(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211127598.1 (22)申请日 2022.09.16 (71)申请人 天翼安全科技有限公司 地址 100010 北京市东城区朝阳门北 大街 19号中国电信大厦 (72)发明人 韦佳明　倪魁　 (74)专利代理 机构 北京同达信恒知识产权代理 有限公司 1 1291 专利代理师 金银花 (51)Int.Cl. G06F 16/2455(2019.01) G06F 16/23(2019.01) G06K 9/62(2022.01) H04L 41/06(2022.01) (54)发明名称 一种告警解析处 理方法、 装置、 设备及 介质 (57)摘要 本公开涉及一种告警解析处理方法、 装置、 设备及介质， 该方法包括： 获取目标场景下的原 始规则数据集； 将各原始规则数据作为基准， 分 别针对各属性计算基准原始规则数据与其他原 始规则数据的属性值之间的相似系数和欧式距 离， 确定针对同一属性对应的属性值相同的多条 待合并规则数据， 获得待合并属性和对应的属性 值构成的属性集合； 将各待合并属性进行拼接作 为目标属性， 将属性集合中各属性值进行拼接作 为其属性值， 将各待合并规则数据中非属性集合 的属性对应的属性值合并， 得到规则数据集， 将 获取的告警数据与规则数据集中的各规则数据 进行匹配， 发出对应的告警动作。 本公开能降低 规则数据的数据量和系统的内存使用量， 提高解 析速度。 权利要求书4页 说明书17页 附图8页 CN 115481155 A 2022.12.16 CN 115481155 A 1.一种告警解析处 理方法， 其特 征在于， 该 方法包括： 获取目标场景下的原始规则数据集， 所述原始规则数据集包括多条原始规则数据， 所 述原始规则数据由不同属性对应的属性 值构成； 按照遍历顺序将每条原始规则数据作为基准， 分别针对各属性计算基准原始规则数据 与其他原始规则数据的属性 值之间的相似系数和欧式距离； 基于所述相似系数和欧氏距离， 确定所述原始规则数据集中针对同一属性对应的属性 值相同的多条待合并规则数据， 将所述属 性值相同的属 性作为待合并属 性， 获得所述待合 并属性和对应的属性 值构成的属性 集合； 将所述属性集合中各待合并属性进行拼接作为一个目标属性， 将所述属性集合中各属 性值进行拼接作为所述目标属性对应的属性值， 将所述各待合并规则数据中非属性集合的 属性对应的属性 值使用或关系合并， 得到第一 规则数据； 根据所述第 一规则数据及原始规则数据集中非待合并规则数据， 得到更新后的规则数 据集， 将获取 的告警数据与所述规则数据集中的各规则数据进行匹配， 确定匹配到的规则 数据， 发出对应的告警动作。 2.根据权利要求1所述的方法， 其特征在于， 所述根据所述第 一规则数据及原始规则数 据集中非待合并规则数据， 得到更新后的规则数据集， 包括： 针对所述属性集合中各属性， 将所述原始规则数据集中各非待合并规则数据中对应的 各属性值进行拼接， 作为该条非待合并规则数据的所述 目标属性对应的属 性值， 并基于非 属性集合的属性对应的属性 值， 得到第二 规则数据； 基于所述第一 规则数据和第二 规则数据， 获得 更新后的规则数据集。 3.根据权利要求1所述的方法， 其特征在于， 所述基于所述相似系数和欧氏距离， 确定 所述原始规则数据集中针对同一属性对应的属性值相同的多 条待合并规则数据， 将所述属 性值相同的属 性作为待合并属 性， 获得所述待合并属 性和对应的属 性值构成的属 性集合， 包括： 针对各基准原始规则数据， 将所述欧式距离小于设定 阈值的其他原始规则数据的属性 值及相似系数， 加入该 条基准原 始规则数据对应的待选属性特 征集合； 针对每个待选属性特征集合， 基于所述待选属性特征集合中的每条原始规则数据的属 性数量和各属 性值对应的相似系 数， 确定所述原始规则数据对应的平均相似系数， 将所述 相似系数小于所述平均相似系数的属性值从所述原始规则数据删除， 得到所述待选属性特 征集合对应的属性特 征集合； 将各属性特征集合的各属性对应的属性值之间的交集作为属性集合， 并确定所述原始 规则数据集中的多条原 始规则数据为各待合并规则数据。 