[發明專利]一種基于復雜事件處理的實時安全預警方法

有效

• 申請號: 201710316301.9
• 申請日: 2017-05-08
• 公開（公告）號: CN107147639B
• 公開（公告）日: 2018-07-24
• 發明（設計）人: 姜帆;于曉文;劉瑩;金倩倩;郭靚;李煒鍵;賈雪;俞皓;張路煜;屠正偉;張丹;張騫;劉強;欒國強;林蘇蓉;傅慧斌;楊業平
• 申請（專利權）人: 國家電網公司;南京南瑞集團公司;南京南瑞信息通信科技有限公司;國網福建省電力有限公司信息通信分公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/57;G06F21/55;G06F17/30
• 代理公司: 南京縱橫知識產權代理有限公司 32224
• 代理人: 姚蘭蘭;董建林

1.一種基于復雜事件處理的實時安全預警方法，其特征在于，具體包括以下幾個步驟：

(1)利用范式化引擎將采集到的安全數據進行日志字段分割，并依據字段的要求對字段進行規范，按照期望輸出的字段，關聯知識庫信息；所述范式化引擎實現日志數據的匹配、去重、去噪、關聯靜態數據；范式化引擎依照數據處理的先后次序包括去重去噪模塊、數據加強模塊、數據格式化模塊；

(2)利用數據流語義分析引擎，將要作為場景建模的復雜事件實例，進行數據上下文分析，依據標準化的分析字段模板，分析映射流數據；所述數據流語義分析引擎實現范式化后數據的事件語義識別，通過關聯預設語義識別和提取規則，將范式化數據分解成符合分析模型識別的事件數據分片；數據流語義分析引擎依照事件處理的先后次序包括復雜事件字段標準化模塊和復雜事件實例映射模塊；

(3)利用安全分析模型計算引擎，在分析規則計算模塊中，基于點事件、邊緣事件、間隔事件進行按場景分析，生成預警事件；所述安全分析模型計算引擎實現實時分析模型計算及安全預警輸出，通過復雜事件處理邏輯，在內存中進行符合語義數據的計算及標準化實時預警的生成；安全分析模型計算引擎依照安全場景建模并生成預警的先后次序包括分析規則計算模塊和標準化預警輸出模塊；

所述點事件、邊緣事件、間隔事件各定義如下：

a)點事件

在某一時刻或者基于某一條復雜事件進行分析推導出的預警事件；

b)邊緣事件

只對某一同類型事件進行的分析推導出的預警事件；

c)間隔事件

對復雜事件中的某幾類事件的分析推導出的預警事件，間隔事件是復雜事件中組合最多的一種情況，不局限于一類日志。

2.根據權利要求1所述的基于復雜事件處理的實時安全預警方法，其特征在于，步驟(1)中，所述范式化引擎的處理過程如下：(1-1)范式化引擎啟動，加載范式化引擎中用于數據處理的規則，并轉化為復雜事件處理CEP查詢；

(1-2)所述去重去噪模塊將CEP查詢解析成日志分隔符解析事件處理語句，針對時間字段的去噪處理語句和字段去重處理語句，基于實時數據流執行CEP查詢，完成去重去噪；

(1-3)所述數據加強模塊將CEP查詢解析成關聯數據查詢語句，利用CEP查詢聯合資產數據庫表和IP位置數據庫表，對經過去重、去噪的數據流進行加強操作；

(1-4)所述數據格式化模塊將CEP查詢解析成日志標準化字段處理語句，然后通過執行CEP查詢對加強后的數據流進行數據格式范式化。

3.根據權利要求1所述的基于復雜事件處理的實時安全預警方法，其特征在于，步驟(2)中，所述數據流語義分析引擎的處理過程如下：

(2-1)數據流語義分析引擎啟動，加載數據流語義分析引擎中用于數據流語義分析的規則，并轉化為CEP查詢；

(2-2)所述復雜事件字段標準化模塊依據標準復雜事件模板將CEP查詢解析成復雜事件標準化查詢語句，通過執行CEP查詢，依據實時數據流類型提取關聯的事件模板；

(2-3)所述復雜事件實例映射模塊基于事件模板將CEP查詢解析成事件實例提取處理語句，通過在實時數據流中執行該查詢，將數據流解析、轉化為符合不同類型事件模板的實例。

4.根據權利要求1所述的基于復雜事件處理的實時安全預警方法，其特征在于，步驟(3)中，所述安全分析模型計算引擎的處理過程如下：

(3-1)安全分析模型計算引擎啟動，加載安全分析模型計算引擎中用于安全事件分析、預警生成的規則，并轉化為CEP查詢；

(3-2)分析規則計算模塊將CEP查詢解析成用于分析數據處理語句及預警事件窗處理語句，依據預置或自定義的規則，對數據流語義分析引擎處理過的數據流進行數據計算；

(3-3)所述標準化預警輸出模塊將CEP查詢解析成預警輸出標準化處理語句，對經過規則計算和分析的數據流進行標準化解析，生成預警輸出。