基于日志的预警方法、装置、服务器及存储介质

摘要

本发明实施例公开了一种基于日志的预警方法、装置、服务器及存储介质。该方法包括：获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志；根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。本发明技术方案，实现了提高日志审计效率，进而提高风险预警的技术效果。

权利要求

1.一种基于日志的预警方法，其特征在于，包括：

获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志，其中，所述配置文件是用于对所述原始日志进行筛选、标记、转换格式处理的文件；

根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

2.根据权利要求1所述的方法，其特征在于，所述获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志，包括：针对各系统，调取当前系统所对应的配置文件，并提取出所述配置文件中的配置项；

基于所述配置项对所述当前系统对应的原始日志进行格式化处理，得到待处理日志。

3.根据权利要求1所述的方法，其特征在于，在得到所述待处理日志之后，还包括：将所述待处理日志发送至日志服务器，以使所述日志服务器对各原始日志所对应的待处理日志进行集中处理。

4.根据权利要求1所述的方法，其特征在于，所述根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志，包括：针对各系统，调取当前系统的目标映射规则，基于所述目标映射规则将与所述当前系统所对应的待处理日志处理为目标格式的目标审计日志；

其中，各待处理日志所对应的目标格式相同。

5.根据权利要求1所述的方法，其特征在于，所述根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级，包括：根据预先设置的各个事件类型、各个IP地址以及操作数据类型所对应的风险等级评估准则，确定各目标审计日志的风险评估等级。

6.根据权利要求1所述的方法，其特征在于，所述基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息，包括：当检测到目标审计日志所对应的风险等级高于第一预设风险等级阈值，则生成预警信息；或，确定预先定义的风险评估项所对应的风险评估等级，当所述风险评估等级所对应的风险等级高于第二预设风险等级阈值，则生成预警信息。

7.根据权利要求1或6所述的方法，其特征在于，还包括：确定与所述预警信息相对应的预警规则，基于所述预警规则向对应终端设备发送预警信息。

8.一种基于日志的预警装置，其特征在于，包括：

待处理日志得到模块，用于获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志，其中，所述配置文件是用于对所述原始日志进行筛选、标记、转换格式处理的文件；

目标审计日志得到模块，用于根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

风险等级得到模块，用于根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

预警信息生成模块，用于基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

9.一种服务器，其特征在于，所述服务器包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述程序被所述处理器执行，使得所述处理器实现如权利要求1‑7中任一所述的基于日志的预警方法。

10.一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如权利要求1‑7中任一所述的基于日志的预警方法。

说明书

基于日志的预警方法、装置、服务器及存储介质

技术领域

[0001] 本发明实施例涉及计算机技术领域，尤其涉及一种基于日志的预警方法、装置、服务器及存储介质。

背景技术

[0002] 随着互联网技术的不断发展，互联网系统在运行的过程中会产生海量的日志信息，这些日志会记录下系统中的软件、硬件、应用的问题信息以及事件信息。针对这些海量的日志信息，高效的日志审计方法就显得越发重要。

[0003] 传统的日志审计方法是将各系统所对应的日志统一存储在一起，但是排查相应的问题仍然是以系统为单位，即，只能针对单个系统某个字段进行简单的统计报警，所以依然存在对系统日志进行排查统计繁琐、复杂以及效率极低的技术问题。

发明内容

[0004] 本发明实施例提供了一种基于日志的预警方法、装置、服务器及存储介质，通过将各个系统对应的原始日志转化为格式统一的审计日记，以在基于格式统一的审计日志进行处理时，提高日志审计效率，进而提高风险预警的技术效果。

[0005] 第一方面，本发明实施例提供了一种基于日志的预警方法，该方法包括：

[0006] 获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志；

[0007] 根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

[0008] 根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

[0009] 基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0010] 第二方面，本发明实施例还提供了一种基于日志的预警装置，该装置包括：

[0011] 待处理日志得到模块，用于获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志；

[0012] 目标审计日志得到模块，用于根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

[0013] 风险等级得到模块，用于根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

[0014] 预警信息生成模块，用于基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0015] 第三方面，本发明实施例还提供了一种服务器，该服务器包括：

[0016] 一个或多个处理器；

[0017] 存储装置，用于存储一个或多个程序，当所述程序被所述处理器执行，使得所述处理器实现如本发明任意实施例所提供的基于日志的预警方法。

[0018] 第四方面，本发明实施例还提供了一种包含计算机可执行指令的存储介质，该计算机可执行指令在由计算机处理器执行时用于执行如本发明任意实施例所提供的基于日志的预警方法。

