WO2016107306A1 - 消息订阅方法、处理节点设备和消息总线 - Google Patents

消息订阅方法、处理节点设备和消息总线 Download PDF

Info

Publication number
WO2016107306A1
WO2016107306A1 PCT/CN2015/094623 CN2015094623W WO2016107306A1 WO 2016107306 A1 WO2016107306 A1 WO 2016107306A1 CN 2015094623 W CN2015094623 W CN 2015094623W WO 2016107306 A1 WO2016107306 A1 WO 2016107306A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
event
processing node
message event
configuration information
Prior art date
Application number
PCT/CN2015/094623
Other languages
English (en)
French (fr)
Inventor
朱禄
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Publication of WO2016107306A1 publication Critical patent/WO2016107306A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks

Definitions

  • the present invention relates to the field of data processing technologies, and in particular, to a message subscription method, a processing node device, and a message bus.
  • IDS Intrusion Detection Systems
  • IMS Intrusion Prevention System
  • SOC Security Operations Center
  • UDM Unified Threat Management
  • the present invention has been made in order to provide a message subscription method, a processing node device and a message bus that overcome the above problems or at least partially solve the above problems, and can realize dynamic expansion of a message bus, which is convenient for message events.
  • a processing node device is provided.
  • the processing node device is loaded on a message bus in a plug-in form, and the processing node device includes:
  • a first obtaining module configured to: when the event source issues a message event through the message bus, acquire a message event corresponding to the first configuration information in the message event according to the first configuration information;
  • a processing module configured to process the acquired message event according to the first configuration information.
  • a message bus comprising:
  • a loading module configured to load at least one first processing node in the form of a plug-in, and generate first configuration information of the first processing node
  • a search module configured to: when the event source issues a message event through the message bus, search for a message event corresponding to the first configuration information according to the first configuration information;
  • a sending module configured to send the searched message event to the first processing node, so that the first processing node processes the sent message event.
  • a message subscription method including:
  • the at least one first processing node that is loaded on the message bus acquires a message event corresponding to the first configuration information in the message event according to the first configuration information;
  • the first processing node processes the acquired message event according to the first configuration information
  • the first processing node is a node loaded on the message bus in a plug-in form.
  • a message subscription method including:
  • the message bus searches for a message event corresponding to the first configuration information according to the first configuration information, and sends the searched message event to the first processing node. So that the first processing node processes the transmitted message event.
  • a computer program comprising computer readable code, when the computer readable code is run on a computing device, causing the computing device to perform a message subscription according to the above method.
  • a computer readable medium storing the above computer program is provided.
  • the message subscription method, the processing node device and the message bus of the present invention acquire a message event in the message bus by dynamically loading at least one first processing node on the message bus, and process the acquired message event, and further It can dynamically expand the input/output message events in the message bus, facilitate post-maintenance of network security products with granularity of message events, and improve the efficiency of network security products.
  • FIG. 1 is a schematic flowchart of a message subscription method according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a message subscription method according to another embodiment of the present invention.
  • FIG. 3 is a schematic diagram of a message subscription method according to another embodiment of the present invention.
  • FIG. 4 is a schematic flowchart of a message subscription method according to another embodiment of the present invention.
  • FIG. 5 is a schematic diagram of a message subscription method according to another embodiment of the present invention.
  • FIG. 6 is a schematic flowchart diagram of a message subscription method according to another embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a processing node device according to an embodiment of the present invention.
  • FIG. 8 is a schematic structural diagram of a message bus according to an embodiment of the present invention.
  • Figure 9 is a schematic block diagram of a computing device for performing a message subscription method in accordance with the present invention.
  • Fig. 10 schematically shows a storage unit for holding or carrying program code implementing the message subscription method according to the present invention.
  • FIG. 1 is a schematic flowchart of a message subscription method according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of a message subscription method according to another embodiment of the present invention. Referring to FIG. 1 and FIG. 2, the embodiment is shown in FIG.
  • the message subscription method is as follows.
  • the at least one first processing node that is loaded on the message bus acquires a message corresponding to the first configuration information in the message event according to the first configuration information. event.
  • the first processing node is a node dynamically loaded on the message bus in a plug-in form.
  • the first configuration information may be configuration information generated during a process of dynamically loading the first processing node by the message bus, and the first processing node acquires a message event in the message bus according to the configuration information.
  • the event source in this step can be understood as: a host event source in the server, a network event source in the Internet, and/or any access system that issues a message event through the message bus, a third party message Event source, etc.
