[發明專利]告警事件的數據處理方法、裝置和告警事件的分類方法

有效

• 申請號: 202010085991.3
• 申請日: 2020-02-11
• 公開（公告）號: CN111339293B
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 張君濤;韓東旭
• 申請（專利權）人: 支付寶（杭州）信息技術有限公司
• 主分類號: G06F16/35
• 分類號: G06F16/35;G06F16/22
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 周達;劉飛

1.一種告警事件的數據處理方法，包括：

獲取告警事件所對應的命令字符串，以及所述告警事件所命中的告警規則的名稱；其中，所述告警事件包括針對網站的進程、文件進行違規操作，或存在攻擊性風險的命令操作數據；

對所述命令字符串進行預設的歸一化處理，得到對應的特征字符段，其中，所述特征字符段用于通過簡潔的數據表征告警事件的字符串維度特征；

根據所述告警事件的特征字符段，和所命中的告警規則的名稱，確定所述告警事件的匹配類型，并將所述告警事件歸并到與匹配類型對應的類型組中；

批量處理屬于同一類型組的告警事件。

2.根據權利要求1所述的方法，所述特征字符段包括Shadow字符段；其中，所述Shadow字符段包含有所對應的命令字符串的骨架信息。

3.根據權利要求2所述的方法，對所述命令字符串進行預設的歸一化處理，得到對應的特征字符段，包括：

根據所述命令字符串中的標點符號和空格符號，將所述命令字符串劃分為多個字符串片段；

提取命令字符串的頭部字符，以及所述多個字符串片段中各個字符串片段中的前第一預設個數個字符，以構建所述Shadow字符段。

4.根據權利要求2所述的方法，根據所述告警事件的特征字符段，和所命中的告警規則的名稱，確定所述告警事件的匹配類型，包括：

查詢第一預設列表，確定所述第一預設列表所記錄的第一類組合中是否存在與所述告警事件的特征字符段，和所命中的告警規則的名稱匹配的第一匹配組合；其中，所述第一類組合包括預設的Shadow字符段和預設的告警規則的名稱的組合，所述第一類組合分別對應一種類型；所述第一匹配組合包括預設的Shadow字符段與告警事件的特征字符段的差異值小于等于預設的差異閾值，且預設的告警規則的名稱與告警事件所命中的告警規則的名稱相同的第一類組合；

在確定所述第一預設列表所記錄的第一類組合中存在與所述告警事件的特征字符段，和所命中的告警規則的名稱匹配的第一匹配組合的情況下，將所述第一匹配組合所對應的類型，確定為所述告警事件的匹配類型。

5.根據權利要求4所述的方法，所述第一預設列表包括存儲在Hbase中的列表數據。

6.根據權利要求4所述的方法，所述第一類組合通過基于第一類組合中所包括的預設的Shadow字符段和預設的告警規則的名稱所確定的MD5值記錄在所述第一預設列表中。

7.根據權利要求4所述的方法，在確定所述第一預設列表所記錄的第一類組合中不存在與所述告警事件的特征字符段，和所命中的告警規則的名稱匹配的第一匹配組合的情況下，所述方法還包括：

根據所述告警事件的特征字符段，和所命中的告警規則的名稱，生成第一更新組合；

將所述第一更新組合，寫入所述第一預設列表；并將所述告警事件歸并到與第一更新組合所對應的類型組中。

8.根據權利要求4所述的方法，在確定所述第一預設列表所記錄的第一類組合中不存在與所述告警事件的特征字符段，和所命中的告警規則的名稱匹配的第一匹配組合的情況下，所述方法還包括：

獲取告警事件所對應的命令字符串中前第二預設個數個字符，作為告警事件的索引字符段；

查詢第二預設列表，確定所述第二預設列表所記錄的第二類組合中是否存在與所述告警事件的索引字符段，和所命中的告警規則的名稱匹配的第二匹配組合；其中，所述第二類組合包括預設的索引字符段和預設的告警規則的名稱的組合，所述第二類組合對應一種或多種類型；所述第二匹配組合包括預設的索引字符段與告警事件的索引字符的最短編輯距離小于等于第一預設的距離閾值，且預設的告警規則的名稱與告警事件所命中的告警規則的名稱相同的第二類組合；

在確定所述第二預設列表所記錄的第二類組合中存在與所述告警事件的索引字符段，和所命中的告警規則的名稱匹配的第二匹配組合的情況下，根據所述第二匹配組合，確定告警事件的匹配類型。