[發明專利]用于分布式安全審計采集設備的日志發送系統及發送方法

有效

• 申請號: 201810062780.0
• 申請日: 2018-01-23
• 公開（公告）號: CN108306766B
• 公開（公告）日: 2021-03-02
• 發明（設計）人: 王小東;王蔚庭
• 申請（專利權）人: 北京天地和興科技有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種用于分布式安全審計采集設備的日志發送系統的發送方法，所述用于分布式安全審計采集設備的日志發送系統，包括通過工業以太網絡(1)連接的審計中心(2)和審計單元(3)；審計中心(2)包括第一日志管理模塊(4)，第一日志管理模塊(4)分別與告警管理模塊(5)、策略下發通訊模塊(6)、審計中心管理模塊(7)和第一定時模塊(8)連接，策略下發通訊模塊(6)和第一定時模塊(8)分別與策略管理模塊(9)連接，審計中心管理模塊(7)與審計中心數據庫(10)連接；審計單元(3)包括第二日志管理模塊(11)，第二日志管理模塊(11)分別與第二定時模塊(12)、通訊模塊(13)和審計單元管理模塊(14)連接，審計單元管理模塊(14)與審計單元數據庫(15)連接；

其特征在于包括以下步驟：

A、策略管理配置階段，

審計中心(2)實現審計中心的差時時間和時間片管理策略制定和策略下發；

審計中心(2)為全部的N個采集端設備分別分配一個設備站號，站號取1、2、3...N，N為正整數，采集端設備發送日志的順序按分配的站號1、2、3...N順次取得發送權限并開始發送；各站號的安全審計采集端設備取得開始發送日志權限的時刻定義為該安全審計采集端設備的差時發送時間，用Tn標識，1≤n≤N，n號站審計采集端設備，各安全審計采集端設備的差時發送時間到后允許發送日志的一段時間，定義為發送窗口時間⊿T_n，1≤n≤N，n號站審計采集端設備發送窗口時間，n號站審計采集端設備的差時發送時間審計中心根據各安全審計采集端設備的單位時間的發送日志數據流量，制定各安全審計采集端發送日志的發送窗口時間⊿T_n(1≤n≤N)，差時發送時間及發送窗口時間單位取毫秒；策略管理模塊形成管理策略命令幀，并通過通訊模塊下發給各采集端設備

B、日志發送運行階段，

審計中心(2)和審計單元(3)實現各安全審計采集端設備按配置的差時時間和時間片管理策略向審計中心發送審計日志，及審計中心對日志的處理。

2.根據權利要求1所述的用于分布式安全審計采集設備的日志發送系統的發送方法，其特征在于：管理策略命令幀包括命令碼、數據長度、設備站號、差時發送時間、發送窗口時間、CRC效驗，命令碼為1byte長度，取值0x68，規定了本數據幀為管理策略命令幀，數據長度是命令碼之后的本數據幀的長度，固定1byte長度，取值0x08，隨后規定了命令幀的采集端設備站號、啟動發送時刻、發送窗口時間、CRC效驗值，除站號1byte長度，其他均為2byte長度。

3.根據權利要求1所述的用于分布式安全審計采集設備的日志發送系統的發送方法，其特征在于：步驟B中，第一日志管理模塊(4)依照策略管理配置生成的各采集端設備的發送循環窗口時間⊿T_n，1≤n≤N，n號站審計采集端設備，通過策略下發通訊模塊(6)，周期性地向審計設備采集端發送同步啟動廣播命令幀；各審計設備采集端接收到來自審計中心的同步啟動廣播命令幀后的0時刻，對應站號1的采集端設備的差時發送時間為T₁,首先發起向審計中心(2)發送日志數據，發送窗口時間為⊿T₁,站號為2的采集端設備的差時發送時間為⊿T₁,⊿T₁時間到，即向審計中心(2)發送日志數據，發送窗口時間為⊿T₂，站號為3的采集端設備的差時發送時間為⊿T₁+⊿T₂,⊿T₁+⊿T₂時間到，即向審計中心(2)發送日志數據，發送窗口時間為⊿T₃，以此類推，站號為N的審計設備采集端的差時發送時間為時間到，即向審計中心(2)發送日志數據，發送窗口時間為⊿T_N，至此，完成一個發送循環窗口時間T的日志信息發送，隨后，第一日志管理模塊(4)收到第一定時模塊(8)的計時循環窗口時間到的信號后，重新向各審計設備采集端發送同步啟動廣播命令幀，啟動一個新的發送循環窗口時間的各審計設備采集端的日志發送。

4.根據權利要求3所述的用于分布式安全審計采集設備的日志發送系統的發送方法，其特征在于：廣播命令幀包括命令碼、4個常數0xff，及CRC效驗值，命令碼取值為0x69。