[發(fā)明專利]一種事件關(guān)聯(lián)報(bào)警方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201810170852.3
• 申請(qǐng)日: 2018-02-28
• 公開(kāi)（公告）號(hào): CN108616381B
• 公開(kāi)（公告）日: 2021-10-15
• 發(fā)明（設(shè)計(jì)）人: 翁遲遲
• 申請(qǐng)（專利權(quán)）人: 北京奇藝世紀(jì)科技有限公司
• 主分類(lèi)號(hào): H04L12/24
• 分類(lèi)號(hào): H04L12/24;H04L29/06
• 代理公司: 北京潤(rùn)澤恒知識(shí)產(chǎn)權(quán)代理有限公司 11319
• 代理人: 莎日娜

1.一種事件關(guān)聯(lián)報(bào)警方法，其特征在于，所述方法包括：

接收滑動(dòng)時(shí)間窗口傳送的事件流，所述事件流由多個(gè)子事件構(gòu)成；

基于獲取的所述事件流，數(shù)據(jù)流處理引擎將所述事件流分別與各個(gè)攻擊場(chǎng)景進(jìn)行事件關(guān)聯(lián)分析，確定所述事件流的攻擊場(chǎng)景；所述攻擊場(chǎng)景包括多個(gè)攻擊模式；其中，所述攻擊模式為在所述攻擊場(chǎng)景中進(jìn)行攻擊時(shí)的攻擊行為；

基于所述攻擊場(chǎng)景，進(jìn)行報(bào)警處理；

其中，所述數(shù)據(jù)流處理引擎將所述事件流分別與各個(gè)攻擊場(chǎng)景進(jìn)行事件關(guān)聯(lián)分析，確定所述事件流的攻擊場(chǎng)景，具體包括：

將所述事件流中的子事件與當(dāng)前攻擊模式進(jìn)行匹配；

若匹配成功，輸出所述子事件，并將所述子事件的下一個(gè)子事件與所述當(dāng)前攻擊模式的下一個(gè)攻擊模式進(jìn)行匹配；

若匹配失敗，則所述子事件的下一個(gè)子事件執(zhí)行將所述事件流中的子事件與當(dāng)前攻擊模式進(jìn)行匹配的步驟，即將所述子事件的下一個(gè)子事件繼續(xù)與所述當(dāng)前攻擊模式進(jìn)行匹配；

獲取所述事件流中所有子事件的第一匹配結(jié)果，得到所述事件流與所述攻擊場(chǎng)景的第二匹配結(jié)果；

獲取所述事件流與各個(gè)攻擊場(chǎng)景的第二匹配結(jié)果，根據(jù)所述第二匹配結(jié)果確定所述事件流的攻擊場(chǎng)景。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述接收滑動(dòng)時(shí)間窗口傳送的事件流，包括：

數(shù)據(jù)流處理引擎接收滑動(dòng)事件窗口動(dòng)態(tài)發(fā)送的與所述數(shù)據(jù)流處理引擎的當(dāng)前緩沖區(qū)存儲(chǔ)大小相同的事件流中的子事件；

若在一定時(shí)間閾值內(nèi)所述數(shù)據(jù)流處理引擎未接收到與所述當(dāng)前緩沖區(qū)存儲(chǔ)大小相同的事件流中的子事件，則所述數(shù)據(jù)流處理引擎向所述滑動(dòng)時(shí)間窗口發(fā)送重發(fā)請(qǐng)求；

基于所述重發(fā)請(qǐng)求，所述數(shù)據(jù)流處理引擎獲取重發(fā)的與所述當(dāng)前緩沖區(qū)存儲(chǔ)大小相同的事件流中的子事件。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述接收滑動(dòng)時(shí)間窗口傳送的事件流之前，還包括：

對(duì)數(shù)據(jù)流處理引擎創(chuàng)建定義多個(gè)攻擊場(chǎng)景；

基于創(chuàng)建的多個(gè)攻擊場(chǎng)景，在各個(gè)攻擊場(chǎng)景中各創(chuàng)建多個(gè)攻擊模式，所述多個(gè)攻擊模式中前后攻擊模式具有邏輯關(guān)系，通過(guò)鏈表將前后攻擊模式串聯(lián)在一起；

基于創(chuàng)建的多個(gè)攻擊模式，在每個(gè)攻擊模式中設(shè)置不同的匹配條件。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述在每個(gè)攻擊模式中設(shè)置不同的匹配條件，包括：

所述每個(gè)攻擊模式包括一個(gè)狀態(tài)樹(shù)，所述狀態(tài)樹(shù)中包括多個(gè)狀態(tài)層，每個(gè)狀態(tài)層包括不同的狀態(tài)，每個(gè)狀態(tài)對(duì)應(yīng)一個(gè)匹配條件。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將所述事件流中的子事件與攻擊模式進(jìn)行匹配，包括：

將所述子事件與所述攻擊模式進(jìn)行匹配時(shí)，所述子事件只與所述攻擊模式自身所獨(dú)有的狀態(tài)層的狀態(tài)所對(duì)應(yīng)的匹配條件進(jìn)行匹配。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述若匹配成功，則所述子事件的下一個(gè)子事件與所述攻擊模式的下一個(gè)攻擊模式進(jìn)行匹配，且輸出所述子事件，還包括：

若匹配成功，所述攻擊模式中的狀態(tài)記錄所述子事件攜帶的源地址和目標(biāo)地址。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述攻擊場(chǎng)景，進(jìn)行報(bào)警處理，包括：

獲取所述事件流中各個(gè)子事件攜帶的源地址和目的地址，針對(duì)所述源地址和目的地址進(jìn)行報(bào)警處理。