  • the event source is merely an example in this embodiment, and any event that can publish a message event in the message bus can be understood as an event source of the message bus.
  • the first processing node processes the acquired message event according to the first configuration information.
  • the message bus can run in the memory of a server, similar to a broadcast stream, and can broadcast/publish any message event, but does not store the message event.
  • a plurality of first processing nodes can be dynamically loaded on the message bus. As shown in FIG. 2, the first processing node can subscribe to a message event broadcasted in the message bus according to the first configuration information.
  • the first processing node may discard message events in the message bus, delete message events, add message attributes, store message events, and the like. This embodiment does not limit the first processing node, and the first processing node can understand Insertion of plug-ins implemented in software implements processing of message events in the message bus in hardware.
  • the first processing node can be a subscription plugin, a message publishing plugin, or the like.
  • the first processing node issues a message event to the message bus, the first processing node may be considered to be an event source of the message bus.
  • the format of the message event in the message bus in this embodiment is a key-value format, that is, a key-value format.
  • the message subscription method in this embodiment obtains a message event in the message bus by dynamically loading at least one first processing node on the message bus, and processes the acquired message event, thereby implementing an input/output message in the message bus.
  • the event is dynamically expanded to facilitate post-maintenance of network security products with granularity of message events, improving the efficiency of network security products.
  • the message event in the message bus shown in FIG. 2 above may be a MAP type message event
  • the MAP is a signaling for transmitting a message between mobile entities
  • the MAP message may be a Transaction Capabilities Application Part (Transaction Capabilities Application Part, The protocol data of the TCAP), the Signaling Connection Control Part (SCCP), and the Media Transfer Protocol (MTP) protocol layer.
  • Transaction Capabilities Application Part Transaction Capabilities Application Part
  • SCCP Signaling Connection Control Part
  • MTP Media Transfer Protocol
  • the method further includes: the plurality of first processing nodes may also subscribe to each other for a message event, that is, the first processing node performs another first processing according to the first configuration information.
  • a message event corresponding to the first configuration information is obtained in a message event subscribed or published in the node.
  • the first processing node a2 may obtain a message event corresponding to the first configuration information from a message event subscribed in the first processing node a1 according to the first configuration information.
  • the first processing node a1 is a message event in the subscription message bus whose source IP is 198.102.151.11, and the subscribed message event is stored. At this time, the first processing node a2 may subscribe to the message event that meets the requirement from the first processing node a1. Since the first processing node a1 is to process the subscribed message event, the first processing node a2 can subscribe to all message events that the first processing node a1 has subscribed to.
  • the first processing node a2 can only subscribe to the subscribed message event in the first processing node a1 in real time. That is, the first processing node a2 cannot subscribe to the message event that the first processing node a1 and the first processing node a2 subscribed from the message bus before the subscription relationship is established.
  • the first processing node a1 and the first processing node a2 may form a tree structure, such as a binary tree structure. This embodiment is for illustrative purposes only and is not limited thereto.
  • FIG. 4 is a schematic flowchart diagram of a message subscription method according to another embodiment of the present invention
  • FIG. 5 is a schematic diagram of a message subscription method according to another embodiment of the present invention. Referring to FIG. 4 and FIG. Case message The method of reading is as follows.
  • the message bus dynamically loads the at least one first processing node, and generates first configuration information corresponding to the first processing node.
  • the first configuration information in this embodiment includes one or more of the following:
  • Subscribing to a message event conforming to a preset rule deleting a message event conforming to a preset rule, adding an attribute of a message event conforming to a preset rule, publishing a message event, discarding a message event conforming to a preset rule, and forwarding the message in the message bus
  • the message event of the preset rule, the real name system maps the message event that meets the preset rule, the associated event message that matches the preset rule, the message event that matches the preset rule, and the like.
  • the at least one first processing node acquires a message event corresponding to the first configuration information in the message event according to the first configuration information.
  • the first processing node processes the acquired message event according to the first configuration information.
  • the first processing node may modify the attribute of the obtained message event according to the first configuration information, and issue the message event after the attribute is modified; or the first processing node may discard the obtained message event according to the first configuration information; or The first processing node may store the acquired message event in the database according to the first configuration information; or the first processing node may perform traffic statistics analysis or security statistical analysis according to the acquired message event; or the first processing node is configured according to the obtained
  • the message event is subjected to association analysis (such as name mapping); or the first processing node forwards the acquired message event and the like.
