[发明专利]一种通过日志收集分析中毒机器并进行告警的方法

权利要求书

1.一种通过日志收集分析中毒机器并进行告警的方法，其特征在于，

根据日志提取病毒特征形成特征库，根据特征库进行全内网检测；

包含以下方面:

1）日志收集；

2）syslog服务器日志存储；

3）消息队列集群；

4）日志的存储及查询分析；

5）安全预警；

对海量日志数据进行实时的异常行为分析，如发现异常行为，分析传输数据的特征，根据病毒特征库快速判断中病毒种类；根据特征库分析之后，在全内网进行该种病毒的全内网资产病毒探测；

对安全设备、网络设备、服务器、虚拟机、应用、数据库的日志实时进行批量日志收集分析，分析异常访问，根据日志异常访问，结合病毒库特征，判断资产是否中毒，并进行通报；

根据日志的异常访问特征，对全内网资产进行全部安全检测，找出相同特征资产，查找全部相关病毒机器，进行预警通报；

部署一个以上的syslog服务器收集全部设备的流量日志，收集的syslog日志通过logstash传输到kafka消息中间件，再通过logstash传输到统一的ES存储；

整个数据传输过程，性能需要调整到最优，保证由设备到syslog服务器，再到kafka、logstash、ES存储，全过程无数据积压，需要调整一次以上的参数，并调整部署架构；

后续的日志数据的提取分析的数据获取，都是通过ES的API提供；根据提供的接口调用的结果，定制报表会通过调用ESAPI做报表展示，可定期进行邮件发送通知；

具体步骤如下：

1）产生日志之后，将日志自动传输到配置好的syslog服务器，收集到的日志会在syslog服务器存储6个月；

3）Syslog服务器上安装了logstash客户端，负责收集syslog服务器的日志通过logstash传输到kafka集群；Syslog服务器的日志在传输到logstash的时候日志进行切分，按照key,value的格式进行的切分；

4）Kafka集群上安装logstash，负责将kafka消息队列的数据传输到ES集群，ES负责1个月的日志存储及基本查询；

5）ES负责一个月的数据存储，及接口查询，ES存储的数据，是已经把日志切分之后的数据；

7）对日志数据进行实时的异常行为分析，如发现异常行为，分析传输数据的特征，根据病毒特征库快速判断中病毒种类；

8）根据特征库分析之后，在全内网进行该种病毒的全内网资产病毒探测。