一种事件检测方法、装置、电子设备及存储介质制造方法及图纸

本申请实施例提供一种事件检测方法、装置、电子设备及存储介质，响应于设定的碰撞时机，获取情报指标集合，并从流量指标库中，获取针对所述碰撞时机的流量指标集合，其中，每个情报指标关联本地情报库中的一个增量情报，每个增量情报的情报记录时间不早于设定的历史检测时间，每个流量指标关联流量消息队列中的一个回溯流量，每个回溯流量通过历史日志解析获得，进一步的，对情报指标集合与流量指标集合进行碰撞及分析，获得各回溯威胁事件，从而基于上述方式，对情报产生前的攻击行为进行回溯检测，提升溯源出的网络攻击链的完整性。提升溯源出的网络攻击链的完整性。提升溯源出的网络攻击链的完整性。

【技术实现步骤摘要】
一种事件检测方法、装置、电子设备及存储介质


[0001]本专利技术涉及信息安全
，尤其涉及一种事件检测方法、装置、电子设备及存储介质。

技术介绍

[0002]情报碰撞是指将已发掘的攻击者情报中的威胁指标，与目标网络的流量日志中的威胁指标进行检索比对的一种检测方法，用于检测目标网络中的威胁事件，确保提前预警。
[0003]现有技术中，通常采用实时产生的威胁情报来对当前流量进行碰撞，并在检测到威胁事件后进行相关告警，而由于情报产生的滞后性，这一方式易对攻击者在情报产生前的攻击行为产生遗漏，导致溯源出的网络攻击链不完整，影响网络空间的安全性。

技术实现思路

[0004]本申请实施例提供一种事件检测方法、装置、电子设备及存储介质，用于提升网络攻击链的完整性。
[0005]第一方面，本申请实施例提供一种事件检测方法，包括：
[0006]响应于设定的碰撞时机，获取情报指标集合，其中，每个情报指标关联本地情报库中的一个增量情报，每个增量情报的情报记录时间不早于设定的历史检测时间。
[0007]从流量指标库本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种事件检测方法，其特征在于，包括：响应于设定的碰撞时机，获取情报指标集合，其中，每个情报指标关联本地情报库中的一个增量情报，每个增量情报的情报记录时间不早于设定的历史检测时间；从流量指标库中，获取针对所述碰撞时机的流量指标集合，其中，每个流量指标关联流量消息队列中的一个回溯流量，每个回溯流量通过历史日志解析获得；将所述情报指标集合，与所述流量指标集合进行碰撞及分析，获得各回溯威胁事件；将所述各回溯威胁事件发往事件消息队列，触发针对所述各回溯威胁事件的分析及告警。2.如权利要求1所述的方法，其特征在于，所述响应于设定的碰撞时机，获取情报指标集合之前，还包括：根据启动的消费进程，获取所述流量消息队列中，针对所述碰撞时机的各回溯流量；对所述各回溯流量进行指标提取，获得各候选指标，并采用过滤规则，对所述各候选指标进行过滤，获得各流量指标；将所述各流量指标发往所述流量指标库，触发所述流量指标库，按照设定周期，对所述各流量指标进行归并存储，并采用持久化，向本地流量库进行归并存储。3.如权利要求2所述的方法，其特征在于，所述触发所述流量指标库，按照设定周期，对所述各流量指标进行归并存储，包括：触发所述流量指标库，按照设定周期，对所述各流量指标中的各第一流量值进行归并存储，其中，所述第一流量值包括：相应回溯流量提取的地址信息及哈希值；以及，触发所述流量指标库，采用压缩算法，对所述各流量指标中的各第二流量值进行压缩，并按照所述设定周期，对获得的各第二压缩值进行归并存储，其中，所述第二流量值包括：相应回溯流量提取的统一资源定位符。4.如权利要求1
‑
3任一项所述的方法，其特征在于，所述响应于设定的碰撞时机，获取情报指标集合，包括：响应于所述本地情报库触发更新信息，获取设定指标类型和/或情报类型关联的情报指标集合；或者，响应于设定的检测周期，获取设定指标类型和/或情报类型关联的情报指标集合。5.如权利要求1
‑
3任一项所述的方法，其特征在于，所述从流量指标库中，获取针对所述碰撞时机的流量指标集合，包括：从流量指标库中，获取相应回溯流量的流量记录时间，属于设定回溯时段内的多个流量指标，为针对所述碰撞时机的流量指标集合；和/或，从流量指标库...

【专利技术属性】
技术研发人员：郭兰杰，丁杰，赵粤征，
申请(专利权)人：北京神州绿盟科技有限公司，
类型：发明
国别省市：