[发明专利]一种日志分析方法、服务器、电子设备及存储介质

权利要求书

1.一种日志分析方法，其特征在于，应用于服务器，所述方法包括：

获得待分析的第一日志文件；

对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

展示所述第一日志文件对应的日志分析结果。

2.根据权利要求1所述的方法，其特征在于，在根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果之后，所述方法还包括：

记录并存储所述第一日志文件对应的日志分析结果；

对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

在所述第二日志文件的文件形式与非恶意文件的通用文件形式相匹配时，确定所述第二日志文件是非恶意文件。

3.根据权利要求1所述的方法，其特征在于，在根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果之后，所述方法还包括：

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是恶意文件时，拦截所述第一日志文件；

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是非恶意文件时，通过网络将所述第一日志文件发送给终端。

4.根据权利要求3所述的方法，其特征在于，所述服务器上运行有OSSEC服务端程序；获得待分析的第一日志文件，包括：

通过所述OSSEC服务端程序接收并存储多个日志文件；

将多个所述日志文件中的任一日志文件确定为所述第一日志文件。

5.根据权利要求1-4任一所述的方法，其特征在于，对所述第一日志文件包括的语句进行解析，包括：

利用正则表达式，提取所述第一日志文件包括的语句中的预设信息，所述预设信息包括以下至少一者：关键词、表名、列名、字段值以及运算符。

6.根据权利要求1-4任一所述的方法，其特征在于，对所述第一日志文件的文件特征和行为特征进行检测，包括：

根据预设规则库，对所述第一日志文件的文件特征和行为特征进行打分。

7.一种服务器，其特征在于，包括：

存储收集模块，用于获得待分析的第一日志文件；

分析模块，用于对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

第一确定模块，用于根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

结果展示模块，用于展示所述第一日志文件对应的日志分析结果。

8.根据权利要求7所述的服务器，其特征在于，所述服务器还包括：

储存模块，用于记录并存储所述第一日志文件对应的日志分析结果；

记忆模块，用于对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得模块，用于获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断模块，用于判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

第二确定模块，用于在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

第三确定模块，用于在所述第二日志文件的文件形式与非恶意文件的文件形式相匹配时，确定所述第二日志文件是非恶意文件。