[发明专利]网络安全态势感知方法、装置及系统

权利要求书

1.一种网络安全态势感知方法，其特征在于，网络的结构包括内部网络结构、外部网络结构和边缘网络结构；所述内部网络结构涉及在同一网络环境中发生告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到在同一网络环境中的新态势感知信息；所述外部网络结构涉及在不同网络环境中发生告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到在不同网络环境中的新态势感知信息；所述边缘网络结构涉及网络边缘设备的告警和/或引起前述网络边缘设备进行告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到与前述网络边缘设备相关联的新态势感知信息；所述网络边缘设备是指向企业或服务提供商核心网络提供入口点的设备；

所述方法包括步骤：

接收历史告警信息，所述历史告警信息包括网络边缘设备的历史告警信息和网络节点的历史告警信息；

对前述历史告警信息进行数据处理，所述数据处理还包括与前述历史告警信息相关的威胁情报信息和网络节点的日志信息；对前述进行数据处理后的信息，按属性类型提取历史态势感知信息；

分析前述历史态势感知信息，预测态势感知趋势以得到新态势感知信息，所述新态势感知信息包括预测告警信息和防御对象信息；

根据预设的告警阈值范围，判断前述防御对象是否正确；其中，当前述新态势感知信息中的预测告警信息匹配前述告警阈值范围时，判定前述防御对象正确，基于预设的态势感知数据库的防御方案对前述预测告警进行防御；判定防御对象错误，获取前述网络边缘设备或网络节点的实时告警信息，对发出实时告警的网络边缘设备或网络节点进行防御。

2.根据权利要求1所述的方法，其特征在于，所述告警包括紧急告警和非紧急告警，判定为紧急告警时，对对应的网络节点进行安全防御，断开前述网络节点的网络访问，对网络节点所在的网络环境进行故障处理；

和/或，定期检测出现过告警的网络节点，将前述网络节点的日志信息发送至态势感知系统进行安全分析。

3.根据权利要求1所述的方法，其特征在于，采集前述告警信息中网络边缘设备和网络节点的IP地址，获取前述IP地址的访问或操作记录信息，并进行轨迹追溯和/或轨迹安全分析。

4.一种网络安全态势感知装置，其特征在于，网络的结构包括内部网络结构、外部网络结构和边缘网络结构；所述内部网络结构涉及在同一网络环境中发生告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到在同一网络环境中的新态势感知信息；所述外部网络结构涉及在不同网络环境中发生告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到在不同网络环境中的新态势感知信息；所述边缘网络结构涉及网络边缘设备的告警和/或引起前述网络边缘设备进行告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到与前述网络边缘设备相关联的新态势感知信息；所述网络边缘设备是指向企业或服务提供商核心网络提供入口点的设备；

所述装置包括结构：

信息接收单元，用以接收历史告警信息，所述历史告警信息包括网络边缘设备的历史告警信息和网络节点的历史告警信息；

信息提取单元，用以对前述历史告警信息进行数据处理，所述数据处理还包括与前述历史告警信息相关的威胁情报信息和网络节点的日志信息；对前述进行数据处理后的信息，按属性类型提取历史态势感知信息；

信息分析单元，用以分析前述历史态势感知信息，预测态势感知趋势以得到新态势感知信息，所述新态势感知信息包括预测告警信息和防御对象信息；

信息防御单元，用以根据预设的告警阈值范围，判断前述防御对象是否正确；其中，当前述新态势感知信息中的预测告警信息匹配前述告警阈值范围时，判定前述防御对象正确，基于预设的态势感知数据库的防御方案对前述预测告警进行防御；判定防御对象错误，获取前述网络边缘设备或网络节点的实时告警信息，对发出实时告警的网络边缘设备或网络节点进行防御。

5.一种网络安全态势感知系统，其特征在于，网络的结构包括内部网络结构、外部网络结构和边缘网络结构；所述内部网络结构涉及在同一网络环境中发生告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到在同一网络环境中的新态势感知信息；所述外部网络结构涉及在不同网络环境中发生告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到在不同网络环境中的新态势感知信息；所述边缘网络结构涉及网络边缘设备的告警和/或引起前述网络边缘设备进行告警的网络节点，对触发前述告警的历史告警信息进行数据处理，得到历史态势感知信息，用以预测得到与前述网络边缘设备相关联的新态势感知信息；所述网络边缘设备是指向企业或服务提供商核心网络提供入口点的设备；

所述系统包括：

网络节点，用于收发数据；

态势感知系统，定期检测出现过告警的网络节点，将前述网络节点的日志信息进行安全分析；

系统服务器，所述系统服务器连接网络节点和态势感知系统；

所述系统服务器被配置为：

接收历史告警信息，所述历史告警信息包括网络边缘设备的历史告警信息和网络节点的历史告警信息；

对前述历史告警信息进行数据处理，所述数据处理还包括与前述历史告警信息相关的威胁情报信息和网络节点的日志信息；对前述进行数据处理后的信息，按属性类型提取历史态势感知信息；

分析前述历史态势感知信息，预测态势感知趋势以得到新态势感知信息，所述新态势感知信息包括预测告警信息和防御对象信息；

根据预设的告警阈值范围，判断前述防御对象是否正确；其中，当前述新态势感知信息中的预测告警信息匹配前述告警阈值范围时，判定前述防御对象正确，基于预设的态势感知数据库的防御方案对前述预测告警进行防御；判定防御对象错误，获取前述网络边缘设备或网络节点的实时告警信息，对发出实时告警的网络边缘设备或网络节点进行防御。