CN109800140A - 业务告警事件起因分析的方法、装置、设备及介质 - Google Patents

Abstract

本发明提供一种业务告警事件起因的分析方法，方法包括：使用监听程序，记录所有服务器操作日志；获取服务器操作日志及业务告警事件的信息；对服务器操作日志与业务告警事件的信息做关联计算，得到关联结果；根据关联结果，得到业务告警事件的起因。通过该方法，能够准确追踪由于误操作或者其他因素导致的业务告警事件的起因，明确责任。本发明还提供一种业务告警事件起因的分析装置、一种电子设备及一种计算机可读介质。

Description

业务告警事件起因分析的方法、装置、设备及介质

技术领域

本发明涉及网络安全领域，尤其涉及一种业务告警事件起因分析的方法、装置、设备及介质。

背景技术

随着信息化程度的不断提高，对信息的依赖程度也随之增加，如何保障信息***安全是目前广泛关注的问题之一。例如，操作***、硬件、应用程序等故障或配置错误导致***异常运行，服务中断，这些异常行为只会在***及各类日志中有所反应，没有统一的日志审计手段，无法及时发现安全事故；大部分企业对员工的上网行为都不进行直接控制，因此员工不适当或滥用公式网络资源的行为时有发生，如下载、网上聊天及访问非法网站的行为等等，也会引发业务告警。

为了更好地应对业务告警，越来越多的日志审计产品应运而生，但大多都是针对web日志、服务器操作日志，对于登录服务器操作日志较少。因此，本发明主要针对Linux服务器登录操作日志的审计。

发明内容

(一)要解决的技术问题

针对目前存在的技术问题，本发明提出一种业务告警事件起因分析的方法、装置、设备及介质，用于对误操作或者内鬼导致的业务告警事故进行追踪溯源。

(二)技术方案

本发明提供一种业务告警事件起因的分析方法，其特征在于，包括：使用监听程序，记录所有服务器操作日志；获取服务器操作日志及业务告警事件的信息；对服务器操作日志与业务告警事件的信息做关联计算，得到关联结果；根据关联结果，得到业务告警事件的起因。

可选地，记录所有服务器操作日志中，服务器操作日志包括用户登录信息及操作信息，用户登录信息包括登录的用户名、IP地址信息及时间，操作信息包括用户具体操作的内容。

可选地，对服务器操作日志与业务告警事件的信息做关联计算，得到关联结果，包括：根据业务告警事件信息，关联用户名、IP地址信息、时间及具体操作的内容，得到引发业务告警事件的具体用户名、IP地址信息、时间及操作的内容。

可选地，关联结果包括与业务告警事件对应的用户名、IP地址信息及时间，根据关联结果，得到业务告警事件的起因，包括：根据用户名得到引发业务告警事件的具体用户；根据IP地址信息得到引发业务告警事件的具体地址；根据时间得到引发业务告警事件的具体时间。

可选地，获取业务告警事件的信息，包括：对采集的所有告警事件的信息进行过滤，消除其中误告警事件的信息或重复告警事件信息。

可选地，对服务器操作日志与业务告警事件的信息做关联计算包括：采用日志分析引擎根据业务告警事件信息关联服务器操作日志。

可选地，记录所有服务器操作日志之后还包括：将服务器操作日志存储到大数据平台。

本发明另一方面提供一种业务告警事件起因的分析装置，该装置包括：记录模块，用于记录所有服务器操作日志；信息获取模块，用于获取服务器操作日志及业务告警事件的信息；计算模块，用于对服务器操作日志与业务告警事件的信息做关联计算，得到关联结果；结果获取模块，用于根据关联结果，得到业务告警事件的起因。

本发明另一方面还提供一种电子设备，包括：处理器；存储器，其存储有计算机可执行程序，该程序在被所述处理器执行时，使得所述处理器执行本发明中的业务告警事件起因分析的方法。

本发明另一方面还提供一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现本发明中的业务告警事件起因分析的方法。

(三)有益效果

本发明提供的一种业务告警事件起因的分析方法，通过对业务告警事件信息和服务器操作日志进行关联计算，根据关联计算的结果，分析出业务告警事件的起因。利用该方法，针对于由于误操作或者内鬼导致的具体的业务告警事件进行追踪溯源，能够正确匹配到事故的起因，责任到人。

附图说明

为了更完整地理解本发明及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本发明实施例的业务告警事件起因的分析方法的流程图。

图2示意性示出了根据本发明实施例的业务告警事件起因的分析装置的框图。

图3示意性示出了根据本发明实施例的电子设备的框图。

具体实施方式

以下，将参照附图来描述本发明的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本发明的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本发明实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

