本申请涉及移动通信技术领域，尤其涉及一种网络事件处理方法、装置及可读存储介质。
背景技术：
随着第五代移动通信技术(5thgenerationmobilenetworks，5g)应用到垂直行业的业务，包括医疗健康、智能家具和智能交通等，5g核心网由于引入的很多it技术，如虚拟化平台，容器平台，越来越多的开源第三方it组件的应用，再加上多方供应商的共同参与组网，5g网络承载的业务价值越来越高，将会吸引越来越专业的黑客或国家级网络部队对5g网络发起渗透、潜伏和攻击。
第三代合作伙伴计划(3rdgenerationpartnershipproject，3gpp)规范，在5g网络架构中的网络数据分析功能(networkdataanalysisfunction，nwdaf)网元可以进行网络数据分析。网络数据分析功能可以从网络功能网元(networkfunction，nf)网元以及操作管理维护(operation,administration,andmaintenance，oam)系统获取数据，经过分析处理，将结果提供给nf网元、应用功能(applicationfunction，af)使用。
目前通过nwdaf网元进行网络安全的分析只包括对异常用户识别分析服务，例如，nwdaf网元收到第一网元订阅异常用户的识别服务，nwdaf网元可以根据该订阅，向对应的网元，例如，接入与移动性管理功能(accessandmobilitymanagementfunction，amf)网元和会话管理功能(sessionmanagementfunction，smf)网元等，采集用户的会话消息和计费消息等信息，进而nwdaf网元可以根据采集的用户的会话消息和计费消息，确定是否有异常用户。在确定有异常用户时，nwdaf网元可以向订阅异常用户的第一网元发送异常用户的通知消息，进而第一网元可以根据该通知消息对异常用户进行处理。
但是，上述方法中，仅能分析出用户发生异常的事件，且也仅是针对订阅异常用户的网元进行异常用户的通知，可以看出，现有针对网络异常事件的处理方案较为单一，网络安全性较差。
技术实现要素：
本申请实施例提供一种网络事件处理方法及装置、可读存储介质，用以当第二网元发生网络异常事件，则确定第二网元相关的n个第三网元，以使n个第三网元对第二网元对应的业务进行隔离处理，如此，可以对网络异常事件所关联网元均进行处理，从而对网络的安全隐患进行更全面的处理，从而可以提高网络的安全性。
第一方面，本申请实施例提供一种网络事件处理方法，包括：安全事件处理功能网元接收网络数据分析功能网元发送的第一指示信息，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；所述安全事件处理功能网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力；针对所述n个第三网元中的一个第三网元，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息。
通过上述方法，安全事件处理功能网元获取网络数据分析功能网元发送的网络安全异常事件，确认第二网元发送安全异常，进而安全事件处理功能网元根据第二网元，确认与第二网元具有关联关系的第三网元，例如，可以为与第二网元发生信令交互的网元，也可以是为第二网元提供服务的网元，通过向第三网元发送对应的第一安全策略，使得第三网元对第二网元的相关业务进行隔离，相比现有技术仅发送给订阅安全事件的网元的处理方式，可以更加全面的隔离第二网元产生的网络异常事件对网络的影响，进而提高网络的安全性。
在一种可能的实现方式中，所述第三网元为所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括所述安全事件处理功能网元向所述amf网元发送所述接入与移动性管理功能网元对应的第一安全策略，所述接入与移动性管理功能网元对应的第一安全策略包括用于指示所述接入与移动性管理功能网元对所述第二网元对应的业务进行隔离的指示信息。接入与移动性管理功能网元对所述第二网元对应的业务进行隔离具体可以是指接入与移动性管理功能网元不再对第二网元发来的消息进行处理，从而可以避免接入与移动性管理功能网元对发生网络安全异常事件的第二网元的消息进行处理所导致的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括，所述安全事件处理功能网元向消息转发网元发送所述消息转发网元对应的第一安全策略，所述消息转发网元对应的第一安全策略包括用于指示所述消息转发网元停止对所述第二网元的消息转发的指示信息。进而，可以使得消息转发网元不再对第二网元的消息进行转发，从而可以避免消息转发网元对发生网络安全异常事件的第二网元的消息进行转发所导致第二网元的网络安全事件的扩散，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括所述安全事件处理功能网元向所述网络仓库功能(networkfunctionrepositoryfunction，nrf)网元发送所述nrf网元对应的第一安全策略，所述nrf网元对应的第一安全策略包括用于指示所述nrf网元不再对所述第二网元的用户授权指示信息，和/或，撤销所述第二网元的用户的授权指示信息；进而，可以使得nrf网元停止或撤销对第二网元的用户授权，从而可以避免第二网元的用户所导致第二网元的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括，所述安全事件处理功能网元向所述路由传输控制器发送所述路由传输控制器对应的第一安全策略，所述路由传输控制器对应的第一安全策略包括用于指示所述路由传输控制器网元忽略对所述第二网元的网段的消息的路由转发请求的指示信息；进而，可以使得路由传输控制器停止对第二网元的网段的消息的路由转发，从而可以避免路由传输控制器对发生网络安全事件的第二网元的消息的路由转发所导致第二网元的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括所述安全事件处理功能网元向所述虚拟化资源管理网元发送所述虚拟化资源管理网元对应的第一安全策略，所述虚拟化资源管理网元对应的第一安全策略包括用于指示所述虚拟化资源管理网元释放所述第二网元对应的虚拟机的指示信息。进而，可以使得虚拟化资源管理网元释放第二网元对应的虚拟机，从而可以停止第二网元的虚拟机的运行，以避免第二网元的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括所述安全事件处理功能网元向所述接入与移动性管理功能网元发送所述接入与移动性管理功能网元对应的第一安全策略，所述接入与移动性管理功能网元对应的第一安全策略包括用于指示所述接入与移动性管理功能网元释放所述第二网元所绑定的用户的指示信息。进而，可以使得接入与移动性管理功能网元释放第二网元的用户，从而可以避免第二网元的用户所导致第二网元的网络安全事件的发生，可以进一步提高网络安全性。
一种可能的设计，所述第一指示信息还用于指示所述网络安全异常事件对应的异常业务；所述安全事件处理功能网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的m个第四网元；针对所述m个第四网元中的一个第四网元，所述第四网元具有对所述异常业务进行处理的能力；所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，所述第四网元对应的第二安全策略中包括用于指示所述第四网元停止或撤销对所述异常业务进行处理的指示信息。
上述方法中，通过网络安全异常事件对应的异常业务，确定异常业务涉及的第四网元，进而向第四网元发送对应的第二安全策略，使得第四网元对第二网元涉及的异常业务进行有效隔离，减少异常网元产生的异常业务对网络性能的影响。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括所述安全事件处理功能网元向所述接入与移动性管理功能网元发送所述接入与移动性管理功能网元对应的第二安全策略，所述接入与移动性管理功能网元对应的第二安全策略包括用于指示所述第四网元对所述第二网元的异常业务进行隔离的指示信息；如此可以使接入与移动性管理功能网元不再对第二网元的异常业务进行处理，从而可以避免接入与移动性管理功能网元对发生网络安全异常事件的第二网元的异常业务进行处理所导致的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括所述安全事件处理功能网元向所述接入与移动性管理功能网元发送所述接入与移动性管理功能网元对应的第二安全策略，所述接入与移动性管理功能网元对应的第二安全策略包括用于指示所述接入与移动性管理功能网元释放所述异常业务对应的用户的指示信息；如此可以使接入与移动性管理功能网元释放第二网元的异常业务对应的用户，从而可以避免第二网元的异常业务对应的用户所导致的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括所述安全事件处理功能网元向所述策略控制功能(policycontrolfunction，pcf)网元发送所述pcf网元对应的第二安全策略，所述pcf网元对应的第二安全策略包括用于指示所述pcf网元释放所述异常业务对应的用户的指示信息；如此可以使pcf网元释放第二网元的异常业务对应的用户，从而可以避免第二网元的异常业务对应的用户所导致的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括所述安全事件处理功能网元向所述消息转发网元发送所述消息转发网元对应的第二安全策略，所述消息转发网元对应的第二安全策略包括用于指示所述消息转发网元忽略对所述第二网元的异常业务的消息转发请求的指示信息；进而，可以使得消息转发网元忽略对第二网元的异常业务的消息转发请求的指示信息，从而可以避免消息转发网元对发生网络安全事件的第二网元的异常业务的消息的转发所导致异常业务的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括所述安全事件处理功能网元向所述nrf网元发送所述nrf网元对应的第二安全策略，所述nrf网元对应的第二安全策略包括用于指示所述nrf网元停止或撤销对所述第二网元的异常业务的用户授权的指示信息；如此可以使nrf网元停止或释放第二网元的异常业务对应的用户的授权，从而可以避免第二网元的异常业务对应的用户所导致的网络安全事件的发生，可以进一步提高网络安全性。
在一种可能的实现方式中，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括所述安全事件处理功能网元向所述路由传输控制器发送所述路由传输控制器对应的第二安全策略，所述路由传输控制器对应的第二安全策略包括用于指示所述路由传输控制器忽略对所述第二网元的网段的消息的路由转发请求的指示信息。进而，可以使得路由传输控制器忽略对第二网元的异常业务的消息路由转发请求的指示信息，从而可以避免路由传输控制器对发生网络安全事件的第二网元的异常业务的消息的路由转发所导致异常业务的网络安全事件的发生，可以进一步提高网络安全性。
第二方面，本申请提供一种网络事件处理方法，网络数据分析功能网元获取k个第一网元的消息交互行为信息，针对所述k个第一网元中的一个第一网元，所述第一网元的消息交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件；所述网络数据分析功能网元向安全事件处理功能网元发送第一指示信息，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件。
相比现有技术，通过增加k个第一网元的消息交互行为信息的获取服务，使得ndwaf网元可以获取各网元的消息交互行为信息，进而通过对第一网元传输的消息的属性信息进行分析，确定出第二网元发生网络安全异常事件，相比现有技术中只能识别用户的异常行为，本申请实施例的方法中可以获取网元的网络安全异常事件，进而有效的发现现有技术中无法发现的网络安全异常的情况，以提高网络的安全性。
一种可能的设计，针对所述k个第一网元中的一个第一网元，所述第一网元传输的消息的属性信息，包括以下一项或多项：所述消息的类型、所述消息的消息内容、所述第一网元上传输所述消息的接口、所述消息对应的对端传输所述消息的接口。进而，第一网元向网络数据分析功能网元传输的消息的属性信息可以包括网元间交互时产生的消息对应的相关信息，进而，网络数据分析功能网元可以根据网元间交互时产生的消息对应的相关信息，对网元间是否发送网络安全异常事件作出判断，以有效的识别出是否发生网络安全异常事件。
一种可能的设计，所述数据分析网元若确定所述第一网元接收到来自第二网元的消息的数量大于第一阈值，则确定存在所述第二网元对所述第一网元的分布式拒绝服务(distributeddenialofservice,ddos)攻击事件；所述第一阈值为根据历史消息频率确定的。
通过上述方法，网络数据分析功能网元根据第一网元接收到的第二网元的消息的数量，确定发生异常，进而可以确定出第二网元为异常网元，以及识别出第二网元发生ddos攻击事件，从而可以指示spf针对第二网元发生的ddos攻击的网络安全异常事件进行对应的处理，从而提高网络安全性。
一种可能的设计，所述k个第一网元的消息交互行为信息包括：第一消息和第二消息；所述数据分析网元若确定所述第一消息中的第二网元的第一身份标识与所述第二消息中所述第二网元的第二身份标识不一致，则确定所述第二网元存在网络安全异常事件。进而，网络数据分析功能网元根据不同消息中携带的第二网元的身份标识不一致，可以确定第二网元存在网络安全异常事件，从而可以指示spf针对第二网元携带的第二网元的身份标识不一致的网络安全异常事件进行对应的处理，从而提高网络安全性。
