[发明专利]基于EDR的消息队列的处理装置和方法

权利要求书

1.一种基于EDR的消息队列的处理装置，其特征在于，包括处理模块、匹配模块和进程，其中，所述处理模块包括引擎；

所述处理模块，用于接收终端检测与响应EDR客户端发送的日志信息，并将所述日志信息发送给引擎；

所述引擎，用于根据所述日志信息得到接收所述日志信息的时间信息，并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联，得到关联ID，并将所述关联ID发送给所述匹配模块；

所述匹配模块，用于根据所述关联ID查找对应的进程ID，并根据所述进程ID将所述关联ID发送给相应的进程；

所述处理模块，还用于将所述日志信息按照预设清洗规则进行清洗，得到清洗后的日志信息，所述预设清洗规则包括正则匹配清洗规则和哈希HASH清洗规则中的至少一种。

2.根据权利要求1所述的基于EDR的消息队列的处理装置，其特征在于，所述进程包括解析模块和日志分析模块；

所述解析模块，用于对所述关联ID进行解析，得到所述EDR客户端的ID，并将所述EDR客户端的ID发送给所述日志分析模块；

所述日志分析模块，用于将所述EDR客户端的ID存储到大数据检索框架中。

3.根据权利要求2所述的基于EDR的消息队列的处理装置，其特征在于，所述日志信息还包括日志种类ID；

所述日志分析模块，还用于根据所述日志种类ID将不同种类的日志信息分为多个日志信息组。

4.根据权利要求2所述的基于EDR的消息队列的处理装置，其特征在于，还包括缓存模块，用于对所述EDR客户端的ID进行缓存。

5.一种基于EDR的消息队列的处理方法，其特征在于，所述方法包括：

接收终端检测与响应EDR客户端发送的日志信息，并将所述日志信息发送给引擎；

所述引擎根据所述日志信息得到接收所述日志信息的时间信息，并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联，得到关联ID；

根据所述关联ID查找对应的进程ID，并根据所述进程ID将所述关联ID发送给相应的进程；

所述方法还包括：

在接收终端检测与响应EDR客户端发送的日志信息之后，将所述日志信息按照预设清洗规则进行清洗，得到清洗后的日志信息，并将所述清洗后的日志信息发送给引擎，其中，所述预设清洗规则包括正则匹配清洗规则和哈希HASH清洗规则中的至少一种。

6.根据权利要求5所述的基于EDR的消息队列的处理方法，其特征在于，所述方法还包括：

对所述关联ID进行解析，得到所述EDR客户端的ID；

将所述EDR客户端的ID存储到大数据检索框架中。

7.根据权利要求6所述的基于EDR的消息队列的处理方法，其特征在于，所述日志信息还包括日志种类ID，所述方法还包括：

根据所述日志种类ID将不同种类的日志信息分为多个日志信息组。

8.一种电子设备，包括存储器、处理器，所述存储器上存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述权利要求5至7任一项所述的方法的步骤。

9.一种具有处理器可执行的非易失的程序代码的计算机可读介质，其特征在于，所述程序代码使所述处理器执行所述权利要求5至7任一项所述的方法。