[發明專利]一種日志分析方法、服務器、電子設備及存儲介質

在審

• 申請號: 201911047339.6
• 申請日: 2019-10-30
• 公開（公告）號: CN110889113A
• 公開（公告）日: 2020-03-17
• 發明（設計）人: 賈永博
• 申請（專利權）人: 泰康保險集團股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 莎日娜

1.一種日志分析方法，其特征在于，應用于服務器，所述方法包括：

獲得待分析的第一日志文件；

對所述第一日志文件的文件特征和行為特征進行檢測，得到檢測結果；對所述第一日志文件包括的語句進行解析，得到解析結果；

根據所述檢測結果和所述解析結果，確定所述第一日志文件對應的日志分析結果，所述日志分析結果表征所述第一日志文件是惡意文件還是非惡意文件；

展示所述第一日志文件對應的日志分析結果。

2.根據權利要求1所述的方法，其特征在于，在根據所述檢測結果和所述解析結果，確定所述第一日志文件對應的日志分析結果之后，所述方法還包括：

記錄并存儲所述第一日志文件對應的日志分析結果；

對所述第一日志文件對應的日志分析結果進行自學習，得到惡意文件的通用文件形式或非惡意文件的通用文件形式；

獲得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判斷所述第二日志文件的文件形式是否與惡意文件的通用文件形式或非惡意文件的通用文件形式相匹配；

在所述第二日志文件的文件形式與惡意文件的通用文件形式相匹配時，確定所述第二日志文件是惡意文件；

在所述第二日志文件的文件形式與非惡意文件的通用文件形式相匹配時，確定所述第二日志文件是非惡意文件。

3.根據權利要求1所述的方法，其特征在于，在根據所述檢測結果和所述解析結果，確定所述第一日志文件對應的日志分析結果之后，所述方法還包括：

在所述第一日志文件對應的日志分析結果表征所述第一日志文件是惡意文件時，攔截所述第一日志文件；

在所述第一日志文件對應的日志分析結果表征所述第一日志文件是非惡意文件時，通過網絡將所述第一日志文件發送給終端。

4.根據權利要求3所述的方法，其特征在于，所述服務器上運行有OSSEC服務端程序；獲得待分析的第一日志文件，包括：

通過所述OSSEC服務端程序接收并存儲多個日志文件；

將多個所述日志文件中的任一日志文件確定為所述第一日志文件。

5.根據權利要求1-4任一所述的方法，其特征在于，對所述第一日志文件包括的語句進行解析，包括：

利用正則表達式，提取所述第一日志文件包括的語句中的預設信息，所述預設信息包括以下至少一者：關鍵詞、表名、列名、字段值以及運算符。

6.根據權利要求1-4任一所述的方法，其特征在于，對所述第一日志文件的文件特征和行為特征進行檢測，包括：

根據預設規則庫，對所述第一日志文件的文件特征和行為特征進行打分。

7.一種服務器，其特征在于，包括：

存儲收集模塊，用于獲得待分析的第一日志文件；

分析模塊，用于對所述第一日志文件的文件特征和行為特征進行檢測，得到檢測結果；對所述第一日志文件包括的語句進行解析，得到解析結果；

第一確定模塊，用于根據所述檢測結果和所述解析結果，確定所述第一日志文件對應的日志分析結果，所述日志分析結果表征所述第一日志文件是惡意文件還是非惡意文件；

結果展示模塊，用于展示所述第一日志文件對應的日志分析結果。

8.根據權利要求7所述的服務器，其特征在于，所述服務器還包括：

儲存模塊，用于記錄并存儲所述第一日志文件對應的日志分析結果；

記憶模塊，用于對所述第一日志文件對應的日志分析結果進行自學習，得到惡意文件的通用文件形式或非惡意文件的通用文件形式；

獲得模塊，用于獲得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判斷模塊，用于判斷所述第二日志文件的文件形式是否與惡意文件的通用文件形式或非惡意文件的通用文件形式相匹配；

第二確定模塊，用于在所述第二日志文件的文件形式與惡意文件的通用文件形式相匹配時，確定所述第二日志文件是惡意文件；

第三確定模塊，用于在所述第二日志文件的文件形式與非惡意文件的文件形式相匹配時，確定所述第二日志文件是非惡意文件。