安全设备调度方法、装置、设备、介质及程序产品与流程

本技术涉及人工智能，尤其涉及一种安全设备调度方法、装置、设备、介质及程序产品。

背景技术：

1、当前网络安全威胁呈现规模化、复杂化发展趋势，企业在网络环境中广泛部署多厂商、多类型异构安全设备，形成多系统协同防护的体系架构。

2、如今，随着安全运营场景日趋复杂，安全编排与自动化响应（securityorchestration，automation and response，soar）技术得到广泛应用，其以事件驱动为核心，基于预设时间条件与逻辑判断执行固定流程，可实现告警聚合、指令下发、流程固化等自动化能力，在一定程度上提升安全运营效率。

3、然而，soar及同类技术聚焦于安全运营流程的自动化编排与执行，侧重流程脚本化、任务标准化与动作序列固化。于是，在多系统协同防御调度场景中，针对全局最优路径动态生成、设备实时状态联动适配等关键环节，仍存在一定局限，是亟需解决的问题。

技术实现思路

1、本技术提供一种安全设备调度方法、装置、设备、介质及程序产品，用于提高安全设备的调度选择的准确性。

2、第一方面，本技术实施例提供了一种安全设备调度方法，该方法包括：基于至少两个安全设备间的可协同关系，构建静态拓扑图；该静态拓扑图包括至少一个无向边，每个无向边用于表示连接的两个安全设备之间存在安全能力的理论调用关系；基于静态拓扑图和至少两个安全设备的活跃状态信息，生成至少两个安全设备的有向安全能力图，该有向安全能力图包括至少一个有向边，每个有向边用于表示连接的两个安全设备之间存在安全能力的理论调用关系或实际调用关系，每个有向边的方向用于表示安全能力的调用方向；基于至少两个安全设备的资源占用率和信任评分，为有向安全能力图中每个有向边设置目标权重，该目标权重与有向边在处理安全威胁事件过程中的调度优先级正相关；在检测到目标安全威胁事件的情况下，基于目标安全威胁事件的先验约束信息和每个有向边的目标权重，在有向安全能力图中以第一安全设备为源节点，确定处理目标安全威胁事件的目标安全设备，该第一安全设备为检测到目标安全威胁事件的安全设备。

3、本技术提供的技术方案至少带来以下有益效果：安全设备调度装置可以结合至少两个安全设备间的可协同关系，构建初始的静态拓扑图，并结合该至少两个安全设备的活跃状态信息，形成动态的有向安全能力图，即安全设备调度装置可以通过该有向安全能力图，更为准确的描述至少两个安全设备在实际运行过程中的调度关系。然后，安全设备调度装置可以进一步结合至少两个安全设备的资源占用率和信任评分，设置有向边的权重，即可以通过该权重，实现调度路径成本的量化，从而可以更为便捷的进行安全设备的调度选择。同时，由于确定目标安全设备的过程中，使用到了目标安全威胁事件的先验约束信息，所以可以使得最终确定的目标安全设备能够有效应对该目标安全威胁事件，满足实际防御需求，如此，提高了安全设备的调度选择的准确性。

4、一种可能的实现方式，上述至少两个安全设备间的可协同关系包括以下至少一项：数据可互通关系、指令可互认关系、任务可协同关系。

5、另一种可能的实现方式，上述基于静态拓扑图和至少两个安全设备的活跃状态信息，生成至少两个安全设备的有向安全能力图，包括：获取至少两个安全设备在滑动时间窗口的至少两个时间切片中的活跃状态信息，该活跃状态信息包括：单个安全设备在至少两个时间切片的活跃频次，任意两个安全设备的共现活跃频次，该共现活跃频次用于表示任意两个安全设备在同一时间切片内均处于活跃状态的次数；基于静态拓扑图、活跃状态信息和有向交互信息，计算至少一个无向边对应的有向边的关联强度信息，该有向交互信息包括无向边连接的两个安全设备间有向的交互调用次数；基于关联强度信息大于或等于预设关联强度阈值的有向边，构建有向安全能力图。

6、又一种可能的实现方式，上述资源占用率包括安全设备的cpu占用率、内存占用率中的至少一项；上述信任评分为基于安全设备的历史处置误报率、漏报率计算得到的动态信任值。