4.根据权利要求3所述的方法， 其特征在于， 所述基于所述相似系数和欧氏距离， 确定 所述原始规则数据集中针对同一属性对应的属性值相同的多 条待合并规则数据， 将所述属 性值相同的属 性作为待合并属 性， 获得所述待合并属 性和对应的属 性值构成的属 性集合， 包括： 若各属性特征集合的各属性对应的属性值之间不存在交集， 则将所述各属性特征集合 中多个属性特征集合的各属性对应的属性值之 间的交集作为属性集合， 并确定对应的多 条 待合并规则数据。权　利　要　求　书 1/4 页 2 CN 115481155 A 25.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 响应于规则更新指令， 获取所述规则更新指令中的第一原始规则数据集， 所述第一原 始规则数据集包括多 条第一原始 规则数据， 所述第一原始规则数据由不同属性对应的属性 值构成； 按照遍历顺序将每条第 一原始规则数据作为基准， 分别针对各属性计算第 一基准原始 规则数据与其 他第一原 始规则数据的属性 值之间的相似系数和欧式距离； 基于所述相似系数和欧式距离， 确定所述第 一原始规则数据集中针对同一属性对应的 属性值相同的多条第一待合并规则数据， 将所述属 性值相同的属 性作为第一待合并属 性， 获得所述第一待合并属性和对应的属性 值构成的第一属性 集合； 根据所述属性集合和第 一属性集合， 将所述规则数据集和多条第 一待合并规则数据进 行合并， 得到第三 规则数据； 根据所述第 三规则数据及第 一原始规则数据集中非第 一待合并规则数据， 得到更新后 的第一规则数据集； 将获取的告警数据与 所述第一规则数据集中的各规则数据进行匹配， 确定匹配到的规 则数据， 发出对应的告警动作。 6.根据权利要求5所述的方法， 其特征在于， 所述基于所述相似系数和欧式距离， 确定 所述第一原始规则数据集中针对同一属性对应的属性值相同的多 条第一待合并规则数据， 将所述属性值相同的属性作为第一待合并属性， 获得所述第一待合并属性和对应的属性值 构成的第一属性 集合， 包括： 针对各第一基准原始规则数据， 将所述欧式距离小于设定阈值的其他第 一原始规则数 据的属性 值及相似系数， 加入该 条第一基准原 始规则数据对应的第一待选属性特 征集合； 针对每个第 一待选属性特征集合， 基于所述第 一待选特征集合中的每条第 一原始规则 数据的属性数和各属性值对应的相似系数， 确定所述第一原始 规则数据对应的平均相似系 数， 将所述相似系 数小于所述平均相似系 数的属性值从所述第一原始规则数据删除， 得到 所述第一待选属性特 征集合对应的第一属性特 征集合； 将各第一属性特征集合的各属性对应的属性值之间的交集作为第 一属性集合， 并确定 所述第一原 始规则数据集中的多条第一原 始规则数据为各第一待合并规则数据。 7.根据权利要求6所述的方法， 其特征在于， 所述基于所述相似系数和欧式距离， 确定 所述第一原始规则数据集中针对同一属性对应的属性值相同的多 条第一待合并规则数据， 将所述属性值相同的属性作为第一待合并属性， 获得所述第一待合并属性和对应的属性值 构成的第一属性 集合， 包括： 若各第一属性特征集合的各属性对应的属性值之间不存在交集， 则将所述各第 一属性 特征集合中多个第一属性特征集合的各属性对应的属性值的交集作为第一属性集合， 并确 定对应的多条第一待合并规则数据。 8.根据权利要求5所述的方法， 其特征在于， 所述根据所述属性集合和第一属性集合， 将所述规则数据集和多条第一待合并规则数据进行合并， 得到第三 规则数据， 包括： 若所述属性集合与 所述第一属性集合相同， 则将所述多条第 一待合并规则数据中非第 一属性集合的属性对应的属性值， 与所述规则数据集中的该属性对应的属性值使用或关系 合并， 得到第三 规则数据。权　利　要　求　书 2/4 页 3 CN 115481155 A 3