加密系统异常事件告警触发方法和相关设备与流程

本技术涉及加密系统与安全设备监控，尤其涉及加密系统异常事件告警触发方法和相关设备。

背景技术：

1、在加密业务系统中，同一错误现象往往可能来自不同层次的原因。例如签名接口返回失败，既可能是应用实例线程池耗尽导致请求超时，也可能是数据库连接不可用导致业务参数无法查询，还可能是某台hsm（hardware security module，硬件安全模块）上缺少指定证书、某个接入渠道传入错误证书编号、某个业务标识被错误路由到异常设备。因此，在进行异常事件的告警触发时，需要能够明确表示出造成异常事件的根因。

2、目前方法通常使用通用指标进行告警，在告警触发时仅能够发现错误数量上升，难以通过告警触发信息确定同一触发链路中造成异常的原因，使得目前方法难以表达业务维度的异常信息，导致目前异常事件告警触发的效果较差。

技术实现思路

1、本技术的主要目的在于提供一种加密系统异常事件告警触发方法和相关设备，旨在解决目前异常事件告警触发的效果较差的技术问题。

2、为实现上述目的，本技术提出一种加密系统异常事件告警触发方法，所述的方法包括：

3、在加密调用出现异常事件的情况下，提取所述异常事件的信息，得到异常事件信息；

4、基于所述异常事件信息和预设的事件分类规则，确定所述异常事件的事件类别；

5、基于所述事件类别，确定所述异常事件的告警触发方法，其中，所述告警触发方法包括业务级触发方法，所述业务级触发方法用于基于预设的复合触发算法和预设的集中性算法确定所述异常事件的异常集中业务维度；

6、基于所述告警触发方法和所述异常事件信息，触发所述异常事件的告警，输出告警触发记录。

7、在一实施例中，若所述告警触发方法为所述业务级触发方法，则所述基于所述告警触发方法和所述异常事件信息，触发所述异常事件的告警，输出告警触发记录的步骤包括：

8、获取所述异常事件的事件时间窗口和事件触发维度集合；

9、基于所述事件触发维度集合中的错误类型族、所述事件时间窗口、所述异常事件信息和预设的复合异常触发算法，确定所述异常事件的触发类型和相应类型的时序异常得分；

10、若所述时序异常得分高于预设的时序异常阈值，则基于所述异常事件信息、预设的业务维度集中性算法，计算预设的业务维度归因集合中业务维度的维度集中性得分；

11、若所述维度集中性得分高于预设的维度集中性阈值，则记录相应的维度集中信息，输出包含所述维度集中信息的所述告警触发记录。

12、在一实施例中，所述基于所述事件触发维度集合中的错误类型族、所述事件时间窗口、所述异常事件信息和预设的复合异常触发算法，确定所述异常事件的触发类型和相应类型的时序异常得分的步骤包括：

13、基于所述异常事件信息，获取所述事件时间窗口内符合所述错误类型族的错误数，并获取加密调用的总请求数；

14、基于所述错误数和所述总请求数计算加密调用的错误率，并基于所述错误数、所述总请求数和预设的目标成功率计算加密调用的燃烧率；

15、基于预设的监控配置，将所述错误数、所述错误率和所述燃烧率中的其中一个参数作为异常指标；

16、基于所述事件时间窗口中的历史基线窗口，获取所述历史基线窗口中每个预设时间段对应的所述异常指标，得到历史异常指标；

17、基于所述错误数、所述错误率、所述燃烧率、所述历史异常指标和所述复合异常触发算法，确定所述异常事件的触发类型；

18、基于所述错误数、所述错误率、所述燃烧率、所述历史异常指标和所述复合异常触发算法确定所述异常事件的时序异常得分。

19、在一实施例中，所述触发类型包括固定阈值样本量触发、多窗口损耗触发、动态基线触发、季节性残差触发、加权平均触发、累积和触发和频域残差扩展触发，所述燃烧率包括短时窗口燃烧率和长时窗口燃烧率，所述基于所述错误数、所述错误率、所述燃烧率、所述历史异常指标和所述复合异常触发算法，确定所述异常事件的触发类型的步骤包括：

