[发明专利]一种基于复杂事件处理的网络安全关联分析方法

权利要求书

1.基于复杂事件处理的网络安全关联分析方法，所指的复杂事件特指网络安全领域中的事件，包含四个属性集，即用于区分事件的相关标示符集合、描述事件的属性集、作用于属性集上的约束以及事件风险集；其中风险集包含两个元素，即威胁度及重要度两个；威胁度是事件威胁网络的度量值，重要度是指相关联设备或软件对整个网络以及办公重要性的大小度量值；关联规则是作用于事件上的约束条件；

其特征在于.步骤如下：

步骤1：通过安全事件模型将网络安全事件进行统一格式化转换；

步骤2：经过格式化后的事件进行一级规则匹配。具体匹配过程是：输入的各类安全事件根据匹配规则，对该事件的特定属性字段进行过滤、相同或相近事件进行聚合事件提取操作，生成新的合成事件，并根据规则赋值给合成事件中的风险集；

步骤3：根据第2步合成事件中的风险集，对两个元素即威胁度及重要度两个进行求积运算。同时把计算结果与关联规则中的告警门限值进行比较，如果超过了关联规则设定的告警门限值，则直接告警，提醒用户及时处理网络安全告警；否则，继续进行二级规则匹配计算；

步骤4：进行二级规则匹配；

步骤5：再次对第4步合成事件中的风险集进行计算，此次的求积需要与第3步的计算结果进行累和计算之后再与关联规则中的告警门限值进行比较，计算结果如果超过了告警门限值，则生成更紧急级别告警；否则，转入一级规则重新匹配。