[發明專利]日志的分析方法及系統

有效

• 申請號: 202010746175.2
• 申請日: 2020-07-29
• 公開（公告）號: CN111866016B
• 公開（公告）日: 2023-04-18
• 發明（設計）人: 卿哲嘉
• 申請（專利權）人: 中國平安財產保險股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F16/958;G06F16/18
• 代理公司: 北京英特普羅知識產權代理有限公司 11015
• 代理人: 王勇

1.一種日志的分析方法，其特征在于，包括：

根據預設的采集代理獲取待監測系統的至少一個日志文件，其中，每個日志文件包括對應的操作人ID；

將所述日志文件發送給預設的服務器，并對所述日志文件進行分片存儲；

對每個日志文件進行字段解析，得到每個日志文件中的多個目標字段值，并根據多個目標字段值判斷與每個日志文件對應的操作人ID是否符合預設的告警規則，其中，所述告警規則包括第一告警規則、第二告警規則和第三告警規則；

當所述操作人ID符合所述告警規則時，發送相應的告警信息給風控平臺，以使所述風控平臺對所述操作人ID執行阻斷操作；

所述對每個日志文件進行字段解析，得到每個日志文件中的多個目標字段值，并根據多個目標字段值判斷與每個日志文件對應的操作人ID是否符合預設的告警規則，包括：

根據字段提取器對每個日志文件中的字段進行提取，以得到多個目標字段值，其中，所述目標字段值的數據類型至少包括：源IP、請求時間、操作人ID和請求鏈接；

計算預設時間段內每個操作人ID的數量，并將每個操作人ID的數量與預設的閾值進行比較；

若目標操作人ID的數量大于所述閾值，則判斷所述目標操作人ID符合所述第一告警規則;

所述根據字段提取器對每個日志文件中的字段進行提取，以得到多個目標字段值之后，還包括：

將所述請求鏈接與預設的告警請求鏈接進行比對，若所述請求鏈接中存在與所述告警請求鏈接相同的目標請求鏈接，則判定與所述目標請求鏈接對應的目標操作人ID符合所述第二告警規則；

所述根據字段提取器對每個日志文件中的字段進行提取，以得到多個目標字段值之后，還包括：

基于決策樹算法、所述第一告警規則和所述第二告警規則建立安全模型；

根據符合所述第一告警規則或所述第二告警規則的字段值及預設的樣本數據對所述安全模型進行訓練，以調整所述安全模型的參數；

將所述多個目標字段值輸入到所述安全模型中，以通過所述安全模型判斷與所述多個目標字段值對應的目標操作人ID是否符合第三告警規則，若所述安全模型判斷所述目標字段值符合前期訓練得到的低頻規律訪問，則判斷相應的操作人ID符合所述第三告警規則。

2.一種日志的分析系統，其特征在于，包括：

采集模塊，用于根據預設的采集代理獲取待監測系統的至少一個日志文件，其中，所述日志文件包括對應的操作人ID；

存儲模塊，用于將所述日志文件發送給預設的服務器，并對所述日志文件進行分片存儲；

解析模塊，用于對每個日志文件進行字段解析，得到每個日志文件中的多個目標字段值，并根據多個目標字段值判斷與每個日志文件對應的操作人ID是否符合預設的告警規則，其中，所述告警規則包括第一告警規則、第二告警規則和第三告警規則；

阻斷模塊，用于當所述操作人ID符合所述告警規則時，發送相應的告警信息給預設的風控平臺，以使所述風控平臺對所述操作人ID執行阻斷操作；

所述解析模塊還用于：

根據字段提取器對每個日志文件中的字段進行提取，以得到多個目標字段值，其中，所述目標字段值的數據類型至少包括：源IP、請求時間、操作人ID和請求鏈接；

計算預設時間段內每個操作人ID的數量，并將每個操作人ID的數量與預設的閾值進行比較；

若目標操作人ID的數量大于所述閾值，則判斷所述目標操作人ID符合所述第一告警規則;

所述解析模塊還用于：

將所述請求鏈接與預設的告警請求鏈接進行比對，若所述請求鏈接中存在與所述告警請求鏈接相同的目標請求鏈接，則判定與所述目標請求鏈接對應的目標操作人ID符合所述第二告警規則；

所述解析模塊還用于：

基于決策樹算法、所述第一告警規則和所述第二告警規則建立安全模型；

根據符合所述第一告警規則或所述第二告警規則的字段值及預設的樣本數據對所述安全模型進行訓練，以調整所述安全模型的參數；

將所述多個目標字段值輸入到所述安全模型中，以通過所述安全模型判斷與所述多個目標字段值對應的目標操作人ID是否符合第三告警規則，若所述安全模型判斷所述目標字段值符合前期訓練得到的低頻規律訪問，則判斷相應的操作人ID符合所述第三告警規則。