[發(fā)明專利]一種工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法、裝置及電子設(shè)備

在審

• 申請?zhí)枺?/td>: 202310620100.3
• 申請日: 2023-05-29
• 公開（公告）號: CN116644140A
• 公開（公告）日: 2023-08-25
• 發(fā)明（設(shè)計）人: 劉驍;畢玉冰;燕前;劉迪;朱博迪;肖力煬;劉鵬飛;崔逸群;王文慶;劉超飛;鄧楠軼;南瑾
• 申請（專利權(quán)）人: 華能國際電力股份有限公司;西安熱工研究院有限公司
• 主分類號: G06F16/28
• 分類號: G06F16/28;G06F16/2455;G06F16/9537;G06F16/18;G06F18/22;G06F18/241;G06F21/62
• 代理公司: 北京三聚陽光知識產(chǎn)權(quán)代理有限公司 11250
• 代理人: 穆瑞丹

1.一種工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，包括：

從工控網(wǎng)絡(luò)系統(tǒng)中獲取目標日志文件，所述目標日志文件內(nèi)包含多行工業(yè)信息日志；

根據(jù)預(yù)設(shè)安全事故信息集合對所述工業(yè)信息日志進行相似度歸類，得到每條所述工業(yè)信息日志對應(yīng)的日志類別，所述預(yù)設(shè)安全事故信息集合內(nèi)包括多個類別的安全事故信息；

根據(jù)所述日志類別從預(yù)設(shè)日志數(shù)據(jù)庫內(nèi)篩選與所述目標日志文件在同一時間維度上的關(guān)聯(lián)日志文件進行關(guān)聯(lián)。

2.根據(jù)權(quán)利要求1所述的工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，在根據(jù)預(yù)設(shè)安全事故信息集合對所述工業(yè)信息日志進行相似度歸類之前，所述方法還包括：

對所述安全事故信息進行分析，得到無關(guān)日志類型；

基于所述無關(guān)日志類型從所述工業(yè)信息日志中篩選得到無關(guān)日志信息；

從所述工業(yè)信息日志中刪除所述無關(guān)日志信息。

3.根據(jù)權(quán)利要求1所述的工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，所述安全事故信息包括安全事故字符串信息和日志形成時間，所述根據(jù)預(yù)設(shè)安全事故信息集合對所述工業(yè)信息日志進行相似度歸類，得到每條所述工業(yè)信息日志對應(yīng)的日志類別，包括：

將每條所述工業(yè)信息日志分別與所述預(yù)設(shè)安全事故信息集合中每個類別所述安全事故信息對應(yīng)的安全事故字符串信息進行相似度分析，得到相似度值；

判斷所述相似度值是否大于或等于預(yù)設(shè)相似度閾值；

若所述相似度值是否大于或等于預(yù)設(shè)相似度閾值，則將所述工業(yè)信息日志對應(yīng)所述安全事故信息的類別作為所述工業(yè)信息日志的日志類別。

4.根據(jù)權(quán)利要求3所述的工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，所述方法還包括：

若所述相似度值小于所述預(yù)設(shè)相似度閾值，基于所述工業(yè)信息日志和所述日志形成時間生成對應(yīng)的安全事故信息；

將所述安全事故信息添加到所述預(yù)設(shè)安全信息集合。

5.根據(jù)權(quán)利要求1所述的工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，所述根據(jù)所述日志類別從預(yù)設(shè)日志數(shù)據(jù)庫內(nèi)篩選與所述目標日志文件在同一時間維度上的關(guān)聯(lián)日志文件進行關(guān)聯(lián)，包括：

將所述日志類別與預(yù)設(shè)日志數(shù)據(jù)庫內(nèi)的日志文件進行匹配，得到同一日志類別下的匹配日志文件；

計算所述匹配日志文件與所述目標日志文件在同一時間維度的余弦相似度；

篩選所述余弦相似度大于或等于預(yù)設(shè)關(guān)聯(lián)閾值的匹配日志文件，作為所述同一時間維度上的關(guān)聯(lián)日志文件；

將所述目標日志文件與所述關(guān)聯(lián)日志文件進行關(guān)聯(lián)。

6.根據(jù)權(quán)利要求1所述的工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，所述方法還包括：

將所述日志類別與預(yù)設(shè)攻擊事件庫進行對比，確定所述目標日志文件和關(guān)聯(lián)日志文件對應(yīng)的目標安全攻擊事件；

基于所述目標安全攻擊事件分別對每個所述關(guān)聯(lián)日志文件進行相似度分析，得到所述目標安全攻擊事件在時間維度上的關(guān)聯(lián)攻擊事件；

將所述目標安全攻擊事件和所述關(guān)聯(lián)攻擊事件進行匯總，得到安全攻擊事件集合。

7.根據(jù)權(quán)利要求6所述的工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)方法，其特征在于，所述方法還包括：

基于所述目標安全攻擊事件對所述安全攻擊事件集合進行分析，得到安全攻擊日志鏈路，所述安全攻擊日志鏈路內(nèi)包含所述關(guān)聯(lián)攻擊事件的攻擊信息；

對所述安全攻擊日志鏈路進行解析，得到所述目標安全攻擊事件對應(yīng)的攻擊信息。

8.一種工控網(wǎng)絡(luò)系統(tǒng)的日志分類關(guān)聯(lián)裝置，其特征在于，包括：

獲取模塊，用于從工控網(wǎng)絡(luò)系統(tǒng)中獲取目標日志文件，所述目標日志文件內(nèi)包含多行工業(yè)信息日志；

分類模塊，用于根據(jù)預(yù)設(shè)安全事故信息集合對所述工業(yè)信息日志進行相似度歸類，得到每條所述工業(yè)信息日志對應(yīng)的日志類別，所述預(yù)設(shè)安全事故信息集合內(nèi)包括多個類別的安全事故信息；

關(guān)聯(lián)模塊，用于根據(jù)所述日志類別從預(yù)設(shè)日志數(shù)據(jù)庫內(nèi)篩選與所述目標日志文件在同一時間維度上的關(guān)聯(lián)日志文件進行關(guān)聯(lián)。