[發明專利]一種基于安全管理平臺的改進交叉關聯方法及系統

有效

• 申請號: 201410218900.3
• 申請日: 2014-05-22
• 公開（公告）號: CN104052739B
• 公開（公告）日: 2017-03-22
• 發明（設計）人: 劉仙鳳
• 申請（專利權）人: 漢柏科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京路浩知識產權代理有限公司11002
• 代理人: 李迪

1.一種基于安全管理平臺的改進交叉關聯方法，其特征在于，該方法包括：

S1.在傳統的交叉關聯表的基礎之上增加事件目的ip和狀態state兩項內容，使改進的交叉關聯表包含：事件目的ip、事件設備號id、事件類型號sid、關聯事件設備號id_reference、關聯事件類型號sid_reference、關聯事件狀態state；其中，所述關聯事件狀態state的值為old、closed或new；

S2.對于狀態為new的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將該事件目的ip存入所述改進的交叉關聯表中；否則，丟棄該事件；

S3.判斷所述事件的目的ip與其關聯事件的目的ip是否匹配，如果ip匹配，則判斷關聯事件狀態state，若state為new，執行步驟S4；若state為old，執行步驟S5；若state為closed，執行步驟S6；如果ip不匹配，則丟棄該關聯事件；

S4.提升所述關聯事件的優先級；

S5.判斷state為old狀態持續時間是否超過預設的閾值，若是，丟棄該關聯事件；否則，提升所述關聯事件的優先級；

S6.丟棄該關聯事件。

2.根據權利要求1所述的方法，其特征在于，所述事件的目的ip為受攻擊的主機ip或網段ip。

3.根據權利要求1所述的方法，其特征在于，該方法還包括：對于狀態為closed的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將關聯事件的狀態改為closed。

4.根據權利要求1所述的方法，其特征在于，該方法還包括：每隔設定的時間間隔，將交叉關聯表中狀態為closed的事件記錄清除。

5.根據權利要求1所述的方法，其特征在于，該方法還包括：判斷關聯事件是否產生告警，若產生告警，則存儲兩個關聯事件，其中，判斷關聯事件是否產生告警的方法為：

S51.設定告警閾值；

S52.獲取所述關聯事件的優先級、可靠性、源ip和目地ip主機的資產重要性，根據公式：risk＝(可靠性*優先級*ip主機重要性)/預設值，分別計算該關聯事件在源ip和目的ip主機上對應的風險值，比較這兩個風險值，取較大的作為所述關聯事件的風險值；

S53.判斷所述關聯事件的風險值是否超過設定的告警閾值，若超過，則產生告警，否則，不告警。

6.一種基于安全管理平臺的改進交叉關聯系統，其特征在于，該系統包括：

交叉關聯表設置模塊，用于在傳統的交叉關聯表的基礎之上增加事件目的ip和狀態state兩項內容，使改進的交叉關聯表包含：事件目的ip、事件設備號id、事件類型號sid、關聯事件設備號id_reference、關聯事件類型號sid_reference、關聯事件狀態state；其中，所述關聯事件狀態state的值為old、closed或new；

改進交叉關聯表更新模塊，用于對于狀態為new的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將該事件目的ip存入所述改進的交叉關聯表中；

匹配判斷模塊，用于判斷所述事件的目的ip與其關聯事件的目的ip是否匹配，如果ip匹配，則執行關聯狀態判斷模塊；如果ip不匹配，則執行第二執行模塊；

關聯狀態判斷模塊，用于判斷關聯事件狀態state，若state為new，執行第一執行模塊；若state為old，執行超時判斷模塊；若state為closed，執行第二執行模塊；

超時判斷模塊，用于判斷state為old狀態持續時間是否超過預設的閾值，若是，執行第二執行模塊；否則，執行第一執行模塊；

第一執行模塊，用于提升所述關聯事件的優先級；

第二執行模塊，用于丟棄該關聯事件。

7.根據權利要求6所述的系統，其特征在于，所述事件的目的ip為受攻擊的主機ip或網段ip。

8.根據權利要求6所述的系統，其特征在于，該系統還包括closed狀態事件處理模塊，用于對狀態為closed的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將關聯事件的狀態改為closed。