[发明专利]多维度事件关联分析方法

说明书

本发明公开了多维度事件关联分析方法，其利用检索引擎从多个维度，将与可疑事件相关的事件列出。本发明提供的方案针对可疑事件创造性的使用高效的检索引擎，通过多个维度(IP地址、端口、时间等)，快速将与之相关的事件列出，便于现事件之间的关联关系，并对相关事件进行追踪和溯源。

技术领域

本发明涉及事件检索技术，具体涉及多维度事件关联分析技术

背景技术

利用高性能的搜索引擎来进行快速事件检索，已经是人们工作中必不可少的手段。检索时可使用包括源地址、源端口、目的地址、目的端口、时间范围、事件等级、事件类别等在内的多个条件的组合。

当数据查询时间区间比较大时，比如一年内数据。由于事件存储条数以亿计，带来查询性能降低，数据返回时间不能做不到秒级响应。

发明内容

针对现有可疑事件关联分析技术所存在的问题，需要一种高效、精准的疑事件关联分析方案。

为此，本发明的目的在于提供一种多维度事件关联分析方法，实现多维度的关联事件获取。

为了达到上述目的，本发明提供的多维度事件关联分析方法，利用检索引擎从多个维度关联相关字段及表设计，将与可疑事件相关的事件列出。

进一步的，利用相关特性建立多维度数据表设计，包括多个数据集要符合标准格式，每个数据集内至少包含一个维度。

进一步的，事件检索结果以列表的形式展示，通过时间索引能够查看详情。

进一步的，所述方法将相关的事件序列在同一时间轴上，以可视化的方式进行展示。

进一步的，所述方法基于事件时间轴进行事件分析，分析过程包括：

针对检索到的可疑事件，建立一个可疑事件专题；

基于事件类型，时间范围，关键字条件检索出可疑事件的相关事件；

将检索到的相关事件加入可疑事件的专题；

针对整个可疑事件专题进行展开调查，查看全部相关事件；

根据事件场景类型、事件发生时间、事件影响等信息进行时间轴分析；

综合判断得出事件的结果和影响，并形成对应的加固措施方案。

进一步的，所述方法还进行事件影响评估，事件影响评估包括：

建立评估专题，在事件分析发现可疑事件时，建立一个针对这一可疑事件的专题；

检索相关事件，根据某一关键字检索相关的事件；

将可疑事件加入专题，将检索到的与可疑事件专题相关的可疑事件加入专题，在事件时间轴分析时进行统一查看和分析。

进一步的，所述方法还将分析中检索到的相关事件以通用格式导出为文件，用以形成证据或提供其它系统进行分析或引用。

本发明提供的方案针对可疑事件创造性的使用高效的检索引擎，通过多个维度(IP地址、端口、时间等)，快速将与之相关的事件列出，便于现事件之间的关联关系，并对相关事件进行追踪和溯源。

在此基础上，本发明还支持以时间轴方式展示相关事件的时序关系，便于分析人员分析事件之间的逻辑联系。

进一步的，本发明支持通过多维度关联进行影响评估和追溯分析，能够对于已确定的威胁事件，可关联出受影响的主机或系统，以评估影响范围，当前威胁严重程度。

再者，本方案还支持将追溯分析的关联事件导出以满足取证需要。

附图说明

以下结合附图和具体实施方式来进一步说明本发明。