[0019] 本发明实施例的技术方案，通过获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志，根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志，根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级，基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息，解决了现有技术虽将各个系统的日志统一存储，但在排查问题时还是对单个系统的日志进行排查，当日志的数量增多时，存在对系统日志进行排查统计繁琐、复杂以及效率极低的问题，达到了提高日志审计效率，进而提高风险预警的技术效果。

附图说明

[0020] 为了更加清楚地说明本发明示例性实施例的技术方案，下面对描述实施例中所需要用到的附图做一简单介绍。显然，所介绍的附图只是本发明所要描述的一部分实施例的附图，而不是全部的附图，对于本领域普通技术人员，在不付出创造性劳动的前提下，还可以根据这些附图得到其他的附图。

[0021] 图1是本发明实施例一提供的一种基于日志的预警方法流程示意图；

[0022] 图2是本发明实施例一提供的一种基于日志的预警方法流程示意图；

[0023] 图3是本发明实施例一提供的一种基于日志的预警方法流程示意图；

[0024] 图4是本发明实施例一提供的一种基于日志的预警方法流程示意图；

[0025] 图5是本发明实施例一提供的一种基于日志的预警方法流程示意图；

[0026] 图6是本发明实施例二提供的一种基于日志的预警方法流程示意图；

[0027] 图7是本发明实施例三提供的一种基于日志的预警装置模块示意图；

[0028] 图8是本发明实施例四提供的一种服务器结构示意图。

具体实施方式

[0029] 下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

[0030] 实施例一

[0031] 图1是本发明实施例一提供的一种基于日志的预警方法的流程示意图，本实施例可适用于通过对各系统的原始日志进行处理，从而得到原始日志对应的风险等级的情况，该方法可以由基于日志的预警装置来执行，基于日志的预警装置可通过软件和/或硬件方式实现，该基于日志的预警装置可集成于诸如计算机或者服务器等的电子设备中。

[0032] 如图1所示，本实施例的方法包括：

[0033] S110、获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志。

[0034] 其中，原始日志可以理解为各系统在运作时产生的事件记录，原始日志的内容可以包括但不限于以下信息：日期、时间、使用者及动作。其中一个系统可以对应一个原始日志或多个原始日志。配置文件可以理解为对各系统所对应的原始日志配置的文件，可以是根据需求预先设定，配置文件可以是用于对原始日志进行筛选、标记、转换格式处理的文件。待处理日志可以是对原始日志进行筛选、标记、转换格式操作后所得到的日志。筛选可以是过滤原始日志中的无效日志，还可以是提取原始日志中的目标字段。标记可以是根据需求为原始日志的各个字段添加标识。转化格式可以理解为将原始日志中的数据转换成预设格式数据，预设格式可以是json(JavaScript，对象简谱)格式。

[0035] 具体的，通过日志采集系统获取各个系统的日志文件，也就是得到各系统对应的原始日志。通过配置各系统的日志筛选规则将各系统中无效的原始日志进行过滤，得到有效日志，对有效日志中的数据进行标记，得到标记日志，将标记日志中的数据转换格式，得到与原始日志对应的待处理日志。需要说明的是本实施例中日志采集系统不做限定，只要能够实现采集日志功能即可。

[0036] 示例性的，系统A对应配置文件1，配置文件1的内容包括：预设日志的筛选规则、预设日志中字段对应的标识规则、预设转换的数据格式规则。获取系统A对应的原始日志1、原始日志2，根据配置文件1中的预设日志筛选规则，对系统A中的原始日志1、原始日志2进行过滤，在检测到原始日志1中的预设字段对应的数据为空，得到原始日志1为无效日志，将原始日志1进行过滤处理，得到有效的原始日志2。根据配置文件1中的预设日志中字段对应的标识规则，对原始日志2中用户字段、主机地址字段、时间字段以及事件字段对应的数据添加相应的标识，得到携带标识的原始日志2。根据配置文件1中的预设转换的数据格式规则，将原始日志2中携带标识字段对应的数据转换为json格式的数据。

