[發明專利]一種大數據平臺的日志審計方法及系統

在審

• 申請號: 202010944385.2
• 申請日: 2020-09-10
• 公開（公告）號: CN112148698A
• 公開（公告）日: 2020-12-29
• 發明（設計）人: 李曼;康文倩;歐陽宇宏;車向北
• 申請（專利權）人: 深圳供電局有限公司
• 主分類號: G06F16/18
• 分類號: G06F16/18;G06F16/14;G06F16/182;G06F40/151
• 代理公司: 深圳匯智容達專利商標事務所(普通合伙) 44238
• 代理人: 熊賢卿

1.一種大數據平臺的日志審計方法，其特征在于，包括以下步驟：

步驟S1，日志管理模塊通過數據接口獲取多個日志發生源的日志文件，對接收的日志文件進行格式轉化，并將格式轉化后的日志文件分類存儲；

步驟S2，安全威脅分析模塊調取存儲的日志文件，根據預設規則對日志文件進行分析，獲取分析結果；所述分析結果包括正常或異常；

步驟S3，可視化展示模塊響應于接收的預設指令，對分析結果進行檢索并將所述分析結果進行圖形化展示。

2.如權利要求1所述的方法，其特征在于，所述步驟S1包括：

所述日志管理模塊獲取日志發生源的日志文件，判斷日志存儲服務器是否正常啟動，若日志存儲服務器正常啟動，則將接收到的日志文件進行緩存；若日志存儲服務器未正常啟動，則將日志文件存儲到本地存儲設備，直到檢測到所述日志存儲服務器啟動后，發送本地存儲的日志文件到所述日志存儲服務器。

3.如權利要求2所述的方法，其特征在于，所述步驟S1包括：

所述日志管理模塊讀取緩存的日志文件，將讀取的日志文件轉化為結構化形式并分析日志結構，將結構化的日志文件發送到所述日志存儲服務器進行存儲。

4.如權利要求3所述的方法，其特征在于，所述步驟S2包括：

所述安全威脅分析模塊響應于日志分析指令，讀取預設的日志分析數據；根據所述預設的日志分析數據檢索預設安全策略規則庫，調取與預設的日志分析數據相對應的規則數據；根據所述規則數據分析所述日志文件，生成分析結果。

5.如權利要求4所述的方法，其特征在于，所述步驟S3包括：

所述可視化展示模塊響應于預設的安全策略調取指令，獲取相應的安全策略規則，根據所述安全規則對所述分析結果進行檢索，生成檢索結果。

6.如權利要求5所述的方法，其特征在于，所述步驟S3包括：

所述可視化展示模塊響應于預設的圖形化顯示指令，獲取相應的圖形化顯示規則，根據所述圖形化顯示規則對檢索結果進行顯示。

7.一種大數據平臺的日志審計系統，用以實現如權利要求1-6所述的方法，其特征在于，包括：

日志管理模塊，用以通過數據接口獲取多個日志發生源的日志文件，對接收的日志文件進行格式轉化，并將格式轉化后的日志文件分類存儲；

安全威脅分析模塊，用以調取存儲的日志文件，根據預設規則對日志文件進行分析，獲取分析結果；所述分析結果包括正常或異常；

可視化展示模塊，用以響應于接收的預設指令，對分析結果進行檢索并將所述分析結果進行圖形化展示。

8.如權利要求7所述的系統，其特征在于，所述日志管理模塊包括：

接收日志單元，用以獲取日志發生源的日志文件，判斷日志存儲服務器是否正常啟動，若日志存儲服務器正常啟動，則將接收到的日志文件進行緩存；若日志存儲服務器未正常啟動，則將日志文件存儲到本地存儲設備，直到檢測到所述日志存儲服務器啟動后，發送本地存儲的日志文件到所述日志存儲單元；以及讀取緩存的日志文件，將讀取的日志文件轉化為結構化形式并分析日志結構，將結構化的日志文件發送到所述日志存儲單元進行存儲；

日志存儲單元，用以存儲結構化的日志文件。

9.如權利要求1所述的系統，其特征在于，所述安全威脅分析模塊包括：

節點數據交換模塊，用以協調數據交互節點之間的數據傳輸；

節點主動發現模塊，用以對數據交互節點進行識別和查找；

腳本引擎，用以響應于執行指令對動態腳本進行啟動；

索引模塊，用以對安全威脅相關日志的特定字段進行索引；

檢索模塊，用以檢索安全規則以及索引完成的日志，以及進行反向索引和列式存儲；

映射模塊，用以查詢及應用安全規則映射；

安全規則配置模塊，用以為腳本引擎、索引模塊、檢索模塊及映射模塊提供安全規則及對安全規則進行配置。

10.如權利要求9所述的系統，其特征在于，所述可視化展示模塊響應于預設的安全策略調取指令，獲取相應的安全策略規則，根據所述安全規則對所述分析結果進行檢索，生成檢索結果；以及響應于預設的圖形化顯示指令，獲取相應的圖形化顯示規則，根據所述圖形化顯示規則對檢索結果進行顯示。