一种安全事件的可信度确定方法、装置及电子设备制造方法及图纸

本申请提供一种安全事件的可信度确定方法、装置及电子设备，可以通过针对指定时间段中当前时间片内每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与临界特征值确定流量特征属性对应的标记值。从所有指定安全事件中选择与当前时间片内流量行为相关的目标安全事件；并依据当前时间片内各流量特征属性对应的标记值、以及当前时间片内每一目标安全事件的安全事件状态信息确定在指定事件段中当前时间片内目标安全事件的可信度，进而可以动态地确定处目标安全事件的可信度，从而能够适应态势感知的动态场景，降低安全告警的误报率。

【技术实现步骤摘要】
一种安全事件的可信度确定方法、装置及电子设备
本申请涉及安全管理
，尤其涉及一种安全事件的可信度确定方法、装置及电子设备。
技术介绍
安全管理平台所使用的态势感知，SOC，SIME等安全技术，均是以安全大数据为基础，对能够引起网络态势发生变化的要素进行获取、理解、评估、呈现以及对未来发展趋势进行预测。可见，上报到安全管理平台的安全告警是安全管理平台分析的基础。安全告警的正确与否，对安全管理平台分析结果的准确性起着决定作用，若安全告警存在误报的现象，比如入侵防御系统IPS安全事件误报，这将会对后续的安全分析产生巨大的影响。虽然IPS尽可能的减少误报，但是鉴于IPS采用的是静态规则，这也就意味着，其是无法适应态势感知的动态场景，进而产生较高的误报率。
技术实现思路
有鉴于此，本申请提供了一种安全事件的可信度确定方法、装置及电子设备，以在能够适应态势感知的动态场景，降低安全告警的误报率。基于此，本申请是通过如下技术方案实现的：一方面，本申请实施例提供一种安全事件的可信度确定方法，该方法包括：获得指定时间段中当前时间片内至少一个流量特征属性对应的当前流量特征值；针对获得的每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，所述标记值用于指示异常或正常；从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件；依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在所述指定时间段中当前时间片内所述目标安全事件的可信度。本申请的一个实施例中，所述依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，包括：对已获得的前N个时间片内与该流量特征属性对应的流量特征值进行均值计算，得到该流量特征属性对应的基准值；按照预设的3σ算法，对已获得的前N个时间片内与该流量特征属性对应的流量特征值进行计算，得到该流量特征属性对应的3σ值；依据所述基准值和所述3σ值确定所述临界特征值。本申请的一个实施例中，所述依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，包括：比较所述当前流量特征值与所述临界特征值，如果所述当前流量特征值等于所述临界特征值，则将第一值确定为所述当前流量特征值的标记值，所述第一值用于指示正常；如果所述当前流量特征值大于或小于所述临界特征值，则将第二值确定为所述当前流量特征值的标记值，所述第二值用于指示异常。本申请的一个实施例中，所述从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件，包括：依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一指定安全事件的安全事件状态信息确定所述指定安全事件的事件相关系数，所述事件相关系数用于表示所述当前时间片内的流量行为和该指定安全事件之间的相关性，所述安全事件状态信息用于指示是否发生该指定安全事件；从所有指定安全事件中选择事件相关系数大于设定值的指定安全事件作为所述目标安全事件。本申请的一个实施例中，所述依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一指定安全事件的安全事件状态信息确定所述指定安全事件的事件相关系数，包括：如果当前时间片内各流量特征属性对应的标记值中存在确定为第二值的标记值，则将所述第二值确定为所述当前时间片对应的综合值；如果当前时间片内各流量特征属性对应的标记值均为第一值，则将所述第一值确定为所述当前时间片对应的综合值；依据当前时间片对应的综合值、以及当前时间片内每一指定安全事件的安全事件状态信息确定所述指定安全事件的事件相关系数。本申请的一个实施例中，所述依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在指定时间段中当前时间片内所述目标安全事件的可信度，包括：依据当前时间片内各流量特征属性对应的标记综合值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在指定时间段中当前时间片内所述目标安全事件在流量行为条件下发生的条件概率；根据条件概率和所述目标安全事件对应的事件相关系数确定在指定时间段中当前时间片内所述目标安全事件的可信度。本申请的一个实施例中，在所述获得指定时间段中当前时间片内至少一个流量特征属性对应的当前流量特征值之后，该方法进一步包括：若还未获得前N个时间片内各流量特征属性对应的流量特征值，则记录当前时间片与已获得的流量特征属性对应的流量特征值。另一方面，本申请实施例还提供了一种安全事件的可信度确定装置，该装置包括：特征值获得单元，用于获得指定时间段中当前时间片内至少一个流量特征属性对应的当前流量特征值；标记值确定单元，用于针对获得的每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，所述标记值用于指示异常或正常；目标安全事件选择单元，用于从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件；可信度确定单元，用于依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在指定时间段中当前时间片内所述目标安全事件的可信度。本申请的一个实施例中，所述标记值确定单元，具体用于执行：比较所述当前流量特征值与所述临界特征值，如果所述当前流量特征值等于所述临界特征值，则将所述当前流量特征值标记为第一值，所述第一值用于指示正常；如果所述当前流量特征值大于或小于所述临界特征值，则将所述当前流量标记为第二值，所述第二值用于指示异常。由以上技术方案可以看出，本申请实施例中，通过针对指定时间段中当前时间片内每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，能够实时动态地获得当前时间片内各流量特征属性对应的临界特征值，依据当前流量特征值与临界特征值确定流量特征属性对应的标记值，从所有指定安全事件中选择与当前时间片内流量行为相关的目标安全事件；并依据当前时间片内各流量特征属性对应的标记值、以及当前时间片内每一目标安全事件的安全事件状态信息确定在指定时间段中当前时间片内目标安全事件的可信度，进而可以动态地确定处目标安全事件的可信度，从而能够适应态势感知的动态场景，降低安全告警的误报率。附图说明图1为本申请实施例提供的一种安全事件的可信度确定方法的流程图；图2为本申请实施例提供的一种示例性的步骤120的流程示意图；图3为本申请实施例提供的一本文档来自技高网...