[0037] 可选的，在得到所述待处理日志之后，还包括：将所述待处理日志发送至日志服务器，以使所述日志服务器对各原始日志所对应的待处理日志进行集中处理。

[0038] 其中，日志服务器是指对所有系统的待处理日志进行进一步处理的服务器。

[0039] 具体的，将待处理日志发送至日志服务器，基于日志服务器可以统一对待处理日志进行进一步统一处理。

[0040] 为了清楚介绍本实施例技术方案，可以参见下述实施例，如图2所示，可以在每个系统中设置flume(日志采集系统)，通过flume(日志采集系统)中的agent(代理模块)来确定与不同数据源所对应的数据采集方式，基于相应的数据采集方式可以采集原始日志。在获取到原始日志之后，可以调用与该系统所对应的配置文件，通过配置文件中设置的处理规则，或处理条件对原始日志进行如筛选、标记、转换格式的处理，得到操作日志。在得到操作日志的同时，将操作日志发送至日志服务器，以使日志服务器上的Elasticsearch对待处理日志进行统一存储。

[0041] S120、根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志。

[0042] 其中，映射规则可以理解为待处理日志中的字段与目标审计日志中字段之间的对应关系，映射规则可以是针对各个系统人工设定的逻辑规则。目标审理日志可以理解为各个系统对应的统一格式的日志。统一格式可以理解为字段名称相同，也可以是预先设置的所有原始日志均需要转换为的目标格式。

[0043] 具体的，根据每个系统的待处理日志的格式，配置每个系统的待处理日志对应的映射规则，根据每个系统的待处理日志对应的映射规则，对各系统对应的待处理日志进行处理，得到目标审计日志。

[0044] 示例性的，预设映射规则：字段“cmd”中的值是“AUTH”代表着是用户认证，映射到我们审计日志的字段“action”值为“用户认证”；字段“AuthUser”的值为用户账号，映射到审计日志的字段“username，并去掉后面的“@”；字段“Result”的值为“Failed”时，映射到审计日志的字段“status”值为“失败”。根据预设映射规则，将日志内容为cmd：AUTH；AuthUser：showard@；Result：Failed，转换为内容为action：用户认证；username：showard；
status：失败的审计日志。

[0045] 将待处理日志，即操作日志转换为审计日志的方式可以参见图3，从各操作日志中，根据与A系统对应的转换规则，将A系统的操作日志转化成审计日志A*，根据与B系统对应的转换规则，将B系统的操作日志转化成审计日志B*，根据与C系统对应的转换规则，将C系统的操作日志转化成审计日志C*，其中，审计日志A*、审计日志B*以及审计日志C*的日志格式统一。其中，审计日志A*、审计日志B*以及审计日志C*集中存储在日志服务器中。

[0046] S130、根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级。

[0047] 其中，风险等级评估准则可以是每个字段所对应的风险等级，例如，登录IP地址为北京的风险等级为1，登录IP地址为上海的风险等级为5。

[0048] 具体的，预先设置的风险等级评估准则，根据风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级，从而根据目标审计日志的风险等级得到风险评估报告，根据风险评估报告进行预警通知。

[0049] 示例性的，预先设置风险等级评估准则，其中，风险等级评估准则包括：触发事件1的次数在1至3范围内对应的风险等级为1，触发事件1的次数在4至6范围内对应的风险等级为2，触发事件1的次数在7次及7次以上对应的风险等级为3。在检测到目标审计日志中对应的事件1发生的次数为8，则目标审计日志的风险等级为3。

[0050] 为了清楚介绍本实施例技术方案，可以参见下述实施例，如图4所示，通过预设自定义规则，并将自定义规则配置于规则引擎中，通过规则引擎对预设时间间隔的统一格式的审计日志进行规则计算，得到审计日志对应的风险评估报告，根据风险评估报告确定审计日志对应的风险等级，从而得到风险评估后的审计日志。

[0051] S140、基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0052] 其中，风险评估项可以是目标审计日志的一个字段或多个字段，风险评估项可以是根据经验设置的。预警信息可以包括预警的内容，如，审计日志的具体内容，以及其所对应的系统。与所述预警信息对应的预警方式可以是文字预警方式、语音预警方式、短信、邮件以及警报中的至少一种，用户可以根据实际需求设置相应的预警方式。

[0053] 在本实施例中，生成预警信息的方式可以包括至少一种，第一中实施方式可以是：预先设定风险等级与预警信息之间的对应关系，获取预设时长内的审计日志，并确定预设时长内各日志所对应的风险性等级，根据各目标审计日志的风险等级，生成各目标审计日志的风险等级对应的预警信息。

