[发明专利]一种事件检测方法、装置、电子设备及存储介质

权利要求书

1.一种事件检测方法，其特征在于，包括：

响应于设定的碰撞时机，获取情报指标集合，其中，每个情报指标关联本地情报库中的一个增量情报，每个增量情报的情报记录时间不早于设定的历史检测时间；

从流量指标库中，获取针对所述碰撞时机的流量指标集合，其中，每个流量指标关联流量消息队列中的一个回溯流量，每个回溯流量通过历史日志解析获得；

将所述情报指标集合，与所述流量指标集合进行碰撞及分析，获得各回溯威胁事件；

将所述各回溯威胁事件发往事件消息队列，触发针对所述各回溯威胁事件的分析及告警。

2.如权利要求1所述的方法，其特征在于，所述响应于设定的碰撞时机，获取情报指标集合之前，还包括：

根据启动的消费进程，获取所述流量消息队列中，针对所述碰撞时机的各回溯流量；

对所述各回溯流量进行指标提取，获得各候选指标，并采用过滤规则，对所述各候选指标进行过滤，获得各流量指标；

将所述各流量指标发往所述流量指标库，触发所述流量指标库，按照设定周期，对所述各流量指标进行归并存储，并采用持久化，向本地流量库进行归并存储。

3.如权利要求2所述的方法，其特征在于，所述触发所述流量指标库，按照设定周期，对所述各流量指标进行归并存储，包括：

触发所述流量指标库，按照设定周期，对所述各流量指标中的各第一流量值进行归并存储，其中，所述第一流量值包括：相应回溯流量提取的地址信息及哈希值；以及，

触发所述流量指标库，采用压缩算法，对所述各流量指标中的各第二流量值进行压缩，并按照所述设定周期，对获得的各第二压缩值进行归并存储，其中，所述第二流量值包括：相应回溯流量提取的统一资源定位符。

4.如权利要求1-3任一项所述的方法，其特征在于，所述响应于设定的碰撞时机，获取情报指标集合，包括：

响应于所述本地情报库触发更新信息，获取设定指标类型和/或情报类型关联的情报指标集合；

或者，

响应于设定的检测周期，获取设定指标类型和/或情报类型关联的情报指标集合。

5.如权利要求1-3任一项所述的方法，其特征在于，所述从流量指标库中，获取针对所述碰撞时机的流量指标集合，包括：

从流量指标库中，获取相应回溯流量的流量记录时间，属于设定回溯时段内的多个流量指标，为针对所述碰撞时机的流量指标集合；

和/或，

从流量指标库中，获取相应回溯流量关联历史日志的日志类型，为设定回溯类型的多个流量指标，为针对所述碰撞时机的流量指标集合。

6.如权利要求1-3任一项所述的方法，其特征在于，所述流量指标集合，按照设定的各回溯数据量进行分批获取，

则所述将所述情报指标集合，与所述流量指标集合进行碰撞及分析，获得各个回溯威胁事件，包括：

针对获取所述流量指标集合的多个批次，分别执行以下操作：

针对一个批次获取的，相应回溯数据量的流量指标子集，将所述情报指标集合，与所述流量指标子集进行碰撞，获得子集碰撞数据；

采用事件模型，对所述子集碰撞数据进行分析，获得所述流量指标子集中，对应于所述情报指标集合的各个回溯威胁事件。

7.如权利要求5所述的方法，其特征在于，所述情报指标集合，采用多个线程，并发与所述流量指标子集的多个子集线程分块进行碰撞，

则所述采用事件模型，对所述指标碰撞数据进行分析，获得所述流量指标子集中的各个回溯威胁事件，包括：

在所述多个线程中，并发采用所述事件模型，对所述情报指标集合与所述多个子集线程分块碰撞获得的，多个分块碰撞数据进行分析，获得所述流量指标子集中的各个回溯威胁事件。