[发明专利]一种数据处理方法及系统

权利要求书

1.一种数据处理方法，其特征在于，该方法包括以下步骤：

将采集的信息数据作为日志数据存储在消息系统；

读取消息系统中的日志数据，对所述日志数据进行归类处理，并结合策略树缓存以及其他缓存信息，封装成策略树；

依据规则配置信息以及策略树缓存的策略信息，生成告警事件信息以及安全事件信息；

根据所述告警事件信息以及安全事件信息，对规则配置信息进行动态调整。

2.根据权利要求1所述的方法，其特征在于，所述将采集的信息数据作为日志数据存储在消息系统是指：

将采集的信息数据作为日志数据存储在Kafka分布式消息系统中，该Kafka分布式消息系统包括以下日志数据：主机日志、网络日志、安全日志、应用日志。

3.根据权利要求1所述的方法，其特征在于，所述规则配置信息通过以下方式产生：

根据采集的数据信息，通过一定的逻辑运算定义为指标数据，指标数据由标准元数据和计算元数据构成；

根据时间窗口以及各类场景，将指标数据转化为规则模型，同时将规则模型写进规则库供调用。

4.根据权利要求3所述的方法，其特征在于，利用规则配置信息中的过滤条件对日志数据和历史日志数据进行判断和匹配；

如果匹配到单条规则，则根据规则设置产生告警事件信息；

如果多个触发规则间符合设定的关联条件，将产生安全事件信息，安全事件信息表示具有一定关联关系的告警事件信息的集合。

5.根据权利要求3或4所述的方法，其特征在于，根据所述告警事件信息以及安全事件信息的误报率和漏报率，对规则模型进行动态调整，产生不同的基线标准。

6.一种数据处理系统，该系统包括：

流处理模块，将采集的信息数据作为日志数据存储在消息系统；

分析计算模块，读取消息系统中的日志数据，对所述日志数据进行归类处理，并结合策略树缓存以及其他缓存信息，封装成策略树，依据规则配置信息以及策略树缓存的策略信息，生成告警事件信息以及安全事件信息；

数据存储模块，用于存储指标数据、配置规则信息数据以及策略信息数据；

应用模块，用于连接展示模块以及数据存储模块，该应用模块提供了与展示模块进行数据交互的接口，并将展示模块传递的数据存储在数据存储模块中；

展示模块，用于配置指标数据、配置规则信息数据以及策略信息数据。

7.根据权利要求6所述的系统，所述流处理模块将采集的信息数据作为日志数据存储在Kafka分布式消息系统中，该Kafka分布式消息系统包括以下日志数据：主机日志、网络日志、安全日志、应用日志。

8.根据权利要求6所述的系统，所述规则配置信息通过以下方式产生：

根据采集的数据信息，通过一定的逻辑运算定义为指标数据，指标数据由标准元数据和计算元数据构成；

根据时间窗口以及各类场景，将指标数据转化为规则模型，同时将规则模型写进规则库供调用。

9.根据权利要求8所述的系统，其特征在于，分析计算模块，利用规则配置信息中的过滤条件对日志数据和历史日志数据进行判断和匹配；

如果匹配到单条规则，则根据规则设置产生告警事件信息；

如果多个触发规则间符合设定的关联条件，将产生安全事件信息，安全事件信息表示具有一定关联关系的告警事件信息的集合。

10.一种计算机可读存储介质，其包括计算机程序指令，通过执行所述计算机程序指令，实现如权利要求1-5之一所述的方法。