[0054] 第二种实施方式可以是，根据经验设置审计日志的至少一个字段为风险评估项，如设置字段1为风险评估项，在检测到目标审计日志中存在字段1所对应的数据时，生成该目标审计日志对应的预警进行，以提示工作人员及时进行处理。

[0055] 为了有效的降低系统风险，在上实施例的基础上确定与所述预警信息相对应的预警规则，基于所述预警规则向对应终端设备发送预警信息。

[0056] 其中，预警规则可以是预先配置的规则，预警规则可以是发送预警信息的方式。可以针对不同的风险等级设置不同的预警规则，例如，风险等级值较高时，预警规则可以是通过三种方式向相应用户发送预警信息。

[0057] 为了清楚介绍本实施例技术方案，可以参见下述实施例，如图5所示，可以自定义预警规则，如，自定义哪些配置项为风险评估项；将风险评估后的审计日志输入至预警引擎中，同时，也可以将外部数据输入至预警引擎中。可以周期性的从预警引擎中获取一定时长内的预警日志和外部数据，可选的，一定时长与周期性的时长相一致。在获取到预警日志后，可以根据预警日志确定是否触发了预警信息。若触发了预警信息，则可以选择相应的预警途径，可选的，预警途径可以包括企业微信等IM软件、APP消息推送或邮件、语音电话或图文短信。在确定预警途径后，可以发送相应的预警信息。

[0058] 本发明实施例的技术方案，通过获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志，根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志，根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级，基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息，解决了现有技术虽将各个系统的日志统一存储，但在排查问题时还是对单个系统的日志进行排查，当日志的数量增多时，存在对系统日志进行排查统计繁琐、复杂以及效率极低的问题，达到了提高日志审计效率，进而提高风险预警的技术效果。

[0059] 实施例二

[0060] 图6是本发明实施例二提供的一种基于日志的预警方法流程示意图，在前述实施例的基础上，可以对实施例一中的各个步骤进行详细阐述，其具体实施方式可以参见本实施例技术方案。

[0061] 其中，与上述实施例相同或者相应的技术术语在此不再赘述。

[0062] 如图6所示，本实施例的方法具体可包括：

[0063] S210、针对各系统，调取当前系统所对应的配置文件，并提取出所述配置文件中的配置项。

[0064] 其中，一个系统可以是一个配置文件，还可以是多个配置文件。一个配置文件可以包括一个配置项或多个配置项。

[0065] 示例性的，预先配置系统A对应的配置文件1，系统B对应的配置文件2，当前系统为系统A，调取系统A对应的配置文件1，并获取配置文件中的配置项1、配置项2。

[0066] S220、基于所述配置项对所述当前系统对应的原始日志进行格式化处理，得到待处理日志。

[0067] 示例性的，当前系统A对应的配置文件1中的配置项为配置项1、配置项2，配置项3，系统A对应的原始日志中的字段包括字段1、字段2、字段3以及字段4，其中，配置项1对应字段1，配置项2对应字段3，配置项3是将数据格式转换为json格式,根据系统A的配置项1和配置项2得到系统A的待处理日志中的字段为字段1和字段3，待处理日志为字段1：内容1；字段2：内容2。

[0068] S230、针对各系统，调取当前系统的目标映射规则，基于所述目标映射规则将与所述当前系统所对应的待处理日志处理为目标格式的目标审计日志。

[0069] 其中，各待处理日志所对应的目标格式相同。目标映射规则可以是对待处理日志的字段的映射规则，还可以是待处理字段对应的字段值的映射规则。

[0070] 具体的，预先配置各个系统的映射规则，调取当前系统的映射规则，根据当前系统的映射规则对当前系统所对应的待处理日志进行格式处理，得到当前系统映射规则对应的审计日志。

[0071] 示例性的，系统A对应映射规则1，映射规则1是将待处理日志中字段1对应的内容映射成配置项1对应的内容，将待处理日志字段2的数据映射为配置项2对应的字段，并将待处理日志的字段2对应的内容映射为配置项2对应的内容。获取系统A对应的映射规则1，根据映射规则1对系统A对应的待处理日志进行处理，通过对系统A对应的待处理日志进行解析，在检测到待处理日志中的字段为字段1时，根据映射规则1，将待处理日志中的字段1对应的内容“张三”更新为配置项1对应的内容，在检测到待处理日志中的字段为字段2时，根据映射规则1，将待处理日中的字段2“用户名”替换为“用户名称”，将“用户名”对应的“李四@”映射为“用户名称”对应的“李四”。

