[发明专利]基于知识推理的安全事件自动处置方法及系统

说明书

本发明提供了一种基于知识推理的安全事件自动处置方法及系统，其属于智能运维处置预测技术领域，所述方案包括：获取待处置安全事件；基于预先构建好的知识推理系统，对所述安全事件进行分级研判处理，获得处置结果；其中，所述知识推理系统基于产生式规则推理方法，利用预先存储的安全事件集合和处置规则集合，通过推理引擎对安全事件进行分级处理，确定安全事件对应的处置规则；将获得的处置结果进行转化，并录入到所述知识推理系统中。

技术领域

本发明属于智能运维处置预测技术领域，尤其涉及一种基于知识推理的安全事件自动处置方法及系统。

背景技术

本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。

SIEM（安全信息和事件管理）、SOC（安全运营中心）类安全产品日渐普及（以下统称为安全事件管理系统），采用安全事件管理系统保护核心资产的机构产生并积累了海量的安全事件，受限于相关技术发展水平，安全事件管理系统仍然需要安全运维专家的参与，对系统运行产生的安全事件进行研判处置。但面对海量的安全事件、有限的面向安全领域资源，安全运维专家缺乏有效的方法与工具应对，这就导致了安全事件成为沉睡数据，未能发挥其应有的作用。

业界通常采用分类模型解决这个问题。比如，根据紧急程度和影响力安全事件可以分为特别严重、严重、一般、轻微四个级别。安全运维专家根据安全事件的级别、类型等进行过滤，筛选出其关注的安全事件，进行分析研判及调查取证，以确定安全事件危害程度及其影响范围，但是，我们 发现，该方法在实际应用中存在方法固化、无法动态扩展、处置效率低，从而导致安全事件持续积压，安全运维专家处置经验无法复用，无法从根本上解决积压的安全事件成为沉睡数据的问题。

发明内容

本发明为了解决上述问题，提供了一种基于知识推理的安全事件自动处置方法及系统，所述方案提出一种基于产生式规则的知识推理系统的多层处置模型，相比传统的单一分类模型，所述方案具有自动化程度高，处置效率高的特点，通过所述多层处置模型可以将安全运维专家经验转化为知识，实现复用，达到唤醒安全事件数据，发挥其应有价值的效果。

根据本发明实施例的第一个方面，提供了一种基于知识推理的安全事件自动处置方法，包括：

获取待处置安全事件；

基于预先构建好的知识推理系统，对所述安全事件进行分级研判处理，获得处置结果；其中，所述知识推理系统基于产生式规则推理方法，利用预先存储的安全事件集合和处置规则集合，通过推理引擎对安全事件进行分级处理，确定安全事件对应的处置规则；

将获得的处置结果进行转化，并录入到所述知识推理系统中。

进一步的，所述知识推理系统包括事实集合、处置规则集合以及推理引擎，所述事实集合存储有预先存储的历史安全事件集合，所述处置规则集合存储有与所述事实集合中历史安全事件对应的安全事件处置规则，所述推理引擎用于基于事实集合和处置规则集合，通过模式匹配方法对待处置安全事件的处置规则进行预测。

进一步的，所述模式匹配方法采用语义相似度计算方法，计算待处置安全事件与所述知识推理系统预先存储的安全事件集合中相似度最高的安全事件，将其对应的处置规则作为待处置安全事件的处置规则，其对应的处置重要程度标签和紧急程度标签作为待处置安全事件的重要程度和紧急程度。

进一步的，所述分级研判处理，具体为：

对于每个安全事件，通过所述知识推理系统进行处置规则及处置紧急程度预测；

若为简单安全事件，则基于预测的处置规则直接生成结论；

对于非简单安全事件，基于安全事件间的相似度计算进行归并处理，对于单独的安全事件以及对于归并处理的安全事件中的重要且紧急的安全事件，直接推送给安全运维专家进行处理规则的判定，生成处置结论；