[發明專利]基于時間軸的異常行為序列關聯處理方法以及裝置、設備、存儲介質

在審

• 申請號: 201911353167.5
• 申請日: 2019-12-24
• 公開（公告）號: CN111078455A
• 公開（公告）日: 2020-04-28
• 發明（設計）人: 施澤寰;梁玫娟
• 申請（專利權）人: 北京優特捷信息技術有限公司
• 主分類號: G06F11/07
• 分類號: G06F11/07
• 代理公司: 北京卓唐知識產權代理有限公司 11541
• 代理人: 卜榮麗

1.一種基于時間軸的異常行為序列關聯處理方法，其特征在于，包括：

將日志進行集中采集，通過統一格式化得到格式化日志；

根據預定規則在所述格式化日志中篩選出異常行為日志；

根據所述異常行為日志的時間戳建立時間軸；

將散列在不同時間維度的異常日志信息進行展示，并且對于不同類型的字段信息采用不同顏色進行區分；

在所述時間軸上展示以威脅告警發生時間為中心點的預設時間范圍內關聯的異常事件發生情況，以使所述異常行為序列關聯處理實現溯源。

2.根據權利要求1所述的基于時間軸的異常行為序列關聯處理方法，其特征在于，根據預定規則在所述格式化日志中篩選出異常行為日志包括：

根據預定規則在所述格式化日志中篩選出告警事件日志、用戶登錄失敗日志、新創建賬戶日志、新出現進程日志或者權限變更日志的異常行為日志。

3.根據權利要求1所述的基于時間軸的異常行為序列關聯處理方法，其特征在于，將散列在不同時間維度的異常日志信息進行展示，并且對于不同類型的字段信息采用不同顏色進行區分包括：

將散列在不同時間維度的異常日志IP地址或者用戶名稱字段進行展示，并對且對于不同類型的字段信息采用不同顏色進行區。

4.根據權利要求1所述的基于時間軸的異常行為序列關聯處理方法，其特征在于，將日志進行集中采集，通過統一格式化得到格式化日志還包括：

將日志進行集中采集，抽取時間戳和相應字段后建立索引。

5.根據權利要求1所述的基于時間軸的異常行為序列關聯處理方法，其特征在于，在所述時間軸上展示以威脅告警發生時間為中心點的預設時間范圍內關聯的異常事件發生情況，以使所述異常行為序列關聯處理實現溯源包括：

在所述時間軸上展示以威脅告警發生時間為中心點的前段預設時間范圍內關聯的異常事件發生情況；

在所述時間軸上展示以威脅告警發生時間為中心點的后段預設時間范圍內關聯的異常事件發生情況；

根據所述前段預設時間范圍內關聯的異常事件發生情況和所述后段預設時間范圍內關聯的異常事件發生情況以使所述異常行為序列關聯處理實現溯源。

6.一種基于時間軸的異常行為序列關聯處理裝置，其特征在于，包括：

采集模塊，用于將日志進行集中采集，通過統一格式化得到格式化日志；

篩選模塊，用于根據預定規則在所述格式化日志中篩選出異常行為日志；

時間軸建立模塊，用于根據所述異常行為日志的時間戳建立時間軸；

展示模塊，用于將散列在不同時間維度的異常日志信息進行展示，并且對于不同類型的字段信息采用不同顏色進行區分；

溯源模塊，用于在所述時間軸上展示以威脅告警時間為中心點的預設時間范圍內關聯的異常事件發生情況，以使所述異常行為序列關聯處理實現溯源。

7.根據權利要求6所述的基于時間軸的異常行為序列關聯處理裝置，其特征在于，所述篩選模塊，用于

根據預定規則在所述格式化日志中篩選出告警事件日志、用戶登錄失敗日志、新創建賬戶日志、新出現進程日志或者權限變更日志的異常行為日志。

8.根據權利要求6所述的基于時間軸的異常行為序列關聯處理裝置，其特征在于，所述展示模塊，用于

將散列在不同時間維度的異常日志IP地址或者用戶名稱字段進行展示，并對且對于不同類型的字段信息采用不同顏色進行區。

9.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現權利要求1至5任一項所述的基于時間軸的異常行為序列關聯處理方法的步驟。

10.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該計算機程序被處理器執行時實現權利要求1至5任一項所述的基于時間軸的異常行為序列關聯處理方法的步驟。