[发明专利]用于分析在各主机上执行的命令的分析设备、系统和方法

权利要求书

1.一种用于分析在各主机上执行的命令的分析设备，包括：

集中数据回收器，被配置为至少收集各主机终端通过网络传输的当前命令及所述当前命令所属主机标识，其中，所述当前命令为在各主机终端上当前输入的命令；

命令分析器，被配置为对所述集中数据回收器收集到的在各主机终端上当前输入的命令进行识别，至少识别出异常命令和正常命令；

告警器，被配置为根据所述命令分析器的识别结果判断是否满足告警条件，如果满足，则发出相应主机存在异常的告警信息；

所述命令分析器包括过滤模块，被配置为对所述集中数据回收器收集到的当前命令采用预置的可疑规则进行过滤，将被所述可疑规则命中的当前命令识别为异常命令，并输出被所述可疑规则命中的异常命令的告警权值，所述告警权值基于该条可疑规则对命令的总体命中率获得；

所述过滤模块输出的异常命令的告警权值通过下述方式获得：通过以该条可疑规则对已有命令的总体命中率作为自变量的单调递减函数，获得被该条可疑规则命中的异常命令的告警权值；

所述告警器具体被配置为根据所述异常命令的告警权值判断是否满足告警条件。

2.如权利要求1所述的分析设备，所述告警器具体被配置为统计一个告警周期内、所述命令分析器识别出的某一主机上的所有异常命令，将这些异常命令各自对应的告警权值进行综合化处理，根据综合化处理后的值判断是否满足预置的告警条件。

3.如权利要求1所述的分析设备，所述命令分析器包括：

分类模块，被配置为根据已有分类模型的训练样本集，对所述集中数据回收器接收到的当前命令进行分类，获得当前命令分别是正常命令的概率和异常命令的概率，进而识别出该当前命令是否属于异常命令。

4.如权利要求3所述的分析设备，所述告警器具体被配置为统计一个告警周期内、所述命令分析器识别出的某一主机上的所有异常命令，将这些异常命令各自对应的异常命令概率进行综合化处理，根据综合化处理后的值判断是否满足预置的告警条件。

5.如权利要求1所述的分析设备，所述命令分析器包括：

过滤模块，被配置为对所述集中数据回收器接收到的当前命令采用预置的可疑规则进行过滤，将被所述可疑规则命中的当前命令输出至分类模块，并输出被所述可疑规则命中的当前命令的告警权值，所述告警权值基于该条可疑规则对命令的总体命中率获得；

分类模块，被配置为根据已有分类模型的训练样本集，对从所述过滤模块输入的当前命令进一步分类，获得当前命令分别是正常命令的概率和异常命令的概率，进而识别出该当前命令是否为异常命令。

6.如权利要求3或5所述的分析设备，所述命令分析器还包括：

学习模块，被配置为将新增的当前命令与已有训练样本集合并后进行机器学习，更新所述分类模块使用的已有训练样本集。

7.如权利要求6所述的分析设备，所述告警器具体被配置为统计一个告警周期内、所述命令分析器识别出的某一主机上的所有异常命令，将每一异常命令对应的异常命令概率和告警权值相乘获得对应的告警指数，将这些异常命令的告警指数进行综合化处理，根据综合化处理后的值判断是否满足预置的告警条件。

8.一种用于分析在各主机上执行的命令的系统，包括如权利要求1至7中任一项所述的分析设备和若干主机终端；

所述若干主机终端，被配置为至少将各主机上的当前命令及所属主机标识通过网络传输至集中数据回收器。

9.如权利要求8所述的系统，所述主机终端包括：

命令发送模块，被配置为对各主机的命令解析器shell进行改造，增加将所述shell接收到的主机当前命令和主机IP传输至所述集中数据回收器的函数。