[发明专利]一种事件检测方法、装置、电子设备及存储介质

说明书

本申请实施例提供一种事件检测方法、装置、电子设备及存储介质，响应于设定的碰撞时机，获取情报指标集合，并从流量指标库中，获取针对所述碰撞时机的流量指标集合，其中，每个情报指标关联本地情报库中的一个增量情报，每个增量情报的情报记录时间不早于设定的历史检测时间，每个流量指标关联流量消息队列中的一个回溯流量，每个回溯流量通过历史日志解析获得，进一步的，对情报指标集合与流量指标集合进行碰撞及分析，获得各回溯威胁事件，从而基于上述方式，对情报产生前的攻击行为进行回溯检测，提升溯源出的网络攻击链的完整性。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种事件检测方法、装置、电子设备及存储介质。

背景技术

情报碰撞是指将已发掘的攻击者情报中的威胁指标，与目标网络的流量日志中的威胁指标进行检索比对的一种检测方法，用于检测目标网络中的威胁事件，确保提前预警。

现有技术中，通常采用实时产生的威胁情报来对当前流量进行碰撞，并在检测到威胁事件后进行相关告警，而由于情报产生的滞后性，这一方式易对攻击者在情报产生前的攻击行为产生遗漏，导致溯源出的网络攻击链不完整，影响网络空间的安全性。

发明内容

本申请实施例提供一种事件检测方法、装置、电子设备及存储介质，用于提升网络攻击链的完整性。

第一方面，本申请实施例提供一种事件检测方法，包括：

响应于设定的碰撞时机，获取情报指标集合，其中，每个情报指标关联本地情报库中的一个增量情报，每个增量情报的情报记录时间不早于设定的历史检测时间。

从流量指标库中，获取针对所述碰撞时机的流量指标集合，其中，每个流量指标关联流量消息队列中的一个回溯流量，每个回溯流量通过历史日志解析获得。

将所述情报指标集合，与所述流量指标集合进行碰撞及分析，获得各回溯威胁事件。

将所述各回溯威胁事件发往事件消息队列，触发针对所述各回溯威胁事件的分析及告警。

在一种可选的实施方式中，所述响应于设定的碰撞时机，获取情报指标集合之前，还包括：

根据启动的消费进程，获取所述流量消息队列中，针对所述碰撞时机的各回溯流量。

对所述各回溯流量进行指标提取，获得各候选指标，并采用过滤规则，对所述各候选指标进行过滤，获得各流量指标。

将所述各流量指标发往所述流量指标库，触发所述流量指标库，按照设定周期，对所述各流量指标进行归并存储，并采用持久化，向本地流量库进行归并存储。

在一种可选的实施方式中，所述触发所述流量指标库，按照设定周期，对所述各流量指标进行归并存储，包括：

触发所述流量指标库，按照设定周期，对所述各流量指标中的各第一流量值进行归并存储，其中，所述第一流量值包括：相应回溯流量提取的地址信息及哈希值；以及，

触发所述流量指标库，采用压缩算法，对所述各流量指标中的各第二流量值进行压缩，并按照所述设定周期，对获得的各第二压缩值进行归并存储，其中，所述第二流量值包括：相应回溯流量提取的统一资源定位符。

在一种可选的实施方式中，所述响应于设定的碰撞时机，获取情报指标集合，包括：

响应于所述本地情报库触发更新信息，获取设定指标类型和/或情报类型关联的情报指标集合。

或者，

响应于设定的检测周期，获取设定指标类型和/或情报类型关联的情报指标集合。

在一种可选的实施方式中，所述从流量指标库中，获取针对所述碰撞时机的流量指标集合，包括：