[發明專利]一種日志威脅分析規則生成方法及裝置

在審

• 申請號: 202010195234.1
• 申請日: 2020-03-19
• 公開（公告）號: CN111414402A
• 公開（公告）日: 2020-07-14
• 發明（設計）人: 李學良
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: G06F16/2458
• 分類號: G06F16/2458;G06F16/2457;G06F16/18
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 常曉

1.一種日志威脅分析規則生成方法，其特征在于，包括：

確定用戶選擇的用于篩選威脅日志的篩選條件；

基于所述篩選條件，自動生成分析規則，所述分析規則用于對多個日志進行關聯威脅分析。

2.如權利要求1所述的方法，其特征在于，所述篩選條件包括日志類型為第一類型，和/或，所述第一類型中的第一字段對應的參數閾值范圍。

3.如權利要求2所述的方法，其特征在于，所述篩選條件包括日志類型為第一類型時，所述基于所述篩選條件，自動生成分析規則，包括：將所述第一類型的代碼添加到用于區分日志類型的第一功能代碼中；基于所述第一功能代碼，自動生成所述分析規則；

所述篩選條件包括所述第一類型中的第一字段對應的參數閾值范圍時，所述基于所述篩選條件，自動生成分析規則，包括：將所述第一字段對應的參數閾值范圍添加到用于篩選字段的第二功能代碼中；基于所述第二功能代碼，自動生成所述分析規則。

4.如權利要求2所述的方法，其特征在于，基于所述篩選條件，自動生成分析規則之后，還包括：

確定第一日志；

基于所述分析規則，確定所述第一日志中滿足所述第一類型的第二日志，和/或，所述第二日志中所述第一字段的取值在所述參數閾值范圍內。

5.如權利要求1或2所述的方法，其特征在于，所述篩選條件包括與所述日志相關的第一IP地址，和/或，與所述第一IP地址相關的子篩選條件，所述子篩選條件包括與所述第一IP地址對應的相鄰兩條日志的產生時間的間隔小于或等于預設時長。

6.如權利要求5所述的方法，其特征在于，所述篩選條件包括與所述日志相關的第一IP地址時，所述基于所述篩選條件，自動生成所述分析規則，包括：

將所述第一IP地址的代碼添加到用于對所述多個日志進行IP分組的第三功能代碼中；基于所述第三功能代碼，自動生成所述分析規則；

所述篩選條件包括與所述第一IP地址相關的子篩選條件時，所述基于所述篩選條件，自動生成分析規則，包括：將所述預設時長的代碼添加到用于篩選日志的第四功能代碼中；基于所述第四功能代碼，自動生成所述分析規則。

7.如權利要求5所述的方法，其特征在于，基于所述篩選條件，自動生成分析規則之后，還包括：

確定第三日志；

基于所述分析規則，確定所述第三日志中滿足所述第一IP地址的第四日志，和/或，所述第四日志中相鄰兩條日志的產生時間的間隔小于或等于預設時長。

8.如權利要求5所述的方法，其特征在于，所述第一IP地址包括源IP地址和/或目的IP地址。

9.一種日志威脅分析規則生成裝置，其特征在于，包括：

處理模塊，用于確定用戶選擇的用于篩選威脅日志的篩選條件；

所述處理模塊，還用于基于所述篩選條件，自動生成分析規則，所述分析規則用于對多個日志進行威脅分析。

10.一種非易失性計算機存儲介質，其特征在于，所述計算機存儲介質存儲有可執行程序，該可執行程序被處理器執行實現權利要求1-8任一所述的方法。