常见网络安全事件研判方法及思路.pdfVIP

1.分析安全事件通用方法

导出最近七天的日志（日志条件：源地址，目的地址，事件名称，时间，规则ID，发生次数等）

将导出日志生成数据透视表（透视表制作办法见百度）；

根据动作、地址、事件名称、时间等信息进行研判

说明：一般情况下，真实攻击不可能只持续一次，也不可能是断断续续，它一定是长时间、周期性、多

IP的进行攻击

1.通过威胁情报库对原IP地址分析，判断是否存在恶意攻击行为

2.通过事件请求包和回应包分析是否为真实攻击还是误报（一般真实攻击会有正常的请求包和回应

包）

2.HTTP协议违背

2.1请求URI过长

告警信息：therequestedURLslengthexceedsthecapacitylimit

描述：HTTP请求URI长度超过默认缓冲区大小，认为其不合规