[發明專利]自動提取日志的方法、裝置及系統

在審

• 申請號: 201711042293.X
• 申請日: 2017-10-30
• 公開（公告）號: CN107819616A
• 公開（公告）日: 2018-03-20
• 發明（設計）人: 王勇;范淵
• 申請（專利權）人: 杭州安恒信息技術有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙)11371
• 代理人: 徐彥圣

技術領域

本發明涉及信息安全技術領域，尤其是涉及一種自動提取日志的方法、裝置及系統。

背景技術

現階段，我國網絡安全形勢日趨嚴峻復雜，網絡安全事件層出不窮。在網絡安全事件的偵破過程中，日志提取是一個必不可少的環節，也是一個必經階段。

隨著網絡通信技術的發展，部署在網絡環境中的設備和系統服務都越來越多，越來越復雜化，從而導致網絡環境中產生的日志呈現“海量”、“復雜”的特點。這使得現有的通過人工的方式提取日志的方法，出現了很多難以克服的問題，比如：日志提取不全面、提取效率低、提取時間長、反復提取等。

在發生網絡安全事件后，上述日志提取不全面、提取效率低等問題，進一步導致無法快速的定位日志、抓取日志以獲得線索，從而拖延偵破網絡安全事件的進度。

發明內容

有鑒于此，本發明的目的在于提供一種自動提取日志的方法、裝置及系統，使得網絡安全應急處置人員可以快速、自動提取日志并加以分析，從而獲得線索，加快偵破網絡安全事件的進度。

第一方面，本發明實施例提供了一種自動提取日志的方法，包括：

獲取目標服務器的基礎信息；基礎信息包括：進程信息、服務信息、系統信息、網絡端口信息中至少一項；

根據基礎信息進行分析，得到目標服務器的日志存儲路徑；

基于日志存儲路徑，生成日志信息說明文件。

結合第一方面，本發明實施例提供了第一方面的第一種可能的實施方式，其中，獲取目標服務器的基礎信息，具體包括：

接收用戶輸入的提取信息，其中，提取信息為提取日志的信息；

根據提取信息掃描目標服務器，并判斷目標服務器的系統類型；

執行與系統類型相匹配的命令腳本，得到目標服務器的基礎信息。

結合第一方面，本發明實施例提供了第一方面的第二種可能的實施方式，其中，根據基礎信息進行分析，得到目標服務器的日志存儲路徑，具體包括：

根據進程信息，查找目標服務器的數據庫進程信息；

根據數據庫進程信息查找命令行信息；

對命令行信息進行解析，得到數據庫的配置文件和說明文件；

分別解析配置文件和說明文件，得到解析結果；

將解析結果與預設策略庫中的特征信息進行比對，查找到日志存儲路徑；日志存儲路徑包括：第一數據庫日志存儲路徑或者項目源文件存儲路徑。

結合第一方面，本發明實施例提供了第一方面的第三種可能的實施方式，其中，根據基礎信息進行分析，得到目標服務器的日志存儲路徑，還包括：

根據服務信息，查找目標服務器的數據庫服務信息；

對數據庫服務信息進行解析，得到數據庫的安裝路徑和數據庫的配置路徑；

根據安裝路徑和配置路徑，查找目標服務器的配置文件和目標服務器的說明文件；

分別解析配置文件和說明文件，得到解析結果；

將解析結果與預設策略庫中的特征信息進行比對，查找到日志存儲路徑；日志存儲路徑包括第二數據庫存儲路徑。

結合第一方面，本發明實施例提供了第一方面的第四種可能的實施方式，其中，根據基礎信息進行分析，得到目標服務器的日志存儲路徑，還包括：

根據系統信息，判斷目標服務器的數據庫的系統類型；

將數據庫的系統類型與預設策略庫中的特征信息進行比對，查找對應的日志存儲路徑；日志存儲路徑包括系統日志路徑。

結合第一方面，本發明實施例提供了第一方面的第五種可能的實施方式，其中，根據基礎信息進行分析，得到目標服務器的日志存儲路徑，還包括：

將網絡端口信息與預設策略庫中的特征信息進行比對，查找對應的日志存儲路徑；日志存儲路徑包括：邊界設備日志存儲路徑。

結合第一方面，本發明實施例提供了第一方面的第六種可能的實施方式，其中，基于日志存儲路徑，生成日志信息說明文件，包括：

根據日志存儲路徑，提取相應的日志內容；

將日志內容進行壓縮拷貝，生成日志信息說明文件。

第二方面，本發明實施例提供一種自動提取日志的裝置，包括：

基礎信息獲取模塊，用于獲取目標服務器的基礎信息；基礎信息包括：進程信息、服務信息、系統信息、網絡端口信息中至少一項；

分析模塊，用于根據基礎信息進行分析，得到目標服務器的日志存儲路徑；

日志提取模塊，用于根據日志存儲路徑，提取日志內容并生成日志信息說明文件。