[发明专利]一种基于日志分析的网络安全防御方法及设备

说明书

本申请实施例公开了一种基于日志分析的网络安全防御方法及设备。本发明实施例方法包括：获取待分析的日志数据；获取元数据的集合，元数据包括对网络安全造成威胁的威胁事件；将日志数据与元数据的集合进行匹配处理；若日志数据中包括与元数据相匹配的目标数据，且相匹配的目标数据满足日志规则信息中对应的规则，则将目标数据发送至第二虚拟机，以使第二虚拟机根据目标数据进行对应的防御处理。本申请实施例中还提供了一种基于日志分析的网络安全防御设备，用于提高执行效率，同时提高告警收敛避免误报骚扰。

技术领域

本发明涉及计算机领域，尤其涉及一种基于日志分析的网络安全防御方法及设备。

背景技术

随着互联网技术的飞速发展，网络攻击方式呈现多样化发展的势头，网络安全的重要性不言而喻。如企业办公环境的互联网化，移动化，无边界化，就会面对如网络渗透、木马病毒入侵、信息泄露及更隐蔽的高级持续威胁(advanced persistent threat，缩写：APT)等涉及网络安全的问题，为了提高纵深防御能力，可以通过对百亿至千亿海量安全日志数据进行分析，以尽可能早的发现这些涉及网络安全的问题，进而保障网络环境的安全。

安全日志可以将操作系统、应用程序、系统发生的所有事件及用户的一切行为按照特定的规则记录下来，对安全日志分析可以找出网络攻击来源和攻击的目的，进而进行对应的防御处理。

在规则解析执行方面，现有的对日志分析方法，主要是通过一套通用的日志规则配置系统和解析执行系统，联合各个业务安全的元数据系统实时交互计算对日志进行分析。

传统的日志分析方法，每次执行都会对日志规则配置文件遍历，在日志进行分析的过程和防御动作同步耦合执行，通常规则数据量是动作数据量的很多倍，规则执行和防御动作同步耦合执行增加了处理延迟，执行效率低。

发明内容

本发明实施例提供了一种基于日志分析的网络安全防御方法及设备，用于提高执行效率，同时提高告警避免误报骚扰。

第一方面，本申请实施例提供了一种基于日志分析的网络安全防御方法，包括：

获取日志规则配置文件，所述日志规则配置文件包括树形结构的配置文本；

对所述树形结构的配置文本进行解析，得到树形结构的规则对象信息；

对所述树形结构的规则对象信息按照日志的类别进行分类处理，得到平面结构的日志规则信息；

获取待分析的日志数据；

获取元数据的集合，所述元数据包括对网络安全造成威胁的威胁事件；

将所述日志数据与所述元数据的集合进行匹配处理；

若所述日志数据中包括与所述元数据相匹配的目标数据，且所述相匹配的目标数据满足所述日志规则信息中对应的规则，则将所述目标数据发送至第二虚拟机，以使所述第二虚拟机根据防御配置文件和所述目标数据进行对应的收敛防御处理。

第二方面，本发明实施例提供了一种基于日志分析的网络安全防御方法，包括：

接收第一虚拟机发送的目标数据，所述目标数据为第一虚拟机根据日志数据中包括与所述元数据相匹配的目标数据，且所述相匹配的目标数据满足所述日志规则信息中对应的规则，所述日志规则信息为平面结构；

根据防御配置文件对所述目标数据进行归并处理，生成告警信息，所述告警信息包括第一告警信息；

发送满足消息策略的第一告警信息。

第三方面，本申请实施例提供了一种基于日志分析的网络安全防御设备，所述网络安全防御设备上运行有第一虚拟机，所述第一虚拟机包括：