本发明实施例提出一种业业告警事件起因的分析方法。

图1示意性示出了根据本发明实施例的业业告警事件起因分析方法的流程图。

如图1所示，该方法包括：

S1，使用监听程序，记录所有服务器操作日志。

因服务器操作日志包括所有登录服务器登录信息及在该服务器上具体操作的信息，因此要想分析出业务告警事件的起因，必须对服务器的所有服务器操作日志进行记录。具体是针对于每次登录服务器的后台，使用后台监听程序，记录所有后台服务器的服务器操作日志，然后将其存储到大数据平台进行后续的关联计算。

服务器操作日志包括用户登录信息及操作信息。其中，用户登录信息包括用户登录的用户名、IP地址信息及登录的时间等，操作信息包括用户在该服务器具体进行了怎样的操作，比如下载、在线看电影、网上聊天、听音乐及访问非法网站等。

S2，获取服务器操作日志及业务告警事件的信息。

在对服务器操作日志进行记录后，获取服务器操作日志以备后续的关联计算，同时关联计算还需要业务告警事件的信息。业务告警事件的信息通常来说有两种：一种是监控软件产生的服务器设备的性能告警日志，另一种是部署在服务器上的业务***产生的业务告警日志。采集方式为：一种是服务器主动向上汇报自身的告警事件信息，另一种则是网络***通过定期轮训或者相近方式主动获取相应的告警事件信息。一般来说在通信网络中服务器本身会提供至少一种方式，以便于运营商能够对服务器进行管理，如Motorola就为无线设备提供了OMC-R(Operation Maintenance Center-Radio)管理方式，将各个点汇报上来的告警数据积累起来，形成相应的文件。对告警的采集主要是关键点在于告警的实时性、全面性及高效性。

采集的业务告警事件信息中包含一些无关紧要的告警信息，误告警以及重复告警等，因此在进行关联计算之前，需将这些无用的告警信息过滤，以减少关联计算的计算量。

S3，对服务器操作日志与业务告警事件的信息做关联计算，得到关联结果。

关联计算是指按照另一个序列或者排列的关联字段的顺序进行排序，在本实施例中，依据用户登录信息中的时间，用户名及IP地址信息与业务告警事件信息中该告警时间发生的时间，发生在服务器中的具体地址进行关联计算，得到关联计算的结果。该结果比如是哪个用户名在什么时间通过访问什么IP地址的非法网站是产生的告警事件。其中，业务告警事件信息中，发生在服务器中的具体地址比如有：用户在通过服务器浏览哪个IP地址的非法网站时，产生的告警事件，黑客在攻击那个网页产生的告警事件等。具体的关联计算是采用日志分析引擎根据告警事件信息关联服务器操作日志，得到关联结果。

S4，根据关联结果，得到业务告警事件的起因。

通过操作S3得到的关联结果可以是一个按关联字段的顺序进行排序表格。该表格中包含有引发告警事件具体信息，比如引发该告警事件的用户的用户名，时间及地址。根据时间得到引发该告警事件的具体时间，结合用户名更快地得到引发该告警事件的具体用户，这样就可以将业务告警责任到人；根据IP地址信息得到引发告警事件的具体地址，明确用户是通过浏览什么IP地址的非法网站引发的业务告警，后期可以通过防火墙对这些网站进行屏蔽，使得在无法继续访问这些非法网站，杜绝类似告警事件的再次发生，使网络更加安全。

综上所述，本发明提出一种业务告警事件起因的分析方法，通过获取服务器的服务器操作日志，并获取业务告警事件信息，根据日志分析引擎根据业务告警事件信息关联服务器的操作日志，得到一个按关联字段的顺序进行排序表格，根据这个排序可以准确的追踪业务告警事件发生的起因，以便具体该业务告警事件的责任及后期及时对类似业务告警事件作出相应的应对措施。

图2示意性示出了根据本发明实施例的业务告警事件起因的分析装置200的框图。

如图2所示，业务告警事件起因的分析装置200包括记录模块210、信息获取模块220、计算模块230及结果获取模块240。

记录模块210，用于记录所有服务器操作日志。具体地，根据后台监听程序，记录所有后台服务器的服务器操作日志，存储到大数据平台。服务器操作日志包括用户登录信息及操作信息。其中，用户登录信息包括用户登录的用户名、IP地址信息及登录的时间等，操作信息包括用户在该服务器具体的操作内容。

信息获取模块220，用于获取服务器操作日志及业务告警事件的信息。其中，采集的业务告警事件信息中包含一些无关紧要的告警信息，误告警及重复告警等，因此在进行关联计算之前，需将这些无用的告警信息过滤，以减少关联计算的计算量。

