[发明专利]一种事件分析方法和系统

说明书

技术领域

本发明涉及业务系统安全领域，尤其涉及一种事件分析方法和系统。

背景技术

为提高业务系统的安全性，针对来自系统外部和内部的各种威胁，用户往往会安装部署各式各样的检测及防护设施。当业务系统受到威胁时，检测与防护设施会上报相对应的威胁事件，但是各种安全设施通常都仅防御一方面的安全威胁，设施之间缺乏沟通协作，管理人员接收到的是海量的相互孤立的威胁事件，无法从中提取出用户真正关心的有效信息。因此，业界希望能够找到一种技术，可以对各类安全防护设施报告的威胁事件进行综合分析，提取有意义的指示信息。

目前在此领域通常采用的方案为：将各类安全防护设施报告的威胁事件首先暂存在数据库或特定内存结构中，事件规则分析模块按照威胁事件的发生顺序依次分析每个事件，验证该事件与其它事件的关联，根据预定义的分析规则推导出特定的结果，获取用户关心的有效信息。

通过对现有技术的研究，发明人发现：用户的安全设施众多，业务系统经常受到来自系统内部或外部的各种威胁，因此各类检测及防护设施会实时的获知并上报大量的威胁事件，对全部的威胁事件的分析会占用大量的系统资源，导致系统性能下降，同时这种逐条分析方式会使新产生的威胁事件得不到实时的分析，导致分析结果不具备时效性。

发明内容

为解决上述技术问题，本发明的目的在于提供一种事件分析方法和事件分析系统，使在对威胁事件进行分析时，无需对获取到的全部的威胁事件进行分析，减少分析的工作量，以减小对系统资源的占用，提高系统性能，同时实现对威胁事件实时的分析，以提高分析结果的时效性。

为实现上述目的，本发明提供了如下技术方案：

一种事件分析方法，包括：

确定分析规则的触发事件；

当触发事件发生时，输出该触发事件对应的分析规则组中成立的分析规则的分析结论。

优选的，在所述输出该触发事件对应的分析规则组中成立的分析规则的分析结论之后，还包括：

删除所述触发事件。

优选的，所述确定分析规则的触发事件，包括：

确定分析规则的输入事件组中发生概率最低的事件为该分析规则的触发事件。

优选的，所述输出该触发事件对应的分析规则组中成立的分析规则的分析结论，包括：

从所述触发事件对应的分析规则组选择一条分析规则；

判断所选择的分析规则是否成立，如果是，输出该分析规则的分析结论并结束分析过程，否则，从所述分析规则组中删除该分析规则，并判断所述分析规则组中是否还存在分析规则，如果是，重复执行上述过程，否则，结束分析过程。

优选的，所述输出该触发事件对应的分析规则组中成立的分析规则的分析结论，包括：

从所述触发事件对应的分析规则组选择一条分析规则；

判断所选择的分析规则是否成立，如果成立，输出该分析规则的分析结论并从所述分析规则组中删除该分析规则，否则，从所述分析规则组中删除该分析规则；

判断所述分析规则组中是否还存在分析规则，如果是，重复执行上述过程，否则，结束分析过程。

优选的，所述判断所选择的分析规则是否成立，包括：

判断所选择的分析规则的输入事件组中的事件是否全部发生，如果是，则说明该分析规则成立，否则，则说明该分析规则不成立。

本发明实施例还提供了一种事件分析系统，包括：规则建立模块、事件采集模块、存储模块和规则分析模块；

所述规则建立模块，用于建立分规则并确定该分析规则的触发事件；

所述事件采集模块，用于获取威胁事件，并区分出触发事件和非触发事件；

所述存储模块，用于存储事件采集单元获取到的威胁事件；

所述规则分析模块，用于对触发事件对应的分析规则组进行分析，并输出成立的分析规则的分析结论。

优选的，所述存储模块包括：

触发事件存储单元，用于存储触发事件；

非触发事件存储单元，用于存储非触发事件。

优选的，所述规则分析模块包括：

监控单元，用于实时监控并获取存储模块中的事件；

查找单元，用于从分析规则库中获取触发事件对应的分析规则组；

第一判断单元，用于判断分析规则组中是否存在分析规则；

第二判断单元，用于判断分析规则是否成立；

输出单元，用于输出成立的分析规则的分析结论；

删除单元，用于从分析规则组删除已经过分析的分析规则。