20、计算各所述历史异常指标的中位数和期望值，并基于预设的权重计算各所述历史异常指标的加权平均值；

21、若所述错误数高于预设的错误数阈值，或所述错误率高于预设的错误率阈值，则确定所述触发类型包括所述固定阈值样本量触发，若所述短时窗口燃烧率和所述长时窗口燃烧率均超过预设的燃烧率阈值，则确定所述触发类型包括所述多窗口损耗触发；

22、获取当前所述事件时间窗口内的异常时序数据，若所述异常时序数据与所述中位数差值的标准差倍数高于预设的差值倍数阈值，或所述异常时序数据高于所述历史异常指标中预设的高位异常指标，则确定所述触发类型包括所述动态基线触发；

23、若所述异常时序数据与所述期望值的期望残差高于预设的残差阈值，则确定所述触发类型包括所述季节性残差触发，若所述加权平均值高于预设的加权平均阈值，则确定所述触发类型包括所述加权平均触发；

24、将所述异常时序数据减去所述期望值与预设的允许偏移量，得到偏移值，将所述事件时间窗口内的各所述偏移值相加，得到累加值，若所述累加值高于预设的累加阈值，则确定所述触发类型包括所述累积和触发；

25、基于预设的频域残差处理函数对所述异常时序数据进行频域变换，得到异常显著性得分，若所述异常显著性得分高于预设的显著性得分阈值，则确定所述触发类型包括所述频域残差扩展触发。

26、在一实施例中，所述基于所述错误数、所述错误率、所述燃烧率、所述历史异常指标和所述复合异常触发算法确定所述异常事件的时序异常得分的步骤包括：

27、计算所述错误数与所述错误数阈值的错误数比值，并计算所述错误率与所述错误率阈值的错误率比值，将所述错误数比值与所述错误率比值中的较高值作为所述固定阈值样本量得分；

28、计算所述短时窗口燃烧率与所述燃烧率阈值的短时比值，并计算所述长时窗口燃烧率与所述燃烧率阈值的长时比值，将所述短时比值与所述长时比值中的较小值作为多窗口损耗得分；

29、计算所述异常时序数据与所述高位异常指标的高位异常差值，基于所述高位异常差值与所述标准差倍数，确定动态基线得分；

30、将所述期望残差与所述残差阈值比值作为季节性残差得分，将所述加权平均值与所述加权平均阈值的比值作为加权平均得分，将所述累加值与所述累加阈值的比值作为累加和得分，将所述异常显著性得分与所述显著性得分阈值的比值，作为频域残差扩展得分；

31、将所述固定阈值样本量得分、所述多窗口损耗得分、所述动态基线得分、所述季节性残差得分、所述加权平均得分、所述累加和得分和所述频域残差扩展得分中的最大值作为所述时序异常得分。

32、在一实施例中，所述基于所述异常事件信息、预设的业务维度集中性算法，计算预设的业务维度归因集合中业务维度的维度集中性得分的步骤包括：

33、对于每个所述业务维度，基于所述异常事件信息，确定所述业务维度的异常事件数，从各所述业务维度中，确定所述异常事件数最多的维度作为目标业务维度；

34、分别计算所述目标业务维度的赫芬达尔指数、信息熵、相较于历史同期的流量提升倍数、香农散度和字段缺失比例；

35、基于所述赫芬达尔指数、所述信息熵、所述流量提升倍数和所述香农散度、所述字段缺失比例、预设的集中性权重系数，计算所述维度集中性得分。

36、在一实施例中，所述若所述维度集中性得分高于预设的维度集中性阈值，则记录相应的维度集中信息，输出包含所述维度集中信息的所述告警触发记录的步骤，还包括：

37、若所述维度集中性得分高于所述维度集中性阈值，则确定所述异常事件的异常集中于所述目标业务维度；

38、将所述目标业务维度对应的维度名称、维度值、所述异常事件数、异常事件占比、所述流量提升倍数和所述维度集中性得分进行记录，得到集中记录信息；

39、基于所述异常事件信息生成业务级抑制键，并获取当前处于活跃状态的活跃系统级抑制键；

40、判断所述业务级抑制键是否在预设时间戳内已生成过，或所述业务级抑制键的字段是否与所述活跃系统级抑制键相匹配，若未生成过或未相匹配，则输出包含所述集中记录信息的所述告警触发记录。

