[发明专利]用于日志取证分析的方法、装置及计算机可读介质

权利要求书

1.一种用于日志取证分析的方法，包括：

读取日志存储文件，所述日志存储文件用于存储日志文件并且包括具有各种大小的多个数据块，其中读取所述日志存储文件以获得所述日志存储文件的大小和初始化偏移位置，所述初始化偏移位置代表所述日志存储文件的起始位置；

从所述初始化偏移位置读取所述日志存储文件中所述初始化偏移位置处的数据块的数据块类型和数据块大小；

根据所述数据块的头部信息来判断所述数据块是否是压缩的数据块；

如果所述数据块是压缩的数据块，则将所述数据块读取到缓存；

读取所述缓存以获取进行解压缩需要的内存大小并申请解压缩缓存；

利用解压缩算法对所述缓存进行解压缩来将数据保存到所述解压缩缓存；以及

对保存到所述解压缩缓存中的数据进行解析以获取所述日志存储文件中的日志记录。

2.如权利要求1所述的方法，还包括：

如果所述数据块不是压缩的数据块，则定义所述数据块的填充字节个数来修改所述初始化偏移位置以获得修改后的偏移位置；

判断所述修改后的偏移位置是否小于所述日志存储文件的大小；

如果所述修改后的偏移位置小于所述日志存储文件的大小，则将所述修改后的偏移位置指定为下一初始化偏移位置，从而以与针对所述初始化偏移位置相同的方式针对所述下一初始化偏移位置执行获取日志记录的过程；以及

如果所述修改后的偏移位置大于所述日志存储文件的大小，则指示已经获取所述日志存储文件中的所有日志记录。

3.如权利要求2所述的方法，还包括以针对所述日志存储文件相同的方式获取多个日志存储文件中的所有日志记录，并将所获取的所有日志记录提取到日志记录集合中。

4.如权利要求3所述的方法，其中每个日志记录包括对其进行身份标识的跟踪ID，并将日志的类型提取到日志记录类型的集合中。

5.如权利要求4所述的方法，其中根据跟踪ID对日志记录进行分类。

6.如权利要求5所述的方法，其中针对每一种日志记录类型提取有价值的信息以进行取证分析。

7.一种用于日志取证分析的装置，包括用于执行如权利要求1-6中任一项所述的方法的单元。

8.一种其上存储有指令的计算机可读介质，所述指令当被执行时使得计算设备执行如权利要求1-6中任一项所述的方法。