[发明专利]日志归并方法和装置

权利要求书

1.一种日志归并方法，其特征在于，包括：

在检测到网络攻击事件之后，根据所述网络攻击事件的特征确定所述网络攻击事件的类型；

根据所述网络攻击事件的类型确定所述网络攻击事件对应的日志归并策略；

根据所述日志归并策略对所述网络攻击事件对应的日志进行归并；

其中，根据所述网络攻击事件的类型确定所述网络攻击事件对应的日志归并策略具体为：

当所述网络攻击事件的类型为端口扫描类型时，确定日志归并策略为根据攻击的类型、日志对应的唯一编码、源IP、目的IP所述网络攻击事件对应的日志进行归并；

当所述网络攻击事件的类型为蠕虫扫描类型时，确定日志归并策略为根据攻击的类型、日志对应的唯一编码、源IP对所述网络攻击事件对应的日志进行归并；

当所述网络攻击事件的类型为分布式拒绝服务攻击DDoS类型时，确定日志归并策略为根据攻击的类型、日志对应的唯一编码、目的IP对所述网络攻击事件对应的日志进行归并；

当所述网络攻击事件的类型为点对点P2P类型时，确定日志归并策略为若报文的方向为入方向，则根据攻击的类型、日志对应的唯一编码、目的IP对所述网络攻击事件对应的日志进行归并，若报文的方向为出方向，则根据攻击的类型、日志对应的唯一编码、源IP对所述网络攻击事件对应的日志进行归并。

2.根据权利要求1所述的方法，其特征在于，所述根据所述网络攻击事件的特征确定所述网络攻击事件的类型包括：

根据所述网络攻击事件的特征查询预置的网络攻击事件的特征与网络攻 击事件的类型的对应关系，确定所述网络攻击事件的类型。

3.根据权利要求1所述的方法，其特征在于，所述根据所述网络攻击事件的类型确定所述网络攻击事件对应的日志归并策略包括：

根据所述网络攻击事件的类型查询预置的网络攻击事件的类型与日志归并策略的对应关系，确定所述网络攻击事件的类型对应的日志归并策略。

4.根据权利要求3所述的方法，其特征在于，所述根据所述网络攻击事件的类型查询预置的网络攻击事件的类型与日志归并策略的对应关系，确定所述网络攻击事件的类型对应的日志归并策略包括：

根据所述网络攻击事件的类型查询预置的网络攻击事件的检测规则中的事件归并类型字段的赋值，确定所述网络攻击事件对应的日志归并策略，所述事件归并类型字段用于标识网络攻击事件的类型与日志归并策略的对应关系。

5.根据权利要求4所述的方法，其特征在于，所述根据所述日志归并策略对所述网络攻击事件对应的日志进行归并包括：

根据所述网络攻击事件的检测规则中的事件归并类型字段的值对应的日志归并策略，对所述网络攻击事件对应的日志进行归并。

6.一种日志归并装置，其特征在于，包括：

类型确定模块，用于在检测到网络攻击事件之后，根据所述网络攻击事件的特征确定所述网络攻击事件的类型；

策略确定模块，用于根据所述类型确定模块确定的所述网络攻击事件的类型确定所述网络攻击事件对应的日志归并策略；

归并模块，用于根据所述策略确定模块确定的所述日志归并策略对所述网络攻击事件对应的日志进行归并；

其中，所述策略确定模块具体用于：

当所述网络攻击事件的类型为端口扫描类型时，确定日志归并策略为根据攻击的类型、日志对应的唯一编码、源IP、目的IP对所述网络攻击事件对应的日志进行归并；

当所述网络攻击事件的类型为蠕虫扫描类型时，确定日志归并策略为根据攻击的类型、日志对应的唯一编码、源IP对所述网络攻击事件对应的日志进行归并；

当所述网络攻击事件的类型为分布式拒绝服务攻击DDoS类型时，确定日志归并策略为根据攻击的类型、日志对应的唯一编码、目的IP对所述网络攻击事件对应的日志进行归并；

当所述网络攻击事件的类型为点对点P2P类型时，确定日志归并策略为若报文的方向为入方向，则根据攻击的类型、日志对应的唯一编码、目的IP对所述网络攻击事件对应的日志进行归并，若报文的方向为出方向，则根据攻击的类型、日志对应的唯一编码、源IP对所述网络攻击事件对应的日志进行归并。