[發明專利]安全運維管理方法及系統

有效

• 申請號: 201810439158.7
• 申請日: 2018-05-09
• 公開（公告）號: CN108718303B
• 公開（公告）日: 2021-03-23
• 發明（設計）人: 歐陽云飛
• 申請（專利權）人: 北京仁和誠信科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L12/26;G06K9/62
• 代理公司: 北京鴻元知識產權代理有限公司 11327
• 代理人: 張超艷;李琳

1.一種安全運維管理系統，其特征在于，包括：

采集模塊，采集網絡安全事件；

基線構建模塊，建立基線模型，選取設定時間周期采集模塊采集的網絡安全事件的數據量作為訓練集，將所述設定時間周期分成多個子時間周期，每個子時間周期包括多個時間點，將每個子時間周期的每個時間點的所述數據量作為樣本點分別代入基線模型進行訓練，得到每個時間點的基線值及其對應的置信區間，各時間點的基線值的集合為基線數據，

其中，為時間點的基線值；為時間點的置信區間；為時間點的各樣本點的標準偏差，為置信系數，，為一個時間點的第個樣本點的數據量;為一個時間點的樣本點的總數；

預警監測模塊，監測所述設定時間周期后每個時間點的數據量是否在對應的基線構建模塊構建的所述時間點的置信區間內，將監測結果發送給決策模塊；

決策模塊，根據預警監測模塊的監測結果發出決策，所述決策包括：當時間點的數據量在其基線的置信區間內時，將所述時間點的數據量納入訓練集，重新計算所述時間點的基線值及其置信區間；當時間點的數據量不在其基線的置信區間內時，產生基線預警或清除歷史數據，將所述時間點的數據量作為基線值，

其中，所述基線構建模塊包括：

第一加載單元，加載訓練參數，所述訓練參數包括時間周期、子時間周期、時間點、資產范圍和訓練系數中的一種或多種，所述訓練系數為資產對應的權重；

選取單元，從采集模塊選取符合訓練參數的訓練集；

聚類單元，對各時間點的訓練集內的樣本點進行聚類；

正常樣本點生成單元，將各時間點的聚類結果中的樣本點作為正常樣本點；

基線構建單元，構建基線模型；

訓練單元，將各時間點的正常樣本點代入基線構建單元構建的基線模型，得到各時間點的基線值及其置信區間。

2.根據權利要求1所述的安全運維管理系統，其特征在于，還包括：

重置基線模塊，根據訓練集增加的樣本點更新基線及其置信區間，包括計算策略設定單元、歷史加載單元、樣本點更新單元、新基線生成單元，其中：

所述計算策略設定單元設定樣本點的計算策略，所述計算策略包括距離最短策略、時間最長策略和指定時間策略中的一種或多種；

歷史加載單元，加載基線的歷史數據；

樣本點更新單元，根據設定的計算策略重新生成各時間點的樣本點；

新基線生成單元，將更新后的樣本點代入基線模型進行訓練，更新各時間點的基線值及其對應的置信區間。

3.根據權利要求1所述的安全運維管理系統，其特征在于，所述決策模塊包括：

第一判斷單元，判斷時間點的數據量是否為報警數據，所述報警數據為超過置信區間的數據點的數據量，將報警數據發送給第二判斷單元，將非報警數據發送給第一更新單元；

第二判斷單元，判斷是否清除歷史基線數據，如果清除歷史基線數據，將報警數據發送給第二更新單元，如果不清除歷史基線數據，將報警數據發送給第一更新單元；

第一更新單元，將第一判斷單元發送的非報警數據或第二判斷單元發送的報警數據，納入訓練集，重新計算所述時間點的基線值及其置信區間；

第二更新單元，將報警數據作為對應的時間點的基線值。

4.根據權利要求1所述的安全運維管理系統，其特征在于，所述預警監測模塊包括：

啟動單元，在啟動時間，發送指令給第二加載單元和查詢單元，所述啟動時間為所述設定時間周期后時間點和延時時間之和；

第二加載單元，接收到啟動單元指令后，從基線構建模塊加載基線數據；

查詢單元，接收到啟動單元指令后，從采集模塊調用啟動時間前的時間點的數據量；

第三判斷單元，判斷查詢單元調用的所述時間點的數據量是否在第二加載單元加載的所述時間點的基線值的置信區間內，將判斷結果發送給決策模塊。