[发明专利]基于行为异常检测的日志监控方法

摘要

本发明提供了一种基于行为异常检测的日志监控方法，包括日志预处理步骤和日志异常检测步骤；所述日志预处理步骤为统一日志结构并将日志进行聚类处理；所述异常检测步骤为根据日志聚类结果将日志流转化为行为序列，生成行为模式，获得实时日志流的异常指数；比较异常指数与异常阈值的大小，根据比较结果决定是否发出异常预警。本发明中的方法从日志类型特征出发，分析不同类型的日志产生规律，通过日志信息聚类的方式解决数据量过大的问题，从而实现对日志内容的实时有效分析，且便于实现数据处理的自动化，具有很高的通用性，异常检测成功率高。

主权项

1.一种基于行为异常检测的日志监控方法，其特征在于，包括如下步骤：日志预处理步骤：统一日志结构并将日志进行聚类处理；日志异常检测步骤：根据日志聚类结果将日志流转化为行为序列，生成行为模式，获得实时日志流的异常指数；所述日志异常检测步骤包括：日志流转换为行为序列步骤，生成行为模式步骤，计算实时日志流异常指数步骤；其中，所述日志流转换为行为序列步骤包括：步骤C1：根据聚类结果，为每一个日志类型赋一个类型号；步骤C2：构建日志训练数据集，并把日志训练数据集转化为由时间戳和类型号组成的序列；步骤C3：给定一个时间间隔，统计每个类型号在时间间隔中的出现次数，得到多个频率序列，即行为序列，其中每个序列对应一个日志类型。