  • association analysis such as name mapping
  • the first processing node is further configured to dynamically load the at least one second processing node, and generate second configuration information corresponding to the second processing node.
  • the second processing node acquires a message event corresponding to the second configuration information from a message event subscribed or issued by the first processing node according to the second configuration information, and processes the acquired message event.
  • the Mth processing node can also dynamically load the at least one M+1th processing node to generate the M+1 configuration information corresponding to the M+1th processing node.
  • the M+1 processing node acquires a message event corresponding to the M+1 configuration information from the message event subscribed or issued by the Mth processing node according to the M+1 configuration information, to process the acquired message event.
  • the above M value can be a positive integer.
  • the Mth processing node and the M+1th processing node may form a tree structure, such as a binary tree structure; or the Mth processing node and the M+1th processing node may form a chain structure, which is not performed in this embodiment.
  • a first processing node a2 and a second processing node b1, b2 constituting a binary tree structure.
  • the message bus needs to dynamically load at least one processing node so that the processing nodes can acquire message events in the message bus.
  • the processing node can be a plug-in for product admission, or a plug-in for capturing a source IP traffic, or a plug-in for intrusion check system analysis.
  • the plugins can be implemented in software and preloaded in a message bus of a server.
  • the message bus can publish message messages in a uniform format for subscription by multiple plugins loaded on the message bus.
  • the subscription of the plug-in on the message bus or the subscription between the plug-in and the plug-in is not associated with the server/host where the message bus is located, and is also unrelated to the network in which the server/host is located.
  • the attribute of any message event in the message bus may include information such as a source IP address, a destination IP address, a source port, and a destination port of the message event.
  • the message format of the message event in the above embodiment may be dynamically extended, and then a set of message-based subscription message-based message bus is established for the message format, and the subscription plug-in or the release plug-in on the message bus is dynamically loaded to the message bus. Up to reach the pluggable message bus mode.
  • the publishing plug-in publishes a message event through the message bus, and various subscription plug-ins dynamically loaded on the message bus process the message events sent by the publishing plug-in, for example, deleting, adding message attribute publishing, discarding, and the like.
  • a common network security system such as a log server, a security audit system, a traffic statistics system, etc.
  • a traffic statistics system can be constructed based on the above message bus.
  • FIG. 6 is a schematic flowchart diagram of a message subscription method according to another embodiment of the present invention. As shown in FIG. 6, the message subscription method in this embodiment is as follows.
  • the message bus dynamically loads at least one first processing node in the form of a plug-in, and generates first configuration information of the first processing node.
  • the first configuration information may include one or more of the following: subscribing to a message event that meets a preset rule in the message bus, deleting a message event that meets a preset rule, and adding a message that conforms to a preset rule.
  • the message bus searches for a message event corresponding to the first configuration information according to the first configuration information, and sends the searched message event to the first process. a node to cause the first processing node to process the transmitted message event.
  • the message event in this embodiment is a message event of a MAP message type
  • the format of the message event is a dynamically extended key-value format; the attributes of the message event may include: a source IP, a destination IP, a source port number, and a destination port number of the message event.
  • the event source in step 602 can be one or more of the following: a host event source in the server, a network event source in the Internet, and an event source in the first processing node, a third-party event source, through the message. Bus release message Any access system of the event, etc.
  • the method shown in FIG. 6 above may further include step 603 not shown in the following figure:
  • the message bus dynamically loads the at least one first processing node, and further sends the message event in the message bus subscribed by the first processing node to the at least one first processing node, so that the at least one first processing node The obtained message event is processed, thereby dynamically expanding the input/output message events in the message bus, facilitating post-maintenance of the network security product with the granularity of the message event, and improving the efficiency of the network security product.
  • the message bus ftms in any of the above embodiments can be understood as a stml of a host.
  • the message bus broadcast has a message event defining a uniform type.
  • the message bus can define a plurality of plug-ins, that is, processing nodes, and each plug-in can add a message event. , delete, or modify.
  • the message bus is similar to the physical bus, and message events broadcast on the message bus are not stored, and the processing node loaded on the message bus cannot know the content broadcasted in the message bus before loading.
  • a plurality of processing nodes are loaded.
  • the processing nodes may be loaded on the message bus in a plug-in form.
  • FIG. 7 is a schematic structural diagram of a processing node device according to an embodiment of the present invention. As shown in FIG. 7, the processing node device includes: a first obtaining module 71 and a processing module 72.