[0072] S240、根据预先设置的各个事件类型、各个IP地址以及操作数据类型所对应的风险等级评估准则，确定各目标审计日志的风险评估等级。

[0073] 其中，事件类型可以理解为日志的事件类型，其中日志的事件类型可以是以下事件类型：管理、目录提取、常规、集成、参数、用户管理以及翻译等。

[0074] 在本实施例中，预设风险等级评估准则，可以是：预设各个事件类型的对应的风险等级，预设各个IP地址的风险等级，预设操作数据类型的风险等级，以及设置各个事件类型、各个IP地址以及操作数据类型的风险权重。基于得到的目标审计日志，获取目标审计日志的事件类型、IP地址以及操作数据类型，根据各个事件类型、各个IP地址以及操作数据类型的风险权重，得到目标审计日志的风险评估等级。

[0075] 示例性的，预设事件类型1、事件类型2分别对应的风险权重为0.8、0.2，预设IP地址1和IP地址分别对应风险权重为0.6和0.4，操作数据类型1和操作数据类型2分别对应的风险权重为0.3和0.7。目标审计日志的事件类型、IP地址以及操作数据类型分别为事件类型2、预设IP地址1、操作数据类型1的风险值＝0.2*0.6*0.3＝0.036，预设审计日志的风险值与风险评估等级的关系，根据预设审计日志的风险值范围在0至0.1内对应1级风险评估等级，得到该目标审计日志的风险评估等级为1级风险评估等级。

[0076] S250、所述基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0077] 可选的，所述基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息，包括：当检测到目标审计日志所对应的风险等级高于第一预设风险等级阈值，则生成预警信息；或，确定预先定义的风险评估项所对应的风险评估等级，当所述风险评估等级所对应的风险等级高于第二预设风险等级阈值，则生成预警信息。

[0078] 其中，第一预设风险等级阈值可以与审计日志的风险等级相对应。第二预设风险等级阈值可以与审计日志的风险等级相对应。

[0079] 在本实施例中，生成预警信息的方式至少可以包括至少一种，第一种实施方式可以是：获取目标审计日志对应的风险等级(例如3级风险)，预设风险等级阈值为2级风险，在检测到目标审计日志对应的风险等级高于风险等级阈值时，也就是说，目标审计日志的3级风险高于预设的2级风险阈值，生成该目标审计日志对应的报警信息。

[0080] 第二种实施方式可以是，预设设定风险评估项对应的风险评估等级，例如，风险评估项1、风险评估项2以及风险评估项3分别对应1级风险评估等级、2级风险评估等级和3级风险评估等级，在检测目标审计日志的字段1对应风险评估项3时，根据风险评估项3对应3级风险评估等级，确定该目标审计日志对应3级评估等级，预设风险等级阈值为2级风险，在检测到目标审计日志对应的风险等级高于风险等级阈值时，也就是说，目标审计日志的3级风险高于预设的2级风险阈值，生成该目标审计日志对应的报警信息。

[0081] 本实施例的技术方案，通过针对各系统，调取当前系统所对应的配置文件，并提取出配置文件中的配置项，基于配置项对所述当前系统对应的原始日志进行格式化处理，得到待处理日志，针对各系统，调取当前系统的目标映射规则，基于目标映射规则将与当前系统所对应的待处理日志处理为目标格式的目标审计日志，其中，各待处理日志所对应的目标格式相同，根据预先设置的各个事件类型、各个IP地址以及操作数据类型所对应的风险等级评估准则，确定各目标审计日志的风险评估等级，基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息，解决了现有技术虽将各个系统的日志统一存储，但在排查问题时还是对单个系统的日志进行排查，当日志的数量增多时，存在对系统日志进行排查统计繁琐、复杂以及效率极低的问题，达到了提高日志审计效率，进而提高风险预警的技术效果。