计算模块230，对服务器操作日志与业务告警事件的信息做关联计算，得到关联结果。具体地，根据日志分析引擎根据业务告警事件信息关联服务器服务器操作日志，得到关联结果。

结果获取模块240，用于根据关联结果，得到业务告警事件的起因。具体地，关联结果包括与业务告警事件对应的用户名、IP地址信息及时间，根据时间得到引发该业务告警事件的具体时间，结合用户名更快地得到引发该业务告警事件的具体用户，这样就可以将业务告警责任到人；根据IP地址信息得到引发告警事件的具体地址，明确用户是通过浏览什么IP地址的非法网站引发的业务告警，后期可以通过防火墙对这些网站进行屏蔽，使得在无法继续访问这些非法网站，杜绝类似告警事件的再次发生，使网络更加安全。

应当理解，记录模块210、信息获取模块220、计算模块230及结果获取模块240可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本发明的实施例，记录模块210、信息获取模块220、计算模块230及结果获取模块240中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上***、基板上的***、封装上的***、专用集成电路(ASIC)，或可以以对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式的适当组合来实现。或者，记录模块210、信息获取模块220、计算模块230及结果获取模块240中的至少一个可以至少被部分地实现为计算机程序模块，当该程序被计算机运行时，可以执行相应模块的功能。

本发明提供一种电子设备，如图3所示，该电子设备300包括处理器310和存储器320。该电子设备300可以执行根据图1所示的本发明实施例的方法。

具体地，处理器310例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器310还可以包括用于缓存用途的板载存储器。处理器610可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

存储器320，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体***、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

存储器320可以包括计算机程序321，该计算机程序321可以包括代码/计算机可执行指令，其在由处理器310执行时使得处理器310执行根据本公开实施例的方法或其任何变形。

计算机程序321可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序321中的代码可以包括至少一个程序模块，例如包括模块321A、模块321B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器310执行时，使得处理器310可以执行根据本公开实施例的方法或其任何变形。

本公开还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/***中所包含的；也可以是单独存在，而未装配入该设备/装置/***中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种业务告警事件起因的分析方法，其特征在于，包括：

使用监听程序，记录所有服务器操作日志；

获取所述服务器操作日志及业务告警事件的信息；

对所述服务器操作日志与告警事件的信息做关联计算，得到关联结果；

根据所述关联结果，得到所述业务告警事件的起因。

2.根据权利要求1所述的业务告警事件起因的分析方法，其特征在于，所述记录所有服务器操作日志中，所述服务器操作日志包括用户登录信息及操作信息，所述用户登录信息包括登录的用户名、IP地址信息及时间，所述操作信息包括用户具体操作的内容。

3.根据权利要求2所述的业务告警事件起因的分析方法，其特征在于，所述对所述服务器操作日志与业务告警事件的信息做关联计算，得到关联结果，包括：

根据所述业务告警事件信息，关联所述用户名、IP地址信息、时间及具体操作的内容，得到引发所述业务告警事件的具体用户名、IP地址信息、时间及操作的内容。

4.根据权利要求1所述的业务告警事件起因的分析方法，其特征在于，所述关联结果包括与所述业务告警事件对应的用户名、IP地址信息及时间，根据所述关联结果，得到所述业务告警事件的起因，包括：

根据所述用户名得到引发所述业务告警事件的具体用户；

根据所述IP地址信息得到引发所述业务告警事件的具体地址；

根据所述时间得到引发所述业务告警事件的具体时间。

5.根据权利要求1所述的业务告警事件起因的分析方法，其特征在于，获取业务警事件的信息，包括：

对采集的所有业务告警事件的信息进行过滤，消除其中误告警事件或重复告警事件的信息。

6.根据权利要求1所述的业务告警事件起因的分析方法，其特征在于，对所述服务器操作日志与业务告警事件的信息做关联计算包括：采用日志分析引擎根据所述业务告警事件信息关联所述服务器操作日志。

7.根据权利要求1所述的业务告警事件起因的分析方法，其特征在于，所述记录所有服务器操作日志之后还包括：将所述服务器操作日志存储到大数据平台。

8.一种业务告警事件起因的分析装置，其特征在于，所述装置包括：

记录模块，用于记录所有服务器操作日志；

信息获取模块，用于获取所述服务器操作日志及业务告警事件的信息；

计算模块，用于对所述服务器操作日志与业务告警事件的信息做关联计算，得到关联结果；

结果获取模块，用于根据所述关联结果，得到所述业务告警事件的起因。

9.一种电子设备，包括：

处理器；

存储器，其存储有计算机可执行程序，该程序在被所述处理器执行时，使得所述处理器执行如权利要求1-7中任意一项所述的业务告警事件起因的分析方法。

10.一种计算机可读介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7中任意一项所述的业务告警事件起因的分析方法。