[发明专利]一种复杂网络体系下异构安全日志信息的提取与分析方法

说明书

技术领域：

本发明属于信息安全技术领域，尤其涉及一种复杂网络体系下异构安全日 志信息的提取与分析方法。

背景技术：

电力系统是国民经济和人民生活的重要基础设施，其网络和应用系统的安全 是电力系统安全运行及对社会可靠供电的保证，直接关系到我国各行各业的发 展、社会的安定和人民的生活水平。电力系统安全防护的主要目标是防止关键 业务信息系统数据或信息被窃取或篡改，防止网络被恶意渗透或监听，确保不 发生因信息安全引发的电网事故和大面积停电事故，实现信息安全风险可控、 能控、在控。国家非常重视电力系统的信息安全，建立了电力系统信息安全纵 深防御体系，部署了大量不同类型的安全设备，各种设备的日志记录了设备运 行状态，各类用户执行的操作等等详细信息。在目前的网络环境中，各种设备 的日志已经成为海量数据，SYSLOG作为主要的日志类型，被各种操作系统，网 络设备和安全设备广泛支持，成为日志的重要标准，对于其他类型的日志，也 可以转换为SYSLOG日志格式，便于统一分析。

由于不同类型安全设备报送的SYSLOG日志格式千差万别，因此，需要对日 志进行格式归一化，才能够对日志进行规则处理分析和有效的统计分析。目前 业界常用的安全日志信息提取和分析方式是基于解析模板技术，每一个新的日 志类型都需要人工编写解析模板，这种方式下项目实施成本高，且人工编写出 错概率高，对复杂网络环境SYSLOG信息提取的适应性差。

发明内容：

本发明要解决的技术问题：提供一种复杂网络体系下异构安全日志信息的 提取与分析方法，以解决现有技术存在的安全日志信息提取和分析方式是基于 解析模板技术，每一个新的日志类型都需要人工编写解析模板，这种方式下项 目实施成本高，且人工编写出错概率高，对复杂网络环境SYSLOG信息提取的适 应性差等技术问题。

本发明技术方案：

一种复杂网络体系下异构安全日志信息的提取与分析方法，它包括：

步骤A、学习阶段：持续采集异构安全日志数据，采用分词工具对日志数据 结构进行分拆，按照正则匹配对日志中指定位置的字段数据进行内容属性定义， 动态构建日志信息提取决策树，该决策树信息随着新的日志结构的加入不断更 新；

步骤B、缓存阶段：对学习构建的日志信息提取决策树信息在计算机内存中 进行缓存，该缓存根据决策树动态学习过程实时更新；以文本形式存储于硬盘， 该存储信息周期性更新；

步骤C、解析阶段：新采集日志数据，根据日志数据信息提取决策树进行解 析，按照日志报送地址、日志类型、日志各位置字段逐层解析，形成规范格式 的安全日志信息数据。

它还包括：步骤D、人工优化：用户对日志信息提取决策树中的内容属性定

义进行人工设置，将经过人工设置规范化后的安全日志信息存储进入数据库

系统。

步骤1所述的学习阶段，具体步骤包括：

步骤A1、通过SYSLOG协议采集一条安全日志记录，作为SYSLOG日志，通

过对协议头部分解析获取该SYSLOG日志的报送设备IP，以报送设备IP作

为决策树一级节点；

步骤A2、采用分词工具对SYSLOG日志中代表原始日志的MSG字段进行分词， 并按顺序对分词字段进行索引；

步骤A3、对各分词字段进行正则匹配分析，获取各个分词字段的内容属性；

步骤A4、通过各分词字段属性和对应索引计算“日志解析指纹”，将日志解 析指纹作为决策树的二级节点；

步骤A5、将各分词字段的索引和内容属性作为决策树的三级节点；

步骤A6、不断学习新的SYSLOG日志，动态更新决策树。

所述计算日志解析指纹，其算法表达式为：

S₀R₀-S₁R₁-S₂R₂-S₃R₃…S_nR_n

式中：S_i(i＝0,1,2,3…n,n是分词字段总个数)是各个分词字段的索引；