[发明专利]基于EDR的消息队列的处理装置和方法

说明书

本发明提供了基于EDR的消息队列的处理装置和方法，包括处理模块、匹配模块和进程，其中，处理模块包括引擎；处理模块用于接收终端检测与响应EDR客户端发送的日志信息，并将日志信息发送给引擎；引擎用于根据所述日志信息得到接收日志信息的时间信息，并将日志信息中的EDR客户端的标识符ID、时间信息和引擎的ID进行关联，得到关联ID，并将关联ID发送给匹配模块；匹配模块用于根据关联ID查找对应的进程ID，并根据进程ID将关联ID发送给相应的进程，可以确保日志信息有序发送和提高日志信息发送的准确性。

技术领域

本发明涉及网络安全技术领域，尤其是涉及基于EDR的消息队列的处理装置和方法。

背景技术

随着EDR(Endpoint Detection and Response，终端检测与响应)客户端的快速发展，对日志信息进行分析和处理，显得十分重要。

当EDR客户端发现威胁时，会产生登录防护、病毒查杀、进程防护、网站漏洞防护、勒索防护和网站后门查杀等日志信息。如果EDR客户端直接对上述日志信息进行处理，效率太低，吞吐量达不到日志信息产生的速度。一旦日志信息量太大，会造成服务宕机等恶性事件。而采用kafka等消息队列，可以将日志信息从消息队列中取出，并进行处理。但是在日志信息较多的情况下，当对日志信息进行批量发送时，无法确保日志信息有序发送，并且无法精确匹配相应的目标对象。

发明内容

有鉴于此，本发明的目的在于提供基于EDR的消息队列的处理装置和方法，可以确保日志信息有序发送和提高日志信息发送的准确性。

第一方面，本发明实施例提供了基于EDR的消息队列的处理装置，包括处理模块、匹配模块和进程，其中，所述处理模块包括引擎；

所述处理模块，用于接收终端检测与响应EDR客户端发送的日志信息，并将所述日志信息发送给引擎；

所述引擎，用于根据所述日志信息得到接收所述日志信息的时间信息，并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联，得到关联ID，并将所述关联ID发送给所述匹配模块；

所述匹配模块，用于根据所述关联ID查找对应的进程ID，并根据所述进程ID将所述关联ID发送给相应的进程。

进一步的，所述进程包括解析模块和日志分析模块；

所述解析模块，用于对所述关联ID进行解析，得到所述EDR客户端的ID，并将所述EDR客户端的ID发送给所述日志分析模块；

所述日志分析模块，用于将所述EDR客户端的ID存储到大数据检索框架中。

进一步的，所述日志信息还包括日志种类ID；

所述日志分析模块，还用于根据所述日志种类ID将不同种类的日志信息分为多个日志信息组。

进一步的，还包括缓存模块，用于对所述EDR客户端的ID进行缓存。

进一步的，所述处理模块，还用于将所述日志信息按照预设清洗规则进行清洗，得到清洗后的日志信息，所述预设清洗规则包括正则匹配清洗规则和哈希HASH清洗规则中的至少一种。

第二方面，本发明实施例提供了基于EDR的消息队列的处理方法，所述方法包括：

接收终端检测与响应EDR客户端发送的日志信息，并将所述日志信息发送给引擎；

所述引擎根据所述日志信息得到接收所述日志信息的时间信息，并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联，得到关联ID；

根据所述关联ID查找对应的进程ID，并根据所述进程ID将所述关联ID发送给相应的进程。

进一步的，所述方法还包括：