[發(fā)明專利]一種告警消減方法、裝置、設(shè)備和計(jì)算機(jī)可讀存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202110700500.6
• 申請日: 2021-06-23
• 公開（公告）號: CN113315785B
• 公開（公告）日: 2023-05-12
• 發(fā)明（設(shè)計(jì)）人: 岳巍;裴琦杰
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/0604
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 張金香

本申請實(shí)施例公開了一種告警消減方法、裝置、設(shè)備和介質(zhì)，獲取初始的攻擊流量；提取攻擊流量的特征參數(shù)；其中，特征參數(shù)可以用于表征攻擊流量的分布特征。不同分布特征有其對應(yīng)的消減方式，因此可以依據(jù)不同分布特征對應(yīng)的消減方式設(shè)置攻擊行為篩選條件。在提取得到攻擊流量的特征參數(shù)后，可以將特征參數(shù)與攻擊行為篩選條件進(jìn)行比較，從而基于設(shè)定的攻擊行為篩選條件對特征參數(shù)對應(yīng)的告警信息進(jìn)行消減，以降低誤報(bào)。在該技術(shù)方案中，在傳統(tǒng)檢測攻擊行為得到攻擊流量的基礎(chǔ)上，進(jìn)一步對攻擊流量的分布特征進(jìn)行分析，可以有效的識別出并非包含真正的攻擊行為的攻擊流量，通過對告警信息進(jìn)行消減可以降低錯(cuò)誤告警的產(chǎn)生。

技術(shù)領(lǐng)域

本申請涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，特別是涉及一種告警消減方法、裝置、設(shè)備和計(jì)算機(jī)可讀存儲介質(zhì)。

背景技術(shù)

網(wǎng)絡(luò)安全是指通過采用各種技術(shù)和管理措施，使網(wǎng)絡(luò)系統(tǒng)正常運(yùn)行，確保網(wǎng)絡(luò)數(shù)據(jù)的可用性、完整性和保密性。為了保證網(wǎng)絡(luò)系統(tǒng)的安全性，基于設(shè)定的關(guān)鍵字詞對網(wǎng)絡(luò)系統(tǒng)的網(wǎng)絡(luò)流量進(jìn)行匹配，通過告警的方式及時(shí)向用戶或管理人員反饋網(wǎng)絡(luò)中存在的攻擊行為。

但是目前存在正常業(yè)務(wù)的網(wǎng)絡(luò)流量與真實(shí)攻擊本身的表現(xiàn)形態(tài)相仿的場景，這類場景下會導(dǎo)致將正常業(yè)務(wù)的網(wǎng)絡(luò)流量誤判為存在攻擊行為，從而造成大量錯(cuò)誤告警。在實(shí)際應(yīng)用中，也會存在出現(xiàn)頻率高且有效攻擊少的場景，按照目前的攻擊行為檢測方式每檢測到一次攻擊行為就會進(jìn)行一次告警，從而產(chǎn)生大量無意義的告警。并且對于一些特定場景，如用戶自身業(yè)務(wù)開發(fā)不規(guī)范，導(dǎo)致網(wǎng)絡(luò)流量中存在攻擊特征，該類網(wǎng)絡(luò)流量是正常的用戶行為而非攻擊行為，但是通過設(shè)定的關(guān)鍵字詞匹配無法識別該類場景為正常的業(yè)務(wù)流程，容易造成連續(xù)大量的錯(cuò)誤告警。

可見，如何減少錯(cuò)誤告警的數(shù)量，是本領(lǐng)域技術(shù)人員需要解決的問題。

發(fā)明內(nèi)容

本申請實(shí)施例的目的是提供一種告警消減方法、裝置、設(shè)備和計(jì)算機(jī)可讀存儲介質(zhì)，可以減少錯(cuò)誤告警的數(shù)量。

為解決上述技術(shù)問題，本申請實(shí)施例提供一種告警消減方法，包括：

獲取初始的攻擊流量；

提取所述攻擊流量的特征參數(shù)；其中，所述特征參數(shù)用于表征所述攻擊流量的分布特征；

基于設(shè)定的攻擊行為篩選條件對所述特征參數(shù)對應(yīng)的告警信息進(jìn)行消減；其中，所述攻擊行為篩選條件包含不同分布特征對應(yīng)的消減方式。

可選地，所述特征參數(shù)包括攻擊方向和攻擊階段；相應(yīng)的，所述攻擊行為篩選條件包含各攻擊方向及其匹配的攻擊階段；

所述基于設(shè)定的攻擊行為篩選條件對所述特征參數(shù)對應(yīng)的告警信息進(jìn)行消減包括：

基于所述攻擊行為篩選條件選取出攻擊方向和攻擊階段不匹配的目標(biāo)攻擊流量；刪除所述目標(biāo)攻擊流量對應(yīng)的告警信息。

可選地，所述特征參數(shù)包括攻擊類型和攻擊內(nèi)容；相應(yīng)的，所述攻擊行為篩選條件包含基于攻擊類型和攻擊內(nèi)容設(shè)置的聚合方式；

所述基于設(shè)定的攻擊行為篩選條件對所述特征參數(shù)對應(yīng)的告警信息進(jìn)行消減包括：

利用所述攻擊行為篩選條件中與所述特征參數(shù)匹配的目標(biāo)聚合方式，對所述特征參數(shù)對應(yīng)的告警信息進(jìn)行消減。

可選地，所述攻擊內(nèi)容包括有效攻擊載荷、攻擊結(jié)果和攻擊時(shí)間；所述利用所述攻擊行為篩選條件中與所述特征參數(shù)匹配的目標(biāo)聚合方式，對所述特征參數(shù)對應(yīng)的告警信息進(jìn)行消減包括：

依據(jù)所述攻擊流量對應(yīng)的攻擊時(shí)間，將設(shè)定的時(shí)間范圍內(nèi)具有相同源地址和相同目的地址的攻擊流量進(jìn)行匯總；

將匯總得到的攻擊流量中具有相同攻擊類型、相同有效攻擊載荷并且攻擊結(jié)果為失敗的攻擊流量聚合生成一條告警信息。