一种基于大模型正反证据协同推理的安全告警研判方法与流程

本发明涉及网络安全，具体为一种基于大模型正反证据协同推理的安全告警研判方法。

背景技术：

1、在安全运营过程中，安全设备、主机代理、网络探针、身份认证系统和日志平台会持续产生安全告警和行为记录；为了判断某一安全告警是否属于具体安全事件，通常需要结合告警发生前后的登录、访问、执行、连接、权限变化等行为片段进行关联分析，并进一步判断这些行为片段在对象、行为内容和时序上的承接关系；该类分析过程不仅依赖告警本身，还依赖安全行为片段之间的先后对应关系以及账户、主机、会话和网络连接等对象之间的归属关系；

2、在实际数据采集环境中，告警前后的行为记录可能存在时间间隔、采集延迟、采集中断、采集范围不覆盖以及部分行为内容未被采集等情况；对于两个已采集行为片段之间未出现的中间行为内容，不能简单地将其理解为行为确未发生，也不宜直接通过推测内容对其进行补全；若未对缺失内容对应区段的采集条件进行区分，后续关联研判中容易将不同性质的缺失记录混入同一判断过程，使可观测条件下的缺失与不可观测条件下的缺失在证据作用上不易区分；

3、随着大模型被用于安全告警解释、证据整理和事件研判辅助，安全告警分析过程可以利用大模型生成告警说明记录和证据整理文本；但在引入大模型进行正反证据说明时，仍需要先对已采集行为、缺失内容、可观测状态和不可观测状态形成结构化约束；如果缺失内容未经过可观测性区分就直接作为补全依据或者反向证据输入研判过程，大模型生成的说明记录可能难以准确反映底层采集条件；因此，本发明提出了一种基于大模型正反证据协同推理的安全告警研判方法。

技术实现思路

1、本发明的目的在于提供了一种基于大模型正反证据协同推理的安全告警研判方法，以解决上述背景技术中提到的问题。

2、本发明可以通过以下技术方案实现：一种基于大模型正反证据协同推理的安全告警研判方法，包括：

3、步骤一、读取待研判安全告警和安全行为承接输入，根据待研判安全告警形成告警承接范围，并依据承接关系及时序位置从告警承接范围内选取第一安全行为片段和第二安全行为片段，计算片段承接量和片段间隔量；

4、步骤二、读取行为承接参照输入，将第一安全行为片段和第二安全行为片段与行为承接参照输入进行匹配，形成二者之间的参照作用单元，在片段间隔量对应时段内从告警承接范围中获取已采集中间行为片段，并通过已采集中间行为片段对参照作用单元的覆盖比较形成中间行为缺口量；

5、步骤三、当中间行为缺口量大于预设缺口阈值时，根据参照作用单元中未被覆盖的承接位置确定缺失区段，并将参照作用单元中未被覆盖的承接位置及其对应的中间行为参照内容写入缺失参照单元；

6、步骤四、针对缺失区段内的缺失参照单元读取采集能力输入，计算采集连续程度、行为适配程度、采集覆盖程度和上报时效程度，将四者归一化后的最低值确定为可观测性许可量，并将可观测性许可量与预设可观测性阈值比较，形成可观测缺失结果或者不可观测缺失结果；

7、步骤五、当步骤四形成可观测缺失结果时，对缺失参照单元执行补位禁止并形成补位禁止结果；当步骤四形成不可观测缺失结果时，对缺失区段执行缺失反证禁用并形成缺失反证禁用结果，输出安全事件关联研判结果。

8、本发明的进一步技术改进在于：步骤一中选取第一安全行为片段和第二安全行为片段的方法，包括：

9、根据待研判安全告警确定告警发生时刻，以告警发生时刻为分界，将告警承接范围内位于告警发生时刻之前的安全行为片段形成前位候选序列，将告警承接范围内位于告警发生时刻之后的安全行为片段形成后位候选序列；