一种可能的设计，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第一终端设备(userequipment,ue)的交互行为消息；所述数据分析网元若确定来自第二网元的所述第一ue的交互行为消息不一致，则确定来自第二网元的所述第一ue存在网络安全异常事件。进而，网络数据分析功能网元根据不同消息中第一ue相关的交互行为消息中存在无法对应的消息，可以确定第一ue存在网络安全异常事件，另外由于第一ue的交互行为消息来自于第二网元，进而可以确定第二网元存在网络安全异常事件，从而可以指示spf针对第二网元的第一ue的交互行为消息不一致的网络安全异常事件进行对应的处理，从而提高网络安全性。
一种可能的设计，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第二ue的交互行为消息和来自第二网元的所述第二ue的用户信息查询请求；所述数据分析网元若确定来自第二网元的所述第二ue的用户信息查询请求中，所述第二网元中的网元标识不一致，则确定所述网元标识不一致对应的至少两个网元发生网络安全异常事件。网络数据分析功能网元根据不同消息中相同ue涉及的网元的网元标识不一致，确定涉及的网元存在网络安全异常事件，从而可以指示spf针对涉及的网元的网元标识不一致的网络安全异常事件进行对应的处理，从而提高网络安全性。
第三方面，提供了一种通信装置用于实现上述各种方法。该通信装置可以为上述第一方面中的安全事件处理功能网元，或者包含上述安全事件处理功能网元的装置；或者，该通信装置可以为上述第二方面中的网络数据分析功能网元，或者包含上述网络数据分析功能网元的装置。该通信装置包括实现上述方法相应的模块、单元、或手段(means)，该模块、单元、或means可以通过硬件实现，软件实现，或者通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块或单元。
第六方面，提供了一种通信装置，包括：处理器和存储器；该存储器用于存储计算机指令，当该处理器执行该指令时，以使该通信装置执行上述任一方面所述的方法。该通信装置可以为上述第一方面中的安全事件处理功能网元，或者包含上述安全事件处理功能网元的装置；或者，该通信装置可以为上述第二方面中的网络数据分析功能网元，或者包含上述网络数据分析功能网元的装置。
第七方面，提供了一种通信装置，包括：处理器；该处理器用于与存储器耦合，并读取存储器中的指令之后，根据该指令执行如上述任一方面所述的方法。该通信装置可以为上述第一方面中的安全事件处理功能网元，或者包含上述安全事件处理功能网元的装置；或者，该通信装置可以为上述第二方面中的网络数据分析功能网元，或者包含上述网络数据分析功能网元的装置。
第八方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机可以执行上述任一方面所述的方法。
第九方面，提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机可以执行上述任一方面所述的方法。
第十方面，提供了一种通信装置(例如，该通信装置可以是芯片或芯片系统)，该通信装置包括处理器，用于实现上述任一方面中所涉及的功能。在一种可能的设计中，该通信装置还包括存储器，该存储器，用于保存必要的程序指令和数据。该通信装置是芯片系统时，可以由芯片构成，也可以包含芯片和其他分立器件。
其中，第五方面至第十方面中任一种设计方式所带来的技术效果可参见上述第一方面或第二方面中不同设计方式所带来的技术效果，此处不再赘述。
第十一方面，提供了一种通信系统，该通信系统包括：安全事件处理功能网元接收网络数据分析功能网元发送的第一指示信息，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；所述安全事件处理功能网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力；针对所述n个第三网元中的一个第三网元，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息。网络数据分析功能网元获取k个第一网元的消息交互行为信息，针对所述k个第一网元中的一个第一网元，所述第一网元的消息交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件；所述网络数据分析功能网元向安全事件处理功能网元发送第一指示信息，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件。其中，第十一方面所带来的技术效果可参见上述第一方面或第二方面中所带来的技术效果，此处不再赘述。
附图说明
图1为本申请提供的一种网络架构示意图；
图2为基于服务化架构的5g网络架构示意图；
图3为基于点对点接口的5g网络架构示意图；
图4为本申请提供的一种网络事件处理方法流程示意图；
图5为本申请提供的一种网络事件处理方法流程示意图；
图6为本申请提供的一种网络事件处理方法流程示意图；
图7为本申请提供的一种网络事件处理方法流程示意图；
图8为本申请提供的一种网络事件处理装置示意图；
图9为本申请提供的一种网络事件处理装置示意图。
具体实施方式
图1示例性示出了本申请实施例提供的一种通信系统10。如图1所示，该通信系统10包括网络数据分析功能网元101和安全事件处理功能网元102。该网络数据分析功能网元101和安全事件处理功能(securitypolicyfunction,spf)网元102之间可以直接通信，也可以通过其他设备的转发进行通信，本申请实施例对此不做具体限定。
如图1所示，网络数据分析功能网元101，用于获取k个第一网元的消息交互行为信息，针对所述k个第一网元中的一个第一网元，所述第一网元的消息交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件；所述网络数据分析功能网元向spf网元发送第一指示信息，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件。
安全事件处理功能网元102，用于接收网络数据分析功能网元发送的第一指示信息，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；所述spf网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力；针对所述n个第三网元中的一个第三网元，所述spf网元向所述第三网元发送所述第三网元对应的第一安全策略，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息。
其中，上述方案的具体实现将在后续方法实施例中详细阐述，在此不予赘述。
基于本申请实施例提供的通信系统，相比现有技术，通过增加k个第一网元的消息交互行为信息的获取服务，使得网络数据分析功能网元可以获取各网元的消息交互行为信息，进而通过对第一网元传输的消息的属性信息进行分析，确定出第二网元发生网络安全异常事件，相比现有技术中只能识别用户的异常行为，本申请实施例的方法中可以获取网元的网络安全异常事件，进而有效的发现现有技术中无法发现的网络安全异常的情况，安全事件处理功能网元获取网络数据分析功能网元101发送的网络安全异常事件，确认第二网元发送安全异常，进而安全事件处理功能网元根据第二网元，确认与第二网元具有关联关系的第三网元，例如，可以为与第二网元发生信令交互的网元，也可以是为第二网元提供服务的网元，通过向第三网元发送对应的第一安全策略，使得第三网元对第二网元的相关业务进行隔离，相比现有技术仅发送给订阅安全事件的网元的处理方式，可以更加全面的隔离第二网元产生的网络异常事件对网络的影响，进而提高网络的安全性。
本申请实施例的系统架构可以应用于5g网络架构，图2和图3示例性示出了本申请实施例的通信系统10应用于5g网络架构的示意图。下面结合图2和图3，对系统架构中的相关网元进行介绍。
终端设备，可以是用于实现无线通信功能的设备，例如终端或者可用于终端中的芯片等。其中，终端可以是5g网络或者未来演进的plmn中的用户设备(userequipment，ue)、接入终端、终端单元、终端站、移动站、移动台、远方站、远程终端、移动设备、无线通信设备、终端代理或终端装置等。接入终端可以是蜂窝电话、无绳电话、会话启动协议(sessioninitiationprotocol，sip)电话、无线本地环路(wirelesslocalloop，wll)站、个人数字助理(personaldigitalassistant，pda)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备或可穿戴设备，虚拟现实(virtualreality，vr)终端设备、增强现实(augmentedreality，ar)终端设备、工业控制(industrialcontrol)中的无线终端、无人驾驶(selfdriving)中的无线终端、远程医疗(remotemedical)中的无线终端、智能电网(smartgrid)中的无线终端、运输安全(transportationsafety)中的无线终端、智慧城市(smartcity)中的无线终端、智慧家庭(smarthome)中的无线终端等。终端可以是移动的，也可以是固定的。
上述终端设备可通过运营商网络提供的接口(例如n1等)与运营商网络建立连接，使用运营商网络提供的数据和/或语音等服务。终端设备还可通过运营商网络访问dn，使用dn上部署的运营商业务，和/或第三方提供的业务。其中，上述第三方可为运营商网络和终端设备之外的服务方，可为终端设备提供他数据和/或语音等服务。其中，上述第三方的具体表现形式，具体可根据实际应用场景确定，在此不做限制。
ran是运营商网络的子网络，是运营商网络中业务节点与终端设备之间的实施系统。终端设备要接入运营商网络，首先是经过ran，进而可通过ran与运营商网络的业务节点连接。本申请中的ran设备，是一种为终端设备提供无线通信功能的设备，ran设备也称为接入网设备。本申请中的ran设备包括但不限于：5g中的下一代基站(gnodeb，gnb)、演进型节点b(evolvednodeb，enb)、无线网络控制器(radionetworkcontroller，rnc)、节点b(nodeb，nb)、基站控制器(basestationcontroller，bsc)、基站收发台(basetransceiverstation，bts)、家庭基站(例如，homeevolvednodeb，或homenodeb，hnb)、基带单元(basebandunit，bbu)、传输点(transmittingandreceivingpoint，trp)、发射点(transmittingpoint，tp)、移动交换中心等。为方便说明，本申请中将ran设备简称为ran。
可选的，本申请实施例中的ran设备指的是接入核心网的设备，例如可以是基站，宽带网络业务网关(broadbandnetworkgateway，bng)，汇聚交换机，非第三代合作伙伴计划(3rdgenerationpartnershipproject，3gpp)接入设备等。基站可以包括各种形式的基站，例如：宏基站，微基站(也称为小站)，中继站，接入点等。
amf网元，接入和移动性管理功能，主要支持终端的注册管理、连接性管理以及移动性管理等功能，是由运营商网络提供的控制面网元，负责终端设备接入运营商网络的接入控制和移动性管理，例如包括移动状态管理，分配用户临时身份标识，认证和授权用户等功能。
smf网元，会话管理功能，主要支持会话建立，修改和释放等功能，此外还负责ueip地址分配和管理、upf选择和控制、upf和an节点之间的隧道维护业务和会话连续性(serviceandsessioncontinuity，ssc)模式选择、漫游等会话相关的功能。是由运营商网络提供的控制面网元，负责管理终端设备的协议数据单元(protocoldataunit，pdu)会话。pdu会话是一个用于传输pdu的通道，终端设备需要通过pdu会话与dn互相传送pdu。pdu会话由smf网元负责建立、维护和删除等。
upf网元，用户平面功能，主要负责数据报文的分组路由和转发。是由运营商提供的网关，是运营商网络与dn通信的网关。upf网元包括数据包路由和传输、包检测、业务用量上报、服务质量(qualityofservice,qos)处理、合法监听、上行包检测、下行数据包存储等用户面相关的功能。
dn，也可以称为分组数据网络(packetdatanetwork，pdn)，是位于运营商网络之外的网络，运营商网络可以接入多个dn，dn上可部署多种业务，可为终端设备提供数据和/或语音等服务。例如，dn是某智能工厂的私有网络，智能工厂安装在车间的传感器可为终端设备，dn中部署了传感器的控制服务器，控制服务器可为传感器提供服务。传感器可与控制服务器通信，获取控制服务器的指令，根据指令将采集的传感器数据传送给控制服务器等。又例如，dn是某公司的内部办公网络，该公司员工的手机或者电脑可为终端设备，员工的手机或者电脑可以访问公司内部办公网络上的信息、数据资源等。
udm网元，是由运营商提供的控制面网元，负责存储运营商网络中签约用户的用户永久标识符(subscriberpermanentidentifier，supi)、信任状(credential)、安全上下文(securitycontext)、签约数据等信息。udm网元所存储的这些信息可用于终端设备接入运营商网络的认证和授权。其中，上述运营商网络的签约用户具体可为使用运营商网络提供的业务的用户，例如使用中国电信的手机芯卡的用户，或者使用中国移动的手机芯卡的用户等。上述签约用户的永久签约标识(subscriptionpermanentidentifier，supi)可为该手机芯卡的号码等。上述签约用户的信任状、安全上下文可为该手机芯卡的加密密钥或者跟该手机芯卡加密相关的信息等存储的小文件，用于认证和/或授权。上述安全上下文可为存储在用户本地终端(例如手机)上的数据(cookie)或者令牌(token)等。上述签约用户的签约数据可为该手机芯卡的配套业务，例如该手机芯卡的流量套餐或者使用网络等。需要说明的是，永久标识符、信任状、安全上下文、认证数据(cookie)、以及令牌等同认证、授权相关的信息，在本发明本申请文件中，为了描述方便起见不做区分、限制。如果不做特殊说明，本申请实施例将以用安全上下文为例进行来描述，但本申请实施例同样适用于其他表述方式的认证、和/或授权信息。
