[发明专利]一种基于模板和流量状态的日志解析方法及系统

说明书

本发明公开了一种基于模板和流量状态的日志解析方法及系统，包括：获取网络日志；通过预先确定的日志模板库对所述网络日志进行匹配判断，若匹配成功则输出解析日志，若匹配失败则通过流量状态实时库继续对网络日志进行匹配判断，若匹配成功则输出解析日志，并将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库，若匹配失败则输出原始日志。优点：本发明能够解决现有网络安全监测装置解析日志能力有限的问题，进一步提高了网络日志的自动化解析能力，进而提高了整个系统的安全性。

技术领域

本发明涉及一种基于模板和流量状态的日志解析方法及系统，属于数据处理技术领域。

背景技术

网络安全监测装置部署于变电站或电厂，用于收集站内信息并将重要日志上送。在规范的实施过程中，对所接入设备的日志格式进行了规范。但是在实际存量变电站或电厂中，大量的网络设备或安防设备的日志并没有按照规范所定义的格式来发送，这就导致网络安全监测装置所能采集到的信息收到了限制。

发明内容

本发明所要解决的技术问题是克服现有技术的缺陷，提供一种基于模板和流量状态的日志解析方法及系统。

为解决上述技术问题，本发明提供一种基于模板和流量状态的日志解析方法，包括：

获取网络日志；

通过预先确定的日志模板库对所述网络日志进行匹配判断，若匹配成功则输出解析日志，

若匹配失败则通过流量状态实时库继续对网络日志进行匹配判断，若匹配成功则输出解析日志，并将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库，

若匹配失败则输出原始日志，后续进行人工分析处理。

进一步的，所述获取网络日志的过程包括：

通过设置本机为syslog服务器来获取网络日志，或通过抓取交换机上的网络流量并获取514端口的UDP（用户数据报协议）报文来获取网络日志。

进一步的，所述通过预先确定的日志模板库对所述网络日志进行匹配判断的过程包括：

获取与所述网络日志相关的一类装置的日志范式化解析模板，根据范式化解析模板通过关键字匹配或正则表达式匹配进行匹配判断。

进一步的，所述流量状态实时库为网络中针对某个IP建立的网络状态行为特征库；

所述网络状态行为特征库中的特征为某一时刻网络连接、中断、正常交互的过程或一段时间内的连接、流量特征。

进一步的，还包括审核过程，用于在将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库之前进行审核，审核通过后再添加到日志模板库中。

一种基于模板和流量状态的日志解析系统，包括：

获取模块，用于获取网络日志；

匹配模块，用于通过预先确定的日志模板库对所述网络日志进行匹配判断，若匹配成功则输出解析日志，若匹配失败则通过流量状态实时库继续对网络日志进行匹配判断，若匹配成功则输出解析日志，并将流量状态实时库匹配成功的日志自动形成模板添加到日志模板库，若匹配失败则输出原始日志，后续进行人工分析处理。

进一步的，所述获取模块包括：

第一获取模块，用于通过设置本机为syslog服务器来获取网络日志；

第二获取模块，用于通过抓取交换机上的网络流量并获取514端口的UDP报文来获取网络日志。

进一步的，所述匹配模块包括：

日志模板库构建模块，用于获取与所述网络日志相关的一类装置的日志范式化解析模板；