  • the first obtaining module 71 is configured to: when the event source issues a message event through the message bus, acquire a message event corresponding to the first configuration information in the message event according to the first configuration information;
  • the processing module 72 is configured to process the acquired message event according to the first configuration information.
  • the processing node device further includes a loading module not shown in the figure; the loading module is configured to load at least one second processing node, and generate second configuration information corresponding to the second processing node;
  • the second processing node acquires a message event corresponding to the second configuration information from a message event subscribed or issued by the processing node device according to the second configuration information, and processes the acquired message event.
  • processing node device in this embodiment is the first processing node.
  • the first configuration information includes one or more of the following:
  • Subscribing to a message event conforming to a preset rule deleting a message event conforming to a preset rule, adding an attribute of a message event conforming to a preset rule, publishing a message event, discarding a message event conforming to a preset rule, and forwarding the message in the message bus
  • the message event of the preset rule the real name system maps the message event that matches the preset rule, the associated event message that matches the preset rule, and the message event that matches the preset rule.
  • processing node device and the at least one second processing node form a binary tree structure
  • the processing node device and the at least one second processing node form a chain structure.
  • the processing node device may further include a second acquiring module, not shown, for acquiring the first configuration information from another processing node device according to the first configuration information. Obtaining a message event corresponding to the first configuration information in a subscribed or published message event.
  • a host event source in the server a network event source in the Internet, and an event source in the processing node device, any access system that issues a message event through the message bus.
  • the processing module in this embodiment may be specifically configured to: modify an attribute of the obtained message event, and issue a message event after modifying the attribute; or discard the obtained message event; or, the obtained message event Stored in the database; or, according to the obtained message event, perform traffic statistical analysis or security statistical analysis; or, perform association analysis according to the acquired message event; or forward the obtained message event.
  • the message event in any of the above embodiments may be a message event of a MAP message type
  • the format of the message event is a dynamically extended key-value key-value format
  • the attributes of the message event include: a source IP, a destination IP, a source port number, and a destination port number of the message event.
  • the processing node device in this embodiment processes the acquired message event, thereby dynamically expanding the input/output message events in the message bus, facilitating post-maintenance of the network security product with the message event granularity, and improving the efficiency of the network security product.
  • FIG. 8 is a schematic structural diagram of a message bus according to an embodiment of the present invention.
  • the message bus includes: a loading module 81, a generating module 82, a searching module 83, and a sending module 84;
  • the loading module 81 is configured to load at least one first processing node in the form of a plug-in;
  • the generating module 82 is configured to generate first configuration information of the first processing node according to the at least one first processing node loaded by the loading module;
  • the searching module 83 is configured to: when the event source issues a message event through the message bus, search for a message event corresponding to the first configuration information according to the first configuration information;
  • the sending module 84 is configured to send the searched message event to the first processing node, so that the first processing node processes the sent message event.
  • the message bus may further include a deletion module not shown in the figure, and the deletion module 84 is configured to delete the loaded at least one first processing node.
  • the message event is a message event of a MAP message type
  • the format of the message event is a dynamically extended key-value key-value format; and/or the attributes of the message event include: a source IP, a destination IP, a source port number, and a destination port number of the message event.
  • the event source may include one or more of the following:
  • the first configuration information includes one or more of the following: a message event that meets a preset rule is subscribed to in the message bus, a message event that matches a preset rule is deleted, and an attribute of a message event that meets a preset rule is added. , publishing a message event, discarding a message event that meets the preset rule, forwarding a message event that conforms to the preset rule, a message event that matches the preset rule by the real name system, a message event that is associated with the preset rule, and a message that matches the preset rule. event.
  • the message bus in this embodiment can dynamically expand the input/output message events, facilitate post-maintenance of network security products with message events as granularity, and improve the efficiency of network security products.
  • the foregoing processing node and the message bus can execute the flow of the foregoing method embodiment, and the foregoing processing node and the message bus are not described in detail in the present invention.
  • modules in the devices of the embodiments can be adaptively changed and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of the features disclosed in the specification, including the accompanying claims, the abstract and the drawings, and any methods so disclosed, or All processes or units of the device are combined.
  • Each feature disclosed in this specification (including the accompanying claims, the abstract and the drawings) may be replaced by alternative features that provide the same, equivalent or similar purpose.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some or all of the functionality of some or all of the processing node devices and message buses in accordance with embodiments of the present invention.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • Figure 9 illustrates a computing device that can implement a message subscription method.
  • the computing device conventionally includes a processor 910 and a computer program product or computer readable medium in the form of a memory 920.
