[发明专利]用于分析在各主机上执行的命令的分析设备、系统和方法

说明书

本发明公开了用于分析在各主机上执行的命令的分析设备、系统以及方法，其中，用于分析在各主机上执行的命令的分析设备包括：集中数据回收器，被配置为至少收集各主机终端通过网络传输的当前命令及所属主机标识；命令分析器，被配置为对所述集中数据回收器收集到的当前命令进行识别，至少识别出异常命令和正常命令；以及告警器，被配置为根据所述命令分析器的识别结果判断是否满足告警条件，如果满足，则发出相应主机存在异常的告警信息。通过本发明能够及时对网络系统中各主机上输入的，具有一定危险性的异常命令进行告警，提高了系统的安全性。

技术领域

本发明涉及计算机技术领域，特别是涉及一种用于分析在各主机上执行的命令的分析设备、系统和方法。

背景技术

随着网络的快速发展，出现了需要为大量用户服务的网络系统。这些网络系统通常分布于大量的服务器之上，比如Linux、Unix等，然后系统管理者可以通过输入命令对这些服务器进行操作，但是这些管理员可能不十分了解这些服务器上提供的服务，所以这些操作命令可能会导致服务器不能正常工作、甚至造成严重后果。另外，随着服务器的增多，有些服务器可能会被黑客所侵入，这些黑客就可能执行一些恶意操作来破坏服务器的正常运行。

当然上述情况不仅仅存在于服务器，还可能存在于其他类似的主机设备上。因此，如何对服务器等主机设备上执行的命令进行监控，当出现异常时能够及时告警是目前急需解决的问题。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的用于分析在各主机上执行的命令的分析设备、系统和相应的用于分析在各主机上执行的命令的分析方法。

本发明实施例公开了一种用于分析在各主机上执行的命令的分析设备，包括：集中数据回收器，被配置为至少收集各主机终端通过网络传输的当前命令及所属主机标识；命令分析器，被配置为对所述集中数据回收器收集到的当前命令进行识别，至少识别出异常命令和正常命令；告警器，被配置为根据所述命令分析器的识别结果判断是否满足告警条件，如果满足，则发出相应主机存在异常的告警信息。

可选的，所述命令分析器包括过滤模块，被配置为对所述集中数据回收器收集到的当前命令采用预置的可疑规则进行过滤，将被所述可疑规则命中的当前命令识别为异常命令，并输出被所述可疑规则命中的异常命令的告警权值，所述告警权值基于该条可疑规则对命令的总体命中率获得；所述告警器具体被配置为根据所述异常命令的告警权值判断是否满足告警条件。

可选的，所述过滤模块输出的异常命令的告警权值通过下述方式获得：通过以该条可疑规则对已有命令的总体命中率作为自变量的单调递减函数，获得被该条可疑规则命中的异常命令的告警权值。

可选的，所述告警器具体被配置为统计一个告警周期内、所述命令分析器识别出的某一主机上的所有异常命令，将这些异常命令各自对应的告警权值进行综合化处理，根据综合化处理后的值判断是否满足预置的告警条件。

可选的，所述命令分析器包括：分类模块，被配置为根据已有分类模型的训练样本集，对所述集中数据回收器接收到的当前命令进行分类，获得当前命令分别是正常命令的概率和异常命令的概率，进而识别出该当前命令是否属于异常命令。

可选的，所述告警器具体被配置为统计一个告警周期内、所述命令分析器识别出的某一主机上的所有异常命令，将这些异常命令各自对应的异常命令概率进行综合化处理，根据综合化处理后的值判断是否满足预置的告警条件。

可选的，所述命令分析器包括：过滤模块，被配置为对所述集中数据回收器接收到的当前命令采用预置的可疑规则进行过滤，将被所述可疑规则命中的当前命令输出至分类模块，并输出被所述可疑规则命中的当前命令的告警权值，所述告警权值基于该条可疑规则对命令的总体命中率获得；分类模块，被配置为根据已有分类模型的训练样本集，对从所述过滤模块输入的当前命令进一步分类，获得当前命令分别是正常命令的概率和异常命令的概率，进而识别出该当前命令是否为异常命令。