[发明专利]网络日志信息安全场景式分析系统及其分析方法

说明书

技术领域

本发明属于网络安全态势感知领域，特别涉及一种网络日志信息安全场景式分析系统及其分析方法。

背景技术

随着全球能源互联网战略的发展与应用，电网系统各类运行数据量急剧增长、数据类型多样，对数据存储、处理、价值挖掘提出了更高要求，随着时间的推移，从结构化数据分析向多类型数据分析的转变、从抽样数据分析向全量数据分析的转变、从小批量数据分析向海量数据分析的转变、从单一业务数据分析向跨业务数据分析的转变、从准实时数据分析向实时数据分析的转变有着迫切的需求。多类型数据分析的转变基于大数据技术，改进数据处理速度，实现数据的实时采集、计算、分析和预测，能充分挖掘实时数据的价值，推动专业业务管理水平。

目前面向种类丰富、采集手段多样的各类日志数据没有实现统一采集、存储，随着数据容量的急速上涨，现有技术无法及时有效地得出网络安全态势分析结果，从而不能准确确定网络设备、终端设备存在的安全隐患。

发明内容

本发明为了克服上述现有技术的不足，提供了一种网络日志信息安全场景式分析系统，本系统实现了对终端未知网络设备安全场景趋势的分析以及对暴力登录的监测，并能够及时对网络信息安全进行风险预警。

为实现上述目的，本发明采用了以下技术措施：

一种网络日志信息安全场景式分析系统包括日志采集处理系统、分布式存储系统、数据处理系统以及日志分析系统，其中，

日志采集处理系统，用于采集来自交换机的日志信息以及arp地址表信息，并将所述日志信息以及arp地址表信息传送至分布式存储系统；

分布式存储系统，用于存储所述日志信息以及arp地址表信息；

数据处理系统，用于从分布式存储系统中获取并分析所述日志信息以及arp地址表信息，实现暴力登陆安全场景分析操作以及网络设备安全场景趋势分析操作；

日志分析系统，用于展示数据处理系统的分析情况以供用户查看。

优选的，所述分布式存储系统内部包括address表和syslog表；所述address表用于存储arp地址表信息，syslog表用于存储日志信息。

进一步的，所述日志采集处理系统以flume为工具，所述数据处理系统以Hive为支撑。

本发明还提供了一种网络日志信息安全场景式分析系统的分析方法，包括以下步骤：

S1、所述日志采集处理系统采集来自交换机的日志信息以及arp地址表信息，并实时监控已采集的日志信息和arp地址表信息，日志采集处理系统对新采集到的日志信息、arp地址表信息进行清洗操作，再将清洗后的日志信息、arp地址表信息传送至分布式存储系统；所述分布式存储系统通过address表来存储arp地址表信息，通过syslog表来存储日志信息；

S2、数据处理系统采集所述日志信息以及arp地址表信息，并以日志信息和arp地址表信息为源数据，以所述源数据为基础进行暴力登陆安全场景分析操作和终端未知网络设备安全场景趋势分析操作；

S3、利用数据处理系统分别将暴力登陆安全场景分析结果、终端未知网络设备安全场景趋势分析结果发送至关系数据库表的暴力登录表、未知网络设备表中；

S4、所述日志分析系统展示暴力登陆安全场景分析结果、终端未知网络设备安全场景趋势分析结果以供用户查看。

优选的，步骤S1中的清洗操作的具体步骤包括：所述日志采集处理系统将日志信息以及arp地址表信息分成若干个片段，截取其中有用片段，剔除无用片段。

优选的，步骤S2中的暴力登陆安全场景分析操作具体步骤包括：所述数据处理系统以syslog表中的数据为源数据，通过关键字匹配到符合暴力登陆安全场景条件的日志信息后，将所述日志信息存储于关系数据库表的暴力登录表中。

进一步的，步骤S2中的终端未知网络设备安全场景趋势分析操作具体步骤包括：所述数据处理系统利用Hive定时取出arp地址表信息，数据处理系统逐条分析采集到的arp地址表信息，数据处理系统里面不存在的网络地址信息即为未知网络设备。

进一步的，所述日志采集处理系统使用syslog协议采集交换机的日志信息，使用地址解析协议采集核心交换机的arp地址表信息。

本发明的有益效果在于：