[发明专利]被攻击服务器的信息获取方法、装置和电子设备

权利要求书

1.一种被攻击服务器的信息获取方法，其特征在于，所述方法包括：

获取第一日志数据组、第二日志数据组和第三日志数据组；

将所述第一日志数据组、所述第二日志数据组和所述第三日志数据组三者进行关联，得到攻击事件数据组；

根据所述攻击事件数据组中的被攻击服务器的地址，从资源管理服务器中获取所述被攻击服务器的信息；

其中，所述第一日志数据组为来自蜜罐服务器的蜜罐服务日志的数据组，所述第二日志数据组为来自鉴权授权与计费服务器的认证日志的数据组，所述第三日志数据组为来自虚拟专用网络服务器的用户日志的数据组，每个日志数据组包括一个用户进行一次网络访问产生的多条日志数据，所述资源管理服务器中存储有多个服务器的信息和多个用户的信息，所述攻击事件数据组包括攻击者地址、攻击者用户名、发起攻击的时间和被攻击服务器的地址；

所述将所述第一日志数据组、所述第二日志数据组和所述第三日志数据组三者进行关联，得到攻击事件数据组，包括：

从日志采集数据库的多个第一日志数据组中选取任一第一日志数据组作为目标第一日志数据组，根据所述目标第一日志数据组，从所述日志采集数据库的多个第二日志数据组中，查找匹配的目标第二日志数据组；

根据所述目标第二日志数据组，从所述日志采集数据库的多个第三日志数据组中，查找匹配的至少一个目标第三日志数据组；

将所述目标第一日志数据组、所述目标第二日志数据组和所述至少一个目标第三日志数据组三者进行关联，得到目标攻击事件数据组；

所述根据目标第一日志数据组，从日志采集数据库中的多个第二日志数据组中，查找匹配的目标第二日志数据组，包括：

根据所述目标第一日志数据组，从所述日志采集数据库的多个第二日志数据组中，查找发起访问的用户地址与所述目标第一日志数据组中的攻击者地址相匹配、且发起访问的时间与所述目标第一日志数据组中发起攻击的时间之间时间差的绝对值小于等于第一预设时间差阈值的目标第二目标日志数据组；

其中，所述第一日志数据组包括攻击者地址和发起攻击的时间，所述第二日志数据组包括发起访问的时间、发起访问的用户地址和发起访问的用户名；

所述根据所述目标第二日志数据组，从所述日志采集数据库的多个第三日志数据组中，查找匹配的至少一个目标第三日志数据组，包括：

根据所述目标第二日志数据组，从所述日志采集数据库的多个第三日志数据组中，查找发起访问的用户名与所述目标第二日志数据组中的发起访问的用户名相匹配、且发起访问的时间与所述目标第二日志数据组中的发起访问的时间之间时间差的绝对值小于等于第二预设时间差阈值的至少一个目标第三日志数据组；

其中，所述第三日志数据组包括发起访问的时间、发起访问的用户名和发起访问的用户地址；

所述将所述目标第一日志数据组、所述目标第二日志数据组和所述至少一个目标第三日志数据组三者进行关联，得到目标攻击事件数据组，包括：

将所述目标第一日志数据组中的发起攻击的时间和攻击者地址，分别作为所述目标攻击事件数据组中的发起攻击的时间和攻击者地址，将所述目标第二日志数据组中的发起访问的用户名作为所述目标攻击事件数据组中的攻击者用户名，并将所述至少一个目标第三日志数据组中的至少一个发起访问的用户地址作为所述目标攻击事件数据组中的被攻击服务器的地址。

2.如权利要求1所述的方法，其特征在于，在所述获取第一日志数据组、第二日志数据组和第三日志数据组之前，所述方法还包括：

所述蜜罐服务器、所述鉴权授权与计费服务器和所述虚拟专用网络服务器分别将所述蜜罐服务日志、所述认证日志和所述用户日志发送给日志管理服务器；

所述日志管理服务器根据日志采集数据库中的多个字段名，分别将所述蜜罐服务日志、所述认证日志和所述用户日志拆分为所述第一日志数据组、所述第二日志数据组和所述第三日志数据组，一个日志数据组中的一条日志数据对应于一个字段名；

所述日志管理服务器将所述第一日志数据组、所述第二日志数据组和所述第三日志数据组发送给所述日志采集数据库。

3.如权利要求2所述的方法，其特征在于，所述蜜罐服务器将所述蜜罐服务日志发送给所述日志管理服务器，包括：

所述蜜罐服务器将所述蜜罐服务日志发送给缓存设备；

所述日志管理服务器从所述缓存设备获取所述蜜罐服务日志。