[發(fā)明專利]一種日志數(shù)據(jù)處理方法及裝置

有效

• 申請?zhí)枺?/td>: 201710680824.1
• 申請日: 2017-08-10
• 公開（公告）號: CN107688619B
• 公開（公告）日: 2020-06-16
• 發(fā)明（設(shè)計）人: 白敏;高浩浩
• 申請（專利權(quán)）人: 奇安信科技集團(tuán)股份有限公司;網(wǎng)神信息技術(shù)（北京）股份有限公司
• 主分類號: G06F16/17
• 分類號: G06F16/17;G06K9/62
• 代理公司: 北京路浩知識產(chǎn)權(quán)代理有限公司 11002
• 代理人: 王瑩;李官

本發(fā)明實施例提供一種日志數(shù)據(jù)處理方法及裝置。所述方法包括：實時獲取被監(jiān)測會話對應(yīng)的被監(jiān)測日志數(shù)據(jù)，對被監(jiān)測日志數(shù)據(jù)進(jìn)行解析獲得時間戳；將時間戳進(jìn)行格式轉(zhuǎn)換獲得預(yù)設(shè)格式的轉(zhuǎn)換后時間戳；若判斷獲知轉(zhuǎn)換后時間戳與被監(jiān)測會話的會話開始時間不在同一天，則對轉(zhuǎn)換后時間戳進(jìn)行修正，獲得修正后時間戳；若判斷獲知修正后時間戳為被監(jiān)測會話的會話結(jié)束時間，則根據(jù)會話開始時間和會話結(jié)束時間進(jìn)行聚類分析，獲得分析結(jié)果。所述裝置用于執(zhí)行所述方法。本發(fā)明實施例通過將被監(jiān)測日志數(shù)據(jù)的時間戳轉(zhuǎn)換成預(yù)設(shè)格式，并對時間戳進(jìn)行修正，實現(xiàn)了會話時間的連續(xù)性，從而提高了聚類分析的準(zhǔn)確性。

技術(shù)領(lǐng)域

本發(fā)明實施例涉及計算機(jī)技術(shù)領(lǐng)域，尤其涉及一種日志數(shù)據(jù)處理方法及裝置。

背景技術(shù)

隨著信息技術(shù)的飛速發(fā)展和集群規(guī)模的不斷擴(kuò)大，隨之產(chǎn)生海量日志數(shù)據(jù)，日志數(shù)據(jù)記錄了系統(tǒng)的運行信息，而且當(dāng)用戶對在系統(tǒng)上進(jìn)行操作時，也會產(chǎn)生日志數(shù)據(jù)，因此，通過日志數(shù)據(jù)可以來分析用戶的行為，從而判斷該用戶是否發(fā)生異常。

通過對日志監(jiān)控，可以對軟件系統(tǒng)運行中產(chǎn)生的各類日志進(jìn)行采集、過濾、存儲、分析、檢測異常的一系列過程，是軟件監(jiān)控系統(tǒng)中的重要組成部分，通過對日志進(jìn)行不同角度的分析，可以達(dá)到對系統(tǒng)安全性監(jiān)控的目的。現(xiàn)有技術(shù)中，對日志分析的方法有通過監(jiān)控用戶訪問某一個進(jìn)程的時間或者頻率來進(jìn)行分析，例如：可以獲取用戶在正常情況下每天產(chǎn)生日志數(shù)據(jù)的時間段，當(dāng)監(jiān)聽到用戶產(chǎn)生日志的時間段偏離了正常時間段，則判斷出該用戶的操作可能出現(xiàn)了異常，從而達(dá)到對系統(tǒng)安全的監(jiān)控。但是，現(xiàn)有技術(shù)中，通過以天來分割，將每天的日志進(jìn)行歸類，即，若用戶是在前一天的23:30分登陸系統(tǒng)，在第二天的1:00退出系統(tǒng)，此時，是會將用戶的該次操作分開歸類，沒有體現(xiàn)出日志產(chǎn)生時間的連續(xù)性，從而導(dǎo)致了對日志數(shù)據(jù)分類不準(zhǔn)確的問題。

發(fā)明內(nèi)容

針對現(xiàn)有技術(shù)存在的問題，本發(fā)明實施例提供一種日志數(shù)據(jù)處理方法及裝置。

第一方面，本發(fā)明實施例提供一種日志數(shù)據(jù)處理方法，包括：

實時獲取被監(jiān)測會話對應(yīng)的被監(jiān)測日志數(shù)據(jù)，對所述被監(jiān)測日志數(shù)據(jù)進(jìn)行解析，獲得時間戳；

將所述時間戳進(jìn)行格式轉(zhuǎn)換，獲得預(yù)設(shè)格式的轉(zhuǎn)換后時間戳；

若判斷獲知所述轉(zhuǎn)換后時間戳與所述被監(jiān)測會話的會話開始時間不在同一天，則對所述轉(zhuǎn)換后時間戳進(jìn)行修正，獲得修正后時間戳；

若判斷獲知所述修正后時間戳為所述被監(jiān)測會話的會話結(jié)束時間，則根據(jù)所述會話開始時間和所述會話結(jié)束時間進(jìn)行聚類分析，獲得分析結(jié)果。

第二方面，本發(fā)明實施例提供一種日志數(shù)據(jù)處理裝置，包括：

第一獲取模塊，用于實時獲取被監(jiān)測會話對應(yīng)的被監(jiān)測日志數(shù)據(jù)，對所述被監(jiān)測日志數(shù)據(jù)進(jìn)行解析，獲得時間戳；

第一轉(zhuǎn)換模塊，用于將所述時間戳進(jìn)行格式轉(zhuǎn)換，獲得預(yù)設(shè)格式的轉(zhuǎn)換后時間戳；

修正模塊，用于若判斷獲知所述轉(zhuǎn)換后時間戳與所述被監(jiān)測會話的會話開始時間不在同一天，則對所述轉(zhuǎn)換后時間戳進(jìn)行修正，獲得修正后時間戳；

分析模塊，用于若判斷獲知所述修正后時間戳為所述被監(jiān)測會話的會話結(jié)束時間，則根據(jù)所述會話開始時間和所述會話結(jié)束時間進(jìn)行聚類分析，獲得分析結(jié)果。

第三方面，本發(fā)明實施例提供一種電子設(shè)備，包括：處理器、存儲器和總線，其中，

所述處理器和所述存儲器通過所述總線完成相互間的通信；

所述存儲器存儲有可被所述處理器執(zhí)行的程序指令，所述處理器調(diào)用所述程序指令能夠執(zhí)行第一方面的方法步驟。

第四方面，本發(fā)明實施例提供一種非暫態(tài)計算機(jī)可讀存儲介質(zhì)，包括：