[发明专利]一种多源网络安全事件的采集与同步方法

摘要

本发明公开了一种多源网络安全事件的采集与同步方法。目前多源网络安全事件采集过程中，存在各设备本地时间不同步的问题。本发明的步骤包括：1)多源网络安全事件采集，事件采集端实时采集网络安全设备产生的事件并存储至ehcache缓存框架中；2)事件源时间同步校对，每个事件源均以服务端的时间为基准进行同步；3)ehcache缓存框架中的节点采用远程方法调用RMI机制与ehcache缓存框架的其他节点进行事件同步；4)服务端从ehcache缓存框架中实时读取事件信息，并进行处理。本发明采用发送同步数据包、计算网络延迟和本地时间差的方式，实时、准确得出各设备与服务端的时间差值，来对事件源进行同步，具有易于实现、精确同步的优点。

主权项

1.一种多源网络安全事件的采集与同步方法，其特征在于，首先对各个事件源的时间进行同步，各事件源均以服务端的时间为标准时间，通过发送时间同步数据包来计算网络延迟、事件源与服务端的本地时间差，从而得出实时的、准确的时间差值；随后事件采集端根据此时间差值对事件进行同步后通过socket通信存储至ehcache缓存框架中，该ehcache缓存框架的节点采用远程方法调用RMI机制与ehcache缓存框架中的其他节点进行事件同步；服务端从ehcache缓存框架中实时读取事件信息，并进行处理；包括以下具体步骤：1)多源网络安全事件采集采集端采用采集代理方式，负责实时采集各个事件源的网络安全事件；基于不同源事件采集的正则表达式，对其网络安全进行规范化和去冗余预处理操作，网络安全事件具有时间戳、源IP地址、目的IP地址、源端口、目的端口和协议信息；采集端将采集到的事件以socket通信方式存储在ehcache缓存框架中；2)事件源时间同步校对在采集事件时，首先对每个事件源的时间进行同步校对，均以服务端的时间为基准；3)实时数据接收与处理多个采集端将采集的网络安全事件e1,e2,...,en序列化为key‑value形式的Element事件，存储至ehcache分布式缓存框架中，该ehcache分布式缓存框架的节点采用远程方法调用RMI机制与ehcache分布式缓存框架中的其他节点进行事件同步；服务端从ehcache分布式缓存框架中实时读取事件信息，并进行处理。