[發明專利]一種基于安全管理平臺的改進交叉關聯方法及系統

有效

• 申請號: 201410218900.3
• 申請日: 2014-05-22
• 公開（公告）號: CN104052739B
• 公開（公告）日: 2017-03-22
• 發明（設計）人: 劉仙鳳
• 申請（專利權）人: 漢柏科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京路浩知識產權代理有限公司11002
• 代理人: 李迪

技術領域

本發明涉及計算機技術領域，具體涉及一種基于安全管理平臺的改進交叉關聯方法及系統。

背景技術

安全管理平臺集成了多種網絡安全設備例如防火墻，入侵檢測工具，漏掃工具，資產掃描工具等的日志信息，并根據不同的算法提取出有效的日志，轉換成安全事件進行關聯分析，并根據一定的計算公式計算事件的風險值，產生新的告警信息。為了減少無效的報警，將入侵檢測獲得的信息與漏洞掃描獲得的信息進行關聯，判斷系統是否容易受到某種安全事件的威脅，從而決定是否產生相應的報警。這種關聯方法也稱為漏洞關聯，在一定程度上有助于識別系統中的誤報警。除了將入侵檢測信息與漏洞信息進行關聯外，現有的安全管理平臺還增加了其他安全檢測信息之間的關聯，比如防火墻與漏洞信息之間的關聯，這種關聯方法也可以統一的稱為交叉關聯方法。

現有的交叉關聯技術在上報的安全事件出現較大的時間延誤或者某個漏洞已經被處理，但未及時更新的情況時，容易造成重復處理，或錯誤的處理，降低了交叉關聯的效率。

發明內容

針對現有技術的不足，本發明提供一種基于安全管理平臺的改進交叉關聯方法及系統，提高了交叉關聯算法的正確性和有效性，降低了安全管理平臺產生誤告警以及冗余告警信息的概率。

為實現上述目的，本發明通過以下技術方案予以實現：

一種基于安全管理平臺的改進交叉關聯方法，該方法包括：

S1.在傳統的交叉關聯表的基礎之上增加事件目的ip和狀態state兩項內容，使改進的交叉關聯表包含：事件目的ip、事件設備號id、事件類型號sid、關聯事件設備號id_reference、關聯事件類型號sid_reference、關聯事件狀態state；其中，所述關聯事件狀態state的值為old、closed或new；

S2.對于狀態為new的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將該事件目的ip存入所述改進的交叉關聯表中；否則，丟棄該事件；

S3.判斷所述事件的目的ip與其關聯事件的目的ip是否匹配，如果ip匹配，則判斷關聯事件狀態state，若state為new，執行步驟S4；若state為old，執行步驟S5；若state為closed，執行步驟S6；如果ip不匹配，則丟棄該關聯事件；

S4.提升所述關聯事件的優先級；

S5.判斷state為old狀態持續時間是否超過預設的閾值，若是，丟棄該關聯事件；否則，提升所述關聯事件的優先級；

S6.丟棄該關聯事件。

優選地，所述事件的目的ip為受攻擊的主機ip或網段ip。

優選地，該方法還包括：對于狀態為closed的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將關聯事件的狀態改為closed。

優選地，該方法還包括：每隔設定的時間間隔，將交叉關聯表中狀態為closed的事件記錄清除。

優選地，該方法還包括：判斷關聯事件是否產生告警，若產生告警，則存儲兩個關聯事件，其中，判斷關聯事件是否產生告警的方法為：

S51.設定告警閾值；

S52.獲取所述關聯事件的優先級、可靠性、源ip和目地ip主機的資產重要性，根據公式：risk＝(可靠性*優先級*ip主機重要性)/預設值，分別計算該關聯事件在源ip和目的ip主機上對應的風險值，比較這兩個風險值，取較大的作為所述關聯事件的風險值；

S53.判斷所述關聯事件的風險值是否超過設定的告警閾值，若超過，則產生告警，否則，不告警。

一種基于安全管理平臺的改進交叉關聯系統，該系統包括：

交叉關聯表設置模塊，用于在傳統的交叉關聯表的基礎之上增加事件目的ip和狀態state兩項內容，使改進的交叉關聯表包含：事件目的ip、事件設備號id、事件類型號sid、關聯事件設備號id_reference、關聯事件類型號sid_reference、關聯事件狀態state；其中，所述關聯事件狀態state的值為old、closed或new；

改進交叉關聯表更新模塊，用于對于狀態為new的事件，根據該事件設備號id、事件類型號sid查找所述改進的交叉關聯表，若查找到關聯事件，將該事件目的ip存入所述改進的交叉關聯表中；

匹配判斷模塊，用于判斷所述事件的目的ip與其關聯事件的目的ip是否匹配，如果ip匹配，則執行關聯狀態判斷模塊；如果ip不匹配，則執行第二執行模塊；