ausf网元，认证服务器功能，支持用户的接入认证。是由运营商提供的控制面网元，通常可用于一级认证，即终端设备(签约用户)与运营商网络之间的认证。ausf网元接收到签约用户发起的认证请求之后，可通过udm网元中存储的认证信息和/或授权信息对签约用户进行认证和/或授权，或者通过udm网元生成签约用户的认证和/或授权信息。ausf网元可向签约用户反馈认证信息和/或授权信息。
nef网元，是由运营商提供控制面网元。nef网元以安全的方式对第三方开放运营商网络的对外接口。在smf网元需要与第三方的网元通信时，nef网元可作为smf网元与第三方的网元通信的中继。nef网元作为中继时，可作为签约用户的标识信息的翻译，以及第三方的网元的标识信息的翻译。比如，nef将签约用户的supi从运营商网络发送到第三方时，可以将supi翻译成其对应的外部身份标识(identity，id)。反之，nef网元将外部id(第三方的网元id)发送到运营商网络时，可将其翻译成supi。
应用功能(applicationfunction，af)网元，主要提供应用层服务，还支持与5g核心网交互来提供服务，例如影响数据路由决策，策略控制功能或者向网络侧提供第三方的一些服务。在具体应用中，af网元一般是指第三方服务器或应用服务器。
pcf网元，策略控制功能，支持统一的策略框架来管理网络行为。
是由运营商提供的控制面功能，用于向网络网元提供策略。作为一种实现方式，策略可以包括接入控制策略、移动性管理策略、计费相关策略、qos相关策略和授权相关策略等。
nrf网元，可用于提供网元发现功能，基于其他网元的请求，提供网元类型对应的网元信息，如地址信息和/或标识信息等。nrf网元还提供网元管理服务，如网元注册、更新、去注册以及网元状态订阅和推送等。
chf网元，用于提供计费功能，支持用户的离线和在线计费功能。
nwdaf网元，用于网络数据分析功能。负责安全数据的分析和异常安全事件识别。
spf网元，用于安全策略功能，支持网络级安全策略控制，负责安全事件的策略确定和协同。
图1中的网络数据分析功能网元101对应的网元或者实体可以为该5g网络架构中的nwdaf网元，图1中的安全事件处理功能网元102所对应的网元或者实体可以为该5g网络架构中的spf网元。本申请实施例中以网络数据分析功能网元101为nwdaf网元，安全事件处理功能网元102为spf网元为例进行阐述。
本申请实施例中的网络数据分析功能网元或安全事件处理功能网元也可以称之为通信装置，其可以是一个通用设备或者是一个专用设备，本申请实施例对此不做具体限定。本申请实施例中的网络数据分析功能网元或安全事件处理功能网元的相关功能可以由一个设备实现，也可以由多个设备共同实现，还可以是由一个设备内的一个或多个功能模块实现，本申请实施例对此不做具体限定。可以理解的是，上述功能既可以是硬件设备中的网络元件，也可以是在专用硬件上运行的软件功能，或者是硬件与软件的结合，或者是平台(例如，云平台)上实例化的虚拟化功能。本申请中，网络数据分析功能网元是指具备数据收集和分析以及获取数据分析结果功能的网元，其可以是图1或图2中的nwdaf网元，也可以是管理数据分析服务(managementdataanalysisservice，mdas)网元或者其他具备类似功能的网元。为方便说明，本申请后续以网络数据分析功能网元为5g中的nwdaf网元为例进行说明，且可以将网络数据分析功能网元简称为nwdaf网元。本申请实施例中，nwdaf网元也可以称为网络分析功能、或网络分析功能网元，其具有相同的含义，这里做统一说明。
本申请实施例提供一种nwdaf网元的部署方式。其中，nwdaf可以为分布式实现，分布式实体可以部署在5gcnf侧、ran侧(图中以ran设备为gnb为例)、ue内部。部署在5gcnf/gnb侧时，可以作为一个软件模块内置在5gcnf/gnb内部。nwdaf的各分布式实体间存在交互接口。为在实际部署中，amf网元侧和smf侧的nwdaf部署可以为独立的物理设备、或独立的虚拟设备、或部署在amf网元/smf中的软件模块、或者在物理位置或网络位置上接近amf网元或smf部署的独立的软件模块。nwdaf可以与5gcnf、gnb、oam交互获取信息、以及从ue获取信息，将分析结果提供给af，包括中心侧的af、以及部署在各边缘移动边缘计算(mobileedgecomputing,mec)的分布式af实体。nwdaf网元可以从nf网元(如图2或图3所示的smf、pcf网元、ran、upf等)、af、数据仓库或oam中的一个或多个获取待分析的数据，然后进行分析并获得数据分析结果。其中，nwdaf网元进行数据分析可以是基于某个消费者网元(比如，消费者网元可以是nf网元、ran设备、终端设备等)发送的数据分析请求或订阅消息而触发的，或者是数据分析网元根据其他条件触发的，比如周期性地触发、初始事件触发等。数据分析网元在获得数据分析结果之后，可以向请求获取数据分析结果的消费者网元发送数据分析结果，或者将数据分析结果存储于数据仓库，或者存储于数据分析网元中。
此外，如图2所示，为基于服务化架构的5g网络架构示意图。其中，该5g网络架构中还可以包括以下网元中的一个或多个：网络开放功能(networkexposurefunction，nef)网元、pcf网元、统一数据管理(unifieddatamanagement，udm)网元、nrf网元、af网元、nwdaf网元、认证服务器功能(authenticationserverfunction，ausf)网元、amf网元、smf网元、(无线)接入网((radio)accessnetwork，(r)an)以及用户面功能(userplanefunction，upf)网元等，本申请实施例对此不做具体限定。上述5g网络架构中，除(无线)接入网部分之外的部分可以称为核心网络部分。为方便说明，后续以(r)an称为ran为例进行说明。
其中，终端设备通过下一代网络(nextgeneration，n)1接口(简称n1)与amf网元通信，ran设备通过n2接口(简称n2)与amf网元通信，ran设备通过n3接口(简称n3)与upf网元通信，upf网元通过n6接口(简称n6)与dn通信，amf网元通过n11接口(简称n11)与smf网元通信，amf网元通过n8接口(简称n8)与udm网元通信，amf网元通过n12接口(简称n12)与ausf网元通信，amf网元通过n15接口(简称n15)与pcf网元通信，smf网元通过n7接口(简称n7)与pcf网元通信，smf网元通过n4接口(简称n4)与upf网元通信，smf网元通过n10接口(简称n10)与udm网元通信，udm网元通过n13接口(简称n13)与ausf网元通信，pcf网元通过n5接口(简称n5)与af网元通信。
此外，需要说明的是，图2所示的5g网络架构中的amf网元、smf网元、udm网元、ausf网元、pcf网元、lsmf网元或者af网元等控制面网元也可以采用服务化接口进行交互。比如，如图2所示，amf网元对外提供的服务化接口可以为namf；smf网元对外提供的服务化接口可以为nsmf；udm网元对外提供的服务化接口可以为nudm；pcf网元对外提供的服务化接口可以为npcf，ausf网元对外提供的服务化接口可以为nausf，af网元对外提供的服务化接口可以为naf。相关描述可以参考23501标准中的5g系统架构(5gsystemarchitecture)，在此不予赘述。本申请实施例提供一种spf网元的部署方式。spf网元的部署方式可以有多种，其中，spf网元可以为分布式实现，分布式实体可以部署在5gcnf侧、ran侧(图中以ran设备为gnb为例)、ue内部。如图2所示，表示新增nfspf网元的可能的部署方式，spf网元可以作为5g心网的标准nf，通过sba接口和标准定义的5g核心网nf直接进行对接。
如图3所示，为基于点对点接口的5g网络架构示意图，其中的网元的功能的介绍可以参考图2中对应的网元的功能的介绍，不再赘述。图3与图2的主要区别在于：图2中的各个网元之间的接口是点对点的接口，而不是服务化的接口。
在图3所示的架构中，终端设备通过n1接口(简称n1)与amf网元通信，ran设备通过n2接口(简称n2)与amf网元通信，ran设备通过n3接口(简称n3)与upf网元通信，upf网元通过n6接口(简称n6)与dn通信，amf网元通过n11接口(简称n11)与smf网元通信，amf网元通过n8接口(简称n8)与udm网元通信，amf网元通过n12接口(简称n12)与ausf网元通信，amf网元通过n15接口(简称n15)与vpcf网元通信；smf网元通过n7接口(简称n7)与vpcf网元通信，vpcf网元通过n24接口(简称n24)与hpcf网元通信，vpcf网元通过n5接口(简称n5)与af网元通信，smf网元通过n4接口(简称n4)与upf网元通信，smf网元通过n10接口(简称n10)与udm网元通信，udm网元通过n13接口(简称n13)与ausf网元通信。
本申请实施例还提供一种spf网元的部署方式，如图3所示，spf网元可以作为管理面功能，通过管理面接口，间接和5g核心网nf进行对接。如图3所示，与安全策略spf网元之对接的nf可以有很多，随着网络功能的演进可以扩展。举例来说，与安全策略spf网元之对接的nf可以包括：处理ue信令相关的amf网元/smf网元；处理ue策略和签约数据相关的pcf网元/udm；处理核心网nf间通讯的nrf网元/scf网元；还可以和核心网nf网元外的相关功能领域对接入如虚拟化资源管理网元和路由传输控制器(softwaredefinednetwork,sdn)网元，从而在更广的功能领域中对安全事件进行响应。下面以图3的逻辑连接图进行举例说明，在具体实施过程中，spf网元可以是图3通过sba接口直接对接，也可以为图3通过管理面接口间接对接，在此不做限定。需要说明的是，该图仅给出了一种实现方式，实际应用中也可以有其他部署方式，比如部署一个nwdaf网元和一个spf网元，或者，将spf网元部署在nwdaf网元中(比如部署在中心位置)。
本申请中的nf网元可以是图2或图3中的核心网网元，即5g核心网(5gcorenetwork，5gc)nfs，或者还可以是未来通信系统，如第六代(6thgeneration，6g)中的核心网网元，即6gcnfs。为方便说明，本申请实施例以nf为5gcnfs为例进行说明。需要说明的是，本申请实施例后续描述时，可以将nf称为5gcnf，当有多个nf时，也可以描述为5gcnfs，或者简称为nfs。
nwdaf网元是5g新引入的网络功能，为5g核心网其他网络功能提供数据分析服务，分析的信息可以过去事件的统计信息，也可以是预测信息。根据当前3gpp协议23.288-g10，nwdaf网元已经支持了一些分析用例：如切片负载，业务体验，网络性能、用户相关行为等分析。其中用户相关的行为分析中涉及非正常的用户行为分析，用于识别被劫持或滥用的用户终端，从而防止用户终端被盗用，或被用于向网络发起攻击等事件。网络功能可以直接或间接的向nwdaf网元订阅安全相关的数据分析服务，例如，处于5g核心网内部的可信的消费网络功能(consumernf)可以直接向nwdaf网元订阅用户识别分析服务，例如，订阅的用户识别分析服务可以为nwdaf网元分析订阅服务(nnwdaf_analyticssubscription_subscribe)，用于网络功能向nwdaf网元订阅异常用户识别分析服务。外部的应用功能可以向网络能力开放功能(networkexposurefunction，nef)发送订阅请求；进而，nef向nwdaf网元转发该订阅请求，以使af向nwdaf网元订阅用户识别分析服务。nwdaf网元根据分析和运营商的策略，确定用户行为分析结果为af订阅的用户识别分析服务对应的订阅消息，向订阅该用户行为分析服务的nef发送用户行为分析结果，以使nef向af发送用户行为分析结果。或者，nwdaf网元根据分析和运营商的策略，确定用户行为分析结果为消费者nf网元订阅的用户识别分析服务对应的订阅消息，则可以向订阅该用户行为分析服务的消费者nf发送用户行为分析结果。订阅异常用户识别分析服务的网元对用户行为分析结果进行相应的处理，如释放对应的终端。但是，nwdaf网元只分析ue行为信息，对核心网网络功能的行为没有分析。而5g核心网由于引入的很多it技术，如虚拟化平台，容器平台，越来越多的开源第三方it组件的应用，再加上多方供应商的共同参与组网，直接对5g核心网网络功能进行攻击、渗透和劫持等安全异常行为，通过上述方案，nwdaf网元是无法确定出核心网网络功能进行攻击、渗透和劫持等安全异常行为，导致核心网存在安全隐患。另外，由于用户行为分析服务仅能通过向nwdaf网元订阅，来获取nwdaf网元对用户行为分析的结果，而在很多场景下，安全异常行为涉及到多个网络功能的参与，一个安全异常行为可能会影响多个网络功能的正常运行，而上述用户行为分析服务的订阅方式，使得用户行为分析结果只会发送给订阅用户行为分析服务的网元，而真的该安全异常行为涉及到的其他网络功能无法获取到该用户行为分析结果，也无法针对涉及到的安全异常行为进行处理，也导致了核心网的网元的安全性不高。
基于上述内容，本申请实施例提供一种网络事件处理方法，如图4所示，为本申请实施例提供的网络性能数据分析方法流程示意图，包括以下步骤：
步骤401：nwdaf网元获取k个第一网元的消息交互行为信息。
