[發明專利]微場景案例的編排驗證方法、裝置、介質及計算機設備

有效

• 申請號: 202010674713.1
• 申請日: 2020-07-14
• 公開（公告）號: CN111818068B
• 公開（公告）日: 2022-07-15
• 發明（設計）人: 趙粵征;郭蘭杰;周慧芳;陳景妹;葉建偉
• 申請（專利權）人: 綠盟科技集團股份有限公司;北京神州綠盟科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京眾達德權知識產權代理有限公司 11570
• 代理人: 姚萱萱

1.一種微場景案例的編排驗證方法，其特征在于，所述方法包括：

針對任一類型的微場景，基于預設的編排流程編排對應的案例，所述案例包括：分析函數體、劇本及至少一個驗證函數體；

調用所述分析函數體對所述微場景的數據源進行過濾及分析，判斷是否存在安全事件；

若確定存在所述安全事件，調用所述劇本對所述安全事件進行響應，獲得響應結果；所述劇本中包括有用于響應所述微場景安全事件的各動作函數；

調用所述至少一個驗證函數體對所述響應結果進行驗證；其中，

所述調用所述至少一個驗證函數體對所述響應結果進行驗證，包括：

針對任一響應結果，當所述響應結果為響應成功時，調用所述至少一個驗證函數體向執行響應動作的安全設備下發對應的響應查詢請求；所述響應查詢請求用于驗證對應的響應函數體是否已在所述安全設備中，以及用于驗證對應的所述響應函數體是否啟用；

調用所述至少一個驗證函數體向所述安全設備下發對應的驗證測試請求，以使得所述安全設備能基于所述驗證測試請求對被響應主機進行測試；所述驗證測試請求中攜帶有驗證條目；

接收由所述安全設備發送的驗證測試結果，基于所述驗證測試結果對所述響應結果進行驗證。

2.如權利要求1所述的方法，其特征在于，所述分析函數體包括：過濾函數體及安全規則匹配函數體；所述劇本包括：至少一個響應函數體；所述基于預設的編排流程編排對應的案例，包括：

接收開始函數塊，所述開始函數塊與函數模板庫中的開始函數體相關聯；

接收安全日志函數塊；所述安全日志函數塊與所述函數模板庫中的所述過濾函數體相關聯，所述過濾函數體用于對所述微場景的數據源信息進行過濾，獲得所述微場景對應的安全日志信息；

接收安全規則函數塊；所述安全規則函數塊與所述函數模板庫中的安全規則匹配函數體相關聯，所述安全規則匹配函數體用于基于預設的事件規則對所述安全日志信息進行匹配，生成安全事件；

接收研判取證函數塊；所述研判取證函數塊與所述函數模板庫中研判取證函數體相關聯，所述研判取證函數體用于獲得所述安全事件的威脅證據；

接收至少一個響應函數塊；所述響應函數塊與所述函數模板庫中相應的響應函數體相關聯；所述響應函數體用于對所述安全事件進行響應；

接收至少一個驗證函數塊，所述驗證函數塊與所述函數模板庫中相應的驗證函數體相關聯，所述驗證函數體用于對相應的所述響應結果進行驗證；

接收結束函數塊，所述結束函數塊與所述函數模板庫中的結束函數體相關聯；

根據所述開始函數塊、所述安全日志函數塊、所述安全規則函數塊、所述研判取證函數塊、所述響應函數塊、所述驗證函數塊及所述結束函數塊生成所述微場景對應的案例。

3.如權利要求2所述的方法，其特征在于，所述響應函數塊包括：全局封堵響應函數塊、主機隔離響應函數塊、主機清理響應函數塊及主機加固響應函數塊；所述驗證函數塊包括：全局封堵驗證函數塊、主機隔離驗證函數塊、主機清理驗證函數塊及主機加固驗證函數塊；其中，

在所述預設的編排流程中，所述全局封堵驗證函數塊的前一流程為全局封堵函數塊；所述全局封堵驗證函數塊與全局封堵驗證函數體相關聯，所述全局封堵響應函數塊與全局封堵響應函數體相關聯；

所述主機隔離驗證函數塊的前一流程為主機隔離函數塊；所述主機隔離驗證函數塊與主機隔離驗證函數體相關聯，所述主機隔離響應函數塊與主機隔離響應函數體相關聯；

所述主機清理驗證函數塊的前一流程為主機清理函數塊；所述主機清理驗證函數塊與主機清理驗證函數體相關聯，所述主機清理響應函數塊與主機清理響應函數體相關聯；

所述主機加固驗證函數塊的前一流程為主機加固函數塊；所述主機加固驗證函數塊與主機加固驗證函數體相關聯，所述主機加固響應函數塊與主機加固響應函數體相關聯。