[发明专利]一种主机失陷确认及自动修复方法及基于此的系统

权利要求书

1.一种主机失陷确认及自动修复方法，其特征在于：所述方法包括以下步骤：

步骤1：为若干主机安装代理引擎；

步骤2：所述代理引擎启动，向协调引擎进行注册；

步骤3：协调引擎向APT设备订阅告警信息，制定对应的联动规则，将策略下发到注册在当前协调引擎的所有代理引擎；

步骤4：APT设备持续检测；当APT设备检测到任一协调引擎订阅的任一告警信息，进行下一步，否则，重复步骤4；

步骤5：APT触发告警事件，对应的协调引擎根据联动规则将告警事件下发至代理引擎；

步骤6：代理引擎执行联动规则规定的响应策略，并反馈结果至协调引擎。

2.根据权利要求1所述的一种主机失陷确认及自动修复方法，其特征在于：所述代理引擎包括文件目录监控模块、文本日志采集模块、数据库日志采集模块、过滤规则模块、应急响应模块。

3.根据权利要求1所述的一种主机失陷确认及自动修复方法，其特征在于：所述步骤3中，将策略下发到注册在当前协调引擎的所有代理引擎包括以下步骤：

步骤3.1：协调引擎与代理引擎建立TCP链接；

步骤3.2：协调引擎将数据封装为Json格式，加密；

步骤3.3：将加密后的数据通过TCP链接传输至代理引擎。

4.根据权利要求2所述的一种主机失陷确认及自动修复方法，其特征在于：所述步骤6包括以下步骤：

步骤6.1：代理引擎根据下发的联动规则，通过文件目录监控模块、文本日志采集模块和数据库日志采集模块进行目录监控和文本日志以及数据库日志采集；

步骤6.2：文件目录监控模块将监控信息向过滤规则模块传达；

步骤6.3：过滤规则模块将信息与预设的过滤规则进行匹配，若匹配成功，则进行下一步，否则，进行步骤6.5；

步骤6.4：触发应急响应，应急响应模块执行预设的响应策略；

步骤6.5：应急响应模块将执行结果回传至协调引擎。

5.根据权利要求1所述的一种主机失陷确认及自动修复方法，其特征在于：所述步骤6中，协调引擎将执行结果通知管理人员。

6.根据权利要求1所述的一种主机失陷确认及自动修复方法，其特征在于：所述步骤6中，预设代理引擎执行联动规则规定的响应策略的有效时间T。

7.根据权利要求1所述的一种主机失陷确认及自动修复方法，其特征在于：所述协调引擎包括顺次连接的接收端、响应端和若干操作端。

8.一种采用权利要求1~7之一所述的主机失陷确认及自动修复方法的主机失陷确认及自动修复系统，其特征在于：所述系统包括：

一协调引擎，用于与APT设备联动、获取APT设备下发的告警时间并基于预设的响应策略下发至代理引擎；

若干代理引擎，用于接收协调引擎下发的联动规则、基于规则进行主机监控并将应急响应的结果反馈至协调引擎。

9.根据权利要求8所述的一种主机失陷确认及自动修复系统，其特征在于：所述协调引擎包括：

一接收端，用于接收IO事件并触发新建通信频道；

一响应端，用于对接收端新建的通信频道对应的新事件进行响应并以事件的形式分发；

若干操作端，用于接收响应端分发的对应的事件，对通信频道进行读入、完成事件业务处理、对通信频道进行写出。

10.根据权利要求9所述的一种主机失陷确认及自动修复系统，其特征在于：所述新事件包括连接建立就绪、读就绪、写就绪。