[發(fā)明專利]基于知識(shí)推理的安全事件自動(dòng)處置方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202210023877.7
• 申請日: 2022-01-11
• 公開（公告）號(hào): CN114048856B
• 公開（公告）日: 2022-05-03
• 發(fā)明（設(shè)計(jì)）人: 苗功勛;孫強(qiáng);李磊;于通
• 申請（專利權(quán)）人: 中孚信息股份有限公司
• 主分類號(hào): G06N5/04
• 分類號(hào): G06N5/04;G06N5/02;G06F21/55
• 代理公司: 濟(jì)南圣達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 37221
• 代理人: 朱忠范

1.一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，包括：

獲取待處置安全事件；

基于預(yù)先構(gòu)建好的知識(shí)推理系統(tǒng)，對所述安全事件進(jìn)行分級(jí)研判處理，獲得處置結(jié)果；其中，所述知識(shí)推理系統(tǒng)基于產(chǎn)生式規(guī)則推理方法，利用預(yù)先存儲(chǔ)的安全事件集合和處置規(guī)則集合，通過推理引擎對安全事件進(jìn)行分級(jí)處理，確定安全事件對應(yīng)的處置規(guī)則；

將獲得的處置結(jié)果進(jìn)行轉(zhuǎn)化，并錄入到所述知識(shí)推理系統(tǒng)中；

所述分級(jí)研判處理，具體為：

對于每個(gè)安全事件，通過所述知識(shí)推理系統(tǒng)進(jìn)行處置規(guī)則及處置緊急程度預(yù)測；

若為簡單安全事件，則基于預(yù)測的處置規(guī)則直接生成結(jié)論；

對于非簡單安全事件，基于安全事件間的相似度計(jì)算進(jìn)行歸并處理，對于單獨(dú)的安全事件以及對于歸并處理的安全事件中的重要且緊急的安全事件，直接推送給安全運(yùn)維專家進(jìn)行處理規(guī)則的判定，生成處置結(jié)論；

對于歸并處理的安全事件中的剩余安全事件，通過工單跟蹤處理，生成安全事件處置工單后，由安全運(yùn)維專家進(jìn)行處理規(guī)則的判定，生成處置結(jié)論；

所述基于產(chǎn)生式規(guī)則的知識(shí)推理系統(tǒng)的多層處置模型，與安全運(yùn)維專家的經(jīng)驗(yàn)相結(jié)合，并將安全運(yùn)維專家的處置經(jīng)驗(yàn)持續(xù)轉(zhuǎn)化為知識(shí)，并錄入到所述知識(shí)推理系統(tǒng)中形成閉環(huán)，實(shí)現(xiàn)安全事件數(shù)據(jù)的復(fù)用；同時(shí)，安全事件處理過程中只有一層需要安全運(yùn)維專家介入。

2.如權(quán)利要求1所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述知識(shí)推理系統(tǒng)包括事實(shí)集合、處置規(guī)則集合以及推理引擎，所述事實(shí)集合存儲(chǔ)有預(yù)先存儲(chǔ)的歷史安全事件集合，所述處置規(guī)則集合存儲(chǔ)有與所述事實(shí)集合中歷史安全事件對應(yīng)的安全事件處置規(guī)則，所述推理引擎用于基于事實(shí)集合和處置規(guī)則集合，通過模式匹配方法對待處置安全事件的處置規(guī)則進(jìn)行預(yù)測。

3.如權(quán)利要求2所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述事實(shí)集合中存儲(chǔ)的歷史安全事件集合中存儲(chǔ)有安全事件的文本描述、重要程度標(biāo)簽及緊急程度標(biāo)簽。

4.如權(quán)利要求3所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述重要程度標(biāo)簽包括但不限于簡單、一般以及重要；所述緊急程度標(biāo)簽包括緊急和非緊急兩種狀態(tài)。

