[發(fā)明專利]一種大數(shù)據(jù)安全分析的可視化交互式方法

有效

• 申請?zhí)枺?/td>: 201710363739.2
• 申請日: 2017-05-22
• 公開（公告）號: CN107145789B
• 公開（公告）日: 2019-08-23
• 發(fā)明（設(shè)計）人: 周超;姜帆;陳春霖;郭靚;黃偉;郭雅娟;朱道華;姜海濤;金倩倩;李煒鍵;于曉文;賈雪;俞皓;張路煜;屠正偉;劉強;洪昊;朱進
• 申請（專利權(quán)）人: 國網(wǎng)江蘇省電力公司電力科學(xué)研究院;國家電網(wǎng)公司;南京南瑞集團公司;江蘇省電力試驗研究院有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F16/245;G06F16/248
• 代理公司: 南京縱橫知識產(chǎn)權(quán)代理有限公司 32224
• 代理人: 董建林;閆方圓

1.一種大數(shù)據(jù)安全分析的可視化交互式方法，其特征在于：包括以下步驟，

步驟(A)，通過Web展示規(guī)則配置界面、告警預(yù)覽界面，進行配置，所述規(guī)則配置界面，用于實現(xiàn)攻擊場景建模的規(guī)則配置，所述告警預(yù)覽界面，用于生成告警與場景規(guī)則之間關(guān)系的展示；

步驟(B)，確立交互模型，實現(xiàn)輸入的場景與規(guī)則片段信息的組合分析處理；

步驟(C)，建立規(guī)則庫，實現(xiàn)場景規(guī)則數(shù)據(jù)的結(jié)構(gòu)化存儲；

步驟(D)，大數(shù)據(jù)安全分析，實現(xiàn)實時大數(shù)據(jù)及場景規(guī)則的數(shù)據(jù)關(guān)聯(lián)分析；

步驟(A)，通過Web展示規(guī)則配置界面、告警預(yù)覽界面，進行配置，包括以下步驟，

(A1)，通過Web展示的規(guī)則配置界面進行規(guī)則配置：在規(guī)則配置頁面通過選擇、點擊、輸入的方式建立安全事件場景及其規(guī)則的片段信息，規(guī)則片段信息暫存在交互模型中，其中，規(guī)則配置頁面上選擇日志數(shù)據(jù)字段是通過查詢數(shù)據(jù)庫表中的日志對應(yīng)字段實現(xiàn)，并且規(guī)則配置頁面在顯示字段含義的同時還懸浮顯示該字段在數(shù)據(jù)庫中存儲的英文字段名，用于幫助分析安全人員配置規(guī)則；

(A2)，規(guī)則片段重組：將暫存在交互模型的片段信息在內(nèi)存中進行組合、關(guān)聯(lián)、分析，形成被計算機理解的攻擊場景建模規(guī)則，并向結(jié)構(gòu)化數(shù)據(jù)庫傳輸；

(A3)，規(guī)則存儲：將經(jīng)過分析后的攻擊場景建模規(guī)則信息存儲到場景數(shù)據(jù)庫表，將經(jīng)過組合后的規(guī)則語句存儲到規(guī)則數(shù)據(jù)庫表，場景與規(guī)則關(guān)聯(lián)的信息存儲在場景規(guī)則關(guān)聯(lián)庫表中，用于后續(xù)日志分析、場景建模；

(A4)，規(guī)則啟用形成反饋閉環(huán)：在Web展示的告警預(yù)覽界面反映兩部分信息：自定義的場景與規(guī)則信息的關(guān)系、告警事件與場景的關(guān)系，其中，告警事件與場景的關(guān)系需要由安全分析人員確認，使場景規(guī)則生效，在對日志數(shù)據(jù)進行分析后，安全分析人員通過查看生成的告警事件與生成該事件的規(guī)則，進行分析，形成反饋閉環(huán)。

2.根據(jù)權(quán)利要求1所述的一種大數(shù)據(jù)安全分析的可視化交互式方法，其特征在于：(A4)，規(guī)則啟用形成反饋閉環(huán)過程中，根據(jù)場景規(guī)則，合適則沿用使用，不合適則修改后使用或丟棄的原則處理建立的場景建模規(guī)則。