其中，所述消息交互行为信息可以与所述核心网网元的功能对应。例如，核心网网元可以为上述实施例中的任一种网元。k个第一网元的消息交互行为信息可以为nwdaf网元订阅的第一网元的消息交互行为信息，也可以为nwdaf网元订阅的第一网元获取的其他核心网网元的消息交互行为信息。针对所述k个第一网元中的一个第一网元，所述第一网元的消息交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数。其中，所述第一网元传输的消息的属性信息，可以包括：所述消息的类型，类型具体可以根据第一网元传输的消息的接口确定)；所述消息的消息内容(例如，ue标识，网元的ip地址，网元的标识，网元的证书，请求的内容等)、所述第一网元上传输所述消息的接口(可以根据第一网元确定，例如，nwdaf网元分析订阅服务接口，事件分析服务(nnwdaf_analyticsinfo)接口，nwdaf网元分析通知(nnwdaf_analyticsinfo_notif)，amf网元通信接口(namf_communication)，amf网元事件开放服务接口，smf事件开放服务接口，spf网元安全策略接口，安全日志(nnf_securitylog)接口等)；所述消息对应的对端传输所述消息的接口(可以根据第一网元的对端的网元确定，例如，nwdaf网元分析订阅服务接口，amf网元事件开放服务接口，smf事件开放服务接口，spf网元安全策略接口等)。
在步骤401中，一种可能的方式，nwdaf网元可以向k个第一网元发送消息交互行为信息订阅请求，用于订阅k个第一网元的消息交互行为信息；其中，第一网元的消息交互行为信息可以为第一网元生成的消息交互行为信息，也可以为第一网元获取的其他核心网网元的消息交互行为信息。
举例来说，nwdaf网元订阅的第一网元可以为amf网元，进而amf网元可以将终端设备接入运营商网络的接入信息和移动性信息，例如包括移动状态信息，分配给用户的临时身份标识，认证信息和授权用户信息等上报至nwdaf网元。amf网元也可以将smf发送给amf网元的会话建立，会话修改和会话释放、ue的ip地址、选择的upf等会话相关的信息作为消息交互行为信息上报至nwdaf网元。
另一种举例，nwdaf网元通过amf网元的开放接口，向amf网元发送用户行为订阅请求，用于订阅amf网元事件开放服务(namf_eventexposure)，以获取终端的接入移动性等ue行为信息。amf网元可以以周期性的方式，向nwdaf网元发送ue行为消息；ue行为信息可以包括：ue的位置信息(可以包括ue所在的跟踪区标识tai或小区标识cellid)，ue的接入技术类型，ue移入或移出兴趣区，ue注册状态变更等。amf网元可以通过订阅或者amf网元可以以事件的方式，向nwdaf网元发送ue行为消息。
再比如，nwdaf网元可以通过订阅smf的开放服务接口，例如，smf事件开放服务(nsmf_eventexposure)，以获取ue会话管理等ue行为信息。smf也可以周期性或事件性的向nwdaf网元上报ue会话消息。其中，ue会话消息可以包括一下ue行为信息：ue的ip地址变更，pdu会话释放，用户面路径变更等通话信息或计费信息等。
步骤402：nwdaf网元根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件。
下面以k个第一网元为1个第一网元，消息交互行为信息包括第一网元接收到来自第二网元的消息为例进行说明。当然，消息交互行为信息也可以为第一网元直接发送的，也可以为通过其他网元发送给第一网元的信令消息等方式获取的，在此不做限定。
在步骤402中，一种可能的实现方式，nwdaf网元可以根据消息交互行为信息发送的消息频率，确定是否存在网络安全异常事件。例如，若确定所述第一网元接收到来自第二网元的消息的数量大于第一阈值，则确定存在所述第二网元对所述第一网元的ddos攻击事件；所述第一阈值为根据历史消息频率确定的。
另一种可能的实现方式，nwdaf网元可以根据消息交互行为信息确定出第一网元的第一消息与第二网元的第二消息存在不一致，则确定可能存在网络安全异常事件。
在上述步骤402中，nwdaf网元确定出第二网元发生网络安全异常事件可以有多种可能地实施方式，下面通过实施方式a1、实施方式a2和实施方式a3对此进行介绍。
实施方式a1，数据分析网元根据k个第一网元的消息交互行为信息包括的第一消息和第二消息确定可能存在网络安全异常事件。若确定所述第一消息中的第二网元的第一身份标识与所述第二消息中所述第二网元的第二身份标识不一致，则确定所述第二网元存在网络安全异常事件。
以所述第一网元为计费功能网元chf，会话管理功能网元smf为例。所述第一消息为来自smf的第一ue标识的第一计费请求；所述第二消息为amf网元针对ue标识的注册信息；此时，所述数据分析网元若确定所述ue标识的注册信息中不包括第一ue标识的注册信息；则可以确定第一计费请求中的第一ue标识为非法注册信息，因此，第一网元可能存在篡改事件。
实施方式a2，数据分析网元根据k个第一网元的消息交互行为信息包括的来自所述k个第一网元的第一ue的交互行为消息，确定所述第一ue是否存在网络安全异常事件。此时，若确定所述第一ue的交互行为消息不一致，则确定所述第一ue存在网络安全异常事件。
举例来说，以所述第一网元为计费功能网元chf和amf网元为例。所述第一消息为第一ue标识的第一计费请求；所述第二消息为amf网元针对ue标识的注册信息；此时，所述数据分析网元若确定所述ue标识的注册信息中不包括第一ue标识的注册信息；则可以确定第一计费请求中的第一ue标识为非法注册信息，可以确定第一ue可能存在被篡改的网络安全异常事件。
再比如，nwdaf网元可以根据amf网元和smf上报的ue行为消息，进行用户行为分析。具体的，nwdaf网元可以根据内部数据分析算法，对amf网元和smf上报的用户行为信息进行分析，对被误用或被劫持的用户和用户行为进行识别。例如，可以识别异常的ue位置，异常长时间的数据流，异常频繁接入等，进而确定第一ue存在网络安全异常事件。
实施方式a3，数据分析网元根据k个第一网元的消息交互行为信息包括的述k个第一网元的第二ue的交互行为消息和来自第二网元的所述第二ue的用户信息查询请求，确定网元可能存在网络安全异常事件。数据分析网元若确定来自第二网元的所述第二ue的用户信息查询请求中，所述第二网元中的网元标识不一致，则确定所述网元标识不一致对应的至少两个网元发生网络安全异常事件。
以第一网元可以为smf1，第二网元为smf2，第二网元非法获取smf1的证书向amf网元发送第二ue的用户信息查询请求，以非法窃取第二ue的用户信息为例。所述用户信息查询请求包括第一网元的证书和第二网元的网元标识，例如，第二网元的ip地址或端口；smf1向amf网元发送第二消息，第二消息可以是smf1与amf网元交互的任一消息或多个消息的集合；其中，第二消息包括：第一网元的网元标识，例如，第一网元的证书，第一网元的ip地址或端口等。此时，所述数据分析网元可以根据第二ue的用户信息查询请求与第二消息，确定第二ue的用户信息查询请求中的网元的证书与第二消息对应网元的证书一致，但是，第二ue的用户信息查询请求对应的网元的ip地址与第二消息中的网元的ip地址不一致，判定第二ue的用户信息查询请求对应的网元，与第二消息中对应的网元发生网络安全异常事件。
步骤403：nwdaf网元向spf网元发送第一指示信息。
其中，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件。
实施方式b1，一种可能的设计，网络安全异常事件可以包括：第一网元受到ddos攻击事件。例如，根据消息交互行为信息，确定第二网元对第一网元发起ddos攻击，则可以确定第二网元和/或第一网元存在网络安全异常事件。
实施方式b2，网络安全异常事件可以包括：第二网元和/或第一网元的安全异常事件；第二网元和/或第一网元的安全异常事件可以存在多种异常。例如，第一网元或第二网元可能存在被冒用的风险，一种可能的场景中，第二网元和/或第一网元的安全异常事件可以表示为：第一网元的第一消息与第二网元的第二消息存在不一致的网络安全异常事件，第一消息与第二消息中存在相同的标识信息；此时，可以认为第一网元和/或第二网元可能存在被冒用的风险，进一步的，nwdaf网元还可以根据与第一消息相关的其他消息，或者与第二消息相关的其他消息进行比较，确定第一网元的第一消息与第二网元的第二消息不一致的原因，进而确定被冒用或被篡改的网元，进而，确定该网络安全异常事件为第一网元和/或第二网元被冒用或被篡改。
实施方式b3，第二网元和/或第一网元可能存在窃取用户信息的网络安全异常事件，一种可能的场景中，第二网元和/或第一网元的安全异常事件可以表示为：第一网元的第一身份标识与第一网元的第二身份标识不一致，且第一网元向第二网元发送用户信息的查询请求，此时，第一网元可能存在窃取用户信息的安全异常事件。
实施方式b4，网络安全异常事件还可以包括：用户的网络安全异常事件；例如，一种可能的场景中，用户的安全异常事件可以表示为：第一网元发送的第一消息中携带的第一用户标识，与第二网元发送的第二消息中携带的第一用户标识相同，且第一消息与第二消息不一致，也可以确定为第一用户标识对应的用户存在网络安全异常事件。
实施方式b5，网络安全异常事件还可以包括：异常业务的网络安全异常事件。例如，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第二ue的交互行为消息和来自第二网元的所述第二ue的用户信息查询请求；所述数据分析网元若确定来自第二网元的所述第二ue的用户信息查询请求中，所述第二网元中的网元标识不一致，则可以确定第二ue的用户信息查询请求为异常业务，并且确定所述网元标识不一致对应的至少两个网元存在异常业务的网络安全异常事件。
通过增加各5g核心网网元的消息交互信息的服务接口，使得ndwaf可以获取各网元的消息交互行为信息，进而通过对个网元的消息交互行为信息的分析，提升网络功能异常行为检测能力，进而有效提升对网络功能的安全入侵事件的识别率和识别的准确度。
步骤404：spf网元接收nwdaf网元发送的第一指示信息。
在具体实施过程中，spf网元可以向nwdaf网元发送网络安全异常事件订阅请求，以获取来自nwdaf网元的网络安全异常事件的第一指示信息，当然还可以向nwdaf网元发送网络安全异常事件的查询请求，以接收nwdaf网元发送的第一指示信息，在此不做限定。
步骤405：spf网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元。
其中，针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力。
步骤406：针对所述n个第三网元中的一个第三网元，spf网元向所述第三网元发送所述第三网元对应的第一安全策略。
其中，所述第三网元对应的第一安全策略中包括用于指示所述第三网元停止对所述第二网元的相关业务进行处理的指示信息。
实施方式c1，spf网元可以根据不同的网络安全异常事件的类型，确定不同的安全策略。例如，可以根据网络安全异常事件所关联的第三网元，设置对各第三网元的隔离策略，还可以根据网络安全异常事件所关联的用户，设置对各用户的隔离策略，当然，也可以根据网络安全异常事件所关联的用户，设置对各用户所涉及的第三网元的隔离策略。
例如，网络安全异常事件为第二网元对所述第一网元的ddos攻击事件；此时，第三网元可以为第二网元和/或第二网元相关的网元，可以根据ddos攻击事件，确定对第三网元的隔离策略。例如，spf网元根据所述ddos攻击事件，确定对所述第三网元的相关业务进行隔离，并释放所述第三网元上对应用户。
示例c1，第三网元可以为amf网元，所述spf网元向所述amf网元发送所述amf网元对应的第一安全策略，所述amf网元对应的第一安全策略包括用于指示所述amf网元停止对所述第二网元的消息的处理的指示信息；所述amf网元对应的第一安全策略包括用于指示所述amf网元释放所述第二网元所绑定的用户。再比如，spf网元可以指示amf网元停止建立和/或释放与第二网元相关的用户会话；具体的实施过程可以包括：spf网元向amf网元发送第一安全策略消息；所述第一安全策略消息用于指示所述amf网元释放所述第二网元建立的用户会话。
示例c2，第三网元可以为消息转发网元，因此，spf网元可以指示消息转发(servicecommunicationproxy,scp)网元停止对来自所述第二网元的消息的转发，具体的实施过程可以包括：spf网元向消息转发网元scp网元发送第一安全策略消息；所述第一安全策略消息包括所述第二网元的nf标识或ip地址；所述第一安全策略消息用于指示所述scp网元停止对来自所述第二网元的消息的转发。
示例c3，第三网元可以为网络中的任一可能与第二网元建立通信连接的网元。因此，spf网元可以指示第三网元停止与第二网元建立通信连接，具体的实施过程可以包括：spf网元向第三网元发送第二安全策略消息；所述第一安全策略消息包括所述第二网元的nf标识；所述第二安全策略消息用于所述第三网元忽略与所述第二网元建立连接。
举例来说，所述第三网元为nrf网元，所述spf网元向所述nrf网元发送所述nrf网元对应的第一安全策略，所述nrf网元对应的第一安全策略包括用于指示所述nrf网元停止对所述第二网元的用户授权；
举例来说，第三网元可以为路由传输控制器sdn网元，spf网元可以指示sdn网元阻止所述第二网元对应的网段的消息的路由转发。具体的实施过程可以包括：spf网元向路由传输控制器sdn网元，发送第一安全策略消息；所述第一安全策略消息用于指示所述sdn网元阻止所述第二网元对应的网段的消息的路由转发。
举例来说，所述第三网元为虚拟化资源管理(networkfunctionsvirtualisationmanagementandorchestration，mano)网元，所述spf网元向所述mano网元发送所述mano网元对应的第一安全策略，所述mano网元对应的第一安全策略包括用于指示所述mano网元释放所述第二网元对应的虚拟机。
实施方式d1，所述第一指示信息还可以用于指示所述网络安全异常事件对应的异常业务。spf网元可以根据异常业务，确定出需执行第二安全策略的第四网元。具体的，spf网元可以根据所述第一指示信息，确定出与所述第二网元具有关联关系的m个第四网元；针对所述m个第四网元中的一个第四网元，所述第四网元具有对所述异常业务进行处理的能力；针对所述m个第四网元中的一个第四网元，spf网元可以向所述第四网元发送所述第四网元对应的第二安全策略，所述第四网元对应的第二安全策略中包括用于指示所述第四网元停止或撤销对所述异常业务进行处理的指示信息。
