安全事件响应方法及装置制造方法及图纸

本发明专利技术实施例提供了一种安全事件响应方法及装置，其中，安全事件响应方法包括：在网络设备检测到发生安全事件时，获取该安全事件的事件标识以及发生该安全事件的当前时刻，根据事件标识，从配置的安全事件响应策略列表中查找事件标识对应的多个策略标识及多个策略标识分别对应的生效时段，确定匹配当前时刻的生效时段所对应的第一策略标识，执行策略标识为第一策略标识的第一响应策略。同一个安全事件配置了多个响应策略，该安全事件的各响应策略的生效时段不重合，对于一个安全事件在不同时段内可以执行不同的响应策略，有效地应对了复杂的安全事件，增强了安全事件响应的灵活性。

Safety Event Response Method and Device

【技术实现步骤摘要】
安全事件响应方法及装置
本专利技术涉及网络安全
，特别是涉及安全事件响应方法及装置。
技术介绍
随着互联网技术的迅速发展，网络所承载的信息日益丰富，互联网成为人们生活的重要基础设施，给人们的生活带来了极大的便利。与此同时，网络安全问题也日益严重，网络病毒、蠕虫、木马、恶意软件等层出不穷，危害着网络用户的信息安全。安全事件分析是网络安全技术的一个重要手段，常见的安全事件主要有远程木马、恶意式程序攻击、畸形报文攻击、分布式服务、暴力破解、横向渗透等。传统的安全事件分析方法中，应对不同的安全事件，预先配置有对应的响应策略，安全事件与响应策略是一一对应的，当检测到安全事件发生时，直接执行对应的响应策略。然而，安全事件往往是非常复杂的，仅依靠单一的响应策略，通常无法应对复杂的安全事件，导致安全事件响应的灵活性较差。
技术实现思路
有鉴于此，本专利技术提供了一种安全事件响应方法及装置，以提高安全事件响应的灵活性。具体技术方案如下：第一方面，本专利技术实施例提供了一种安全事件响应方法，应用于网络设备，所述网络设备已配置安全事件响应策略列表，所述安全事件响应策略列表包括多个表示安全事件的事件标识、应对每个安全事件的多个响应策略的策略标识以及每个响应策略的生效时段，且每个响应策略的生效时段之间不存在重合时间；所述方法包括：在检测到发生安全事件时，获取所述安全事件的事件标识以及发生所述安全事件的当前时刻；根据所述事件标识，从所述安全事件响应策略列表中查找所述事件标识对应的多个策略标识及所述多个策略标识分别对应的生效时段；确定匹配所述当前时刻的生效时段所对应的第一策略标识；执行第一响应策略，所述第一响应策略的策略标识为所述第一策略标识。第二方面，本专利技术实施例提供了一种安全事件响应装置，应用于网络设备，所述网络设备已配置安全事件响应策略列表，所述安全事件响应策略列表包括多个表示安全事件的事件标识、应对每个安全事件的多个响应策略的策略标识以及每个响应策略的生效时段，且每个响应策略的生效时段之间不存在重合时间；所述装置包括：获取模块，用于在检测到发生安全事件时，获取所述安全事件的事件标识以及发生所述安全事件的当前时刻；查找模块，用于根据所述事件标识，从所述安全事件响应策略列表中查找所述事件标识对应的多个策略标识及所述多个策略标识分别对应的生效时段；确定模块，用于确定匹配所述当前时刻的生效时段所对应的第一策略标识；执行模块，用于执行第一响应策略，所述第一响应策略的策略标识为所述第一策略标识。第三方面，本专利技术实施例提供了一种网络设备，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：执行本专利技术实施例第一方面所述的方法步骤。第四方面，本专利技术实施例提供了一种机器可读存储介质，所述机器可读存储介质内存储有机器可执行指令，所述机器可执行指令被处理器执行时，实现本专利技术实施例第一方面所述的方法步骤。本专利技术实施例提供的一种安全事件响应方法及装置，在网络设备检测到发生安全事件时，获取该安全事件的事件标识以及发生该安全事件的当前时刻，根据事件标识，从配置的安全事件响应策略列表中查找事件标识对应的多个策略标识及多个策略标识分别对应的生效时段，确定匹配当前时刻的生效时段所对应的第一策略标识，执行策略标识为第一策略标识的第一响应策略。由于配置的安全事件响应策略列表包括多个表示安全事件的事件标识、应对每个安全事件的多个响应策略的策略标识以及每个响应策略的生效时段，且每个响应策略的生效时段之间不存在重合时间。同一个安全事件配置了多个响应策略，该安全事件的各响应策略的生效时段不重合，对于同一个安全事件在不同时段内可以执行不同的响应策略，有效地应对了复杂的安全事件，增强了安全事件响应的灵活性。附图说明为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。图1为本专利技术实施例的安全事件响应方法的流程示意图；图2为本专利技术实施例的安全事件响应方法的一实例的流程示意图；图3为本专利技术实施例的安全事件响应装置的结构示意图；图4为本专利技术实施例的网络设备的结构示意图。具体实施方式下面将结合本专利技术实施例中的附图，对本专利技术实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利技术保护的范围。为了提高安全事件响应的灵活性，本专利技术实施例提供了一种安全事件响应方法、装置、网络设备及机器可读存储介质。下面，首先对本专利技术实施例所提供的安全事件响应方法进行介绍。本专利技术实施例所提供的安全事件响应方法可以应用于网络设备，这里所提及的网络设备可以为防火墙设备、安全服务器等，还可以包括显示屏等附加硬件模块。网络设备中配置有安全事件响应策略列表，安全事件响应策略列表包括多个表示安全事件的事件标识、应对每个安全事件的多个响应策略的策略标识以及每个响应策略的生效时段，且每个响应策略的生效时段之间不存在重合时间。用户依据想要对不同的安全事件进行何种处理的实际需求，可以在网络设备上预先对不同的安全事件配置对应的响应策略，其中，针对每一个安全事件可以配置多个响应策略。由于不同的响应策略如果在同一时刻执行，会发生冲突，导致响应策略均无法成功执行，因此，在配置响应策略时，对应配置了每个响应策略的生效时段，并且应对同一安全事件的各响应策略的生效时段之间不能有重合。例如，应对安全事件“恶意程序攻击”，配置有响应策略1、响应策略2、响应策略3、响应策略4及响应策略5，五个响应策略。并且，响应策略1的生效时段为8:00-9:00,13:00-14:00；响应策略2的生效时段为9:00-10:00,14:00-15:00；响应策略3的生效时段为10:00-11:00,15:00-16:00；响应策略4的生效时段为11:00-12:00,16:00-17:00；响应策略5的生效时段为12:00-13:00,17:00-18:00。用户在配置不同安全事件对应的响应策略后，在网络设备上会生成一个安全事件响应策略列表，该列表中记录了表示安全事件的事件标识、响应策略的策略标识、响应策略的生效时段之间的对应关系。具体的，事件标识可以为事件名称、事件描述等，策略标识可以为策略名称、策略描述等。如图1所示，本专利技术实施例所提供的一种安全事件响应方法，可以包括如下步骤。S101，在检测到发生安全事件时，获取该安全事件的事件标识以及发生该安全事件的当前时刻。网络设备在检测到发生安全事件时，可以从该安全事件的属性信息中读取到该安全事件的事件标识，并且可以记录下发生该安全事件的当前时刻。S102，根据该安全事件的事件标识，从安全事件响应策略列表中查找事件标识对应的多个策略标识及多个策略标识分别对应的生效时段。在获取到发生的安全事件的事件标识后，可以从安全事件响应策略列表中对应查找到该安全事件的事件标识所对应的多个响应策略的策略标本文档来自技高网...

