[发明专利]一种基于日志分析功能的安全事件回溯方法及系统

权利要求书

1.一种基于日志分析功能的安全事件回溯方法，其特征在于，所述方法包括以下步骤：

S100、采集日志，并设定回溯条件；

S200、根据所述回溯条件对日志进行匹配提取，得到满足所述回溯条件的日志；

S300、从满足回溯条件的日志中选取某个日志结果进行安全回溯；所述步骤S100中回溯条件具体包括：设置所需的安全事件回溯时间范围；以及设置发生攻击的源IP或被攻击的目标IP；

所述步骤S300中选取某个日志结果进行安全回溯具体包括:选取第n个日志结果进行安全回溯后，将第n个日志结果的目标IP作为第n+1个日志结果的源IP，以此类推，从而将多个日志结果串成了一条或多条安全事件链路；

其中，第n+1个日志结果的时间早于第n个日志结果的时间，n为自然数。

2.一种基于日志分析功能的安全事件回溯系统，其特征在于，包括：

设置单元，用于采集日志，并设定回溯条件；

匹配单元，用于根据所述回溯条件对日志进行匹配提取，得到满足所述回溯条件的日志；

回溯单元，用于从满足回溯条件的日志中选取某个日志结果进行安全回溯；

所述设置单元中回溯条件具体包括：设置所需的安全事件回溯时间范围；以及设置发生攻击的源IP或被攻击的目标IP；

所述回溯单元中选取某个日志结果进行安全回溯具体包括:选取第n个日志结果进行安全回溯后，将第n个日志结果的目标IP作为第n+1个日志结果的源IP，以此类推，从而将多个日志结果串成了一条或多条安全事件链路；

其中，第n+1个日志结果的时间早于第n个日志结果的时间，n为自然数。