[发明专利]一种面向威胁场景的智能化安全事件关联分析系统

说明书

本发明提供一种面向威胁场景的智能化安全事件关联分析系统，包括海量格式事件存储模块、分析模块、可视化展示模块；所述分析模块包括事件关联分析模块、综合威胁分析模块、攻击链分析模块、攻击路径分析模块、Web攻击深度分析模块、网络流量元数据行为分析模块、网络异常行为分析模块。本发明所提供的分析系统可以汇总和合理化威胁数据自动筛选出攻陷指标(IOC)作为可机读威胁情报(MRTI)，并且使用现存的日志对比匹配以便轻松发现不常见的趋势或线索，并对其有效执行操作。通过将团队、流程和工具结合在一起，系统平台为安全团队提供了对于威胁来自哪里前所未有的视野，并可以从头到尾跟踪整个事件，通过报告，可指导安全响应并进行阻断。

技术领域

本发明涉及网络安全分析，具体涉及一种面向威胁场景的智能化安全事件关联分析系统。

背景技术

随着网络规模的不断扩大，现在的网络在社会生活中已经扮演着越来越重要的角色；同时，网络安全问题也日益突出，并逐渐成为网络服务和应用进一步发展所亟需解决的关键问题。此外，随着网络入侵和攻击行为向着分布化、规模化、复杂化、间接化等趋势的发展，网络病毒和Dos/DDos攻击等构成的威胁和造成的损失越来越大，很多科研人员和机构已经开始意识到仅仅依赖于现有的网络安全产品是无法对整个网络安全状况进行实时监控的。

众所周知，随着业务和IT基础设施的规模不断扩大，以及新的技术的发展，国内电网电力通信网络的规模越来越大，传统的基于关系型数据库技术的安全事件和信息管理系统及类似的日志审计系统或安全管理系统都无法满足高速海量事件的处理要求。主要体现在超过一定事件数量规模后，传统的事件管理技术无法完成对所有信息事件的实时采集和存储，受限于单台系统的计算能力，海量的实时数据无法得到有效的关联分析，会产生漏报和误报，导致无法有效发现安全攻击。历史数据无法得到有效的分析，采用关系型数据库技术在对海量数据进行历史查询和检索时耗时很长，生成报表往往需要耗费数小时，这些已无法满足安全分析人员日常的安全工作的要求。

当前国内的分析系统基本上是建立在各个不同生产环节上，辅以一些常用、简便的工具，如数据库、报表工具，甚至Excel(数据表格工具)等，直接对生产数据进行分析，来了解企业的经营运行情况。其不可避免的问题在于，企业中的数据源是分散的，在此基础上建立的分析系统必然是孤立的。而在这一个个“信息孤岛”之间缺乏有效的关联和综合分析，无法形成企业数据的统一视图。在分析角度和深度，以及关联分析和预测分析方面比较薄弱。

因此，电力通信网络中亟需能够实现敏捷和快速反应的方式应对不断发展的、大批量、高优先级的威胁的分析系统，并能够实现从“全球化”的角度进行综合分析和研究。

发明内容

为了解决上述现有技术中存在的问题，本发明的目的是提供一种面向威胁场景的智能化安全事件关联分析系统，能够实现对电力通信网络中的各类实时和历史网络威胁事件进行分析和检测，提供可视化分析报告。

为了达到上述发明目的，本发明的技术方案以如下方式实现：

一种面向威胁场景的智能化安全事件关联分析系统，包括海量格式事件存储模块、分析模块、可视化展示模块；

所述海量格式事件存储模块支持单个事件采集器和多个事件采集器，借助硬件多核特性，采用并行事件流水线采集方式采集海量日志数据，并采用了异步非阻塞的事件采集方式，借助高速缓存快速地进行事件并行流水线处理。大大提升了事件的采集和预处理的性能；

所述分析模块包括事件关联分析模块、综合威胁分析模块、攻击链分析模块、攻击路径分析模块、 Web攻击深度分析模块、网络流量元数据行为分析模块、网络异常行为分析模块；

本发明的分析系统还提供可视化展示模块，用户通过内设的可视化编辑器自定义基于逻辑表达式和统计条件的关联规则，所有日志字段都可参与关联。

所述事件关联分析模块包括基于规则的关联分析模块、基于情境的关联分析模块、基于行为的关联分析模块；