[发明专利]一种基于模板和流量状态的日志解析方法及系统

权利要求书

1.一种基于模板和流量状态的日志解析方法，其特征在于，包括：

获取网络日志；

通过预先确定的日志模板库对所述网络日志进行匹配判断，若匹配成功则输出解析日志，

若匹配失败则通过流量状态实时库继续对网络日志进行匹配判断，若匹配成功则输出解析日志，并将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库，

若匹配失败则输出原始日志，后续进行人工分析处理。

2.根据权利要求1所述的基于模板和流量状态的日志解析方法，其特征在于，所述获取网络日志的过程包括：

通过设置本机为syslog服务器来获取网络日志，或通过抓取交换机上的网络流量并获取514端口的UDP报文来获取网络日志。

3.根据权利要求1所述的基于模板和流量状态的日志解析方法，其特征在于，所述通过预先确定的日志模板库对所述网络日志进行匹配判断的过程包括：

获取与所述网络日志相关的一类装置的日志范式化解析模板，根据范式化解析模板通过关键字匹配或正则表达式匹配进行匹配判断。

4.根据权利要求1所述的基于模板和流量状态的日志解析方法，其特征在于，所述流量状态实时库为网络中针对某个IP建立的网络状态行为特征库；

所述网络状态行为特征库中的特征为某一时刻网络连接、中断、正常交互的过程或一段时间内的连接、流量特征。

5.根据权利要求4所述的基于模板和流量状态的日志解析方法，其特征在于，还包括审核过程，用于在将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库之前进行审核，审核通过后再添加到日志模板库中。

6.一种基于模板和流量状态的日志解析系统，其特征在于，包括：

获取模块，用于获取网络日志；

匹配模块，用于通过预先确定的日志模板库对所述网络日志进行匹配判断，若匹配成功则输出解析日志，若匹配失败则通过流量状态实时库继续对网络日志进行匹配判断，若匹配成功则输出解析日志，并将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库，若匹配失败则输出原始日志，后续进行人工分析处理。

7.根据权利要求6所述的基于模板和流量状态的日志解析系统，其特征在于，所述获取模块包括：

第一获取模块，用于通过设置本机为syslog服务器来获取网络日志；

第二获取模块，用于通过抓取交换机上的网络流量并获取514端口的UDP报文来获取网络日志。

8.根据权利要求6所述的基于模板和流量状态的日志解析系统，其特征在于，所述匹配模块包括：

日志模板库构建模块，用于获取与所述网络日志相关的一类装置的日志范式化解析模板；

判断模块，用于根据范式化解析模板通过关键字匹配或正则表达式匹配进行匹配判断。

9.根据权利要求6所述的基于模板和流量状态的日志解析系统，其特征在于，所述匹配模块包括：

网络状态行为特征获取模块，用于获取某一时刻网络连接、中断、正常交互的过程或一段时间内的连接、流量特征。

10.根据权利要求6所述的基于模板和流量状态的日志解析系统 ，其特征在于，还包括审核模块，用于在将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库之前进行审核，审核通过后再添加到日志模板库中。