[发明专利]一种日志多组合告警归类方法及系统

说明书

本发明公开了一种日志多组合告警归类方法及系统。所述方法首先获取多个目标原始日志；并采用预设的正则表达式过滤多个目标原始日志，获得多个过滤后日志；根据正则表达式为多个过滤后日志添加正则表达式的规则编号，生成多个编号日志；然后获取目标告警规则中系统动作的标号组合；判断多个编号日志的规则编号是否能够完整匹配所述标号组合，若是，将多个编号日志归类到所述标号组合对应的目标告警事件分类中并产生告警。本发明提供的方法通过判断目标日志的规则编号是否能够完整匹配系统动作的标号组合，而不仅仅匹配一个动作，从而避免了现有的日志归类过程中，归类结果准确性不高，且存在误判、漏判的问题，提高了日志归类、告警的准确性。

技术领域

本发明涉及归类分析技术领域，特别是涉及一种日志多组合告警归类方法及系统。

背景技术

随着网络技术和网络规模的不断发展，网络系统中的各种网络设备、操作系统、安全设备等都会产生大量的日志数据，为了从海量日志中提取关键数据、提高日志分析效率，提高预警的功能，减少告警漏报、误报的情况，需要对原始日志进行多组合告警归类，从而不用产生无用的告警。只有与设置的多组合告警策略相关的日志，才更有分析和存储价值。因此，将原始日志归类到多组合的告警事件中，保留与告警事件相关的原始日志，舍弃其他无用日志，才能让日志分析人员更加高效的处理这些日志，同时节省日志的存储空间，从而可以存储更长时间的日志。

目前，对于日志的归类方法主要采用聚类算法，而聚类算法主要采用统计的方式进行处理，得出的归类结果存在一定程度上的误差，准确性并不是很高，容易存在误判、漏判的情况。

发明内容

本发明的目的是提供一种日志多组合告警归类方法及系统，以解决现有日志归类方法归类结果准确性低，且容易存在误判、漏判的问题。

为实现上述目的，本发明提供了如下方案：

一种日志多组合告警归类方法，所述方法包括：

获取多个目标原始日志；多个所述目标原始日志来源于防火墙、网络设备、主机系统、数据库或中间件；

采用预设的正则表达式过滤多个所述目标原始日志，获得多个过滤后日志；

根据所述正则表达式为多个所述过滤后日志添加正则表达式的规则编号，生成多个编号日志并存储；

获取目标告警规则中系统动作的标号组合；

判断多个所述编号日志的规则编号是否能够完整匹配所述标号组合，获得第一判断结果；

若所述第一判断结果为多个所述编号日志的规则编号能够完整匹配所述标号组合，将多个所述编号日志归类到所述标号组合对应的目标告警事件分类中并产生告警。

可选的，所述判断多个所述编号日志的规则编号是否能够完整匹配所述标号组合，获得第一判断结果，具体包括：

依次判断多个所述编号日志的规则编号是否存在于所述标号组合中，获得第二判断结果；

若所述第二判断结果为所述编号日志的规则编号存在于所述标号组合中，确定所述编号日志的规则编号位于所述标号组合中的位置；

若所述编号日志的规则编号位于所述标号组合的队首位置，将所述编号日志记录到空队列，生成已匹配队列；

若所述编号日志的规则编号位于所述标号组合的队中位置，判断所述标号组合中所述编号日志的规则编号的前一规则编号是否已在所述已匹配队列中，获得第三判断结果；

若所述第三判断结果为所述编号日志的规则编号的前一规则编号已在所述已匹配队列中，判断所述编号日志与所述前一规则编号对应的前一编号日志的时间间隔是否小于预设的阈值，获得第四判断结果；