[发明专利]一种网络安全设备监测的安全事件分析方法

摘要

本发明公开了一种网络安全设备监测的安全事件分析方法，包括如下步骤：根据日志报文中某个关键字，辨别该日志报文是应用日志、系统日志、还是安全日志，将上述日志分成普通事件、异常事件和安全事件，从普通事件的集合中通过异常识别方法寻找出异常事件，从异常事件的集合中通过识别违规操作行为和威胁行为寻找出安全事件；本发明通过识别网络环境中各类设备产生的日志，用事件详细分类解释网络状况，针对所有事件集合，明确地给出了事件的详细分类情况，便于管理人员理解网络中实时发生的事件状态。

主权项

一种网络安全设备监测的安全事件分析方法，其特征在于：包括如下步骤a），日志的识别根据日志报文中某个关键字，辨别该日志报文是应用日志、系统日志、还是安全日志；所述的应用日志为安全设备与其系统的主要功能组件对外提供服务所产生的日志；所述的系统日志为安全设备与其系统的硬/软部件、组件的状态发生改变所产生的日志，包括系统更新，硬/软部件、组件的开启、关闭、不可用或发生故障等所产生的日志；所述的安全日志为安全设备在其系统自身的安全机制运行中产生的日志，以及管理员登入、登出系统、进行系统配置管理、进行授权管理所产生的日志；b），日志的分类将上述日志分成普通事件、异常事件和安全事件；所述的普通事件代表正常的网络记录；所述的异常事件代表违反网络管理规则或者明显与正常行为存在差异的事件；所述的安全事件代表通过网络安全设备或者其它技术手段捕获到网络中危害信息安全与系统安全的事件；c），异常事件的转化从普通事件的集合中通过异常识别方法寻找出异常事件，将找到的异常事件与从网络中直接搜集到的异常事件组成异常事件的集合；d），安全事件的转化从异常事件的集合中通过识别违规操作行为和威胁行为寻找出安全事件，即可将找到的安全事件与从网络直接搜集到的安全事件组成安全事件的集合。