[发明专利]日志审计的关联分析方法与系统在审
申请号: | 201910452869.2 | 申请日: | 2019-05-28 |
公开(公告)号: | CN110300100A | 公开(公告)日: | 2019-10-01 |
发明(设计)人: | 王平;何建锋;郭增晖 | 申请(专利权)人: | 西安交大捷普网络科技有限公司 |
主分类号: | H04L29/06 | 分类号: | H04L29/06;H04L12/24 |
代理公司: | 暂无信息 | 代理人: | 暂无信息 |
地址: | 710075 陕西省*** | 国省代码: | 陕西;61 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 关联分析 事件对象 日志审计 归并 发送 关联分析引擎 告警 采集代理 告警信息 关联处理 规则产生 缓存队列 基于事件 接收事件 日志信息 时间规则 预定义 触发 日志 过滤 解析 入库 关联 响应 预防 统计 | ||
本发明旨在提供一种日志审计的关联分析方法与系统,包括:接收事件对象:所述事件对象由采集代理对日志经过包括归并、过滤与解析的处理后发送至缓存队列,再通过TCP方式不断发送至关联分析引擎;根据关联分析规则,对事件对象进行关联处理;若事件对象触发关联分析规则,按照预定义的告警规则产生告警信息并入库。通过系统关联分析,对各种设备的日志信息,进行归并和范式化处理。基于事件规则、统计规则、时间规则等多种方式进行关联,作出预防响应,防患于未然。
技术领域
本发明属于网络安全技术领域,尤其是涉及一种应用于日志审计的时间关联分析方法与系统。
背景技术
现如今,每个用户网络包含大量的信息资产,包括各种网络设备、安全设备、主机、应用及数据库等,每种设备类型的日志格式都不相同,即使是记录同一事件,也都有各自的日志规格。例如同样的登录失败信息,防火墙中的描述和主机操作系统中的描述格式就可能根本不相同,这样会迫使审计人员去了解每种设备类型的格式。但是,每个产品的日志量是巨大的,例如一个标准的入侵检测系统每天可能产生超过千万数量的事件日志,海量的数据常常让运维审计工作变得没有毫无头绪,成为业务顺畅运行的挑战。
日志审计系统,是一种采用大数据采集、建模、分析技术,通过对各种网络资源的多维度信息采集和自动化的关联分析,及时发现网络当中的威胁和异常行为的网络安全工具,可以通过与防火墙、入侵防御、终端安全等产品的安全联动,实现对威胁和异常行为的有效处置。
其中,关联分析是用户根据实际环境制定一条关联规则,根据已知的情景作出预防响应,防患于未然。关联规则定义各类安全事件之间在发生序列、事后影响等方面的关联性。而实时关联分析引擎基于预定义的关联规则,检测事件间的关联。
关联分析涉及到对实时事件的处理,需要对数据库进行大量的查询访问,传统的关系型数据库不适合执行每秒成千上万规模数据量的查询,而Esper框架具有更高的性能和更高的实时性。
发明内容
本发明旨在提供一种运用Esper框架的,根据预置规则对日志事件对象进行计算和关联分析并产生告警的方法与系统。
本发明采用的具体技术方案包括:
首先提供一种日志审计的关联分析方法,包括:
接收事件对象:所述事件对象由采集代理对日志经过包括归并、过滤与解析的处理后发送至缓存队列,再通过TCP方式发送至关联分析引擎;
根据关联分析规则,对事件对象进行关联处理;
若事件对象触发关联分析规则,按照预定义的告警规则产生告警信息并入库。
所述关联分析规则包括事件规则、统计规则与时间规则,所述事件规则包括事件名称、规则描述与规则配置,规则配置包括规则的事件名称、事件类型、设备类型与触发方式,所述触发方式包括每M秒有n个事件符合匹配条件,所述匹配条件包括事件在设定的时长内发生设定的次数;
所述关联分析规则包括系统内置规则与自定义规则,且规则状态包括启用状态和禁用状态。
上述的关联分析规则,当规则为多个时,其关系包括“或”和“与”;所述“或”关系:当符合其中任一个规则即可触发;所述“与”关系:当符合所有的规则才能触发。
进一步的,当关联分析引擎启动时会进行初始化,加载状态为启用的系统内置关联分析规则并翻译为EPL语句后按照规则ID加入Esper引擎;
所述系统内置的关联分析规则,设置相应的数据表并设置目录存放以规则ID命名的规则xml文件。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于西安交大捷普网络科技有限公司,未经西安交大捷普网络科技有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201910452869.2/2.html,转载请声明来源钻瓜专利网。
- 上一篇:一种电力工控系统静态和动态漏洞分析与挖掘技术
- 下一篇:车载多媒体互联方法