CN119402282A 一种网络安全告警自动研判方法、装置、设备及介质 （杭州安恒信息技术股份有限公司）

本申请公开了一种网络安全告警自动研判警数据进行深度报文分析，得到分析结构及内第三方知识库中的威胁情报源对异常行为攻击2获取各种网络安全设备和系统的原始告警数据，对所述原始对处理后的所述原始告警数据进行深度报文分析，以得到分析结构及内基于预设的第三方知识库中的威胁情报源对所述异常行为攻击目的进行威胁等级评基于能力中台子系统、智能体更新子系统以及数据更新子系统构建对所述初始人工智能大模型进行配置，以得到人工智能大模型；建立与各种网络安全设备和系统之间的连接调用本地的应用程序编程接口并利用所述连接关系从各种网络安全设备和系统中获对所述原始告警数据进行数据预处理，以得到预处理后的所述原始对所述原始告警数据进行数据清洗和标准化处理，以得到预处理对预处理后的所述原始告警数据进行特征提取，以提取出关键根据时间窗口或告警特性相关性、滑动时间窗技术对所述关键利用深度包检测技术对所述报文头信息及负载内容进行分析，以得到分析结构及内37.根据权利要求1至6任一项所述的网络安全数据获取及处理模块，用于获取各种网络安全设备和系统的原分析及识别推导模块，用于对处理后的所述原始告警数据进行深动态研判评估模块，用于基于预设的第三方知识库中的处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所序被处理器执行时实现如权利要求1至7任一项所述的网络4[0006]获取各种网络安全设备和系统的原始告警数据，对所述[0008]基于预设的第三方知识库中的威胁情报源对所述异常行为攻击目的进行威胁等5[0014]调用本地的应用程序编程接口并利用所述连接关系从各种网络安全设备和系统[0026]利用自然语言处理技术对所述异常通信模式和所述恶意6计算机程序被处理器执行时实现前述公开的网络安全告警力筛选过程，同时还能针对某个告警进行解读方便网络安全人员快速了解告警的特点信7如当来源IP处于某个网段并且网络报文中包含某些内容时。给这种告警打上某种标签等。8[0055]步骤S13：基于预设的第三方知识库中的威胁情报源对所述异常行为攻击目的进据所涉及的报文进行深入解析，提取报文头信息、负载内容等；利用DPI（DeepPacket9[0070]步骤S24：基于预设的第三方知识库中的威胁情报源对所述异常行为攻击目的进[0073]人工智能大模型分析如图7所示，人工智能大模型使用自然语言描述了告警的关[0074]本申请是基于人工智能大模型对告警进行研判，以海量的告警数据训练为依判为真正的攻击的告警，大幅减轻了其工作量。同时系统通过预训练的AI（Artificial[0078]分析及识别推导模块12，用于对处理后的所述原始告警用窗口式聚合策略对所述关键特征数据进行分类聚合，以得到处理后的所述原始告警数取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，[0102]其中，操作系统221用于管理与控制电子设备20上的各硬件设备以及计算机程序等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的网作的计算机程序。数据223除了可以包括网络安全告警自动研判设备接收到的由外部设备