(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211014145.8 (22)申请日 2022.08.23 (71)申请人 湖南五凌电力科技有限公司 地址 410004 湖南省长 沙市天心区五凌 路 188号 申请人 五凌电力有限公司 (72)发明人 肖丰明　刘杰　王靖元　吴辉　 胡晓阳　苏文辉　刘畅尧　汪涛　 谢源强　李闯　 (74)专利代理 机构 北京风雅颂专利代理有限公 司 11403 专利代理师 李博瀚 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 工控安全自动化编排与响应方法及系统 (57)摘要 本发明提供一种工控安全自动化编排与响 应方法及系统， 方法包括： 接收原始数据， 并对所 述原始数据进行行为分析和攻击识别生成安全 事件； 获取案例与攻击识别规则关联关系表， 并 基于所述关联关系表打上与所述安全事件关联 的案例的案例标签； 对打上所述案例标签的所述 安全事件进行解析， 选择与所述案例标签对应的 剧本并生成控制指令； 响应所述控制指令， 触发 设备执行处置动作， 并通过自动化运维大屏对处 置执行后得到的指标进行全局展示。 本发明能够 通过剧本完成自动化闭环处置， 既可以缩短响应 处置时间， 又可以将工程师从日常运维中释放出 来， 节约企业人员成本 。 权利要求书2页 说明书7页 附图2页 CN 115396182 A 2022.11.25 CN 115396182 A 1.一种工控安全自动化编排与响应方法， 其特 征是， 所述方法包括： 接收原始数据， 并对所述原 始数据进行 行为分析和攻击识别生成安全 事件； 获取案例与攻击识别规则关联关系表， 并基于所述关联关系表打上与 所述安全事件关 联的案例的案例标签； 对打上所述案例标签的所述安全事件进行解析， 选择与 所述案例标签对应的剧本并生 成控制指令； 响应所述控制指令， 触发设备执行处置动作， 并通过自动化运维大屏对处置执行后得 到的指标进行全局展示。 2.如权利要求1所述的方法， 其特 征是， 所述方法还 包括： 对案例进行 管理， 包括但不限于创建、 删除、 编辑、 启停、 导入、 导出。 3.如权利要求1所述的方法， 其特 征是， 所述方法还 包括： 获取所述安全事件的执行结果， 并将先后发生的案例标签相同的同类安全事件汇聚至 同一案例下； 对同类安全 事件的执行结果进行安全性能度量， 并根据 度量结果调整执 行策略。 4.如权利要求1所述的方法， 其特征是， 所述获取案例与攻击识别规则关联关系表， 并 基于所述关联关系表打上与所述 安全事件关联的案例的案例标签， 包括： 获取案例与攻击识别规则关联关系表； 对所述安全事件进行行为分析、 攻击识别以及关联分析， 并查找所述关联关系表， 与内 置安全规则进行匹配； 对所述安全事件打上与匹配的安全规则对应的案例的案例标签。 5.如权利要求1所述的方法， 其特征是， 所述对打上所述案例标签的所述安全事件进行 解析， 选择与所述案例标签对应的剧本并生成控制指令， 包括： 对所述安全事件根据所述案例标签进行情 报、 流量以及主机取证并生成剧本； 根据所述剧本生成所述控制指令 。 6.如权利要求1所述的方法， 其特征是， 所述响应所述控制指令， 触发设备执行处置动 作， 包括： 响应所述控制指令， 调用响应设备执行处置动作， 完成封禁工作， 所述封禁工作包括威 胁拦截、 可疑访问源封杀、 被攻陷主机隔离、 威胁消除或未攻陷主机加固的至少其中之一。 7.一种工控安全自动化编排与响应系统， 其特 征是， 所述系统包括： 攻击识别模块， 用于接收原始数据， 并对所述原始数据进行行为分析和攻击识别生成 安全事件； 预判引擎模块， 用于获取案例与攻击识别规则关联关系表， 并基于所述关联关系表打 上与所述 安全事件关联的案例的案例标签； 自动化编排模块， 用于对打上所述案例标签的所述安全事件进行解析， 选择与所述案 例标签对应的剧本并生成控制指令； 一键处置模块， 用于响应所述控制指令， 触发设备执行处置动作， 并通过自动化运维大 屏对处置执 行后得到的指标进行全局展示。 8.如权利要求7所述的工控安全自动化编 排与响应系统， 其特征是， 所述工控安全自动 化编排与响应系统还包括： 与所述自动化编排模块以及所述一键处置模块连接的案例管理权　利　要　求　书 1/2 页 2 CN 115396182 A 2模块， 用于对案例进 行管理， 包括但不限于创建、 删除、 编辑、 启停、 导入、 导出以及处置结果 统计。 9.一种电子设备， 包括存储器、 处理器及存储在存储器上并可在处理器上运行的计算 机程序， 其特征是， 所述处理器执行所述程序时实现如权利要求1 ‑6中任意一项所述的方 法。 10.一种计算机存储介质， 其特征是， 所述存储介质中存储有至少一可执行指令， 所述 可执行指令使处 理器执行如权利要求1 ‑6中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115396182 A 3