[发明专利]日志的分析方法及系统

权利要求书

1.一种日志的分析方法，其特征在于，包括：

根据预设的采集代理获取待监测系统的至少一个日志文件，其中，每个日志文件包括对应的操作人ID；

将所述日志文件发送给预设的服务器，并对所述日志文件进行分片存储；

对每个日志文件进行字段解析，得到每个日志文件中的多个目标字段值，并根据多个目标字段值判断与每个日志文件对应的操作人ID是否符合预设的告警规则，其中，所述告警规则包括第一告警规则、第二告警规则和第三告警规则；

当所述操作人ID符合所述告警规则时，发送相应的告警信息给风控平台，以使所述风控平台对所述操作人ID执行阻断操作；

所述对每个日志文件进行字段解析，得到每个日志文件中的多个目标字段值，并根据多个目标字段值判断与每个日志文件对应的操作人ID是否符合预设的告警规则，包括：

根据字段提取器对每个日志文件中的字段进行提取，以得到多个目标字段值，其中，所述目标字段值的数据类型至少包括：源IP、请求时间、操作人ID和请求链接；

计算预设时间段内每个操作人ID的数量，并将每个操作人ID的数量与预设的阈值进行比较；

若目标操作人ID的数量大于所述阈值，则判断所述目标操作人ID符合所述第一告警规则;

所述根据字段提取器对每个日志文件中的字段进行提取，以得到多个目标字段值之后，还包括：

将所述请求链接与预设的告警请求链接进行比对，若所述请求链接中存在与所述告警请求链接相同的目标请求链接，则判定与所述目标请求链接对应的目标操作人ID符合所述第二告警规则；

所述根据字段提取器对每个日志文件中的字段进行提取，以得到多个目标字段值之后，还包括：

基于决策树算法、所述第一告警规则和所述第二告警规则建立安全模型；

根据符合所述第一告警规则或所述第二告警规则的字段值及预设的样本数据对所述安全模型进行训练，以调整所述安全模型的参数；

将所述多个目标字段值输入到所述安全模型中，以通过所述安全模型判断与所述多个目标字段值对应的目标操作人ID是否符合第三告警规则，若所述安全模型判断所述目标字段值符合前期训练得到的低频规律访问，则判断相应的操作人ID符合所述第三告警规则。

2.一种日志的分析系统，其特征在于，包括：

采集模块，用于根据预设的采集代理获取待监测系统的至少一个日志文件，其中，所述日志文件包括对应的操作人ID；

存储模块，用于将所述日志文件发送给预设的服务器，并对所述日志文件进行分片存储；

解析模块，用于对每个日志文件进行字段解析，得到每个日志文件中的多个目标字段值，并根据多个目标字段值判断与每个日志文件对应的操作人ID是否符合预设的告警规则，其中，所述告警规则包括第一告警规则、第二告警规则和第三告警规则；

阻断模块，用于当所述操作人ID符合所述告警规则时，发送相应的告警信息给预设的风控平台，以使所述风控平台对所述操作人ID执行阻断操作；

所述解析模块还用于：

根据字段提取器对每个日志文件中的字段进行提取，以得到多个目标字段值，其中，所述目标字段值的数据类型至少包括：源IP、请求时间、操作人ID和请求链接；

计算预设时间段内每个操作人ID的数量，并将每个操作人ID的数量与预设的阈值进行比较；

若目标操作人ID的数量大于所述阈值，则判断所述目标操作人ID符合所述第一告警规则;

所述解析模块还用于：

将所述请求链接与预设的告警请求链接进行比对，若所述请求链接中存在与所述告警请求链接相同的目标请求链接，则判定与所述目标请求链接对应的目标操作人ID符合所述第二告警规则；

所述解析模块还用于：

基于决策树算法、所述第一告警规则和所述第二告警规则建立安全模型；

根据符合所述第一告警规则或所述第二告警规则的字段值及预设的样本数据对所述安全模型进行训练，以调整所述安全模型的参数；

将所述多个目标字段值输入到所述安全模型中，以通过所述安全模型判断与所述多个目标字段值对应的目标操作人ID是否符合第三告警规则，若所述安全模型判断所述目标字段值符合前期训练得到的低频规律访问，则判断相应的操作人ID符合所述第三告警规则。