042] 為使本發(fā)明實(shí)施例的目的、技術(shù)方案和優(yōu)點(diǎn)更加清楚，下面將結(jié)合本發(fā)明實(shí)施例 中的附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清楚、完整的描述，顯然，所描述的實(shí)施例是 本發(fā)明一部分實(shí)施例，而不是全部的實(shí)施例?；诒景l(fā)明中的實(shí)施例，本領(lǐng)域普通技術(shù)人員 在沒有作出創(chuàng)造性勞動(dòng)前提下所獲得的所有其他實(shí)施例，都屬于本發(fā)明保護(hù)的范圍。
[0043] 交叉關(guān)聯(lián)算法是關(guān)聯(lián)分析模塊的一個(gè)重要的算法，其主要思想是根據(jù)交叉關(guān)聯(lián)表 判斷兩個(gè)事件是否相關(guān)，從而產(chǎn)生新的關(guān)聯(lián)事件。傳統(tǒng)的交叉關(guān)聯(lián)表中只有確定事件類別 的id (產(chǎn)生事件的設(shè)備號(hào)）和sid (該設(shè)備產(chǎn)生的事件類型號(hào)）屬性對(duì)，以及與之相關(guān)聯(lián)事 件的屬性對(duì)。詳細(xì)的關(guān)聯(lián)表如下：
[0044] 表一：傳統(tǒng)的交叉關(guān)聯(lián)表 [0045]

【權(quán)利要求】
1. 一種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)方法，其特征在于，該方法包括：
51. 在傳統(tǒng)的交叉關(guān)聯(lián)表的基礎(chǔ)之上增加事件目的ip和狀態(tài)state兩項(xiàng)內(nèi)容，使改 進(jìn)的交叉關(guān)聯(lián)表包含：事件目的ip、事件設(shè)備號(hào)id、事件類型號(hào)sid、關(guān)聯(lián)事件設(shè)備號(hào)id_ reference、關(guān)聯(lián)事件類型號(hào)sid_reference、關(guān)聯(lián)事件狀態(tài)state ;其中，所述關(guān)聯(lián)事件狀 態(tài) state 的值為 old、closed 或 new ;
52. 對(duì)于狀態(tài)為new的事件，根據(jù)該事件設(shè)備號(hào)id、事件類型號(hào)sid查找所述改進(jìn)的交 叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將該事件目的ip存入所述改進(jìn)的交叉關(guān)聯(lián)表中；否則，丟棄 該事件；
53. 判斷所述事件的目的ip與其關(guān)聯(lián)事件的目的ip是否匹配，如果ip匹配，則判斷 關(guān)聯(lián)事件狀態(tài)state,若state為new,執(zhí)行步驟S4 ;若state為old,執(zhí)行步驟S5 ;若state 為closed,執(zhí)行步驟S6 ;如果ip不匹配，則丟棄該關(guān)聯(lián)事件；
54. 提升所述關(guān)聯(lián)事件的優(yōu)先級(jí)；
55. 判斷state為old狀態(tài)持續(xù)時(shí)間是否超過預(yù)設(shè)的閾值，若是，丟棄該關(guān)聯(lián)事件；否 貝1J，提升所述關(guān)聯(lián)事件的優(yōu)先級(jí)；
56. 丟棄該關(guān)聯(lián)事件。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于，所述事件的目的ip為受攻擊的主機(jī)ip或 網(wǎng)段ip。
3. 根據(jù)權(quán)利要求1所述的方法，其特征在于，該方法還包括：對(duì)于狀態(tài)為closed的事 件，根據(jù)該事件設(shè)備號(hào)id、事件類型號(hào)sid查找所述改進(jìn)的交叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事 件，將關(guān)聯(lián)事件的狀態(tài)改為closed。
4. 根據(jù)權(quán)利要求1所述的方法，其特征在于，該方法還包括：每隔設(shè)定的時(shí)間間隔，將 交叉關(guān)聯(lián)表中狀態(tài)為closed的事件記錄清除。
5. 根據(jù)權(quán)利要求1所述的方法，其特征在于，該方法還包括：判斷關(guān)聯(lián)事件是否產(chǎn)生告 警，若產(chǎn)生告警，則存儲(chǔ)兩個(gè)關(guān)聯(lián)事件，其中，判斷關(guān)聯(lián)事件是否產(chǎn)生告警的方法為：
551. 設(shè)定告警閾值；
552. 獲取所述關(guān)聯(lián)事件的優(yōu)先級(jí)、可靠性、源ip和目地ip主機(jī)的資產(chǎn)重要性，根據(jù)公 式：risk =(可靠性*優(yōu)先級(jí)*ip主機(jī)重要性）/預(yù)設(shè)值，分別計(jì)算該關(guān)聯(lián)事件在源ip和 目的ip主機(jī)上對(duì)應(yīng)的風(fēng)險(xiǎn)值，比較這兩個(gè)風(fēng)險(xiǎn)值，取較大的作為所述關(guān)聯(lián)事件的風(fēng)險(xiǎn)值；
