[發明專利]一種基于XML標簽語言的日志管理方法和系統

在審

• 申請號: 201410064744.X
• 申請日: 2014-02-24
• 公開（公告）號: CN104778189A
• 公開（公告）日: 2015-07-15
• 發明（設計）人: 王皓然;文才豪
• 申請（專利權）人: 貴州電網公司信息通信分公司
• 主分類號: G06F17/30
• 分類號: G06F17/30
• 代理公司: 貴陽中新專利商標事務所 52100
• 代理人: 李亮;劉楠

1.一種基于XML標簽語言的日志管理方法，其特征在于：該方法以XML語言的語法規則為基礎，從所有的入侵檢測系統、防火墻、操作系統、應用軟件和防病毒系統中獲得安全事件，定義范化引擎和范化策略，根據范化引擎加載范化策略，并根據待范化的數據，選擇合適的范化規則進行日志樣本數據的范化。

2.根據權利要求1所述的基于XML標簽語言的日志管理方法，其特征在于：具體定義范化引擎和范化策略的方法是利用XML語言的元素來表示類別，利用XML的屬性來表示特性，并引入擴展的特征，包括類型、常量、函數。

3.根據權利要求1所述的基于XML標簽語言的日志管理方法，其特征在于：該方法的具體步驟如下：

步驟一、分析日志；收集日志或者告警樣本，并對所收集到的日志或者告警樣本進行分析，分析的目的在于明確需要定義的數據結構，以及范化規則和映射規則的基本框架；

步驟二、定義范化數據結構；合理范化給定日志樣本數據的數據結構；

步驟三、定義規則；編制出合理的范化策略以及映射策略，并定義出相應的范化規則和映射規則；

步驟四、?加載策略；通過范化引擎將加載范化策略；

步驟五、查找匹配；根據待范化的數據，選擇合適的規則進行范化，具體做法是，查找匹配的規則，每成功匹配一次，就執行一個對應的范化動作；

步驟六、關聯數據結構；將范化操作得到日志樣本數據的字段與數據結構的相關字段相關聯；

步驟七、映射處理；根據所述關聯結構，應用映射規則決定是否做日記數據字段與數據結構字段的映射處理；

步驟八、類型轉換；負責執行格式與類型轉換操作；

步驟九、輸出結果；輸出范化后的結果。

4.根據權利要求3所述的基于XML標簽語言的日志管理方法，其特征在于：范化規則組織成一個規則樹，并提供正則表達式匹配、規則查找接口，并將查找的相關關鍵字段以鏈表形式輸出。

5.根據權利要求3所述的基于XML標簽語言的日志管理方法，其特征在于：映射策略組織成內存中的可實現高速查詢的B+樹，并提供映射查找接口。

6.根據權利要求3所述的基于XML標簽語言的日志管理方法，其特征在于：查找匹配的原理是利用“頻繁使用優先算法”查找與事件數據相匹配的范化規則，并選擇映射規則進行規則映射。

7.根據權利要求3所述的基于XML標簽語言的日志管理方法，其特征在于：類行轉換指將事件數據由字符串形式轉換成IP、MAC、時間、整數數據類型，同時能將數據寫到指定的內存位置。

8.一種基于XML標簽語言的日志管理系統，其特征在于：該管理系統包括范化調度模塊、數據結構管理模塊、規則管理模塊、映射管理模塊和類型轉換模塊；范化調度模塊與數據結構管理模塊、規則管理模塊、映射管理模塊和類型轉換模塊之間進行控制流的連接，范化調度模塊發出控制指令，負責調度數據結構管理模塊、規則管理模塊、映射管理模塊和類型轉換模塊；規則管理模塊以數據流的方式與范化調度模塊、數據結構管理模塊、映射管理模塊和類型轉換模塊相連接，傳遞數據信息。

9.根據權利要求8所述的基于XML標簽語言的日志管理系統，其特征在于：所述范化調度模塊負責調度和管理數據結構管理模塊、規則管理模塊、映射管理模塊、類型轉換模塊4個功能模塊，使用優先算法查找與事件數據相匹配的范化規則，并選擇合適的映射規則進行規則映射，然后調用類型轉換模塊，對事件數據進行范化；類型轉換模塊負責將事件數據由字符串形式轉換成IP、MAC、時間、整數數據類型，同時能將數據寫到指定的內存位置。