[发明专利]日志数据异常检测方法、装置、终端及介质

权利要求书

1.一种日志数据异常检测方法，其特征在于，包括：

获取第一日志数据序列，将所述第一日志数据序列转换为对应的第一标识序列，所述第一日志数据序列为第一网络设备的时序排列的M个系统日志数据，所述第一标识序列包含M个日志标识，所述M为大于2的整数；

基于所述第一标识序列预测所述第一标识序列的下一个日志标识，获得预测结果，所述预测结果包含至少一个预测日志标识；

获取第二日志数据，所述第二日志数据为所述第一网络设备在所述第一日志数据序列之后产生的下一个的系统日志数据；

将所述第二日志数据转换为对应的目标日志标识；

将所述目标日志标识与所述预测结果进行比对，确定所述第二日志数据是否为异常数据。

2.根据权利要求1所述的方法，其特征在于，所述将所述第一日志数据序列转换为对应的第一标识序列包括：

提取所述第一日志数据序列中的各系统日志数据的关键字；

根据预设的关键字与日志标识的对应关系，确定所述各系统日志数据的关键字所对应的各日志标识；

依据所述第一日志数据序列中所述各系统日志数据的排列顺序排列所述各日志标识，获得所述第一日志数据序列对应的第一标识序列。

3.根据权利要求2所述的方法，其特征在于，所述基于所述第一标识序列预测所述第一标识序列的下一个日志标识，获得预测结果包括：

将所述第一标识序列输入预测网络模型，输出至少一个预测日志标识以及所述预测日志标识对应的预测概率；

依据所述预测概率由大到小对所述各预测日志标识进行排序，获取所述排序中前N个预测日志标识为所述预测结果，所述N为正整数。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述将所述目标日志标识与所述预测结果进行比对，确定所述第二日志数据是否为异常数据包括：

若所述预测结果中不包含所述目标日志标识，确定所述第二日志数据为异常数据；

若所述预测结果中包含所述目标日志标识，确定所述第二日志数据不为异常数据。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

若所述第二日志数据为所述异常数据，生成包含所述第二日志数据的异常处理信息；

响应于所述异常处理信息，执行与所述第二日志数据对应的异常处理事项。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

若所述第二日志数据为所述异常数据，根据解析模板对所述第二日志数据进行解析，获得所述第一网络设备的异常信息；

根据信息聚合标签获取目标网络设备的异常信息；

确定所述目标网络设备的异常信息所对应的异常处理事项，执行所述异常处理事项。

7.根据权利要求6所述的方法，其特征在于，所述信息聚合标签包含目标设备标识和时长阈值；

所述根据信息聚合标签获取目标网络设备的异常信息包括：

获取所述时长阈值内所述目标设备标识所对应的网络设备的异常信息。

8.根据权利要求6或7所述的方法，其特征在于，所述异常信息包含异常类型、异常端口、异常值、异常等级、危险指数中的任一种或几种。

9.根据权利要求2所述的方法，其特征在于，所述预测网络模型的训练方法包括：

获取样本网络设备的系统日志数据的时序序列，作为待训练数据序列，所述待训练数据序列包含X个样本日志数据，所述X大于所述M；

将所述待训练数据序列转换为对应的样本标识序列；

获取所述样本标识序列中连续的M个样本标识组成的序列作为输入数据，所述M个样本标识的下一个样本标识作为验证数据；

基于所述输入数据和所述验证数据训练网络模型，获得所述预测网络模型。