[發明專利]一種聯動阻斷方法、裝置、電子設備及存儲介質

有效

• 申請號: 202111593884.2
• 申請日: 2021-12-24
• 公開（公告）號: CN113992431B
• 公開（公告）日: 2022-03-25
• 發明（設計）人: 周建強;任政;童兆豐;薛鋒
• 申請（專利權）人: 北京微步在線科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 楊奇松

本申請實施例提供一種聯動阻斷方法、裝置、電子設備及存儲介質，其中，聯動阻斷方法包括：獲取多個告警日志；對所述多個告警日志進行去重處理，得到去重后的告警日志；根據所述去重后的告警日志生成聯動阻斷規則；將所述聯動阻斷規則發送到防御設備，以使所述防御設備根據所述聯動阻斷規則進行聯動阻斷。對多個告警日志進行去重處理，由于現有技術中產生的大量告警日志中存在著大量相同的告警日志，因此，對告警日志提供去重處理能夠使得后續生成聯動阻斷規則的數量降低，能將正確的聯動阻斷規則發送給防御設備，提高防御設備對網絡攻擊的防御能力。

技術領域

本申請涉及網絡安全技術領域，具體而言，涉及一種聯動阻斷方法、裝置、電子設備及計算機可讀存儲介質。

背景技術

自動化編排系統、系統操作中心（System Operations Center，SOC）平臺、安全信息與事件管理（Security Information Event Management，SIEM）平臺和態勢平臺能夠動全網相關安全產品，如防火墻、入侵檢測、APT、終端安全管理軟件等，實現聯動分析和威脅阻斷，對于主機/容器層面可以實現進程、文件、賬號實體級別的聯動阻斷。

由于威脅形勢的發展和變化速度較快，公司生產業務的增長產生了更大的網絡流量，安全告警數量劇增，自動化攻擊頻繁，會產生海量的告警日志，聯動阻斷無法準確的判斷現有告警的正確性，從而導致會錯誤的下發阻斷規則。

發明內容

本申請實施例的目的在于提供一種聯動阻斷方法、裝置、電子設備及計算機可讀存儲介質，能夠解決由于海量的告警日志產生的聯動阻斷無法準確判斷現有告警的準確性的問題。

第一方面，本申請實施例提供了一種聯動阻斷方法，包括：

獲取多個告警日志；

對所述多個告警日志進行去重處理，得到去重后的告警日志；

根據所述去重后的告警日志生成聯動阻斷規則；

將所述聯動阻斷規則發送到防御設備，以使所述防御設備根據所述聯動阻斷規則進行聯動阻斷。

在上述實現過程中，對多個告警日志進行去重處理，由于現有技術中產生的海量告警日志中存在著大量相同的告警日志，因此，對告警日志提供去重處理能夠使得后續生成聯動阻斷規則的數量降低，能將正確的聯動阻斷規則發送給防御設備，提高防御設備對網絡攻擊的防御能力。

進一步地，在所述得到去重后的告警日志的步驟之后，還包括：

將所述去重后的告警日志與本地的威脅情報進行匹配，得到多個不同威脅等級的告警日志；

所述根據所述去重后的告警日志生成聯動阻斷規則的步驟包括：

將所述多個不同威脅等級的告警日志與聯動策略進行匹配，生成多個不同危險等級的聯動阻斷規則列表，所述多個不同危險等級的聯動阻斷規則列表中的每個聯動阻斷規則列表包括至少一個所述聯動阻斷規則。

在上述實現過程中，不同的告警日志中包括不同等級的威脅情報，防御設備針對不同的危險等級的威脅情報，其處理難度，處理時間是不相同的。因此，首先將去重后的告警日志和本地的威脅情報進行匹配，得到多個不同威脅等級的告警日志，將多個不同威脅等級的告警日志與聯動策略進行匹配，從而生成多個不同危險等級的聯動阻斷規則列表。基于上述實施方式，能夠提高防御設備對網絡攻擊的聯動阻斷效率。

進一步地，所述將所述聯動阻斷規則發送到防御設備的步驟，包括：

每隔預設時間，將所述多個不同危險等級的聯動阻斷規則列表發送到所述防御設備。

在上述實現過程中，由于當前網絡攻擊存在海量性的特點，因此，每隔預設時間，將生成的多個不同危險等級的聯動阻斷規則列表發送到防御設備能夠提高防御設備對網絡攻擊的防御強度。