[发明专利]网络日志信息安全场景式分析系统及其分析方法

权利要求书

1.网络日志信息安全场景式分析系统，其特征在于：包括日志采集处理系统(10)、分布式存储系统(20)、数据处理系统(30)以及日志分析系统(40)，其中，

日志采集处理系统(10)，用于采集来自交换机的日志信息以及arp地址表信息，并将所述日志信息以及arp地址表信息传送至分布式存储系统(20)；

分布式存储系统(20)，用于存储所述日志信息以及arp地址表信息；

数据处理系统(30)，用于从分布式存储系统(20)中获取并分析所述日志信息以及arp地址表信息，实现暴力登陆安全场景分析操作以及网络设备安全场景趋势分析操作；

日志分析系统(40)，用于展示数据处理系统(30)的分析情况以供用户查看。

2.如权利要求1所述的网络日志信息安全场景式分析系统，其特征在于：所述分布式存储系统(20)内部包括address表和syslog表；所述address表用于存储arp地址表信息，syslog表用于存储日志信息。

3.如权利要求2所述的网络日志信息安全场景式分析系统，其特征在于：所述日志采集处理系统(10)以flume为工具，所述数据处理系统(30)以Hive为支撑。

4.如权利要求3所述的网络日志信息安全场景式分析系统的分析方法，其特征在于，包括以下步骤：

S1、所述日志采集处理系统(10)采集来自交换机的日志信息以及arp地址表信息，并实时监控已采集的日志信息和arp地址表信息，日志采集处理系统(10)对新采集到的日志信息、arp地址表信息进行清洗操作，再将清洗后的日志信息、arp地址表信息传送至分布式存储系统(20)；所述分布式存储系统(20)通过address表来存储arp地址表信息，通过syslog表来存储日志信息；

S2、数据处理系统(30)采集所述日志信息以及arp地址表信息，并以日志信息和arp地址表信息为源数据，以所述源数据为基础进行暴力登陆安全场景分析操作和终端未知网络设备安全场景趋势分析操作；

S3、利用数据处理系统(30)分别将暴力登陆安全场景分析结果、终端未知网络设备安全场景趋势分析结果发送至关系数据库表的暴力登录表、未知网络设备表中；

S4、所述日志分析系统(40)展示暴力登陆安全场景分析结果、终端未知网络设备安全场景趋势分析结果以供用户查看。

5.如权利要求4所述的网络日志信息安全场景式分析系统的分析方法，其特征在于，步骤S1中的清洗操作的具体步骤包括：所述日志采集处理系统(10)将日志信息以及arp地址表信息分成若干个片段，截取其中有用片段，剔除无用片段。

6.如权利要求4所述的网络日志信息安全场景式分析系统的分析方法，其特征在于，步骤S2中的暴力登陆安全场景分析操作具体步骤包括：所述数据处理系统(30)以syslog表中的数据为源数据，通过关键字匹配到符合暴力登陆安全场景条件的日志信息后，将所述日志信息存储于关系数据库表的暴力登录表中。

7.如权利要求4所述的网络日志信息安全场景式分析系统的分析方法，其特征在于，步骤S2中的终端未知网络设备安全场景趋势分析操作具体步骤包括：所述数据处理系统(30)利用Hive定时取出arp地址表信息，数据处理系统(30)逐条分析采集到的arp地址表信息，数据处理系统(30)里面不存在的网络地址信息即为未知网络设备。

8.如权利要求4所述的网络日志信息安全场景式分析系统的分析方法，其特征在于：所述日志采集处理系统(10)使用syslog协议采集交换机的日志信息，使用地址解析协议采集核心交换机的arp地址表信息。