[发明专利]一种日志多组合告警归类方法及系统

权利要求书

1.一种日志多组合告警归类方法，其特征在于，所述方法包括：

获取多个目标原始日志；多个所述目标原始日志来源于防火墙、网络设备、主机系统、数据库或中间件；

采用预设的正则表达式过滤多个所述目标原始日志，获得多个过滤后日志；

根据所述正则表达式为多个所述过滤后日志添加正则表达式的规则编号，生成多个编号日志并存储；

获取目标告警规则中系统动作的标号组合；

判断多个所述编号日志的规则编号是否能够完整匹配所述标号组合，获得第一判断结果；

若所述第一判断结果为多个所述编号日志的规则编号能够完整匹配所述标号组合，将多个所述编号日志归类到所述标号组合对应的目标告警事件分类中并产生告警；

所述判断多个所述编号日志的规则编号是否能够完整匹配所述标号组合，获得第一判断结果，具体包括：

依次判断多个所述编号日志的规则编号是否存在于所述标号组合中，获得第二判断结果；

若所述第二判断结果为所述编号日志的规则编号存在于所述标号组合中，确定所述编号日志的规则编号位于所述标号组合中的位置；

若所述编号日志的规则编号位于所述标号组合的队首位置，将所述编号日志记录到空队列，生成已匹配队列；

若所述编号日志的规则编号位于所述标号组合的队中位置，判断所述标号组合中所述编号日志的规则编号的前一规则编号是否已在所述已匹配队列中，获得第三判断结果；

若所述第三判断结果为所述编号日志的规则编号的前一规则编号已在所述已匹配队列中，判断所述编号日志与所述前一规则编号对应的前一编号日志的时间间隔是否小于预设的阈值，获得第四判断结果；

若所述第四判断结果为所述编号日志与所述前一规则编号对应的前一编号日志的时间间隔小于预设的阈值，将所述编号日志记录到所述已匹配队列中；

若所述编号日志的规则编号位于所述标号组合的队尾位置，判断所述标号组合中所述编号日志的规则编号的前一规则编号是否已在所述已匹配队列中，获得第五判断结果；

若所述第五判断结果为所述编号日志的规则编号的前一规则编号已在所述已匹配队列中，判断所述编号日志与所述前一规则编号对应的前一编号日志的时间间隔是否小于预设的阈值，获得第六判断结果；

若所述第六判断结果为所述编号日志与所述前一规则编号对应的前一编号日志的时间间隔小于预设的阈值，将所述编号日志记录到所述已匹配队列中，生成完整匹配队列；

根据所述完整匹配队列生成所述第一判断结果，所述第一判断结果为多个所述编号日志的规则编号能够完整匹配所述标号组合。

2.根据权利要求1所述的日志多组合告警归类方法，其特征在于，所述将多个所述编号日志归类到所述标号组合对应的目标告警事件分类中并产生告警，具体包括：

将所述完整匹配队列中的多个所述编号日志归类到所述标号组合对应的目标告警事件分类中；

根据所述完整匹配队列中的多个所述编号日志确定告警等级；

根据所述告警等级进行日志事件告警。

3.根据权利要求2所述的日志多组合告警归类方法，其特征在于，所述根据所述完整匹配队列中的多个所述编号日志确定告警等级，具体包括：

获取所述完整匹配队列中的多个所述编号日志的初始风险值及资产价值；

计算所述完整匹配队列中的多个所述编号日志的平均时间间隔；

根据所述初始风险值、所述资产价值及所述平均时间间隔确定风险值；

根据所述风险值确定所述完整匹配队列中的多个所述编号日志的告警等级。