[發明專利]網絡安全分析系統及方法

有效

• 申請號: 201710631742.8
• 申請日: 2017-07-28
• 公開（公告）號: CN107666410B
• 公開（公告）日: 2020-05-05
• 發明（設計）人: E·馬夸特;V·K·德賽;P·J·喬伊斯;B·懷特曼
• 申請（專利權）人: 埃森哲環球解決方案有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 酆迅

1.一種用于網絡安全分析的方法，包括：

在網絡安全系統中：

建立用于企業網絡的基線網絡模型，所述基線網絡模型包括用于所述企業網絡的期望的正常操作簡檔；

使所述基線網絡模型隨著時間演進以捕獲所述企業網絡的所述期望的正常操作簡檔的變化；

使用數據攝取電路從所述企業網絡接收實時網絡數據；

將所述實時網絡數據的格式轉換成公共事件格式CEF；

對所述實時網絡數據執行自然語言處理器，以通過使用主分量分析減少所述CEF格式化網絡數據的維度，來與所述基線網絡模型比較地標識所述企業網絡內的網絡異常，其中在使用主分量分析減少所述維度之前，每個維度對應于所述CEF格式化網絡數據中的映射到名稱的字段；

生成包括關于所述網絡異常的警報的機器界面；以及

向操作者系統傳送所述機器界面用于審查。

2.根據權利要求1所述的方法，其中：

執行所述自然語言處理器包括定義所述企業網絡內的網絡活動的網絡表征文檔的語料庫。

3.根據權利要求1所述的方法，其中：

所述實時網絡數據包括表征所述企業網絡內的網絡活動的網絡數據流記錄。

4.根據權利要求3所述的方法，還包括：

創建包括所述網絡數據流記錄的文檔；以及

對所述文檔執行所述自然語言處理器以標識所述網絡異常。

5.根據權利要求4所述的方法，其中：

所述網絡數據流記錄包括由源因特網協議地址和目的地因特網協議地址定義的網絡事件。

6.根據權利要求1所述的方法，其中：

使所述基線網絡模型隨著時間演進包括分析網絡活動的交疊的移動窗口。

7.根據權利要求6所述的方法，還包括：

將來自所述移動窗口的分析的結果聚合到所述基線網絡模型中以捕獲所述企業網絡的所述期望的正常操作簡檔的所述變化。

8.根據權利要求1所述的方法，其中：

生成機器界面包括：

生成所述企業網絡的可視化作為網絡圖表和伴隨的警報細節面板。

9.根據權利要求1所述的方法，其中：

生成機器界面包括：

生成所述企業網絡的可視化作為網絡圖表，所述網絡圖表包括：

內部端點可視化；以及

不同于所述內部端點可視化的外部端點可視化。

10.根據權利要求9所述的方法，其中：

所述內部端點可視化包括在所述企業網絡內的端點；

所述外部端點可視化包括在所述企業網絡外部的端點；并且所述方法還包括：

通過取決于網絡業務是否異常而改變的在視覺上不同的連接器來將所述內部端點可視化中的內部端點與所述外部端點可視化中的端點連接。

11.一種網絡安全分析系統，包括：

存儲器，可操作以存儲用于企業網絡的基線網絡模型，所述基線網絡模型包括用于所述企業網絡的期望的正常操作簡檔；

分析電路，被配置為隨著時間更新所述基線網絡模型以捕獲所述企業網絡的所述期望的正常操作簡檔的變化；

數據攝取電路，被配置為從所述企業網絡接收實時網絡數據；

處理電路，被配置為將所述實時網絡數據的格式轉換成公共事件格式CEF，并且對所述實時網絡數據執行自然語言分析，以通過使用主分量分析減少所述CEF格式化網絡數據的維度，來與所述基線網絡模型比較地標識所述企業網絡內的網絡異常，其中在使用主分量分析減少所述維度之前，每個維度對應于所述CEF格式化網絡數據中的映射到名稱的字段；以及

機器界面生成電路，被配置為：

生成包括關于所述網絡異常的警報的機器界面；以及

向操作者系統傳送所述機器界面用于審查。