物联网终端的数据分析方法及系统与流程

本发明涉及物联网，尤其涉及一种物联网终端的数据分析方法及系统。

背景技术：

1、随着物联网技术的快速发展，电力物联网终端设备的数量和种类呈现爆炸式增长，网络环境中持续产生海量的安全相关数据。这些数据来源于不同类型的数据源，包括终端行为日志、网络流量、安全告警、漏洞信息以及威胁情报等，呈现出多源化、异构化的显著特征。

2、在现有技术中，针对电力物联网的安全治理通常采用单点、离散的分析方式。不同安全设备或系统各自独立采集和处理数据，缺乏有效的数据融合机制，导致数据孤岛现象严重。由于各类安全数据分散存储于不同的系统中，且数据格式、采集频率和语义定义存在差异，现有技术难以对这些多源异构数据进行统一的关联分析和深度挖掘，安全分析人员也无法获得统一、完整的安全视图，导致对全网安全态势缺乏整体把握能力。

技术实现思路

1、本发明提供了一种物联网终端的数据分析方法及系统，以通过对物联网终端的多源异构安全数据进行汇聚、多源关联分析、因果关联关系分析、资产风险综合评估、多层威胁识别及多维度态势可视化展示，实现从全局视角对网络安全态势进行综合评估，并以直观多维形式呈现安全分析结果，从而提升安全态势感知和决策支持的效率。

2、为解决上述问题，本发明采用如下技术方案：

3、本发明提供了一种物联网终端的数据分析系统，包括：

4、接收模块，用于接收物联网终端的多源异构安全数据；

5、多源关联分析模块，用于对所述多源异构安全数据进行多源关联分析，得到关联分析结果；

6、因果关联关系分析模块，用于对所述多源异构安全数据中的离散告警事件进行因果关联关系分析，得到攻击场景重构结果；

7、资产风险评估模块，用于根据所述多源异构安全数据计算资产风险综合评估值；

8、威胁识别模块，用于通过特征检测层、异常分析层和情报关联层对所述多源异构安全数据进行威胁识别，得到威胁识别结果，所述特征检测层用于根据内置告警规则与威胁特征库对所述多源异构安全数据进行已知威胁匹配，所述异常分析层用于识别所述多源异构安全数据中偏离终端正常行为基线的异常行为，所述情报关联层用于将所述多源异构安全数据与关联威胁情报数据进行实时关联分析；

9、展示模块，用于将所述关联分析结果、攻击场景重构结果、资产风险综合评估值和威胁识别结果以多维度态势视图形式进行可视化展示。

10、进一步地，所述物联网终端的数据分析系统还包括：

11、处置模块，用于根据所述关联分析结果、攻击场景重构结果、资产风险综合评估值和威胁识别结果生成处置指令，并将所述处置指令下发至网络安全设备进行执行。

12、优选地，所述处置模块还用于内置可视化编排节点库，并通过图形化拖拽连线方式自定义事件处置流程，所述可视化编排节点库包括自动化执行节点、过滤型节点、人工介入节点和标记型节点。

13、优选地，所述资产风险评估模块采用的资产风险综合评估值的计算公式包括：

14、；

15、所述资产风险评估模块还用于根据所述资产风险综合评估值对资产进行资产风险评分，得到资产风险评分值，并根据所述资产风险评分值生成资产标签。

16、优选地，所述终端正常行为基线包括网络行为基线、操作行为基线和业务行为基线，所述网络行为基线包括通信网络地址范围、端口分布、流量大小和连接频率，所述操作行为基线包括登录时段、操作类型和指令序列，所述业务行为基线包括数据传输规律和业务操作流程。

17、进一步地，所述展示模块还包括：

18、物联网资产拓扑管理模块，用于发现并维护物联网设备清单及设备间拓扑关系，还用于完成资产拓扑的添加、删除、合并和刷新操作，多个业务拓扑的自由切换，以及设备上线、下线和网络地址变更情况的动态反映；

19、访问行为可视化模块，用于以图形化方式呈现物联网设备、应用和服务之间的访问关系和历史操作行为，并识别偏离所述终端正常行为基线的异常访问模式。

20、进一步地，所述展示模块还包括：

21、可视化关联检索模块，用于在报表与图表中通过点击图表元素作为检索条件进行告警数据和日志数据的穿透式关联检索。

22、优选地，所述展示模块还用于将设备运行状态、终端类型分布、流量数据、告警数据和安全事件以时间线、热力图或地理图方式进行展示，生成告警时间路线图。

23、进一步地，所述物联网终端的数据分析系统还包括：

24、资产画像模块，用于对所述多源异构安全数据的资产指纹信息进行梳理和聚类，构建得到资产画像，所述资产指纹信息包括网络地址、介质访问控制地址、厂商信息和服务信息；

25、威胁画像模块，用于对所述多源异构安全数据的威胁源网络地址进行分析画像，并从攻击行为、攻击趋势和外联行为可视化展示威胁特征。

26、本发明还提供了一种物联网终端的数据分析方法，应用于物联网终端的数据分析系统，所述系统包括接收模块、多源关联分析模块、因果关联关系分析模块、资产风险评估模块、威胁识别模块及展示模块，所述方法包括：

27、所述接收模块接收物联网终端的多源异构安全数据；

28、所述多源关联分析模块对所述多源异构安全数据进行多源关联分析，得到关联分析结果；

29、所述因果关联关系分析模块对所述多源异构安全数据中的离散告警事件进行因果关联关系分析，得到攻击场景重构结果；

30、所述资产风险评估模块根据所述多源异构安全数据计算资产风险综合评估值；

31、所述威胁识别模块通过特征检测层、异常分析层和情报关联层对所述多源异构安全数据进行威胁识别，得到威胁识别结果，所述特征检测层用于根据内置告警规则与威胁特征库对所述多源异构安全数据进行已知威胁匹配，所述异常分析层用于识别所述多源异构安全数据中偏离终端正常行为基线的异常行为，所述情报关联层用于将所述多源异构安全数据与关联威胁情报数据进行实时关联分析；

32、所述展示模块将所述关联分析结果、攻击场景重构结果、资产风险综合评估值和威胁识别结果以多维度态势视图形式进行可视化展示。

33、相对于现有技术，本发明的技术方案至少具备如下优点：

34、首先，通过对物联网终端的多源异构安全数据进行汇聚，并对汇聚后的数据进行多源关联分析，得到关联分析结果，实现了对分散安全数据的统一融合与关联治理，打破了数据孤岛。

35、其次，通过对离散告警事件进行因果关联关系分析，得到攻击场景重构结果，实现了对孤立告警事件之间因果关系的深度挖掘，能够准确还原攻击行为序列和攻击路径，从而精准定位高级威胁并清晰理解攻击链与影响面。

36、此外，通过特征检测层、异常分析层和情报关联层的协同工作对多源异构安全数据进行威胁识别，实现了从已知威胁匹配到未知异常行为检测再到外部情报实时关联的全覆盖威胁识别，显著提升了威胁发现的全面性和时效性。

37、最后，通过将关联分析结果、攻击场景重构结果、资产风险综合评估值和威胁识别结果以多维度态势视图形式进行可视化展示，实现了对安全分析结果的统一整合与多维度直观呈现，使安全分析人员能够快速获取关键信息，提升了安全态势感知和决策支持的效率。