在实施方式d1下可以有多种应用场景，下面通过下述场景1和场景2进行示例。
场景1，所述第一网元传输的消息包括第一消息和第二消息，所述第一消息中的第一ue的交互行为消息与所述第二消息中第一ue的交互行为消息不一致，其可能的原因是，第一消息中的第一ue的交互行为消息存在篡改，也可能为第二消息中的第一ue的交互行为消息存在篡改，nwdaf网元可以根据k个第一网元传输的消息中，涉及的第一ue的其他交互行为消息，确定存在篡改的为第一消息还是第二消息。此处，以第一消息中的第一ue标识存在篡改为例进行说明。其他第一ue的交互行为消息存在篡改确定的第二安全策略可以参考第一消息中的第一ue标识存在篡改的实施例，在此不再赘述。
在场景1下，针对第一消息中的第一ue标识存在篡改问题，下面通过示例d1-d5进行介绍。
示例d1，第四网元可以为smf网元，此时，spf网元可以对smf网元发起的第一ue的业务进行隔离，即，可以指示smf网元停止执行第一ue对应的操作。例如，停止执行所述smf网元生成的所述第一ue的业务请求，并释放所述第一ue与所述smf网元的会话。在具体实施过程中，可以包括：spf网元生成第二安全策略请求；所述第二安全策略请求用于停止执行所述smf网元生成的所述第一ue的业务请求；并释放所述第一ue与所述smf网元的会话。
示例d2，所述第四网元为amf网元，所述spf网元向所述amf网元发送所述amf网元对应的第二安全策略，所述amf网元对应的第二安全策略包括用于指示所述amf网元停止执行所述异常业务的请求；例如，异常业务可以为第一网元相关的第一ue的会话，amf网元可以释放所述第一ue的会话。具体可以包括：spf网元向所述amf网元发送异常用户的安全策略请求；所述异常用户的安全策略请求用于指示所述amf网元释放所述第一ue的会话。进一步的，所述spf网元还可以向所述amf网元发送所述amf网元对应的第二安全策略，所述amf网元对应的第二安全策略包括用于指示所述amf网元释放所述异常业务对应的用户，例如，第一ue。
示例d3，所述第四网元为amf网元，若spf网元确定smf网元存在被冒用的风险，spf网元还可以对amf网元中与smf网元的业务进行隔离。例如，可以指示smf网元相关的amf网元，释放与所述smf网元向amf网元发起的请求中涉及的第一ue标识的ue的会话。此时，由于可能涉及存在被冒用的风险的网元可能包括多个网元，可以对由smf网元发起的业务请求全部或部分进行隔离。例如，若spf网元可以确定被冒用的网元和冒用的网元，则可以将冒用的网元作为隔离的网元，对冒用的网元发起的业务进行隔离。若spf网元无法确定被冒用的网元和冒用的网元，只能确定网元存在被冒用的风险，则可以将存在被冒用的风险的网元发起的业务都进行隔离。在具体实施过程中，可以包括：spf网元向所述amf网元发送异常用户的安全策略请求；所述异常用户的安全策略请求用于指示所述amf网元释放所述smf网元相关的ue的会话。
示例d4，所述第四网元为pcf网元，所述spf网元向所述pcf网元发送所述pcf网元对应的第二安全策略，所述pcf网元对应的第二安全策略包括用于指示所述pcf网元释放所述异常业务对应的用户，以使pcf网元对涉及第一ue标识的用户进行隔离。在具体实施过程中，可以包括：spf网元向pcf网元发送异常用户的安全策略请求；所述异常用户的安全策略请求用于指示所述pcf网元释放所述第一ue标识的会话及网络。
示例d5，spf网元若确定所述第一ue标识的篡改对象为第二网元，则可以认为第二网元存在被冒用的风险，进而，可以向第四网元发起针对第二网元的异常业务的隔离的第二安全策略。具体的，spf网元可以向所述第四网元发送第二安全策略请求；所述第二安全策略请求用于指示对所述第二网元的异常业务进行隔离。例如，所述第四网元为scp网元，所述spf网元向所述scp网元发送所述scp网元对应的第二安全策略，所述scp网元对应的第二安全策略包括用于指示所述scp网元停止对所述第二网元的异常业务的消息转发；或者，所述第四网元为nrf网元，所述spf网元向所述nrf网元发送所述nrf网元对应的第二安全策略，所述nrf网元对应的第二安全策略包括用于指示所述nrf网元停止对所述第二网元的异常业务的用户授权；或者，所述第四网元为sdn网元，所述spf网元向所述sdn网元发送所述sdn网元对应的第二安全策略，所述sdn网元对应的第二安全策略包括用于指示所述sdn网元停止对所述第二网元的异常业务的网段的消息的路由转发。
场景2，以窃取用户隐私消息的场景为例进行说明。此时，nwdaf网元或spf网元可以通过存在网元查询用户信息的方式，确定可能存在窃取用户隐私消息的网络安全事件，nwdaf网元或spf网元通过所述第一消息中的第二网元的第一身份标识与所述第二消息中所述第二网元的第二身份标识不一致，确定窃取用户隐私消息的对象为第二网元，则可以确定第二网元存在被冒用的风险。当然，nwdaf网元或spf网元还可以根据其他交互行为消息的不一致，确定存在窃取用户隐私消息的对象，在此不再赘述。
在具体的场景中，以第二网元为第一smf，第一网元为amf网元为例；第一消息可以包括：所述第二网元向所述第一网元发送的第三ue信息的查询请求；查询请求包括所述第一网元的第一身份标识；第二消息包括：所述第一网元的第二身份标识。nwdaf网元若根据所述第二网元的第一身份标识与所述第二网元的第二身份标识不一致，且所述第一身份标识存在网络安全异常事件，则可以确定与所述第一身份标识对应的第二网元为异常网元。此时，安全异常事件中可以包括：指示第一smf为异常网元。再比如，spf网元根据所述第二网元的第一身份标识与所述第二网元的第二身份标识不一致，且所述第一身份标识存在网络安全异常事件，则可以确定与所述第一身份标识对应第一smf为异常网元。
例如，第一身份标识可以为第一smf网元对应的ip地址ip1，若第二网元窃取了第二smf的tsl证书，用于向第一网元发送第三ue信息的查询请求的验证，此时，nwdaf网元可以接收到来自amf网元的第一消息，第一消息中包括：第一smf网元的ip1，第二smf网元的tsl证书，第三ue信息的查询请求。nwdaf网元还可以接收到第二smf网元发送的第二消息，第二消息中包括：第二smf网元的ip2，第二smf网元的tsl证书。
进而，nwdaf网元根据第一消息和第二消息，可以确定第一smf网元发送的第三ue信息的查询请求存在网络安全异常。进一步的，nwdaf网元还可以根据第二smf网元发送的包括有tsl证书的其他ue信息的查询请求，及第二smf网元的第二身份标识(第二smf网元对应的ip地址ip2)，确认第一smf网元为异常网元。
进而，spf网元根据nwdaf网元的网络安全异常事件，确定第二安全策略。第二安全策略可以为针对第二网元的会话或网络的隔离，和/或第二网元涉及的用户的会话或网络的隔离。具体的，可以包括：spf网元根据所述异常网元，生成第二安全策略，对所述异常网元的业务进行隔离，和/或释放所述异常网元上对应用户；spf网元向第四网元发送第二安全策略；第二安全策略用于指示所述第四网元停止向所述异常网元发送用户的相关信息。
通过上述方法，当nwdaf网元检测到安全异常事件后，还可以向新增的安全事件处理功能spf网元通知网络安全异常事件，进而，由spf网元通过和各领域的新增安全策略接口，协同和联合多功能领域，对网络安全事件进行响应，有效提升对安全异常事件的处理，有效提高网络安全性能。可以有效控制安全异常对网络的影响。
下面对本申请实施例提供的网络事件处理方法进行具体描述。一种具体的实现方法，包含两个主要网络功能，一个是nwdaf网元，负责安全数据的分析和异常安全事件识别，nwdaf用于订阅其对应的网元的消息交互信息。一个是新增的安全策略网元spf网元，负责网络安全事件的策略确定和网络安全异常事件的处理。如图5所示，为本申请实施例提供的网络性能数据分析方法流程示意图。以nf(例如，第二网元)被劫持，恶意对其他nf(例如，第一网元)进行ddos攻击，影响第一网元涉及的其他网元nf的可用性为例进行说明。该方法包括以下步骤：
步骤501：nwdaf网元接收第一网元的消息交互行为信息。
一种可能的方式，获取第一网元的消息交互行为信息的方式可以通过第一网元对应的数据开放接口，如amf网元可以通过扩展的事件开放服务(namf_eventexposure)接口获取的，smf可以通过扩展的事件开放服务(nsmf_eventexposure)接口获取的。在具体实施过程中，消息交互行为信息接口还可以为扩展后的事件分析服务(nnwdaf_analyticsinfo)接口，用于增加消息交互行为信息的分析类型，例如，nf行为异常，用户行为异常等。此外还可以通过携带nf筛选参数，对需要分析nf范围进行限制或筛选，以节省nwdaf网元分析的数据量，提高网络数据分析的效率。例如，nf筛选参数可以包括以下至少一项：nf类型，nf标识或nf列表，nf所属的切片等参数。
另一种可能的方式，步骤501a中，nwdaf网元向nf发送nf的消息交互信息的订阅请求，以获得nf发送的消息交互行为信息。nwdaf网元获取nf的消息交互行为信息可以为nf与其他nf信令交互的消息交互行为信息，也可以通过新增的信令，例如，nf安全日志(nnf_securitylog)，向nf订阅nf消息交互行为信息。订阅的nf的消息交互行为信息，可以包括nf所有发送和接受的接口消息类型，所有消息发生的事件和接口消息的内容等。其中，接口消息的内容可以包括：接口消息的完整数据，摘要，关键信息等。具体nf对应支持的接口可以参见上述实施例，在此不再赘述。
假如第二网元被外部用户恶意渗透控制，通过向周边nf频繁发送第一消息，例如，smf1通过amf网元通信接口(namf_communication)向amf网元1短时间发送多个第一消息，导致amf网元1处理资源和接口带宽资源占用，处理正常业务能力下降。此时，amf网元1根据nwdaf网元消息交互行为信息的收集要求，周期性或事件性上报第二网元向第一网元发送的消息，作为第一网元的消息交互行为信息。
步骤502：nwdaf网元对amf网元1的交互事件进行分类判断，确定网络安全异常事件。
其中，网络安全异常事件为第一网元受到第二网元的ddos攻击。
一种可能的实现方式，nwdaf网元根据内部算法，例如，根据指定规则判断，如amf网元1的历史流量模型，确定在指定时间内接收第二网元nf的消息升超过预设阈值，则确定amf网元1的交互事件过程发生业务突发飙，可能存在ddos攻击。另一种可能的实现方式，根据机器学习或人工智能(artificialintelligence，ai)算法，根据历史异常或正常业务信令交互数据训练后的模型，对第一网元amf网元1的交互事件过程进行分类判断是否存在ddos攻击。本申请实施例不限定具体算法，nwdaf网元可以根据具体采用的算法判断第一网元nf可能被ddos攻击。
步骤503：nwdaf网元向spf网元发送第一指示信息。
其中，第一指示信息可以为nwdaf网元分析通知(nnwdaf_analyticsinfo_notif)消息，包括：第一网元amf网元1可能受到第二网元smf1的ddos攻击。
在一种可能的实现方式，spf网元可以通过nwdaf网元的分析服务(nnwdaf_analyticsinfo)接口，向nwdaf网元发送网络安全异常事件的订阅请求，进而nwdaf网元可以根据网络安全异常事件的订阅请求，确定需要向spf网元上报第一网元amf网元1可能受到第二网元smf1的ddos攻击。
步骤504：spf网元根据第一指示信息，确定第一安全策略。
具体的，安全策略可以为本地或后台配置的安全策略，进而，spf网元根据nf类型，确定第二网元smf可能被入侵，并根据ddos攻击等其他nf对应的安全策略的条件判断，确定对第二网元执行的安全策略。
例如，spf网元确定第二网元发起ddos攻击，可以确定第二网元需进行业务和网络隔离，另外，由于第二网元为smf1，因此，还需要对smf涉及的用户的会话进行隔离，释放smf1上对应用户。业务和网络的隔离可以有多种处理手段。例如，spf网元可以将安全策略指令发送至业务或网络对应的控制中心的网元，进而使得业务或网络对应的控制中心的网元执行对应第二网元的安全策略消息。
步骤505：spf网元向第三网元发送第一安全策略。
在步骤504a中，第三网元为scp网元，spf网元可以向scp网元发送第一安全策略，指示scp网元停止转发第二网元的消息，其中第一安全策略消息可以携带第二网元smf1的网元标识nfid或ip地址。
在步骤504b中，第三网元为nrf网元，根据第一安全策略，spf网元可以向nrf网元发送第一安全策略，指示nrf网元隔离nf和smf1之间的相互发现，避免smf1和nf之间建立连接。消息中可以携带smf1对应的nf标识。
在步骤504c中，第三网元为pcf网元或amf网元，spf网元可以向pcf网元或amf网元发送第一安全策略，用于指示释放对应的第二网元的用户会话。
具体的，对于第二网元smf1上可能现有的业务，spf网元可以通过向pcf网元或直接向对应的amf网元发送第二网元的安全策略消息，用于指示释放对应smf1的用户。或者，spf网元可以通过直接向对应的amf网元发送第二网元的安全策略消息，用于指示释放对应smf1的用户。
在步骤504d中，第三网元为sdn网元，spf网元还可以向sdn网元发送第一安全策略，用于指示sdn网元在路由层面隔离smf1对应的网段，以使spf网元实现在5g核心网nf范围外的网元对smf1的隔离。
步骤505：第三网元接收到第一安全策略，执行第一安全策略。
在步骤505a中，scp网元接收第一安全策略，根据指示的第一安全策略，停止对应smf1的消息转发，对于已经接收到的第二网元smf1发出的消息，可以进行丢包处理。
在步骤505b中，nrf网元接收第一安全策略后，根据指示的第一安全策略，拒绝所有该smf1发起的对其他nf的发现请求，同时不返回smf1作为其他nf对smf的发现请求，从而隔离了smf1和其他nf之间的连接发起。
在步骤505c中，amf网元接受spf网元的第一安全策略后，对smf1建立的用户会话，发起连接释放。