【技术保护点】
1.一种安全事件的可信度确定方法，其特征在于，该方法包括：/n获得指定时间段中当前时间片内至少一个流量特征属性对应的当前流量特征值；/n针对获得的每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，所述标记值用于指示异常或正常；/n从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件；/n依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在所述指定时间段中当前时间片内目标安全事件的可信度。/n

【技术特征摘要】
1.一种安全事件的可信度确定方法，其特征在于，该方法包括：
获得指定时间段中当前时间片内至少一个流量特征属性对应的当前流量特征值；
针对获得的每一流量特征属性对应的当前流量特征值，依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，所述标记值用于指示异常或正常；
从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件；
依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一目标安全事件的安全事件状态信息确定在所述指定时间段中当前时间片内目标安全事件的可信度。


2.根据权利要求1所述的方法，其特征在于，所述依据已获得的前N个时间片内与该流量特征属性对应的流量特征值确定该流量特征属性对应的临界特征值，包括：
对已获得的前N个时间片内与该流量特征属性对应的流量特征值进行均值计算，得到该流量特征属性对应的基准值；
按照预设的3σ算法，对已获得的前N个时间片内与该流量特征属性对应的流量特征值进行计算，得到该流量特征属性对应的3σ值；
依据所述基准值和所述3σ值确定所述临界特征值。


3.根据权利要求1所述的方法，其特征在于，所述依据当前流量特征值与所述临界特征值确定流量特征属性对应的标记值，包括：
比较所述当前流量特征值与所述临界特征值，如果所述当前流量特征值等于所述临界特征值，则将第一值确定为所述当前流量特征值的标记值，所述第一值用于指示正常；如果所述当前流量特征值大于或小于所述临界特征值，则将第二值确定为所述当前流量特征值的标记值，所述第二值用于指示异常。


4.根据权利要求3所述的方法，其特征在于，所述从所有指定安全事件中选择与所述当前时间片内流量行为相关的目标安全事件，包括：
依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一指定安全事件的安全事件状态信息确定所述指定安全事件的事件相关系数，所述事件相关系数用于表示所述当前时间片内的流量行为和该指定安全事件之间的相关性，所述安全事件状态信息用于指示是否发生该指定安全事件；
从所有指定安全事件中选择事件相关系数大于设定值的指定安全事件作为所述目标安全事件。


5.根据权利要求4所述的方法，其特征在于，所述依据所述当前时间片内各流量特征属性对应的标记值、以及所述当前时间片内每一指定安全事件的安全事件状态信息确定所述指定安全事件的事件相关系数，包括：
如果当前时间片内各流量特征属性对应的标记值中存在确定为第二值的标记值，则将所述第二值确定为所述当前时间片对应的综合值；
如果...

【专利技术属性】
技术研发人员：顾涛，赵志伟，周义，
申请(专利权)人：新华三信息安全技术有限公司，
类型：发明
国别省市：安徽;34