[發明專利]安全事件監視設備、方法和程序

在審

• 申請號: 201210334704.3
• 申請日: 2012-09-11
• 公開（公告）號: CN103117884A
• 公開（公告）日: 2013-05-22
• 發明（設計）人: 村本榮治
• 申請（專利權）人: 日本電氣株式會社
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 王波波

1.一種安全事件監視設備，根據作為在相同局域網上相互連接的多個監視目標設備上進行的操作的記錄的日志，來檢測具體操作，所述安全事件監視設備包括：

存儲模塊，提前存儲在對每個日志執行相關性分析時應用的相關性規則；

日志收集單元，從每個監視目標設備接收每個日志；

相關性分析單元，通過對每個日志應用所述相關性規則，產生場景候選，在所述場景候選中，每個日志彼此關聯，并且所述相關性分析單元將所述場景候選與由所述相關性規則給出的所述場景候選的重要度一起存儲到所述存儲模塊中；

場景候選評估單元，重新計算每個場景候選的重要度；以及

結果顯示單元，顯示/輸出具有重新計算后的高重要度的場景候選，其中，

所述場景候選評估單元包括：

用戶關聯度評估功能，列舉可能已進行了每個場景候選中包含的每個操作的可能用戶，以及針對每個操作，計算作為每個用戶的相關性的用戶關聯度；

操作關聯度評估功能，計算作為在每個場景候選的每個操作之間的相關性的操作關聯度；以及

場景候選重要度重新評估功能，根據所述用戶關聯度和所述操作關聯度，針對每個用戶重新計算每個場景候選的重要度。

2.根據權利要求1所述的安全事件監視設備，其中，

所述用戶關聯度評估功能列舉在進行每個場景候選中包含的操作時能夠進行針對所述監視目標設備的操作的用戶。

3.根據權利要求1所述的安全事件監視設備，其中，

所述用戶關聯度評估功能通過對外部連接的目錄服務設備進行查詢，列舉被授權進行每個場景候選中包含的操作的用戶。

4.根據權利要求1所述的安全事件監視設備，其中，

所述操作關聯度評估功能基于提前給出的評估標準，根據作為每個操作的目標的文件之間的相似性，計算所述操作關聯度。

5.根據權利要求4所述的安全事件監視設備，其中，

所述操作關聯度評估功能使用從以下各項中選出的至少一項作為文件之間的相似性的評估標準：作為每個操作的目標的文件的名稱、大小、用戶名稱、散列值和電子簽名。

6.根據權利要求1所述的安全事件監視設備，其中，

所述場景候選重要度重新評估功能通過對與場景候選相對應的每個用戶的用戶關聯度和每個場景候選中包含的每個操作的重要度的乘積的總值和在每個場景候選中包含的每個操作之間的操作關聯度、操作的重要度以及每個場景候選的重要度的乘積的總值進行乘積運算，來重新計算每個用戶的每個場景候選的重要度。

7.根據權利要求1所述的安全事件監視設備，其中，

所述結果顯示單元將具有高重要性的場景候選與針對該場景候選具有高關聯度的用戶一起顯示。

8.一種用于安全事件監視設備的安全事件監視方法，所述安全事件監視設備根據作為在相同局域網上相互連接的多個監視目標設備上進行的操作的記錄的日志，來檢測具體操作，其中：

日志收集單元從每個監視目標設備接收每個日志；

相關性分析單元通過對每個日志應用相關性規則，產生場景候選，在所述場景候選中，每個日志彼此關聯；

所述相關性分析單元將每個場景候選與由所述相關性規則給出的所述場景候選的重要度一起存儲到所述存儲模塊中；

場景候選評估單元的用戶關聯度評估功能列舉可能已進行了每個場景候選中包含的每個操作的可能用戶；

所述用戶關聯度評估功能針對每個操作，計算作為每個用戶的相關性的用戶關聯度；

所述場景候選評估單元的操作關聯度評估功能計算作為在每個場景候選的每個操作之間的相關性的操作關聯度；

所述場景候選評估單元的場景候選重要度重新計算功能根據所述用戶關聯度和所述操作關聯度，針對每個用戶重新計算每個場景候選的重要度；以及

結果顯示單元顯示/輸出具有高重要度的場景候選。