在步骤505d中，sdn网元接收第一安全策略后，向对应的路由器发送配置，拒绝对应smf1的原地址网段或目标地址网段的路由转发。
下面一种具体的实现方法，包含两个主要网络功能，可以部署在一个网元上，也可以单独部署，在此不做限定。以部署在一个网元上为例，即第一网元包括nwdaf，nwdaf网元，安全策略网元spf网元的功能，第一网元负责安全数据的分析和异常安全事件识别，并订阅网元的消息交互行为信息，第一网元还负责安全事件的安全策略的确定和安全异常事件的处理协同。spf网元可以不作为单独的nf部署，作为功能嵌入nwdaf网元中。
一种可能的场景中，当nf发送的消息被恶意篡改，例如，第二网元为smf，smf发出的计费请求被恶意篡改，将盗打用户的ueid中的ue1改为ue2，从而导致恶意盗打，非法获利的场景。如图6所示，为本申请实施例提供的一种网络事件处理方法流程示意图，该方法包括以下步骤：
步骤601：amf网元向nwdaf网元发送消息交互行为信息。
其中，消息交互行为信息可以为ue1完成注册的消息，也可以为ue发起的ue1的业务消息。amf网元可以通过事件发布服务接口或安全日志接口将ue1已注册的消息交互行为信息上报给nwdaf网元，指示ue1已注册。
步骤602：第二网元向第一网元发送第一消息。
其中，第二网元为被篡改的网元，向第一网元发送业务请求。例如，以第二网元为smf1，smf1中的用户标识ue1被篡改为用户标识ue2。具体的篡改方式可以为，被篡改的第一网元smf1中，可能存在计费消息的处理模块被篡改，例如，第一网元smf1的处理模块被注入恶意程序，可以将盗打用户的用户标识ue1产生的计费账单中的用户标识修改为ue2。以第一网元为chf网元为例，第一消息为smf1发送的计费请求消息(nchf_convergedcharging)，计费请求携带被篡改的用户标识(ue2)。
步骤603：chf向nwdaf网元发送消息交互行为信息。
例如，chf可以将第二网元发送的第一消息作为消息交互行为信息发送给nwdaf网元。
进一步的，chf可以根据第二网元发送的计费请求，为用户ue2产生一条计费账单。此时，chf可以将计费账单，及第一消息作为消息交互行为信息，发送给nwdaf网元。也可以将计费账单作为一个消息交互行为信息，发送给nwdaf网元，用于指示第一网元smf1请求对ue2产生一条计费的网络行为。
步骤604：nwdaf网元/spf网元确定网络安全异常事件，并向psf发送第一指示信息。
一种可能的实现方式，nwdaf网元可以根据ue2计费消息的完整性，判断是否出现恶意盗打的网络安全异常事件。一种可能的场景中，smf1可能被劫持，导致nwdaf网元可能无法根据计费消息的完整性，判断是否出现恶意盗打的问题，因此，nwdaf网元可以根据多个网元涉及到的同一用户的会话的相关交互的消息，比较是否存在不一致的消息，进而确定被篡改的对象。例如，第一消息可以为涉及smf1处理ue2的计费消息，第二消息可以为涉及smf1处理ue2的会话消息，或者，第二消息可以为涉及其他网元处理ue2的会话消息，则nwdaf网元可以根据第一消息是否与第二消息不一致，判断是否存在网络安全异常事件。例如，若确定第一网元并没有上报smf1处理ue2的会话业务的第二消息，则nwdaf网元可以确定smf1没有处理ue2的业务，即可以确定smf1请求对ue2产生一条计费请求的网络行为存在网络安全异常，且ue2对应的会话并不是第一网元处理的，因此，smf1发送给chf的请求时错误的，smf1的关键模块可能被入侵，使得第一网元的关键业务数据账单数据被篡改。具体的，nwdaf网元可以根据规则异常判断，或使用其他如大数据的ai算法等，确定异常的计费账单，进而确定网络安全异常事件。
步骤605：spf网元根据网络安全事件，确定第二安全策略，并向第四网元发送第二安全策略。
在步骤605a中，spf网元发送第二安全策略给amf网元，第二安全策略用于指示smf1的ue1用户异常，建议amf网元停止对异常用户ue1的计费，并释放对应的用户ue1。
若spf网元设置在nwdaf网元上，第二安全策略的消息格式可以为nwdaf网元的分析服务消息(nwdaf_analyticsinfo)，或者spf网元的安全策略消息(secpolicy)。
步骤605b：spf网元发送安全策略给chf，通知smf1发送的ue2的计费消息为异常计费消息。
步骤605c：spf网元发送安全策略给pcf网元，通知ue1异常，用于指示停止ue1的用户使用网络，或者停止ue1对指定会话的使用。
步骤606：第四网元接收第二安全策略，并执行第二安全策略。
步骤606a：amf网元根据第二安全策略，可以对ue1发起释放消息。
步骤606b：chf根据第二安全策略，停止smf1发起的ue2的计费账单产生。
步骤606c：pcf网元根据第二安全策略，可以停止ue1的用户使用网络，或者停止ue1对指定会话的使用。
步骤607：spf网元根据网络安全事件，确定第一安全策略，并向第三网元发送第一安全策略。
步骤607a：spf网元向nrf网元发送第一安全策略。
其中，第一安全策略用于指示第一网元smf1异常，需对第一网元smf1进行隔离。
步骤607：第三网元根据第一安全策略，执行第一安全策略。
步骤608a：nrf网元根据安全策略消息，可以停止smf1和其他网元nf之间的相互发现。
此外实施例一中第一安全策略也都可以应用到本实施例，具体选择的方案可以根据spf网元的第一安全策略确定。
下面一种具体的实现方法，包含两个主要网络功能，可以部署在一个网元上，即第一网元包括nwdaf，nwdaf网元，安全策略网元spf网元的功能，第一网元负责安全数据的分析和异常安全事件识别，并订阅其对应的网元的信息。第一网元还负责安全事件的策略确定和协同。在该实例中，假设nf的身份信息被盗取，导致盗取身份信息的网元可以冒用该身份信息，进而非法获取用户信息，造成关键信息泄露。如图7所示，为本申请实施例提供的一种网络事件处理方法流程示意图，该方法包括以下步骤：
步骤701：smf2向amf网元发送ue2的信息查询请求。
其中，smf2通过非法获取smf1的tls证书与amf网元建立连接，并通过amf网元的事件发布服务的接口向amf网元发送ue2的位置信息的查询请求。一种可能的方式，smf2非法获取smf1的tls认证证书。smf1被黑客通过后台远程控制，或是黑客通过漏洞注入的一个应用，进而通过对smf1的内部网络渗透，获取了smf1的tls认证证书。进而，smf2可以假冒smf1的身份，向amf网元发送用户信息的查询请求，进而非法获取用户的信息。
步骤702：第一网元amf网元向nwdaf网元发送消息交互行为信息。
amf网元可以将向smf2发送的ue2的位置信息作为消息交互行为信息，还可以将接收到的smf2发送的ue2的位置信息的查询请求作为消息交互行为信息，周期性或事件性的上报到nwdaf网元。例如，消息交互行为信息可以包括：smf2发送的ue2的位置信息的查询请求，smf2的ip地址ip1，smf1的tls证书等。
进一步的，amf网元根据ue2的信息查询请求，向smf2发送ue2的位置信息。此时，amf网元可以将向smf2发送的ue2的位置信息作为消息交互行为信息，周期性或事件性的上报到nwdaf网元。
步骤702a：smf1向nwdaf网元发送消息交互行为信息。
进而，nwdaf网元还可能接收到smf1向nwdaf网元上报的消息交互行为信息，其中，消息交互行为信息包括smf1的标识，例如，smf1的ip地址ip1。
步骤703：nwdaf网元根据消息交互行为信息，确定存在网络安全异常事件的第二网元。
具体的，nwdaf网元可以根据第二网元amf网元发送的消息交互行为信息，及smf1网元上报的消息交互行为信息，ue2的信息查询请求的请求方smf2的ip地址，与smf1向nwdaf网元上报的消息交互行为信息中的smf1的ip地址不同，可以确认，至少有1个smf为异常网元，此时可以将第二网元确认为smf1和smf2。进一步的，nwdaf网元还可以根据smf2针对ue发送的查询请求，及smf1针对ue发送的查询请求，进一步比较是否存在不一致的消息交互行为信息，进而确定异常网元。例如，nwdaf网元确定smf1网元只请求了ue1的信息，并未发送对ue2的位置信息的查询请求。也可以确定，smf2网元存在网络安全异常事件。nwdaf网元可以进一步根据其他网元nf上报的消息交互行为信息，确定ip2对应的第二网元smf2可能是假冒的，ue2的位置信息可能被泄露。
步骤704：nwdaf网元向spf网元发送第一指示信息，用于指示网络安全异常事件。
步骤705：spf网元接收第一指示信息，并根据第一指示信息，向第四网元发送第二安全策略。
在步骤705a中，spf网元可以向amf网元发送第二安全策略。
其中，第二安全策略用于指示ue2的信息泄露，并指示amf网元停止或流控ue2的消息的发送和接收。例如，amf网元可以根据第二安全策略，停止响应ue2信息的查询请求，或者，还可以设置为停止响应来自smf1或smf2的异常网元请求的ue2的信息的查询请求，避免影响其他网元的正常业务。
步骤706：第四网元根据接收到的第二安全策略，执行第二安全策略。
在步骤706a中，amf网元根据第二安全策略，停止向smf2发送ue2的用户信息，或者，amf网元根据第二安全策略，停止向smf1发送ue2的位置信息。具体的实施方式可以根据确定的异常网元确定，例如，若确定异常网元为smf2，则可以只停止向smf2发送ue2的用户信息，若确定异常网元为smf2或smf1，则可以停止向smf1和smf2发送ue2的用户信息。
步骤707：spf网元根据第一指示信息，向第三网元发送第一安全策略。
步骤707a：spf网元可以向scp网元发送第二安全策略。
其中，第二安全策略用于指示scp网元停止对smf1或smf2的消息转发。其中，scp网元可以根据消息中携带的ip地址确定smf2网元，例如，消息中携带的ip地址为ip2，则可以确认该消息的发送方为smf2，避免smf2携带smf1的证书所产生的干扰。
步骤707b：spf网元可以向虚拟机资源管理中心mano网元发送第一安全策略；
其中，第一安全策略用于指示mano网元释放ip2对应的smf2的虚拟机，进而阻止第二smf网元smf2的网络渗透和信息窃取。
步骤708：第一网元根据接收到的第一安全策略，执行第一安全策略。
步骤708a：scp网元根据第一安全策略，停止对smf1或smf2的消息转发。
步骤708b：mano网元根据第一安全策略，释放ip2对应的第二smf网元smf2的虚拟机。
此外实施例一中第一安全策略也可以应用到本实施例，具体选择的方案可以根据spf网元的第一安全策略确定。
上述主要从各个网元之间交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，上述实现各网元为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本发明能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
如图8所示，为本申请实施例所涉及的网络事件处理装置的一种可能的示例性框图，该装置800可以以软件或硬件的形式存在。装置800可以包括：处理单元802和通信单元801。作为一种实现方式，该通信单元801可以包括接收单元和发送单元。处理单元802用于对装置800的动作进行控制管理。通信单元801用于支持装置800与其他网络实体的通信。
其中，处理单元802可以是处理器或控制器，例如可以是通用中央处理器(centralprocessingunit，cpu)，通用处理器，数字信号处理(digitalsignalprocessing，dsp)，专用集成电路(applicationspecificintegratedcircuits，asic)，现场可编程门阵列(fieldprogrammablegatearray，fpga)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请实施例公开内容所描述的各种示例性的逻辑方框，模块和电路。所述处理器也可以是实现计算功能的组合，例如包括一个或多个微处理器组合，dsp和微处理器的组合等等。通信单元801是一种该装置的接口电路，用于从其它装置接收信号。例如，当该装置以芯片的方式实现时，该通信单元801是该芯片用于从其它芯片或装置接收信号的接口电路，或者，是该芯片用于向其它芯片或装置发送信号的接口电路。
该装置800可以为上述实施例中的nwdaf网元或spf网元，还可以为用于nwdaf网元的芯片或spf网元的芯片。例如，当装置800为nwdaf网元或spf网元时，该处理单元802例如可以是处理器，该通信单元801例如可以是收发器。可选的，该收发器可以包括射频电路，该存储单元例如可以是存储器。例如，当装置800为用于数据分析网元或安全事件处理spf网元的芯片时，该处理单元802例如可以是处理器，该通信单元801例如可以是输入/输出接口、管脚或电路等。该处理单元802可执行存储单元存储的计算机执行指令，可选地，该存储单元为该芯片内的存储单元，如寄存器、缓存等，该存储单元还可以是该数据分析网元或安全事件处理spf网元内的位于该芯片外部的存储单元，如只读存储器(read-onlymemory，rom)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(randomaccessmemory，ram)等。
在一种实施例中，该装置800为上述实施例中的nwdaf网元。所述通信单元801，用于获取k个第一网元的消息交互行为信息，针对所述k个第一网元中的一个第一网元，所述第一网元的信令交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；向spf网元发送第一指示信息，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件。处理单元802，用于根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件；
