[发明专利]一种基于复杂事件处理的实时安全预警方法

摘要

本发明公开了一种基于复杂事件处理的实时安全预警方法，具体包括以下几个步骤：(1)利用范式化引擎将采集到的安全数据进行日志字段分割，并依据字段的要求对字段进行规范化，按照期望输出的字段，关联知识库信息；(2)利用数据流语义分析引擎，依据将要作为场景建模的复杂事件实例，进行数据上下文分析，依据标准化的分析字段模板，分析映射流数据；(3)利用安全分析模型计算引擎，在分析规则计算模块中，基于点事件、边缘事件、间隔事件进行按场景分析，生成预警事件。本发明通过可配置的范式化规则、语义识别规则、安全分析规则实现原始日志数据的多角度关联分析，及时发现未知威胁并进行预警。

主权项

1.一种基于复杂事件处理的实时安全预警方法，其特征在于，具体包括以下几个步骤：(1)利用范式化引擎将采集到的安全数据进行日志字段分割，并依据字段的要求对字段进行规范，按照期望输出的字段，关联知识库信息；所述范式化引擎实现日志数据的匹配、去重、去噪、关联静态数据；范式化引擎依照数据处理的先后次序包括去重去噪模块、数据加强模块、数据格式化模块；(2)利用数据流语义分析引擎，将要作为场景建模的复杂事件实例，进行数据上下文分析，依据标准化的分析字段模板，分析映射流数据；所述数据流语义分析引擎实现范式化后数据的事件语义识别，通过关联预设语义识别和提取规则，将范式化数据分解成符合分析模型识别的事件数据分片；数据流语义分析引擎依照事件处理的先后次序包括复杂事件字段标准化模块和复杂事件实例映射模块；(3)利用安全分析模型计算引擎，在分析规则计算模块中，基于点事件、边缘事件、间隔事件进行按场景分析，生成预警事件；所述安全分析模型计算引擎实现实时分析模型计算及安全预警输出，通过复杂事件处理逻辑，在内存中进行符合语义数据的计算及标准化实时预警的生成；安全分析模型计算引擎依照安全场景建模并生成预警的先后次序包括分析规则计算模块和标准化预警输出模块；所述点事件、边缘事件、间隔事件各定义如下：a)点事件在某一时刻或者基于某一条复杂事件进行分析推导出的预警事件；b)边缘事件只对某一同类型事件进行的分析推导出的预警事件；c)间隔事件对复杂事件中的某几类事件的分析推导出的预警事件，间隔事件是复杂事件中组合最多的一种情况，不局限于一类日志。