[發明專利]基于日志的復雜軟件系統異常行為檢測方法

有效

• 申請號: 201710553032.8
• 申請日: 2017-07-07
• 公開（公告）號: CN107391353B
• 公開（公告）日: 2020-07-28
• 發明（設計）人: 鮑亮;魯沛瑤;栗殷;路杰;陳平
• 申請（專利權）人: 西安電子科技大學
• 主分類號: G06F11/34
• 分類號: G06F11/34;G06F11/30;G06F11/36
• 代理公司: 陜西電子工業專利中心 61205
• 代理人: 程曉霞;王品華

1.一種基于日志的復雜軟件系統異常行為檢測方法，其特征在于，包含有如下步驟：

步驟1：分析系統源碼：將被檢測的復雜軟件系統的源碼作為輸入，使用抽象語法樹提取源碼中可用信息，獲得源碼的控制流圖和日志模板集，其中日志模板為日志打印語句的結構化定義；根據源碼的控制流圖，可得日志模板間的可達關系；

步驟2：解析日志語句：對標準化的日志消息進行建模，其信息包括日志行號、級別、時間戳和日志模板信息等；采集被檢測的復雜軟件系統產生的日志語句，進行有效信息提取，并匹配相應的日志模板，得到完整的日志消息；

步驟3：抽取執行軌跡：結合解析得到的日志消息集合，基于日志模板間的可達關系進行日志執行軌跡提取，并做相應的處理，得到執行軌跡集合；

步驟4：異常檢測：采用異常概率樹的方法分析執行軌跡集合，將執行軌跡當作數據序列，根據序列與整個網絡之間的相似度來判斷序列數據中是否存在異常，結合日志執行軌跡的拓撲結構和出現的次數進行異常指數的計算。

2.根據權利要求1所述的一種基于日志的復雜軟件系統異常行為檢測方法，其特征在于，步驟1所述分析系統源碼，獲取日志打印語句間的可達關系，具體包括有如下步驟：

1.1定義控制流圖、可達關系圖和日志模板的表示形式

帶有函數調用信息的控制流圖，定義為G_F＝(V_F,E_F)表示；

日志模板可達關系圖，定義為G_L＝(V_L,E_L)表示；

日志模板：日志模板為系統源代碼中日志輸出語句通用的抽象結構，定義為四元組ls＝(id,loc,cons,vars)表示；

1.2使用控制流分析實現源碼S向G_L的轉換具體包括有如下步驟：

1.2.1以文件為單位，使用抽象語法樹將系統源碼轉換為AST節點；

1.2.2以函數入口為起點，遞歸遍歷源碼S中的所有函數，獲得以函數為單位的控制流圖G_c＝(V_c,E_c)，重復執行該步驟獲得源碼S的控制流圖集合CFGs{G₁,G₂,...,G_n}；

1.2.3創建包含函數調用的控制流圖G_F＝(V_F,E_F)，其中V_F＝{G₁.V_C∪G₂.V_C∪…∪G_n.V_C}，E_F＝{G₁.E_C∪G₂.E_C∪…∪G_n.E_C}；

1.2.4給定任意兩個和如果存在從節點到另一節點的函數調用，為G_F.E_F添加邊重復該步驟至所有函數被處理完；

1.2.5為日志模板創建可達關系圖G_L＝(V_L,E_L)，其中G_L.V_L＝LS，LS＝{ls₁,ls₂,…,ls_m}是日志模板集合；

1.2.6為任意兩個節點在圖G_F上使用Floyd-Warshall算法檢測節點和節點是否可達；如果可達，為G_L.E_L添加邊重復該步驟至圖G_L上的所有節點被處理。