41、在一实施例中，所述若所述维度集中性得分高于所述维度集中性阈值，则确定所述异常事件的异常集中于所述目标业务维度的步骤之后，还包括：

42、基于预设的候选数量，从各所述业务维度中确定所述异常事件数最高的多个候选业务维度，对各所述候选业务维度进行组合，得到多个不同的业务维度组合；

43、对于每个业务维度组合，确定同时符合业务维度组合中所有的所述业务维度的异常事件数量，得到联合异常数量，计算联合异常数量与所述异常事件的总数的比值，得到的联合异常占比；

44、对每个业务维度组合，计算所述异常事件在符合其中一个所述业务维度的情况下，同时符合其余所述业务维度的条件概率，得到条件异常占比；

45、若所述联合异常占比高于预设的联合占比阈值，所述条件占比高于预设的条件转变阈值，则确定所述异常事件的异常同时集中于所述业务维度组合中的所有所述业务维度。

46、在一实施例中，所述事件分类规则包括硬性规则和软性得分规则，所述硬性规则包括忽略规则、系统级硬规则和业务级硬规则，所述基于所述异常事件信息和预设的事件分类规则，确定所述异常事件的事件类别的步骤包括：

47、基于所述异常事件信息，判断所述异常事件是否仅命中，所述忽略规则、所述系统级硬规则和所述业务级硬规则中的其中一个，若仅命中其中一个，则确定所述异常事件为与命中的规则相对应的异常；

48、若未命中或命中所述忽略规则、所述系统级硬规则和所述业务级硬规则中的多个规则，则基于所述异常事件信息，分别确定所述异常事件的系统项命中和业务项命中，基于所述系统项命中和所述业务项命中，分别计算系统级得分和业务级得分；

49、若所述系统级得分高于预设的系统级等分阈值，且所述系统级得分与所述业务级得分的差高于预设的差值阈值，则确定所述异常事件的类别为系统级事件；

50、若所述业务级得分高于预设的业务级得分阈值，且所述业务级得分与所述系统级得分的差高于所述差值阈值，则确定所述异常事件的类别为业务级事件；

51、若所述系统级得分与所述业务级得分的差低于所述差值阈值，且所述业务级得分与所述系统级得分的差低于所述差值阈值，则确定所述异常事件的类别为混合来源事件。

52、此外，为实现上述目的，本技术还提出一种加密系统异常事件告警触发设备，所述设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序配置为实现如上文所述的加密系统异常事件告警触发方法的步骤。

53、本技术提出的一个或多个技术方案，至少具有以下技术效果：

54、本技术在加密调用出现异常事件的情况下，提取所述异常事件的信息，得到异常事件信息，基于所述异常事件信息和预设的事件分类规则，确定所述异常事件的事件类别，基于所述事件类别，确定所述异常事件的告警触发方法，其中，所述告警触发方法包括业务级触发方法，所述业务级触发方法用于基于预设的复合触发算法和预设的集中性算法确定所述异常事件的异常集中业务维度，基于所述告警触发方法和所述异常事件信息，触发所述异常事件的告警，输出告警触发记录。

55、相较于目前使用通用指标进行告警，在告警触发时仅能够发现错误数量上升，难以表达业务维度的异常信息，导致目前异常事件告警触发的效果较差的方法，本技术提取异常事件信息，通过业务级触发方法确定异常事件中异常集中业务维度，从而在触发异常事件告警时能够表达业务维度的异常信息，提升异常事件告警触发的效果。具体的，本技术提取异常事件信息，对异常事件进行分类并确定对应的告警触发方法。本技术的业务级触发方法在基于预设的复合触发算法和预设的集中性算法确定所述异常事件的异常集中业务维度，在异常信息中存在业务级信息的情况下，本技术可以通过业务级触发方法和提取到的异常信息，确定异常信息集中的业务维度，并记录在触发的告警信息中，从而可以在触发告警时表达业务维度的异常信息，提升异常事件告警触发的效果。