技术特征：
1.一种工控安全自动化编排与响应方法，其特征是，所述方法包括：接收原始数据，并对所述原始数据进行行为分析和攻击识别生成安全事件；获取案例与攻击识别规则关联关系表，并基于所述关联关系表打上与所述安全事件关联的案例的案例标签；对打上所述案例标签的所述安全事件进行解析，选择与所述案例标签对应的剧本并生成控制指令；响应所述控制指令，触发设备执行处置动作，并通过自动化运维大屏对处置执行后得到的指标进行全局展示。2.如权利要求1所述的方法，其特征是，所述方法还包括：对案例进行管理，包括但不限于创建、删除、编辑、启停、导入、导出。3.如权利要求1所述的方法，其特征是，所述方法还包括：获取所述安全事件的执行结果，并将先后发生的案例标签相同的同类安全事件汇聚至同一案例下；对同类安全事件的执行结果进行安全性能度量，并根据度量结果调整执行策略。4.如权利要求1所述的方法，其特征是，所述获取案例与攻击识别规则关联关系表，并基于所述关联关系表打上与所述安全事件关联的案例的案例标签，包括：获取案例与攻击识别规则关联关系表；对所述安全事件进行行为分析、攻击识别以及关联分析，并查找所述关联关系表，与内置安全规则进行匹配；对所述安全事件打上与匹配的安全规则对应的案例的案例标签。5.如权利要求1所述的方法，其特征是，所述对打上所述案例标签的所述安全事件进行解析，选择与所述案例标签对应的剧本并生成控制指令，包括：对所述安全事件根据所述案例标签进行情报、流量以及主机取证并生成剧本；根据所述剧本生成所述控制指令。6.如权利要求1所述的方法，其特征是，所述响应所述控制指令，触发设备执行处置动作，包括：响应所述控制指令，调用响应设备执行处置动作，完成封禁工作，所述封禁工作包括威胁拦截、可疑访问源封杀、被攻陷主机隔离、威胁消除或未攻陷主机加固的至少其中之一。7.一种工控安全自动化编排与响应系统，其特征是，所述系统包括：攻击识别模块，用于接收原始数据，并对所述原始数据进行行为分析和攻击识别生成安全事件；预判引擎模块，用于获取案例与攻击识别规则关联关系表，并基于所述关联关系表打上与所述安全事件关联的案例的案例标签；自动化编排模块，用于对打上所述案例标签的所述安全事件进行解析，选择与所述案例标签对应的剧本并生成控制指令；一键处置模块，用于响应所述控制指令，触发设备执行处置动作，并通过自动化运维大屏对处置执行后得到的指标进行全局展示。8.如权利要求7所述的工控安全自动化编排与响应系统，其特征是，所述工控安全自动化编排与响应系统还包括：与所述自动化编排模块以及所述一键处置模块连接的案例管理
模块，用于对案例进行管理，包括但不限于创建、删除、编辑、启停、导入、导出以及处置结果统计。9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征是，所述处理器执行所述程序时实现如权利要求1-6中任意一项所述的方法。10.一种计算机存储介质，其特征是，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-6中任一项所述的方法。
技术总结
本发明提供一种工控安全自动化编排与响应方法及系统，方法包括：接收原始数据，并对所述原始数据进行行为分析和攻击识别生成安全事件；获取案例与攻击识别规则关联关系表，并基于所述关联关系表打上与所述安全事件关联的案例的案例标签；对打上所述案例标签的所述安全事件进行解析，选择与所述案例标签对应的剧本并生成控制指令；响应所述控制指令，触发设备执行处置动作，并通过自动化运维大屏对处置执行后得到的指标进行全局展示。本发明能够通过剧本完成自动化闭环处置，既可以缩短响应处置时间，又可以将工程师从日常运维中释放出来，节约企业人员成本。节约企业人员成本。节约企业人员成本。
技术研发人员：肖丰明 刘杰 王靖元 吴辉 胡晓阳 苏文辉 刘畅尧 汪涛 谢源强 李闯
受保护的技术使用者：五凌电力有限公司
技术研发日：2022.08.23
技术公布日：2022/11/25