[發明專利]一種基于信息論的告警關聯方法

在審

• 申請號: 202010044712.9
• 申請日: 2020-01-15
• 公開（公告）號: CN111274285A
• 公開（公告）日: 2020-06-12
• 發明（設計）人: 馮河清
• 申請（專利權）人: 上海觀安信息技術股份有限公司
• 主分類號: G06F16/2458
• 分類號: G06F16/2458
• 代理公司: 北京專贏專利代理有限公司 11797
• 代理人: 劉梅

1.一種基于信息論的告警關聯方法，其特征在于，包含以下步驟：

一、尋找告警間的關聯性；

二、計算關聯告警的熵；

三、根據告警的熵推導發生概率；

四、實際中得到告警的關聯性。

2.根據權利要求1所述的一種基于信息論的告警關聯方法，其特征在于，所述步驟一具體是：利用告警的條件熵來對告警信息之間存在的統計關聯性進行評估，通過分析告警之間一起發生的統計特性來判斷它們是否存在某種關聯關系。

3.根據權利要求1所述的一種基于信息論的告警關聯方法，其特征在于，所述步驟二具體是：假設現有兩個告警A和B，經過觀察和統計我們可以獲取它們出現的相關統計數據，首先把告警A作為考慮的主體，而把告警B作為我們關聯的目標，告警A作為主體是肯定出現的，即P(A)＝1，考慮在告警A出現并且已知的情況下告警B出現的情況，因此有P(B|A)＝P(B)，那么根據條件熵的定義式，得出：

從上面的推導過程可以看出，告警B對告警A的條件熵在具體環境中與告警B的熵相等，在告警關聯應用中，由于告警B對告警A的條件熵反映的是在告警A出現的前提下告警B發生的隨機性；而在告警A出現的情況下若告警B出現的概率越大說明它們越有可能存在關聯，因此告警B的熵就可以作為衡量告警A與告警B的統計關聯性大小的標準，由于考慮告警A已經發生，那么此時告警B的狀態只可能有兩種取值：要么告警B出現，要么告警B沒有出現。這兩種情況發生的概率分別可以用P(B)1以及[1-P(B)]來表示，因此告警B的熵可以進一步表示為下面的形式

4.根據權利要求3所述的一種基于信息論的告警關聯方法，其特征在于，所述步驟三具體是：根據步驟二得到的告警B熵的公式，轉化為它的概率的函數。

5.根據權利要求4所述的一種基于信息論的告警關聯方法，其特征在于，所述步驟四具體是：在實際關聯處理中，考慮每個告警以及與它處于同一個時間范圍內的所有告警的統計關聯性，并且從中選擇與它一起發生概率最大的n條告警作為與它存在潛在關聯的告警保存起來，然后再利用攻擊腳本分析的辦法對這些潛在的關聯關系進行檢查，從而得到最終的告警關聯結果。