该装置800为上述实施例中的nwdaf网元的情况下，一种可能的设计，针对所述k个第一网元中的一个第一网元，所述第一网元传输的消息的属性信息，包括以下一项或多项：所述消息的类型、所述消息的消息内容、所述第一网元上传输所述消息的接口、所述消息对应的对端传输所述消息的接口。
该装置800为上述实施例中的nwdaf网元的情况下，一种可能的设计，处理单元802，用于若确定所述第一网元接收到来自第二网元的消息的数量大于第一阈值，则确定存在所述第二网元对所述第一网元的ddos攻击事件；所述第一阈值为根据历史消息频率确定的。
该装置800为上述实施例中的nwdaf网元的情况下，一种可能的设计，所述k个第一网元的消息交互行为信息包括：第一消息和第二消息；处理单元802，用于若确定所述第一消息中的第二网元的第一身份标识与所述第二消息中所述第二网元的第二身份标识不一致，则确定所述第二网元存在网络安全异常事件。
该装置800为上述实施例中的nwdaf网元的情况下，一种可能的设计，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第一ue的交互行为消息；处理单元802，用于若确定所述第一ue的交互行为消息不一致，则确定所述第一ue存在网络安全异常事件。
该装置800为上述实施例中的nwdaf网元的情况下，一种可能的设计，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第二ue的交互行为消息和来自第二网元的所述第二ue的用户信息查询请求；处理单元802，用于若确定来自第二网元的所述第二ue的用户信息查询请求中，所述第二网元中的网元标识不一致，则确定所述网元标识不一致对应的至少两个网元发生网络安全异常事件。
可以理解的是，该装置用于上述网络事件处理方法时的具体实现过程以及相应的有益效果，可以参考前述方法实施例中的相关描述，这里不再赘述。
在另一种实施例中，该装置800为上述实施例中的spf网元。所述通信单元801，用于接收nwdaf网元发送的第一指示信息，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；针对所述n个第三网元中的一个第三网元，向所述第三网元发送所述第三网元对应的第一安全策略，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息。处理单元802，用于根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力。
该装置800为上述实施例中的spf网元的情况下，一种可能的设计，通信单元801，用于执行以下一项或多项：
所述第三网元为amf网元，向所述amf网元发送所述amf网元对应的第一安全策略，所述amf网元对应的第一安全策略包括用于指示所述amf网元停止对所述第二网元的消息的处理的指示信息；所述第三网元为scp网元，向所述scp网元发送所述scp网元对应的第一安全策略，所述scp网元对应的第一安全策略包括用于指示所述scp网元停止对所述第二网元的消息转发；所述第三网元为nrf网元，向所述nrf网元发送所述nrf网元对应的第一安全策略，所述nrf网元对应的第一安全策略包括用于指示所述nrf网元停止对所述第二网元的用户授权；所述第三网元为sdn网元，向所述sdn网元发送所述sdn网元对应的第一安全策略，所述sdn网元对应的第一安全策略包括用于指示所述sdn网元停止对所述第二网元的网段的消息的路由转发；所述第三网元为mano网元，向所述mano网元发送所述mano网元对应的第一安全策略，所述mano网元对应的第一安全策略包括用于指示所述mano网元释放所述第二网元对应的虚拟机；所述第三网元为amf网元，向所述amf网元发送所述amf网元对应的第一安全策略，所述amf网元对应的第一安全策略包括用于指示所述amf网元释放所述第二网元所绑定的用户。
该装置800为上述实施例中的spf网元的情况下，一种可能的设计，所述第一指示信息还用于指示所述网络安全异常事件对应的异常业务；处理单元802，用于根据所述第一指示信息，确定出与所述第二网元具有关联关系的m个第四网元；针对所述m个第四网元中的一个第四网元，所述第四网元具有对所述异常业务进行处理的能力；针对所述m个第四网元中的一个第四网元，所述通信单元801，用于向所述第四网元发送所述第四网元对应的第二安全策略，所述第四网元对应的第二安全策略中包括用于指示所述第四网元停止或撤销对所述异常业务进行处理的指示信息。
该装置800为上述实施例中的spf网元的情况下，一种可能的设计，通信单元801，用于执行以下至少一项：
所述第四网元为amf网元，向所述amf网元发送所述amf网元对应的第二安全策略，所述amf网元对应的第二安全策略包括用于指示所述第四网元停止执行所述异常业务的请求；所述第四网元为amf网元或pcf网元，f向所述amf网元发送所述amf网元对应的第二安全策略，所述amf网元对应的第二安全策略包括用于指示所述amf网元释放所述异常业务对应的用户；或者，向所述pcf网元发送所述pcf网元对应的第二安全策略，所述pcf网元对应的第二安全策略包括用于指示所述pcf网元释放所述异常业务对应的用户；所述第四网元为scp网元，向所述scp网元发送所述scp网元对应的第二安全策略，所述scp网元对应的第二安全策略包括用于指示所述scp网元停止对所述第二网元的消息转发；所述第四网元为nrf网元，向所述nrf网元发送所述nrf网元对应的第二安全策略，所述nrf网元对应的第二安全策略包括用于指示所述nrf网元停止对所述第二网元的用户授权；所述第四网元为sdn网元，向所述sdn网元发送所述sdn网元对应的第二安全策略，所述sdn网元对应的第二安全策略包括用于指示所述sdn网元停止对所述第二网元的网段的消息的路由转发。
如图9所示，为本申请实施例提供的一种网络事件处理装置示意图，该装置可以是上述实施例中的nwdaf网元和/或spf网元。该装置900包括：处理器902和通信接口903，可选的，装置900还可以包括存储器901。可选的，装置900还可以包括通信线路904。其中，通信接口903、处理器902以及存储器901可以通过通信线路904相互连接；通信线路904可以是外设部件互连标准(peripheralcomponentinterconnect，简称pci)总线或扩展工业标准结构(extendedindustrystandardarchitecture，简称eisa)总线等。所述通信线路904可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
处理器902可以是一个cpu，微处理器，asic，或一个或多个用于控制本申请实施例方案程序执行的集成电路。
处理器902，可以用于根据k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件；所述网络数据分析功能网元向spf网元发送第一指示信息，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件；和/或，根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力；针对所述n个第三网元中的一个第三网元。
通信接口903，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如以太网，无线接入网(radioaccessnetwork，ran)，无线局域网(wirelesslocalareanetworks，wlan)，有线接入网等。
通信接口903，可以用于获取k个第一网元的消息交互行为信息，针对所述k个第一网元中的一个第一网元，所述第一网元的消息交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；或者，用于接收网络数据分析功能网元发送的第一指示信息，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；所述spf网元所述spf网元向所述第三网元发送所述第三网元对应的第一安全策略，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息。
其中，上述方案的具体实现将在后续方法实施例中详细阐述，在此不予赘述。
存储器901可以是rom或可存储静态信息和指令的其他类型的静态存储设备，ram或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electricallyerasableprogrammableread-onlymemory，eeprom)、只读光盘(compactdiscread-onlymemory，cd-rom)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过通信线路904与处理器相连接。存储器也可以和处理器集成在一起。
其中，存储器901用于存储执行本申请实施例方案的计算机执行指令，并由处理器902来控制执行。处理器902用于执行存储器901中存储的计算机执行指令，从而实现本申请实施例上述实施例提供的网络事件处理方法。
可选的，本申请实施例中的计算机执行指令也可以称之为应用程序代码，本申请实施例对此不作具体限定。
在本申请的描述中，除非另有说明，“/”表示前后关联的对象是一种“或”的关系，例如，a/b可以表示a或b；本申请中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，a和/或b，可以表示：单独存在a，同时存在a和b，单独存在b这三种情况，其中a,b可以是单数或者复数。并且，在本申请的描述中，除非另有说明，“多个”是指两个或多于两个。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a，b，或c中的至少一项(个)，可以表示：a，b，c，a-b，a-c，b-c，或a-b-c，其中a，b，c可以是单个，也可以是多个。另外，为了便于清楚描述本申请实施例的技术方案，在本申请的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分。本领域技术人员可以理解“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同。同时，在本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念，便于理解。
此外，本申请实施例描述的网络架构以及业务场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包括一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘(solidstatedisk，ssd))等。
本申请实施例中所描述的各种说明性的逻辑单元和电路可以通过通用处理器，数字信号处理器，专用集成电路(asic)，现场可编程门阵列(fpga)或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。
本申请实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件单元、或者这两者的结合。软件单元可以存储于ram存储器、闪存、rom存储器、eprom存储器、eeprom存储器、寄存器、硬盘、可移动磁盘、cd-rom或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于asic中。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管结合具体特征及其实施例对本申请进行了描述，显而易见的，在不脱离本申请的精神和范围的情况下，可对其进行各种修改和组合。相应地，本说明书和附图仅仅是所附权利要求所界定的本申请的示例性说明，且视为已覆盖本申请范围内的任意和所有修改、变化、组合或等同物。显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包括这些改动和变型在内。
1.一种网络事件处理方法，其特征在于，包括：
安全事件处理功能网元接收网络数据分析功能网元发送的第一指示信息，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；
所述安全事件处理功能网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力；n为正整数；
针对所述n个第三网元中的一个第三网元，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息。
2.如权利要求1所述的方法，其特征在于，所述安全事件处理功能网元向所述第三网元发送所述第三网元对应的第一安全策略，包括以下一项或多项：
所述第三网元为接入和移动性管理功能网元，所述安全事件处理功能网元向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第一安全策略，所述接入和移动性管理功能网元对应的第一安全策略包括用于指示所述接入和移动性管理功能网元对所述第二网元对应的业务进行隔离的指示信息；
所述第三网元为消息转发网元，所述安全事件处理功能网元向所述消息转发网元发送所述消息转发网元对应的第一安全策略，所述消息转发网元对应的第一安全策略包括用于指示所述消息转发网元忽略对所述第二网元的消息转发请求的指示信息；
所述第三网元为网元发现功能网元，所述安全事件处理功能网元向所述网元发现功能网元发送所述网元发现功能网元对应的第一安全策略，所述网元发现功能网元对应的第一安全策略包括用于指示所述网元发现功能网元不再对所述第二网元的用户授权的指示信息，和/或，撤销所述第二网元的用户的授权的指示信息；
