[发明专利]网络分析工作流程加速

摘要

一种网络威胁情报(CTI)网关设备可以接收用于过滤TCP/IP数据包通信事件的规则，该规则被配置为促使CTI网关设备识别与网络威胁的指示符、签名和行为模式相对应的通信。CTI网关设备可以接收组成端点到端点通信事件的数据包，并且可以针对每个事件确定该事件对应于由过滤规则指定的标准。该标准可以对应于网络威胁指示符、签名和行为模式中的一个或多个。CTI网关可以创建威胁事件的日志，并将该威胁事件日志转发到由网络分析工作流程应用程序管理的任务队列。人工网络分析人员使用该网络分析工作流程应用程序，通过去除队列前面的任务、调查威胁事件以及确定该事件是否为应当报告给适当管理机构的可报告调查结果，从而为任务队列提供服务。为了提高工作流程进程的效率，队列中的任务按网络分析人员将相关联的威胁事件确定为可报告的调查结果的似然或概率排序；因此，高似然的事件被首先调查。似然使用应用于事件的特征的人工设计算法和机器学习算法计算的。低似然事件可以从工作队列中丢弃，以进一步提高效率。