[0082] 实施例三

[0083] 图7是本发明实施例三提供的一种基于日志的预警装置模块示意图，本发明提供了一种基于日志的预警装置，该装置包括：

[0084] 待处理日志得到模块310，用于获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志；

[0085] 目标审计日志得到模块320，用于根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

[0086] 风险等级得到模块330，用于根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

[0087] 预警信息生成模块340，用于基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0088] 本实施例的技术方案，通过待处理日志得到模块获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志，通过目标审计日志得到模块根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志，通过风险等级得到模块根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级，通过预警信息生成模块基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息，解决了现有技术虽将各个系统的日志统一存储，但在排查问题时还是对单个系统的日志进行排查，当日志的数量增多时，存在对系统日志进行排查统计繁琐、复杂以及效率极低的问题，达到了提高日志审计效率，进而提高风险预警的技术效果。可选的，待处理日志得到模块310，用于针对各系统，调取当前系统所对应的配置文件，并提取出所述配置文件中的配置项；基于所述配置项对所述当前系统对应的原始日志进行格式化处理，得到待处理日志。

[0089] 可选的，待处理日志得到模块310，用于将所述待处理日志发送至日志服务器，以使所述日志服务器对各原始日志所对应的待处理日志进行集中处理。

[0090] 可选的，目标审计日志得到模块320，用于针对各系统，调取当前系统的目标映射规则，基于所述目标映射规则将与所述当前系统所对应的待处理日志处理为目标格式的目标审计日志；其中，各待处理日志所对应的目标格式相同。

[0091] 可选的，风险等级得到模块330，用于根据预先设置的各个事件类型、各个IP地址以及操作数据类型所对应的风险等级评估准则，确定各目标审计日志的风险评估等级。

[0092] 可选的，预警信息生成模块340，用于当检测到目标审计日志所对应的风险等级高于第一预设风险等级阈值，则生成预警信息；或，确定预先定义的风险评估项所对应的风险评估等级，当所述风险评估等级所对应的风险等级高于第二预设风险等级阈值，则生成预警信息。

[0093] 可选的，该装置还包括：预警信息发送模块350，用于确定与所述预警信息相对应的预警规则，基于所述预警规则向对应终端设备发送预警信息。

[0094] 本发明实施例所提供的基于日志的预警装置可执行本发明任意实施例所提供的基于日志的预警方法，具备执行方法相应的功能模块和有益效果。

[0095] 值得注意的是，上述装置所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明实施例的保护范围。

[0096] 实施例四

[0097] 图8是本发明实施例四提供的一种服务器的结构示意图。图8示出了适于用来实现本发明实施方式的示例性服务器12的框图。图8显示的服务器12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

[0098] 如图8所示，服务器12以通用计算设备的形式表现。服务器12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，系统存储器28，连接不同系统组件(包括系统存储器28和处理单元16)的总线18。

[0099] 总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。

[0100] 服务器12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被服务器12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

[0101] 系统存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。服务器12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图8未显示，通常称为“硬盘驱动器”)。尽管图8中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD‑ROM,DVD‑ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。系统存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

[0102] 具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如系统存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。

[0103] 服务器12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该服务器12交互的设备通信，和/或与使得该服务器12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。
这种通信可以通过输入/输出(I/O)接口22进行。并且，服务器12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。
如图8所示，网络适配器20通过总线18与服务器12的其它模块通信。应当明白，尽管图8中未示出，可以结合服务器12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

[0104] 处理单元16通过运行存储在系统存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发实施例所提供的一种基于日志的预警方法，该方法包括：

[0105] 获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志；

[0106] 根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

[0107] 根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

[0108] 基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0109] 当然，本领域技术人员可以理解，处理器还可以实现本发明任意实施例所提供的基于日志的预警方法的技术方案。

[0110] 实施例五

[0111] 本发明实施例五还提供一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行基于日志的预警方法。

[0112] 该方法包括：

[0113] 获取与各系统所对应的原始日志，并基于各系统的配置文件对相应原始日志进行处理，得到与各原始日志所对应的待处理日志；

[0114] 根据与各系统所对应的映射规则对相应待处理日志进行处理，得到与各原始日志所对应的目标审计日志；

[0115] 根据预先设置的风险等级评估准则，对各目标审计日志进行风险评估处理，得到各目标审计日志的风险等级；

[0116] 基于各目标审计日志的风险等级和/或预先定义的风险评估项，生成预警信息。

[0117] 本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD‑ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

[0118] 计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

[0119] 计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

[0120] 可以以一种或多种程序设计语言或其组合来编写用于执行本发明实施例操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言——诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

[0121] 注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。