7、又一种可能的实现方式，上述在检测到目标安全威胁事件的情况下，基于目标安全威胁事件的先验约束信息和每个有向边的目标权重，在有向安全能力图中以第一安全设备为源节点，确定处理目标安全威胁事件的目标安全设备，包括：在检测到目标安全威胁事件的情况下，在有向安全能力图中以第一安全设备为源节点，确定满足先验约束信息的目标路径，该目标路径为满足先验约束信息的所有路径中对应的目标权重之和最大的路径；将目标路径包括的所有安全设备确定为目标安全设备。

8、第二方面，本技术实施例提供了本技术提供一种安全设备调度装置，包括：生成模块、设置模块和确定模块；该生成模块，用于基于至少两个安全设备间的可协同关系，构建静态拓扑图；该静态拓扑图包括至少一个无向边，每个无向边用于表示连接的两个安全设备之间存在安全能力的理论调用关系；并基于静态拓扑图和至少两个安全设备的活跃状态信息，生成至少两个安全设备的有向安全能力图，该有向安全能力图包括至少一个有向边，每个有向边用于表示连接的两个安全设备之间存在安全能力的理论调用关系或实际调用关系，每个有向边的方向用于表示安全能力的调用方向；该设置模块，用于基于至少两个安全设备的资源占用率和信任评分，为生成模块生成的有向安全能力图中每个有向边设置目标权重，该目标权重与有向边在处理安全威胁事件过程中的调度优先级正相关；该确定模块，用于在检测到目标安全威胁事件的情况下，基于目标安全威胁事件的先验约束信息和设置模块设置的每个有向边的目标权重，在生成模块生成的有向安全能力图中以第一安全设备为源节点，确定处理目标安全威胁事件的目标安全设备，该第一安全设备为检测到目标安全威胁事件的安全设备。

9、一种可能的实现方式，上述至少两个安全设备间的可协同关系包括以下至少一项：数据可互通关系、指令可互认关系、任务可协同关系。

10、另一种可能的实现方式，本技术实施例提供的安全设备调度装置还包括：获取模块和计算模块；该获取模块，用于获取至少两个安全设备在滑动时间窗口的至少两个时间切片中的活跃状态信息，该活跃状态信息包括：单个安全设备在至少两个时间切片的活跃频次，任意两个安全设备的共现活跃频次；该共现活跃频次用于表示任意两个安全设备在同一时间切片内均处于活跃状态的次数；该计算模块，用于基于静态拓扑图、获取模块获取的活跃状态信息和有向交互信息，计算至少一个无向边对应的有向边的关联强度信息，该有向交互信息包括无向边连接的两个安全设备间有向的交互调用次数；上述生成模块，具体用于基于关联强度信息大于或等于预设关联强度阈值的有向边，构建有向安全能力图。

11、另一种可能的实现方式，上述资源占用率包括安全设备的cpu占用率、内存占用率中的至少一项；上述信任评分为基于安全设备的历史处置误报率、漏报率计算得到的动态信任值。

12、另一种可能的实现方式，上述确定模块，具体用于在检测到目标安全威胁事件的情况下，在有向安全能力图中以第一安全设备为源节点，确定满足先验约束信息的目标路径，该目标路径为满足先验约束信息的所有路径中对应的目标权重之和最大的路径；并将目标路径包括的所有安全设备确定为目标安全设备。

13、第三方面，本技术提供一种电子设备，该电子设备包括：处理器和存储器；该存储器存储可在处理器上运行的程序或指令，上述程序或指令被该处理器执行时实现上述第一方面的方法。

14、第四方面，本技术提供一种可读存储介质，该可读存储介质上存储程序或指令，上述程序或指令被计算机执行时实现上述第一方面的方法。

15、第五方面，本技术提供一种计算机程序产品，该计算机程序产品被存储在存储介质中，当该计算机程序产品被计算机执行时以实现上述第一方面的方法。

16、第六方面，本技术实施例提供了一种芯片，该芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现如第一方面所述的方法。

17、上述第二方面至第六方面的有益效果参考第一方面的对应描述，不再赘述。