553. 判斷所述關(guān)聯(lián)事件的風(fēng)險(xiǎn)值是否超過設(shè)定的告警閾值，若超過，則產(chǎn)生告警，否 貝1J，不告警。
6. -種基于安全管理平臺(tái)的改進(jìn)交叉關(guān)聯(lián)系統(tǒng)，其特征在于，該系統(tǒng)包括： 交叉關(guān)聯(lián)表設(shè)置模塊，用于在傳統(tǒng)的交叉關(guān)聯(lián)表的基礎(chǔ)之上增加事件目的ip和狀態(tài) state兩項(xiàng)內(nèi)容，使改進(jìn)的交叉關(guān)聯(lián)表包含：事件目的ip、事件設(shè)備號(hào)id、事件類型號(hào)sid、 關(guān)聯(lián)事件設(shè)備號(hào)id_reference、關(guān)聯(lián)事件類型號(hào)sid_reference、關(guān)聯(lián)事件狀態(tài)state ;其 中，所述關(guān)聯(lián)事件狀態(tài)state的值為old、closed或new ; 改進(jìn)交叉關(guān)聯(lián)表更新模塊，用于對(duì)于狀態(tài)為new的事件，根據(jù)該事件設(shè)備號(hào)id、事件類 型號(hào)sid查找所述改進(jìn)的交叉關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將該事件目的ip存入所述改進(jìn) 的受叉關(guān)聯(lián)表中； 匹配判斷模塊，用于判斷所述事件的目的ip與其關(guān)聯(lián)事件的目的ip是否匹配，如果ip 匹配，則執(zhí)行關(guān)聯(lián)狀態(tài)判斷模塊；如果ip不匹配，則執(zhí)行第二執(zhí)行模塊； 關(guān)聯(lián)狀態(tài)判斷模塊，用于判斷關(guān)聯(lián)事件狀態(tài)state，若state為new，執(zhí)行第一執(zhí)行模 塊；若state為old,執(zhí)行超時(shí)判斷模塊；若state為closed,執(zhí)行第二執(zhí)行模塊； 超時(shí)判斷模塊，用于判斷state為old狀態(tài)持續(xù)時(shí)間是否超過預(yù)設(shè)的閾值，若是，執(zhí)行 第二執(zhí)行模塊；否則，執(zhí)行第一執(zhí)行模塊； 第一執(zhí)行模塊，用于提升所述關(guān)聯(lián)事件的優(yōu)先級(jí)； 第二執(zhí)行模塊，用于丟棄該關(guān)聯(lián)事件。
7. 根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述事件的目的ip為受攻擊的主機(jī)ip或 網(wǎng)段ip。
8. 根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，該系統(tǒng)還包括closed狀態(tài)事件處理模塊， 用于對(duì)狀態(tài)為closed的事件，根據(jù)該事件設(shè)備號(hào)id、事件類型號(hào)sid查找所述改進(jìn)的交叉 關(guān)聯(lián)表，若查找到關(guān)聯(lián)事件，將關(guān)聯(lián)事件的狀態(tài)改為closed。
9. 根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，該系統(tǒng)還包括記錄清除模塊，用于每隔設(shè) 定的時(shí)間間隔，將交叉關(guān)聯(lián)表中狀態(tài)為closed的事件記錄清除。
10. 根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，該系統(tǒng)還包括告警模塊，包括告警判斷 單元和存儲(chǔ)單元，告警判斷單元用于判斷關(guān)聯(lián)事件是否產(chǎn)生告警，若產(chǎn)生告警，并則執(zhí)行存 儲(chǔ)單元； 存儲(chǔ)單元，用于存儲(chǔ)兩個(gè)關(guān)聯(lián)事件； 其中，告警判斷單元包括： 告警閾值設(shè)定子單元，用于設(shè)定告警閾值； 風(fēng)險(xiǎn)值計(jì)算子單元，用于獲取所述關(guān)聯(lián)事件的優(yōu)先級(jí)、可靠性、源ip和目地ip主機(jī)的 資產(chǎn)重要性，根據(jù)公式：risk =(可靠性*優(yōu)先級(jí)*ip主機(jī)重要性）/預(yù)設(shè)值，分別計(jì)算該 關(guān)聯(lián)事件在源ip和目的ip主機(jī)上對(duì)應(yīng)的風(fēng)險(xiǎn)值，比較這兩個(gè)風(fēng)險(xiǎn)值，取較大的作為所述關(guān) 聯(lián)事件的風(fēng)險(xiǎn)值； 判斷子單元，用于判斷所述關(guān)聯(lián)事件的風(fēng)險(xiǎn)值是否超過設(shè)定的告警閾值，若超過，則產(chǎn) 生告警，否則，不告警。
【文檔編號(hào)】H04L29/06GK104052739SQ201410218900
【公開日】2014年9月17日 申請(qǐng)日期:2014年5月22日 優(yōu)先權(quán)日:2014年5月22日
【發(fā)明者】劉仙鳳 申請(qǐng)人:漢柏科技有限公司