[发明专利]一种自动化日志安全审计的方法及系统

权利要求书

1.一种自动化日志安全审计的方法，其特征在于，包括：

采集服务器中日志信息；

建立转换规则，将日志信息中的数据转换为数字化数据；所述转换规则为将不同操作行为使用不同数值代替；

将所述服务器中日志信息的数据通过转换规则转换为均值漂移模型的数字化数据，并通过均值漂移模型的数字化数据训练均值漂移模型，找到日志信息数据的质心；

设置判断半径的长度；当审计日志信息时，使用均值漂移模型计算需要审计的日志信息数据与日志信息数据质心的距离，并与判断半径的长度比较；

若距离超过判断半径的长度，则需要审计的日志信息属于“可疑日志信息”；

若距离未超过判断半径的长度，则需要审计的日志信息属于“正常日志信息”。

2.根据权利要求1所述的一种自动化日志安全审计的方法，其特征在于：所述转换规则包括IP数字转换规则、请求类型转换规则和返回码转换规则。

3.根据权利要求2所述的一种自动化日志安全审计的方法，其特征在于：所述请求类型转换规则为使用不同的变量值来代替不同的请求。

4.根据权利要求2所述的一种自动化日志安全审计的方法，其特征在于：所述返回码转换规则为将若干返回码乘以一个统一的系数，将乘以统一的系数后的值作为返回码的变量值。

5.根据权利要求2所述的一种自动化日志安全审计的方法，其特征在于：所述IP数字转换规则为通过后台记录若干IP的每日出现的频次、每周出现的频次、每月出现的频次，计算若干IP的安全等级系数。

6.根据权利要求5所述的一种自动化日志安全审计的方法，其特征在于：

所述计算若干IP的安全等级系数包括以下步骤：

将IP地址中的数据作为一个四维向量，并增加三个配合的变量，分别是所述IP每日出现的频次、每周出现的频次、每月出现的频次；将以上信息放入七个维度的向量中；

设置安全的网络IP或者网段并设置自定义系数C；

找出所述七个维度的向量中所述IP本周出现的频次、IP本月出现的频次，分别计算得到所述IP平均每日出现频次M、平均每周出现频次N，并与所述IP今日出现的频次A和本周出现的频次B进行比对。

7.根据权利要求6所述的一种自动化日志安全审计的方法，其特征在于：

所述进行比对包括

基准值取值为1，当AM时，

若BN，

则安全等级系数＝1*C；

若BN，

则安全等级系数＝[1+(B-N)/N]*C；

当AM时，

则安全等级系数＝[1+(A-M)/M]*C。

8.一种自动化日志安全审计的系统，其特征在于，包括：日志采集模块、规则转换模块、模型训练模块和模型应用模块；

所述日志采集模块采集日志信息；所述日志信息包括冗余的日志信息和需要审计的日志信息；

所述规则转换模块通过转换规则，将日志信息中的数据转化成均值漂移模型的数字化数据；

所述模型训练模块确定类聚半径，获取所述日志采集模块采集的冗余日志信息，并通过所述规则转换模块的转换规则训练均值漂移模型；

所述模型应用模块获取所述日志采集信息模块采集的需要审计的日志信息，并将需要审计的日志信息通过所述规则转换模块进行转换规则后输入至所述模型训练模块训练完成的均值漂移模型中，并通过均值漂移模型和类聚半径判断可疑日志信息。

9.根据权利要求8所述的一种自动化日志安全审计的系统，其特征在于：

所述规则转换模块包括IP数字转换规则模块、请求类型转换规则模块和返回码转换规则模块；所述IP数字转换规则模块通过后台记录IP的每日出现频次、每周出现频次、每月出现频次，计算出IP的安全等级系数；所述请求类型转换规则模块用不同的变量表示不同的请求；所述返回码转换规则模块将返回码乘以统一的系数得到返回码的变量。