[发明专利]网络行为信息的处理方法、日志的发送方法、装置及系统

权利要求书

1.一种网络行为信息的处理方法，其特征在于，包括：

获取被监控主机设备的包含非加密协议数据包的操作日志，包括：通过标准syslog方式获取被监控主机设备的包含非加密协议数据包的操作日志；

根据协议类别分别对所述操作日志进行预处理，提取与所述操作日志对应的操作指令；

基于预设告警规则对所述操作指令进行过滤，确定符合所述预设告警规则的操作指令；

其中，在操作日志被发送时，在Tcpdump指令中将指定的端口的数据包进行采集，并自动保存为文件，将每次最新采集到的数据包指令通过管道重定向到系统message中。

2.根据权利要求1所述的网络行为信息的处理方法，其特征在于，所述处理方法还包括：

将所述符合预设告警规则的操作指令对应的预设告警信息进行Web展示，并将所述预设告警信息发送至终端监控平台。

3.根据权利要求1所述的网络行为信息的处理方法，其特征在于，所述根据协议类别分别对所述操作日志进行预处理，提取与所述操作日志对应的操作指令的步骤包括：

根据协议类别对所述操作日志进行分类，将所述操作日志分配到不同协议的子队列中；

对每个协议的子队列中的操作日志均进行标准化操作，将所述操作日志均转化为符合预设格式的日志；

基于通信标准化协议对所有符合预设格式的日志进行还原操作，得到对应的操作指令。

4.根据权利要求3所述的网络行为信息的处理方法，其特征在于，所述根据协议类别分别对所述操作日志进行预处理，提取与所述操作日志对应的操作指令的步骤还包括：

将每一个被监控主机设备的单条所述操作指令关联成完整会话；

基于不同协议类型对所述每一个被监控主机设备上的单条完整会话进行关联；

将多个被监控主机设备上的完整会话按照预设规则进行关联。

5.根据权利要求1所述的网络行为信息的处理方法，其特征在于，基于预设告警规则对所述操作指令进行过滤，确定符合所述预设告警规则的操作指令的步骤包括：

将所有操作日志的操作指令根据协议类型进行匹配分类，将所述操作指令分配到不同协议的子队列中；

按照时间顺序对每一个子队列中的操作指令进行排序；

将每一个子队列中的操作指令依次与预设告警规则进行匹配、过滤；

确定符合匹配所述预设告警规则的操作指令。

6.一种网络行为信息的处理装置，其特征在于，包括：

获取模块，用于获取被监控主机设备的包含非加密协议数据包的操作日志；

提取模块，用于根据协议类别分别对所述操作日志进行预处理，提取与所述操作日志对应的操作指令；

确定模块，用于基于预设告警规则对所述操作指令进行过滤，确定符合所述预设告警规则的操作指令；

所述获取模块包括获取子模块，用于通过标准syslog方式获取被监控主机设备的包含非加密协议数据包的操作日志；

其中，在操作日志的发送装置中，在Tcpdump指令中将指定的端口的数据包进行采集，并自动保存为文件，将每次最新采集到的数据包指令通过管道重定向到系统message中。

7.根据权利要求6所述的网络行为信息的处理装置，其特征在于，所述处理装置还包括：

告警模块，用于将所述符合预设告警规则的操作指令对应的预设告警信息进行Web展示，并将所述预设告警信息发送至终端监控平台。

8.根据权利要求6所述的网络行为信息的处理装置，其特征在于，所述提取模块包括：

分配模块，用于根据协议类别对所述操作日志进行分类，将所述操作日志分配到不同协议的子队列中；

转化模块，用于对每个协议的子队列中的操作日志均进行标准化操作，将所述操作日志均转化为符合预设格式的日志；

还原模块，用于基于通信标准化协议对所有符合预设格式的日志进行还原操作，得到对应的操作指令。