10、对前位候选序列和后位候选序列中的各安全行为片段，根据各安全行为片段与待研判安全告警之间的承接对象归属关系形成对象归属量，并根据各安全行为片段与待研判安全告警之间的行为承接关系形成行为关联量，将对象归属量和行为关联量归一化合成为候选承接量；

11、根据各安全行为片段相对于告警发生时刻的时序邻接关系形成时序邻接量；

12、在前位候选序列和后位候选序列中，先按照候选承接量由高至低排序，候选承接量相同时按照时序邻接量由高至低排序，分别将排序首位的安全行为片段确定为第一安全行为片段和第二安全行为片段。

13、本发明的进一步技术改进在于：步骤二中形成参照作用单元的方法，包括：

14、读取行为承接参照输入，将第一安全行为片段对应的行为内容和第二安全行为片段对应的行为内容分别与行为承接参照输入进行匹配，形成前位匹配结果和后位匹配结果；

15、当前位匹配结果和后位匹配结果属于同一行为承接关系，且前位匹配结果在该行为承接关系中的承接顺序早于后位匹配结果时，将该行为承接关系对应的承接类型确定为片段承接类型；

16、在同一行为承接关系中，提取承接顺序位于前位匹配结果与后位匹配结果之间的中间行为参照内容，形成中间行为参照关系；

17、按照中间行为参照关系中的承接顺序，将中间行为参照内容配置到片段间隔量对应的承接位置，形成参照作用单元。

18、本发明的进一步技术改进在于：步骤二中形成中间行为缺口量的方法，包括：

19、依据参照作用单元中的中间行为参照内容，在片段间隔量对应时段内对已采集中间行为片段进行行为内容对应判断，将满足行为内容对应判断的已采集中间行为片段确定为内容对应片段；

20、依据内容对应片段的采集时序与参照作用单元中的承接顺序，对内容对应片段进行顺序承接判断；

21、当内容对应片段满足顺序承接判断时，将参照作用单元中与该内容对应片段对应的承接位置标记为已覆盖；

22、当已采集中间行为片段未被确定为内容对应片段，或者内容对应片段未满足顺序承接判断时，保持参照作用单元中对应的承接位置为未覆盖状态；

23、根据参照作用单元中处于未覆盖状态的承接位置在参照作用单元中的占用程度，形成中间行为缺口量。

24、本发明的进一步技术改进在于：步骤三中形成缺失参照单元的方法，包括：

25、当中间行为缺口量大于预设缺口阈值时，将参照作用单元中未覆盖状态的承接位置作为缺失承接位置；

26、读取缺失承接位置对应的中间行为参照内容、承接顺序以及在片段间隔量中的对应位置；

27、按照承接顺序对缺失承接位置进行连续性判断，将承接顺序连续的缺失承接位置归并为同一缺失承接组，将承接顺序被已覆盖状态的承接位置分隔的缺失承接位置归并为不同缺失承接组；

28、根据同一缺失承接组中各缺失承接位置在片段间隔量中的对应位置，形成对应的缺失区段；

29、将同一缺失承接组对应的中间行为参照内容、承接顺序和缺失区段写入同一缺失参照单元。

30、本发明的进一步技术改进在于：步骤四中针对缺失参照单元读取采集能力输入的方法，包括：

31、针对每一缺失参照单元，依据该缺失参照单元对应的缺失区段、中间行为参照内容和缺失承接位置，从采集能力输入中分别筛选与缺失区段存在采集时段对应关系的采集能力内容、与中间行为参照内容存在行为采集对应关系的采集能力内容、与缺失承接位置存在覆盖对应关系的采集能力内容，以及与缺失区段存在采集结果到达对应关系的采集能力内容，归集形成采集能力片段；

