[發(fā)明專利]一種日志處理方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202110321168.2
• 申請(qǐng)日: 2021-03-25
• 公開（公告）號(hào): CN113098852B
• 公開（公告）日: 2022-11-22
• 發(fā)明（設(shè)計(jì)）人: 周維;吳浪;李學(xué)良;陳景妹;胡啟明
• 申請(qǐng)（專利權(quán)）人: 綠盟科技集團(tuán)股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 張翠華

1.一種日志處理方法，其特征在于，所述方法包括：

獲取第一威脅日志和第二威脅日志；

其中，所述第一威脅日志和所述第二威脅日志包括相同的源IP地址，所述第一威脅日志和所述第二威脅日志包括相同的目的IP地址，所述源IP地址和所述目的IP地址均屬于內(nèi)網(wǎng)的IP地址；

當(dāng)根據(jù)所述第一威脅日志包括的第一網(wǎng)絡(luò)設(shè)備的標(biāo)識(shí)確定所述第一威脅日志來自第一網(wǎng)絡(luò)設(shè)備時(shí)，確定所述第一威脅日志由第一攻擊事件產(chǎn)生；

確定與所述第一網(wǎng)絡(luò)設(shè)備的標(biāo)識(shí)關(guān)聯(lián)的第一資源組，所述第一資源組包括與所述第一網(wǎng)絡(luò)設(shè)備連接的一個(gè)或多個(gè)第一終端設(shè)備的IP地址；將所述第一資源組中與所述源IP地址匹配的第一終端設(shè)備確定為所述第一攻擊事件的攻擊源；

當(dāng)根據(jù)所述第二威脅日志包括的第二網(wǎng)絡(luò)設(shè)備的標(biāo)識(shí)確定所述第二威脅日志來自第二網(wǎng)絡(luò)設(shè)備時(shí)，確定所述第二威脅日志由第二攻擊事件產(chǎn)生；

確定與所述第二網(wǎng)絡(luò)設(shè)備的標(biāo)識(shí)關(guān)聯(lián)的第二資源組，所述第二資源組包括與所述第二網(wǎng)絡(luò)設(shè)備連接的一個(gè)或多個(gè)第二終端設(shè)備的IP地址；將所述第二資源組中與所述源IP地址匹配的第二終端設(shè)備確定為所述第二攻擊事件的攻擊源。

2.如權(quán)利要求1所述的方法，其特征在于，還包括：

接收配置信息，所述配置信息包括所述第一網(wǎng)絡(luò)設(shè)備與所述一個(gè)或者多個(gè)第一終端設(shè)備的第一關(guān)聯(lián)關(guān)系，和所述第二網(wǎng)絡(luò)設(shè)備與所述一個(gè)或者多個(gè)第二終端設(shè)備的第二關(guān)聯(lián)關(guān)系；

根據(jù)所述第一關(guān)聯(lián)關(guān)系和第二關(guān)聯(lián)關(guān)系生成網(wǎng)絡(luò)拓?fù)鋱D；

其中，用于描述所述網(wǎng)絡(luò)拓?fù)鋱D的信息包括所述第一網(wǎng)絡(luò)設(shè)備的標(biāo)識(shí)與所述第一資源組的對(duì)應(yīng)關(guān)系，所述第二網(wǎng)絡(luò)設(shè)備的標(biāo)識(shí)與所述第二資源組的對(duì)應(yīng)關(guān)系。

3.如權(quán)利要求1或2所述的方法，其特征在于，還包括：

根據(jù)內(nèi)網(wǎng)IP灰名單確定所述源IP地址和所述目的IP地址均屬于內(nèi)網(wǎng)的IP地址；

其中，所述內(nèi)網(wǎng)IP灰名單包括所述源IP地址和所述目的IP地址。

4.如權(quán)利要求3所述的方法，其特征在于，根據(jù)內(nèi)網(wǎng)IP灰名單確定所述源IP地址和所述目的IP地址均屬于內(nèi)網(wǎng)的IP地址之前，所述方法還包括：

確定內(nèi)網(wǎng)識(shí)別模式已開啟；所述內(nèi)網(wǎng)識(shí)別模式用于指示采用識(shí)別內(nèi)網(wǎng)IP地址的方式確定攻擊事件。

5.如權(quán)利要求3所述的方法，其特征在于，還包括：

若確定所述內(nèi)網(wǎng)IP灰名單中不包含所述源IP地址或者所述目的IP地址，則根據(jù)所述源IP地址確定所述第一威脅日志和所述第二威脅日志所屬的攻擊事件。

6.如權(quán)利要求2所述的方法，其特征在于，所述配置信息還包括所述一個(gè)或多個(gè)第一終端設(shè)備所屬人員的信息和/或地理位置信息，和所述一個(gè)或多個(gè)第二終端設(shè)備所屬人員的信息和/或地理位置信息；

在確定所述第一攻擊事件的攻擊源之后，根據(jù)所述配置信息確定所述第一攻擊事件的攻擊源的所屬人員和/或地理位置，并將所述第一攻擊事件的攻擊源的所屬人員和/或地理位置上報(bào)網(wǎng)絡(luò)管理器；

在確定所述第二攻擊事件的攻擊源之后，根據(jù)所述配置信息確定所述第二攻擊事件的攻擊源的所屬人員和/或地理位置，并將所述第一攻擊事件的攻擊源的所屬人員和/或地理位置上報(bào)網(wǎng)絡(luò)管理器。