[发明专利]一种攻击次数分类统计方法及系统

权利要求书

1.一种攻击次数分类统计方法，其特征在于：包括，

采集各安全设备原始日志，并对所述原始日志进行预处理；

将所述预处理后的日志数据存放至可扩展分布式文件系统中；

获取可扩展分布式文件系统存储的数据，结合目标维度，对日志进行聚合，计算出攻击次数，并进行分类统计。

2.如权利要求1所述的攻击次数分类统计方法，其特征在于：所述各安全设备原始日志包括，各安全设备运行过程中产生的多源异构数据以及每条日志的接收时间；

所述预处理包括对日志数据的去重、去噪、加强以及范式化；

若所述安全设备原始日志为正序数据时，所述去重、去噪包括将原始数据作为数据源，按正则匹配原始日志内容，并创建5秒的Flink时间窗口，对窗口内原始日志去重、去噪；

若所述安全设备原始日志为乱序数据时，所述去重、去噪包括将原始数据作为数据源，并为每条日志增加“接收时间”字段，在Flink中处理日志时，使用“事件时间窗口”处理；

所述加强包括对原始日志内容关联地理位置、资产、受攻击业务系统以及其他原始日志存在缺少的内容进行补充；

所述范式化包括通过攻击源IP关联地理位置信息库，得到攻击源地理位置信息，通过攻击目的IP关联资产，得到受攻击业务系统信息，按照告警规范将原始攻击类型映射到标准攻击类型，并将日志内容分别映射到制定好的统一字段，以json格式发送到消息队列。

3.如权利要求2所述的攻击次数分类统计方法，其特征在于：所述将所述预处理后的日志数据存放至可扩展分布式文件系统中包括使用分桶策略以及回滚策略实现日志数据存储，

所述分桶策略包括预设分桶数量，以日志模型号和时间作为分桶依据；

所述回滚策略包括如下：

s.t：t≥Th(Sn-Sn+i)＝0w≥Wy

其中，t为预处理后的日志数据文件从获取到当前已经经历的时间，T_h为与预设文件回滚周期，S_n为n时刻可扩展分布式文件系统中的总数据，S_n+i为n+i时刻可扩展分布式文件系统中的总数据，i为预设新数据判别周期，w为当前文件大小数值，W_y为预设判别文件大小数值，当满足上述公式条件，则生成新文件。

4.如权利要求3所述的攻击次数分类统计方法，其特征在于：所述日志进行聚合包括初步聚合以及再次聚合，

所述初步聚合包括，通过预设固定调度周期，获取分布式文件系统上固定调度周期内的数据，按照第一预设时间将所述预设固定调度周期进行等额划分，并按照第M周期-第N份时间段进行命名；

当获取到预处理后的日志中的事件时间后，将获取到的事件时间与命名后的时间段进行映射，并根据映射结果得到事件时间范围；

当某事件时间映射至时间段的后一分钟内时，以事件时间的发生时间为起始时间，以五分钟为范围，获取新的事件时间范围，以此作为该事件时间范围；

当确定时间范围后，在该时间范围内对某事件的发送设备IP进行关联，获取可达阻断类型；

根据事件所属网络、地理位置、攻击类型、受攻击业务系统、可达阻断类型和事件时间范围进行聚合，得到初步聚合的攻击次数，存入数据仓库工具分区表的当天分区中。

5.如权利要求4所述的攻击次数分类统计方法，其特征在于：所述日志进行聚合还包括，所述再次聚合包括分别计算具体维度的攻击次数，在数据仓库工具中建立分区表，保存攻击次数初步聚合的中间结果，当进行再次聚合时，直接使用数据仓库工具SQL取当天分区的中间结果计算，即使数据乱序到达，也能保证将每次攻击按照事件时间归入到正确的时间范围。