【技术保护点】
1.一种安全事件响应方法，其特征在于，应用于网络设备，所述网络设备已配置安全事件响应策略列表，所述安全事件响应策略列表包括多个表示安全事件的事件标识、应对每个安全事件的多个响应策略的策略标识以及每个响应策略的生效时段，且每个响应策略的生效时段之间不存在重合时间；所述方法包括：在检测到发生安全事件时，获取所述安全事件的事件标识以及发生所述安全事件的当前时刻；根据所述事件标识，从所述安全事件响应策略列表中查找所述事件标识对应的多个策略标识及所述多个策略标识分别对应的生效时段；确定匹配所述当前时刻的生效时段所对应的第一策略标识；执行第一响应策略，所述第一响应策略的策略标识为所述第一策略标识。

【技术特征摘要】
1.一种安全事件响应方法，其特征在于，应用于网络设备，所述网络设备已配置安全事件响应策略列表，所述安全事件响应策略列表包括多个表示安全事件的事件标识、应对每个安全事件的多个响应策略的策略标识以及每个响应策略的生效时段，且每个响应策略的生效时段之间不存在重合时间；所述方法包括：在检测到发生安全事件时，获取所述安全事件的事件标识以及发生所述安全事件的当前时刻；根据所述事件标识，从所述安全事件响应策略列表中查找所述事件标识对应的多个策略标识及所述多个策略标识分别对应的生效时段；确定匹配所述当前时刻的生效时段所对应的第一策略标识；执行第一响应策略，所述第一响应策略的策略标识为所述第一策略标识。2.根据权利要求1所述的方法，其特征在于，所述安全事件响应策略列表还包括：每个响应策略的执行类型以及执行类型为自动执行类型的响应策略的生效状态；所述执行第一响应策略之前，所述方法还包括：从所述安全事件响应策略列表中，读取所述第一策略标识对应的执行类型；所述执行第一响应策略，包括：若所述执行类型为自动执行类型，则执行第一响应策略；若所述执行类型为手动执行类型，且所述第一策略标识对应的生效状态为已生效，则执行第一响应策略。3.根据权利要求1所述的方法，其特征在于，所述安全事件响应策略列表还包括：每个响应策略对应的动作执行流程的流程标识；所述执行第一响应策略，包括：提取第一响应策略对应配置的执行动作的动作参数，并判断所述动作参数是否合法；若存在不合法的动作参数，则从所述安全事件响应策略列表中，读取所述第一策略标识对应的流程标识；根据所述流程标识，按照预先设置的所述流程标识对应的动作执行流程，执行所述第一响应策略对应配置的执行动作。4.根据权利要求3所述的方法，其特征在于，所述根据所述流程标识，按照预先设置的所述流程标识对应的动作执行流程，执行所述第一响应策略对应配置的执行动作，包括：若所述流程标识为第一标识，则禁止执行所述第一响应策略对应配置的所有执行动作；若所述流程标识为第二标识，则按照预设执行顺序，依次执行动作参数合法的各执行动作；若所述流程标识为第三标识，则执行任一个动作参数合法的执行动作。5.根据权利要求1所述的方法，其特征在于，所述执行第一响应策略之后，所述方法还包括：针对所述第一响应策略，建立安全事件响应明细列表，所述安全事件响应明细列表记录了执行所述第一响应策略过程中的执行属性信息；显示所述安全事件响应明细列表。6.一种安全事件响应装置，其特征...

【专利技术属性】
技术研发人员：孙尚勇，
申请(专利权)人：新华三信息安全技术有限公司，
类型：发明
国别省市：安徽,34