32、依据缺失区段，对采集能力片段中与采集开启、采集中断和采集恢复有关的运行状态进行时段分离，形成采集运行片段；

33、依据中间行为参照内容和缺失承接位置，对采集能力片段中与安全行为可采范围和承接位置覆盖范围有关的适配状态进行分离，形成行为采集适配片段；

34、依据缺失区段和采集结果到达时刻，对采集能力片段中与采集结果到达先后有关的传输状态进行分离，形成采集传输片段；

35、将采集运行片段、行为采集适配片段和采集传输片段关联至同一缺失参照单元，其中，采集运行片段用于形成采集连续程度，行为采集适配片段用于形成行为适配程度和采集覆盖程度，采集传输片段用于形成上报时效程度。

36、本发明的进一步技术改进在于：步骤四中计算可观测性许可量的方法，包括：

37、根据采集运行片段中的采集开启、采集中断和采集恢复对应的时段确定有效采集时段，将有效采集时段与缺失区段进行重合比较，按照缺失区段被有效采集时段覆盖的比例形成采集连续程度；

38、将行为采集适配片段中支持采集的安全行为内容与中间行为参照内容进行对应比较，按照形成对应关系的中间行为参照内容在缺失参照单元中的比例形成行为适配程度；

39、将行为采集适配片段中支持覆盖的承接位置与缺失承接位置进行对应比较，按照形成对应关系的缺失承接位置在缺失参照单元中的比例形成采集覆盖程度；

40、将采集传输片段中的采集结果到达时刻与缺失区段对应的预设上报允许时刻进行先后比较，按照未晚于预设上报允许时刻的采集结果所对应的缺失承接位置在缺失参照单元中的比例形成上报时效程度；

41、将采集连续程度、行为适配程度、采集覆盖程度和上报时效程度分别归一化，并将归一化后的最低值确定为该缺失参照单元的可观测性许可量。

42、本发明的进一步技术改进在于：步骤四中确定可观测性许可量的方法，包括：

43、针对同一缺失参照单元，将采集连续程度、行为适配程度、采集覆盖程度和上报时效程度作为许可分量集合；

44、分别按照许可分量集合中各许可分量对应的预设许可下限和预设许可上限，将各许可分量按区间占用关系映射至同一许可取值区间，形成归一化许可分量集合；

45、在归一化许可分量集合中筛选数值最低的归一化许可分量，并将数值最低的归一化许可分量的数值确定为该缺失参照单元的可观测性许可量；

46、将数值最低的归一化许可分量对应的采集连续程度、行为适配程度、采集覆盖程度或者上报时效程度确定为许可受限来源；当存在多个数值最低的归一化许可分量时，将所述多个数值最低的归一化许可分量对应的程度量均确定为许可受限来源；

47、将可观测性许可量和许可受限来源与该缺失参照单元关联保存。

48、与现有技术相比，本发明具备以下有益效果：

49、本发明通过围绕待研判安全告警建立前后安全行为片段之间的承接分析关系，使告警对象、行为内容、行为片段时序和中间行为参照内容能够在同一研判过程中被组织和比较；相较于仅依据单个告警或单个行为片段进行判断的方式，该处理方式可以为安全事件关联研判提供更清楚的证据来源和承接边界，便于后续追溯关联成立或者关联未成立所依据的行为片段；

50、并且，本发明在中间行为内容缺失时，进一步结合采集连续性、行为可采性、覆盖位置和上报时效对缺失内容的可观测条件进行区分，使缺失内容在后续研判中的证据作用与其采集条件相匹配；对于具备可观测条件但未被覆盖的缺失内容，限制其被推测补位；对于不具备可观测条件的缺失区段，限制其作为行为未发生的反向证据使用；由此可以减少因采集缺口、上报延迟或者采集范围不足而引起的证据使用偏差；

51、另一方面，本发明将补位禁止结果、缺失反证禁用结果、正向行为证据和事件关联状态进行结构化保存，并可由安全告警研判大模型生成研判说明记录；该处理方式使事件关联状态由结构化判定过程形成，而非由安全告警研判大模型直接确定，同时保留大模型对证据内容和约束内容进行说明的能力，有助于安全运营人员查看告警研判结果时同时获得结果依据、缺失处理状态和正反证据使用边界。