[发明专利]一种告警分类方法、装置、电子设备及存储介质

权利要求书

1.一种告警分类方法，其特征在于，所述方法包括：

在检测到存在网络攻击行为时，从所述网络攻击行为对应的告警信息中获取网络攻击特征；

通过训练好的网络攻击预测模型基于所述网络攻击特征对所述网络攻击行为进行风险评估，获得风险评估结果；其中，所述网络攻击预测模型是通过标注的正样本集和负样本集对双向编码器BERT模型进行训练得到的，所述正样本集中的数据为网络攻击行为会产生实际影响的告警信息数据，所述负样本集中的数据为网络攻击行为不会产生实际影响的告警信息数据；

基于所述风险评估结果对所述告警信息进行分类。

2.如权利要求1所述的方法，其特征在于，所述风险评估结果中包括所述网络攻击行为的实际影响程度，所述基于所述风险评估结果对所述告警信息进行分类，包括：

基于所述实际影响程度确定所述网络攻击行为是否会产生实际影响；

若所述网络攻击行为会产生实际影响，则确定所述告警信息属于第一类别；其中，所述第一类别中的告警信息为需要进行处理的告警信息；

若所述网络攻击行为不会产生实际影响，则确定所述告警信息属于第二类别；其中，所述第二类别中的告警信息为不需要进行处理的告警信息。

3.如权利要求2所述的方法，其特征在于，所述确定所述告警信息属于第一类别之后，还包括：

根据所述实际影响程度反馈指示信息；其中，所述指示信息用于指示对所述网络攻击行为进行处理的方式。

4.如权利要求3所述的方法，其特征在于，所述根据所述实际影响程度反馈指示信息，包括：

若所述实际影响程度大于第一预设阈值，则反馈第一指示信息；其中，所述第一指示信息用于指示通过预设策略对所述网络攻击行为进行阻断；

若所述实际影响程度小于所述第一预设阈值，则反馈第二指示信息；其中，所述第二指示信息用于指示相关业务人员确认是否需要对所述网络攻击行为进行阻断。

5.一种告警分类装置，其特征在于，所述装置包括：

处理模块，用于在检测到存在网络攻击行为时，从所述网络攻击行为对应的告警信息中获取网络攻击特征；

所述处理模块，还用于通过训练好的网络攻击预测模型基于所述网络攻击特征对所述网络攻击行为进行风险评估，获得风险评估结果；其中，所述网络攻击预测模型是通过标注的正样本集和负样本集对双向编码器BERT模型进行训练得到的，所述正样本集中的数据为网络攻击行为会产生实际影响的告警信息数据，所述负样本集中的数据为网络攻击行为不会产生实际影响的告警信息数据；

所述处理模块，还用于基于所述风险评估结果对所述告警信息进行分类。

6.如权利要求5所述的装置，其特征在于，所述风险评估结果中包括所述网络攻击行为的实际影响程度，所述处理模块，具体用于：

基于所述实际影响程度确定所述网络攻击行为是否会产生实际影响；

若所述网络攻击行为会产生实际影响，则确定所述告警信息属于第一类别；其中，所述第一类别中的告警信息为需要进行处理的告警信息；

若所述网络攻击行为不会产生实际影响，则确定所述告警信息属于第二类别；其中，所述第二类别中的告警信息为不需要进行处理的告警信息。

7.如权利要求6所述的装置，其特征在于，所述告警分类装置还包括通信模块，用于：

根据所述实际影响程度反馈指示信息；其中，所述指示信息用于指示对所述网络攻击行为进行处理的方式。

8.如权利要求7所述的装置，其特征在于，所述通信模块，具体用于：

在所述实际影响程度大于第一预设阈值时，反馈第一指示信息；其中，所述第一指示信息用于指示通过预设策略对所述网络攻击行为进行阻断；

在所述实际影响程度小于所述第一预设阈值时，反馈第二指示信息；其中，所述第二指示信息用于指示相关业务人员确认是否需要对所述网络攻击行为进行阻断。