所述第三网元为网络路由管理网元，所述安全事件处理功能网元向所述网络路由管理网元发送所述网络路由管理网元对应的第一安全策略，所述网络路由管理网元对应的第一安全策略包括用于指示所述网络路由管理网元忽略对所述第二网元的网段的消息的路由转发请求的指示信息；
所述第三网元为虚拟化资源管理网元，所述安全事件处理功能网元向所述虚拟化资源管理网元发送所述虚拟化资源管理网元对应的第一安全策略，所述虚拟化资源管理网元对应的第一安全策略包括用于指示所述虚拟化资源管理网元释放所述第二网元对应的虚拟机的指示信息；
所述第三网元为接入和移动性管理功能网元，所述安全事件处理功能网元向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第一安全策略，所述接入和移动性管理功能网元对应的第一安全策略包括用于指示所述接入和移动性管理功能网元释放所述第二网元所绑定的用户的指示信息。
3.如权利要求1所述的方法，其特征在于，所述第一指示信息还用于指示所述网络安全异常事件对应的异常业务；所述安全事件处理功能网元接收网络数据分析功能网元发送的第一指示信息之后，还包括：
所述安全事件处理功能网元根据所述第一指示信息，确定出与所述第二网元具有关联关系的m个第四网元；针对所述m个第四网元中的一个第四网元，所述第四网元具有对所述异常业务进行处理的能力；m为正整数；
针对所述m个第四网元中的一个第四网元，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，所述第四网元对应的第二安全策略中包括用于指示所述第四网元撤销对所述异常业务进行处理的指示信息，或者包括用于指示所述第四网元不再对所述异常业务进行处理的指示信息。
4.如权利要求3所述的方法，其特征在于，所述安全事件处理功能网元向所述第四网元发送所述第四网元对应的第二安全策略，包括以下至少一项：
所述第四网元为接入和移动性管理功能网元，所述安全事件处理功能网元向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第二安全策略，所述接入和移动性管理功能网元对应的第二安全策略包括用于指示所述第四网元忽略所述异常业务的请求的指示信息；
所述第四网元为接入和移动性管理功能网元或策略控制功能网元，所述安全事件处理功能网元向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第二安全策略，所述接入和移动性管理功能网元对应的第二安全策略包括用于指示所述接入和移动性管理功能网元释放所述异常业务对应的用户；或者，所述安全事件处理功能网元向所述策略控制功能网元发送所述策略控制功能网元对应的第二安全策略，所述策略控制功能网元对应的第二安全策略包括用于指示所述策略控制功能网元释放所述异常业务对应的用户的指示信息；
所述第四网元为消息转发网元，所述安全事件处理功能网元向所述消息转发网元发送所述消息转发网元对应的第二安全策略，所述消息转发网元对应的第二安全策略包括用于指示所述消息转发网元忽略对所述第二网元的异常业务的消息转发请求的指示信息；
所述第四网元为网元发现功能网元，所述安全事件处理功能网元向所述网元发现功能网元发送所述网元发现功能网元对应的第二安全策略，所述网元发现功能网元对应的第二安全策略包括用于指示所述网元发现功能网元不再对所述第二网元的异常业务的用户授权的指示信息，或者，撤销对所述第二网元的异常业务的用户的授权的指示信息；
所述第四网元为网络路由管理网元，所述安全事件处理功能网元向所述网络路由管理网元发送所述网络路由管理网元对应的第二安全策略，所述网络路由管理网元对应的第二安全策略包括用于指示所述网络路由管理网元忽略对所述第二网元的异常业务的网段的消息的路由转发请求的指示信息。
5.一种网络事件处理方法，其特征在于，包括：
网络数据分析功能网元获取k个第一网元的消息交互行为信息，针对所述k个第一网元中的一个第一网元，所述第一网元的消息交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；
所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件；
所述网络数据分析功能网元向安全事件处理功能网元发送第一指示信息，所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件。
6.如权利要求5所述的方法，其特征在于，针对所述k个第一网元中的一个第一网元，所述第一网元传输的消息的属性信息，包括以下一项或多项：
所述消息的类型、所述消息的消息内容、所述第一网元上传输所述消息的接口、所述消息对应的对端传输所述消息的接口。
7.如权利要求5所述的方法，其特征在于，所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出网络安全异常事件，包括：
所述网络数据分析功能网元若确定所述第一网元接收到来自第二网元的消息的数量大于第一阈值，则确定存在所述第二网元对所述第一网元的分布式拒绝服务攻击事件；所述第一阈值为根据历史消息频率确定的。
8.如权利要求5所述的方法，其特征在于，所述k个第一网元的消息交互行为信息包括：第一消息和第二消息；所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出网络安全异常事件，包括：
所述网络数据分析功能网元若确定所述第一消息中的第二网元的第一身份标识与所述第二消息中所述第二网元的第二身份标识不一致，则确定所述第二网元存在网络安全异常事件。
9.如权利要求5所述的方法，其特征在于，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第一终端设备的交互行为消息；所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出网络安全异常事件，包括：
所述网络数据分析功能网元若确定所述第一终端设备的交互行为消息不一致，则确定所述第一终端设备存在网络安全异常事件。
10.如权利要求5所述的方法，其特征在于，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第二终端设备的交互行为消息和来自第二网元的所述第二终端设备的用户信息查询请求；所述网络数据分析功能网元根据所述k个第一网元的消息交互行为信息，确定出网络安全异常事件，包括：
所述网络数据分析功能网元若确定来自第二网元的所述第二终端设备的用户信息查询请求中，所述第二网元中的网元标识不一致，则确定所述网元标识不一致对应的至少两个网元发生网络安全异常事件。
11.一种网络事件处理装置，其特征在于，包括：
收发器，用于接收网络数据分析功能网元发送的第一指示信息；向n个第三网元中的第三网元发送所述第三网元对应的第一安全策略，所述第一指示信息用于指示所述第二网元发生网络安全异常事件；针对所述n个第三网元中的一个第三网元，所述第三网元对应的第一安全策略中包括用于指示所述第三网元对所述第二网元对应的业务进行隔离的指示信息；
处理器，用于根据所述第一指示信息，确定出与所述第二网元具有关联关系的n个第三网元；针对所述n个第三网元中的一个第三网元，所述第三网元具有对所述第二网元的业务进行处理的能力。
12.如权利要求11所述的装置，其特征在于，所述收发器，用于执行以下一项或多项：
若所述第三网元为接入和移动性管理功能网元，则向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第一安全策略，所述接入和移动性管理功能网元对应的第一安全策略包括用于指示所述接入和移动性管理功能网元对所述第二网元对应的业务进行隔离的指示信息；
若所述第三网元为消息转发网元，则向所述消息转发网元发送所述消息转发网元对应的第一安全策略，所述消息转发网元对应的第一安全策略包括用于指示所述消息转发网元忽略对所述第二网元的消息转发请求的指示信息；
若所述第三网元为网元发现功能网元，则向所述网元发现功能网元发送所述网元发现功能网元对应的第一安全策略，所述网元发现功能网元对应的第一安全策略包括用于指示所述网元发现功能网元不再对所述第二网元的用户授权的指示信息，和/或，撤销所述第二网元的用户的授权的指示信息；
若所述第三网元为网络路由管理网元，则向所述网络路由管理网元发送所述网络路由管理网元对应的第一安全策略，所述网络路由管理网元对应的第一安全策略包括用于指示所述网络路由管理网元忽略对所述第二网元的网段的消息的路由转发请求的指示信息；
若所述第三网元为虚拟化资源管理网元，则向所述虚拟化资源管理网元发送所述虚拟化资源管理网元对应的第一安全策略，所述虚拟化资源管理网元对应的第一安全策略包括用于指示所述虚拟化资源管理网元释放所述第二网元对应的虚拟机的指示信息；
若所述第三网元为接入和移动性管理功能网元，则向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第一安全策略，所述接入和移动性管理功能网元对应的第一安全策略包括用于指示所述接入和移动性管理功能网元释放所述第二网元所绑定的用户的指示信息。
13.如权利要求11所述的装置，其特征在于，所述第一指示信息还用于指示所述网络安全异常事件对应的异常业务；所述处理器，具体用于根据所述第一指示信息，确定出与所述第二网元具有关联关系的m个第四网元；针对所述m个第四网元中的一个第四网元，所述第四网元具有对所述异常业务进行处理的能力；
针对所述m个第四网元中的一个第四网元，所述收发器，用于向所述第四网元发送所述第四网元对应的第二安全策略，所述第四网元对应的第二安全策略中包括用于指示所述第四网元忽略或撤销对所述异常业务进行处理的指示信息。
14.如权利要求13所述的装置，其特征在于，所述收发器，用于执行以下至少一项：
所述第四网元为接入和移动性管理功能网元，向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第二安全策略，所述接入和移动性管理功能网元对应的第二安全策略包括用于指示所述第四网元忽略所述异常业务的请求的指示信息；
所述第四网元为接入和移动性管理功能网元或策略控制功能网元，向所述接入和移动性管理功能网元发送所述接入和移动性管理功能网元对应的第二安全策略，所述接入和移动性管理功能网元对应的第二安全策略包括用于指示所述接入和移动性管理功能网元释放所述异常业务对应的用户的指示信息；或者，向所述策略控制功能网元发送所述策略控制功能网元对应的第二安全策略，所述策略控制功能网元对应的第二安全策略包括用于指示所述策略控制功能网元释放所述异常业务对应的用户的指示信息；
所述第四网元为消息转发网元，向所述消息转发网元发送所述消息转发网元对应的第二安全策略，所述消息转发网元对应的第二安全策略包括用于指示所述消息转发网元忽略对所述第二网元的异常业务对应的消息转发请求的指示信息；
所述第四网元为网元发现功能网元，向所述网元发现功能网元发送所述网元发现功能网元对应的第二安全策略，所述网元发现功能网元对应的第二安全策略包括用于指示所述网元发现功能网元忽略对所述第二网元的异常业务对应的消息的路由转发请求的指示信息；
所述第四网元为网络路由管理网元，向所述网络路由管理网元发送所述网络路由管理网元对应的第二安全策略，所述网络路由管理网元对应的第二安全策略包括用于指示所述网络路由管理网元忽略对所述第二网元的异常业务对应的消息的路由转发请求的指示信息。
15.一种网络事件处理装置，其特征在于，包括：
收发器，用于获取k个第一网元的消息交互行为信息，向安全事件处理功能spf网元发送第一指示信息，针对所述k个第一网元中的一个第一网元，所述第一网元的信令交互行为信息包括用于指示所述第一网元传输的消息的属性信息；所述k为正整数；所述第一指示信息用于指示所述第二网元发生所述网络安全异常事件；
处理器，用于根据所述k个第一网元的消息交互行为信息，确定出第二网元发生网络安全异常事件。
16.如权利要求15所述的装置，其特征在于，针对所述k个第一网元中的一个第一网元，所述第一网元传输的消息的属性信息，包括以下一项或多项：
所述消息的类型、所述消息的消息内容、所述第一网元上传输所述消息的接口、所述消息对应的对端传输所述消息的接口。
17.如权利要求15所述的装置，其特征在于，所述处理器，具体用于：若确定所述第一网元接收到来自第二网元的消息的数量大于第一阈值，则确定存在所述第二网元对所述第一网元的分布式拒绝服务攻击事件；所述第一阈值为根据历史消息频率确定的。
18.如权利要求15所述的装置，其特征在于，所述k个第一网元的消息交互行为信息包括：第一消息和第二消息；所述处理器，具体用于：若确定所述第一消息中的第二网元的第一身份标识与所述第二消息中所述第二网元的第二身份标识不一致，则确定所述第二网元存在网络安全异常事件。
19.如权利要求15所述的装置，其特征在于，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第一终端设备的交互行为消息；所述处理器，具体用于：若确定所述第一终端设备的交互行为消息不一致，则确定所述第一终端设备存在网络安全异常事件。
20.如权利要求15所述的装置，其特征在于，所述k个第一网元的消息交互行为信息包括：来自所述k个第一网元的第二终端设备的交互行为消息和来自第二网元的所述第二终端设备的用户信息查询请求；
所述处理器，具体用于：若确定来自第二网元的所述第二终端设备的用户信息查询请求中，所述第二网元中的网元标识不一致，则确定所述网元标识不一致对应的至少两个网元发生网络安全异常事件。
21.一种通信装置，其特征在于，所述装置包括处理器和通信接口，
所述通信接口，用于输入和/或输出信息；
所述处理器，用于执行计算机程序或指令，使得权利要求1-10中任一项所述的方法被执行。
22.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机可执行指令，所述计算机可执行指令在被计算机调用时，使所述计算机执行如权利要求1至10任一项所述的方法。
技术总结