[發(fā)明專利]安全事件關(guān)聯(lián)分析方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201310205117.9
• 申請日: 2013-05-29
• 公開（公告）號: CN104219193B
• 公開（公告）日: 2017-08-08
• 發(fā)明（設(shè)計(jì)）人: 樊寧;沈軍;金華敏
• 申請（專利權(quán)）人: 中國電信股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 中國國際貿(mào)易促進(jìn)委員會專利商標(biāo)事務(wù)所11038
• 代理人: 顏鏑

1.一種安全事件關(guān)聯(lián)分析方法，包括：

接收安全運(yùn)營中心采集到的安全事件記錄；

按照所述安全事件記錄對應(yīng)的設(shè)備進(jìn)行分組，并針對每個(gè)設(shè)備形成依據(jù)安全事件發(fā)生時(shí)間排序的事件序列表，且當(dāng)前分析指針指向各個(gè)事件序列表中尚未進(jìn)入觸發(fā)器的時(shí)間最早的安全事件記錄；

將當(dāng)前分析指針指向的安全事件記錄送入觸發(fā)器進(jìn)行狀態(tài)機(jī)的預(yù)設(shè)規(guī)則的匹配，并將當(dāng)前分析指針指向所述各個(gè)事件序列表中下一個(gè)時(shí)間順序的安全事件記錄；

根據(jù)所述觸發(fā)器內(nèi)的安全事件記錄對狀態(tài)機(jī)的預(yù)設(shè)規(guī)則的匹配情況進(jìn)行計(jì)時(shí)器計(jì)時(shí)和狀態(tài)跳轉(zhuǎn)，并根據(jù)狀態(tài)機(jī)的超時(shí)情況對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備進(jìn)行計(jì)數(shù)；

在計(jì)數(shù)結(jié)果達(dá)到預(yù)設(shè)統(tǒng)計(jì)閾值時(shí)，將計(jì)數(shù)結(jié)果發(fā)送給同步調(diào)整器，以便所述同步調(diào)整器根據(jù)所述計(jì)數(shù)結(jié)果對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備的事件序列表進(jìn)行步長調(diào)整。

2.根據(jù)權(quán)利要求1所述的安全事件關(guān)聯(lián)分析方法，其中在所述接收安全運(yùn)營中心采集到的安全事件記錄之后，形成事件序列表之前還包括：

對所述安全運(yùn)營中心采集到的安全事件記錄所攜帶的信息按照標(biāo)準(zhǔn)屬性字段進(jìn)行解析；

對低重要度的事件進(jìn)行過濾，并對相同安全事件進(jìn)行合并和次數(shù)累加。

3.根據(jù)權(quán)利要求1所述的安全事件關(guān)聯(lián)分析方法，其中在按照所述安全事件記錄對應(yīng)的設(shè)備進(jìn)行分組，并針對于每個(gè)設(shè)備形成依據(jù)安全事件發(fā)生時(shí)間排序的事件序列表時(shí)，還包括：所述同步調(diào)整器將各個(gè)設(shè)備的事件序列表的時(shí)間指針分別指向表內(nèi)尚未進(jìn)入觸發(fā)器的時(shí)間最早的安全事件記錄。

4.根據(jù)權(quán)利要求1或3所述的安全事件關(guān)聯(lián)分析方法，其中所述根據(jù)所述觸發(fā)器內(nèi)的安全事件記錄對狀態(tài)機(jī)的預(yù)設(shè)規(guī)則的匹配情況進(jìn)行計(jì)時(shí)器計(jì)時(shí)和狀態(tài)跳轉(zhuǎn)，并根據(jù)狀態(tài)機(jī)的超時(shí)情況對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備進(jìn)行計(jì)數(shù)的操作具體包括：

如果所述觸發(fā)器中的安全事件記錄匹配所述狀態(tài)機(jī)的預(yù)設(shè)規(guī)則,且所述狀態(tài)機(jī)處于初始態(tài)，則使所述觸發(fā)器中的安全事件記錄的狀態(tài)機(jī)向警備態(tài)進(jìn)行跳轉(zhuǎn)，并啟動計(jì)時(shí)器，然后將當(dāng)前分析指針指向所述各個(gè)事件序列表中下一個(gè)時(shí)間順序的安全事件記錄送入觸發(fā)器進(jìn)行處理；

如果所述狀態(tài)機(jī)已處于警備態(tài)，則使所述觸發(fā)器中的安全事件記錄的狀態(tài)機(jī)向下一警備態(tài)進(jìn)行跳轉(zhuǎn)，并判斷跳轉(zhuǎn)后的狀態(tài)機(jī)是否已達(dá)到最終警備態(tài)，是則向外發(fā)出告警信息，所述狀態(tài)機(jī)回復(fù)初始態(tài)；

如果所述狀態(tài)機(jī)未達(dá)最終警備態(tài)，則判斷所述計(jì)時(shí)器是否超時(shí)，如果超時(shí)，則所述狀態(tài)機(jī)回復(fù)初始態(tài)，并對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備進(jìn)行計(jì)數(shù)，否則將當(dāng)前分析指針指向所述各個(gè)事件序列表中下一個(gè)時(shí)間順序的安全事件記錄送入觸發(fā)器進(jìn)行處理。

5.根據(jù)權(quán)利要求4所述的安全事件關(guān)聯(lián)分析方法，其中所述同步調(diào)整器根據(jù)所述計(jì)數(shù)結(jié)果對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備的事件序列表進(jìn)行步長調(diào)整的操作具體為：

所述同步調(diào)整器根據(jù)所述計(jì)數(shù)結(jié)果的正負(fù)和大小確定調(diào)整的步長值和調(diào)整方向，根據(jù)確定的步長值和調(diào)整方向?qū)λ鲇?jì)數(shù)結(jié)果對應(yīng)的設(shè)備的事件序列表進(jìn)行時(shí)間指針指向位置的調(diào)整。

6.根據(jù)權(quán)利要求5所述的安全事件關(guān)聯(lián)分析方法，其中在所述向外發(fā)出告警信息，所述狀態(tài)機(jī)回復(fù)初始態(tài)的操作時(shí)，還包括：對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備進(jìn)行正值計(jì)數(shù)；

在所述狀態(tài)機(jī)超時(shí)時(shí)，對所述觸發(fā)器內(nèi)的安全事件記錄對應(yīng)的設(shè)備進(jìn)行負(fù)值計(jì)數(shù)；

如果所述計(jì)數(shù)結(jié)果為負(fù)值，則所述同步調(diào)整器確定時(shí)間指針的調(diào)整方向?yàn)橄蛩鲇?jì)數(shù)結(jié)果對應(yīng)的設(shè)備的事件序列表的表頭方向調(diào)整；如果計(jì)數(shù)結(jié)果為正值，則保持所述時(shí)間指針不變。