[发明专利]一种安全日志要素处理方法及系统

权利要求书

1.一种安全日志要素处理方法，其特征在于，方法包括：

采集日志文件；

对日志文件进行解析，判断日志文件的类型；

如日志文件为未知日志类型，自然语言处理模块对日志文件的要素信息进行分类和提取；

资产比对模块对日志文件的要素信息进行验证匹配，匹配出主客体信息；

将提取出的日志文件的要素信息和匹配的主客体储存至事件信息库。

2.根据权利要求1所述的安全日志要素处理方法，其特征在于，

步骤对日志文件进行解析还包括：

提取日志文件中的每个要素信息，并基于行分隔方式对要素信息进行分隔；

将分隔后的日志文件储存至原始日志信息库。

3.根据权利要求2所述的安全日志要素处理方法，其特征在于，

对原始日志信息库内的日志文件判断类型；

如日志文件为已知日志类型，基于预设事件处理规则对日志文件的要素信息进行处理；

将处理后的日志文件储存至事件信息库。

4.根据权利要求1或2所述的安全日志要素处理方法，其特征在于，

自然语言处理模块通过CharCNN文本分类模型，实现日志文件的分类。

5.根据权利要求1或2所述的安全日志要素处理方法，其特征在于，

自然语言处理模块通过时间要素对日志文件的产生时间进行提取。

6.根据权利要求1或2所述的安全日志要素处理方法，其特征在于，

自然语言处理模块使用HanLP中分词功能产生的关键字提取日志文件中的协议要素；

自然语言处理模块还使用HanLP中文本相似度算法功能提取IP值。

7.根据权利要求1或2所述的安全日志要素处理方法，其特征在于，

自然语言处理模块提取日志文件中的动作要素和结果类型要素。

8.根据权利要求1或2所述的安全日志要素处理方法，其特征在于，

构建设备资产信息库，设备资产信息库对行为日志的主体和客体信息进行存储；

构建分类及语义词库，分类及语义词库存储设备资产类型信息对应的单词和词语，或者经过分词处理后统计出的高频词的分类词。

9.一种安全日志要素处理系统，其特征在于，包括：日志采集模块、日志解析判断模块、自然语言处理模块、资产比对模块、数据储存模块以及事件信息库；

日志采集模块用于从日志源采集日志文件；

日志解析判断模块用于对日志文件进行解析，判断日志文件的类型；

如日志文件为未知日志类型，自然语言处理模块对日志文件的要素信息进行分类和提取；

资产比对模块用于对日志文件的要素信息进行验证匹配，匹配出主客体信息；

数据储存模块用于将提取出的日志文件的要素信息和匹配的主客体储存至事件信息库。

10.根据权利要求9所述的安全日志要素处理系统，其特征在于，

还包括：原始日志信息库、设备资产信息库、分类及语义词库。