本申请公开了一种攻击组织分析方法、装置、设备及介质，包括：获取各待监测设备的数据信息，并对各待监测设备的数据信息进行归一化操作；基于预先建立的安全监测场景判断归一化数据信息是否存在异常，若归一化数据信息存在异常，则触发携带有原始告警信息的告警事件；将原始告警信息与预先建立的攻击组织威胁场景知识库中的信息进行比对，以确定原始告警事件是否满足预设条件；若原始告警事件满足预设条件，则采集与原始告警信息之间存在关联性的攻击事件信息，以得到关联取证信息；对关联取证信息进行分析以确定出相应的攻击组织分析结果。由此可见，通过本申请的上述技术方案，能够增加对攻击组织进行追溯分析的完整性从而有效防御攻击组织。