3.根據(jù)權(quán)利要求1所述的一種大數(shù)據(jù)安全分析的可視化交互式方法，其特征在于：步驟(B)，確立交互模型，實現(xiàn)輸入的場景與規(guī)則片段信息的組合分析處理，包括以下步驟，

(B1)，建立場景交互分析：安全分析人員在場景建模界面的場景界面根據(jù)業(yè)務(wù)的需要，在場景建模界面輸入場景的名稱、描述，選擇場景的分類、級別，在后臺通過將原始輸入信息轉(zhuǎn)換為包含同等信息量的結(jié)構(gòu)化數(shù)據(jù)，實現(xiàn)場景信息的分析轉(zhuǎn)化；

(B2)，建立規(guī)則交互分析：安全分析人員在場景建模的規(guī)則配置界面根據(jù)場景的時間關(guān)聯(lián)性選擇場景的規(guī)則分類，在界面提供的日志數(shù)據(jù)樹形結(jié)構(gòu)中選擇需要進行規(guī)則分析的字段，并輸入或選擇場景規(guī)則的適用條件、輸出字段信息，后臺按照攻擊事件關(guān)聯(lián)性的規(guī)則分類判斷使用何種規(guī)則拼接模型，處理需要分析的字段、規(guī)則，并將上述的片段信息轉(zhuǎn)化為具有場景分析能力的結(jié)構(gòu)化語句及包含場景規(guī)則對應(yīng)關(guān)系的結(jié)構(gòu)化數(shù)據(jù)；

(B3)，建立場景交互分析與規(guī)則交互分析的關(guān)聯(lián)：在后臺將用戶輸入或選擇的場景及規(guī)則信息進行關(guān)聯(lián)、存儲到對應(yīng)的場景與規(guī)則關(guān)系數(shù)據(jù)表中，實現(xiàn)場景交互分析與規(guī)則交互分析的關(guān)聯(lián)。

4.根據(jù)權(quán)利要求1所述的一種大數(shù)據(jù)安全分析的可視化交互式方法，其特征在于：步驟(C)，建立規(guī)則庫，實現(xiàn)場景規(guī)則數(shù)據(jù)的結(jié)構(gòu)化存儲，包括若干相關(guān)數(shù)據(jù)庫表，每一個數(shù)據(jù)庫表是規(guī)則庫中用于交互的一個組件，每個組件負責(zé)一個規(guī)則建立，具體包括日志對應(yīng)字段數(shù)據(jù)庫表、場景數(shù)據(jù)庫表、規(guī)則數(shù)據(jù)庫表、場景規(guī)則關(guān)聯(lián)數(shù)據(jù)庫表四個數(shù)據(jù)庫表。

5.根據(jù)權(quán)利要求1所述的一種大數(shù)據(jù)安全分析的可視化交互式方法，其特征在于：步驟(D)，大數(shù)據(jù)安全分析，實現(xiàn)實時大數(shù)據(jù)及場景規(guī)則的數(shù)據(jù)關(guān)聯(lián)分析，包括以下步驟，

(D1)，創(chuàng)建的場景及規(guī)則啟用

安全分析人員查看針對不同場景的自定義場景規(guī)則，確認后選擇啟用，如不滿意，進行修改后啟用或刪除；

(D2)，規(guī)則啟用后告警生成快照

在啟用創(chuàng)建的規(guī)則后，規(guī)則在引擎中預(yù)設(shè)的生效間隔時長后生效，可默認為一天，在此期間可修改，對實時日志數(shù)據(jù)進行分析，生成告警，存儲在數(shù)據(jù)庫的告警表中，告警預(yù)覽界面實時讀取數(shù)據(jù)庫中最新的告警事件，并進行展示，其中，告警表中除了反映告警事件的內(nèi)容外，還會反映生成該條告警的自定義場景及規(guī)則；

(D3)，反饋及評估

安全分析人員在通過查看生成的告警快照后，根據(jù)告警及關(guān)聯(lián)場景規(guī)則推斷制定的規(guī)則是否適用于當(dāng)前的業(yè)務(wù)分析，適用的場景規(guī)則沿用，不適用的修改或刪除，形成實時大數(shù)據(jù)及場景規(guī)則的數(shù)據(jù)關(guān)聯(lián)分析的反饋閉環(huán)。