5.如權(quán)利要求2所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述模式匹配方法采用語義相似度計(jì)算方法，計(jì)算待處置安全事件與所述知識(shí)推理系統(tǒng)預(yù)先存儲(chǔ)的安全事件集合中相似度最高的安全事件，將其對應(yīng)的處置規(guī)則作為待處置安全事件的處置規(guī)則，其對應(yīng)的處置重要程度標(biāo)簽和緊急程度標(biāo)簽作為待處置安全事件的重要程度和緊急程度。

6.如權(quán)利要求1所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述生成處置結(jié)論，具體為：安全運(yùn)維專家根據(jù)經(jīng)驗(yàn)對預(yù)測的處理規(guī)則、重要程度及緊急程度進(jìn)行核對并修正，確定最終的處置結(jié)果。

7.如權(quán)利要求1所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述將獲得的處置結(jié)果進(jìn)行轉(zhuǎn)化，并錄入到所述知識(shí)推理系統(tǒng)中，具體為：將獲得的處置結(jié)果進(jìn)行標(biāo)準(zhǔn)化處理，并存儲(chǔ)于所述知識(shí)推理系統(tǒng)中的處置規(guī)則集合中；將處置結(jié)果對應(yīng)的安全事件文本描述、重要程度及緊急程度存儲(chǔ)于所述知識(shí)推理系統(tǒng)中的事實(shí)集合中。

8.如權(quán)利要求1所述的一種基于知識(shí)推理的安全事件自動(dòng)處置方法，其特征在于，所述安全事件為運(yùn)維過程中的文本描述。

9.一種基于知識(shí)推理的安全事件自動(dòng)處置系統(tǒng)，其特征在于，包括：

數(shù)據(jù)獲取單元，其用于待處置安全事件；

處置結(jié)果獲取單元，其用于基于預(yù)先構(gòu)建好的知識(shí)推理系統(tǒng)，對所述安全事件進(jìn)行分級(jí)研判處理，獲得處置結(jié)果；其中，所述知識(shí)推理系統(tǒng)基于產(chǎn)生式規(guī)則推理方法，利用預(yù)先存儲(chǔ)的安全事件集合和處置規(guī)則集合，通過推理引擎對安全事件進(jìn)行分級(jí)處理，確定安全事件對應(yīng)的處置規(guī)則；

處置規(guī)則擴(kuò)展單元，其用于將獲得的處置結(jié)果進(jìn)行轉(zhuǎn)化，并錄入到所述知識(shí)推理系統(tǒng)中；

所述分級(jí)研判處理，具體為：

對于每個(gè)安全事件，通過所述知識(shí)推理系統(tǒng)進(jìn)行處置規(guī)則及處置緊急程度預(yù)測；

若為簡單安全事件，則基于預(yù)測的處置規(guī)則直接生成結(jié)論；

對于非簡單安全事件，基于安全事件間的相似度計(jì)算進(jìn)行歸并處理，對于單獨(dú)的安全事件以及對于歸并處理的安全事件中的重要且緊急的安全事件，直接推送給安全運(yùn)維專家進(jìn)行處理規(guī)則的判定，生成處置結(jié)論；

對于歸并處理的安全事件中的剩余安全事件，通過工單跟蹤處理，生成安全事件處置工單后，由安全運(yùn)維專家進(jìn)行處理規(guī)則的判定，生成處置結(jié)論；

所述基于產(chǎn)生式規(guī)則的知識(shí)推理系統(tǒng)的多層處置模型，與安全運(yùn)維專家的經(jīng)驗(yàn)相結(jié)合，并將安全運(yùn)維專家的處置經(jīng)驗(yàn)持續(xù)轉(zhuǎn)化為知識(shí)，并錄入到所述知識(shí)推理系統(tǒng)中形成閉環(huán)，實(shí)現(xiàn)安全事件數(shù)據(jù)的復(fù)用；同時(shí)，安全事件處理過程中只有一層需要安全運(yùn)維專家介入。