本申请实施例提供一种基于Transformer的网络安全告警降噪方法,所述方法包括:获取告警数据,其中,所述的告警数据是由安全设备实时生成的;将所述告警数据输入目标真实告警识别模型,并通过所述目标真实告警识别模型确认所述告警数据是否属于真实告警,其中,所述目标真实告警识别模型包括输入层、特征量化层、目标模型处理层以及输出层,所述特征量化层至少被配置为采用Transformer编码器对从HTTP请求和响应内容中获取的依赖关系和交互信息进行编码。本申请的实施例提供的特征化处理大大提高了模型对告警数据的理解和表示能力,使得模型在分类告警时能够更加准确地区分真实告警和误报告警,降低了误报率。
背景技术
当前的网络安全设备大多基于预设规则来生成网络安全告警,但这种方式通常会产生大量的误报告警。当告警数量积累到一定程度时,安全人员难以从海量告警中快速、准确地识别出真正的攻击告警,这种情况被称为“告警疲劳”。告警疲劳现象会导致安全人员的注意力分散,极大地增加了关键威胁被遗漏的风险,从而降低整体的安全防护效率。
为了保护内部网络的安全,各大企业纷纷部署了多种类型的安全设备,这些设备旨在对内部网络进行全面防护。安全设备通过实时监控网络流量,识别并告警潜在的攻击行为,安全运营人员依赖这些告警来及时响应和处理安全威胁,确保网络环境的安全性和稳定性。
然而,现有的安全设备主要依赖规则匹配模型来筛查和识别攻击流量。虽然这种方法在一定程度上能够识别攻击行为,但由于规则本身的局限性和固定性,往往导致大量的误报产生。这些误报大多源于正常业务请求被错误地匹配为攻击行为。随着网络环境的复杂化和业务需求的多样化,正常流量与恶意流量之间的界限变得愈加模糊,这进一步加剧了误报问题。
在真实的运营场景中,安全运营人员每天都需要面对成千上万条告警信息,这些告警中既包含真实的攻击行为,也混杂着大量误报。误报的高频出现不仅消耗了大量的人力和时间,还严重分散了运营人员的注意力,增加了漏报重要攻击事件的风险。误报的存在使得运营人员无法高效地识别和处理真正的安全威胁,进而对企业的整体安全防护能力构成了挑战。因此,如何有效减少误报告警,提高告警的准确性,成为了企业在网络安全运营中亟待解决的问题。
实现思路