  • the memory 920 may be an electronic memory such as a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM.
  • Memory 920 has a memory space 930 for program code 931 for performing any of the method steps described above.
  • storage space 930 for program code may include various program code 931 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • Such computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks.
  • Such a computer program product is typically a portable or fixed storage unit as described with reference to FIG.
  • the storage unit may have storage segments, storage spaces, and the like that are similarly arranged to memory 920 in the computing device of FIG.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 931', ie, code that can be read by a processor, such as 910, that when executed by a computing device causes the computing device to perform each of the methods described above step.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明提供一种消息订阅方法、处理节点设备和消息总线，其中，消息订阅方法包括：在事件源通过消息总线发布消息事件时，加载在所述消息总线上的至少一个第一处理节点，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件（101）；所述第一处理节点根据所述第一配置信息处理获取的消息事件（102）。其中，所述第一处理节点为采用插件形式动态加载在所述消息总线上的节点。上述消息订阅方法能够实现对消息总线的动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护。

Description

消息订阅方法、处理节点设备和消息总线 技术领域
本发明涉及数据处理技术领域，尤其涉及一种消息订阅方法、处理节点设备和消息总线。
背景技术
在现有网络安全产品中，很多产品都是以消息或事件为粒度进行统计或拟合，例如，网络安全产品中入侵检测***(Intrusion Detection Systems，简称IDS)、入侵防御***(Intrusion Prevention System，简称IPS)、安全运行中心(Security Operations Center，简称SOC)以及安全网关(Unified Threat Management，简称UTM)等都会以消息事件来作为输入或输出。
但是，现有的网络安全产品中以消息事件作为输入或输出的消息总线是固定的，无法进行后期维护，进而无法对网络安全产品进行扩展，导致网络安全产品的效率低，并对产品功能的扩展带来一定限制。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的消息订阅方法、处理节点设备和消息总线，能够实现对消息总线的动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护。
根据本发明的一方面，提供了一种处理节点设备，处理节点设备为采用插件形式加载在消息总线上，所述处理节点设备包括：
第一获取模块，用于在事件源通过所述消息总线发布消息事件时，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件；
处理模块，用于根据所述第一配置信息处理获取的消息事件。
根据本发明的另一方面，还提供了一种消息总线，包括：
加载模块，用于加载插件形式的至少一个第一处理节点，并生成该第一处理节点的第一配置信息；
查找模块，用于在事件源通过所述消息总线发布消息事件时，根据所述第一配置信息查找与所述第一配置信息对应的消息事件；
发送模块，用于将查找的消息事件发送至所述第一处理节点，以使所述第一处理节点处理发送的消息事件。
根据本发明的另一方面，还提供了一种消息订阅方法，包括：
在事件源通过消息总线发布消息事件时，加载在所述消息总线上的至少一个第一处理节点，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件；
所述第一处理节点根据所述第一配置信息处理获取的消息事件；
其中，所述第一处理节点为采用插件形式加载在所述消息总线上的节点。
根据本发明的另一方面，还提供了一种消息订阅方法，包括：
消息总线加载插件形式的至少一个第一处理节点，并生成该第一处理节点的第一配置信息；
在事件源通过所述消息总线发布消息事件时，所述消息总线根据所述第一配置信息查找与所述第一配置信息对应的消息事件，将查找的消息事件发送所述第一处理节点，以使所述第一处理节点处理发送的消息事件。
根据本发明的又一方面，提供了一种计算机程序，其包括计算机可读代码，当所述计算机可读代码在计算设备上运行时，导致所述计算设备执行根据上文所述的消息订阅方法。
根据本发明的再一方面，提供了一种计算机可读介质，其中存储了上述的计算机程序。
本发明的有益效果为：
由上述技术方案可知，本发明的消息订阅方法、处理节点设备和消息总线，通过动态加载在消息总线上的至少一个第一处理节点获取消息总线中的消息事件，并处理获取的消息事件，进而可实现对消息总线中输入/输出的消息事件进行动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护，提高网络安全产品的效率。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1为本发明一实施例提供的消息订阅方法的流程示意图；
图2为本发明另一实施例提供的消息订阅方法的示意图；
图3为本发明另一实施例提供的消息订阅方法的示意图；
图4为本发明另一实施例提供的消息订阅方法的流程示意图；
图5为本发明另一实施例提供的消息订阅方法的示意图；
图6为本发明另一实施例提供的消息订阅方法的流程示意图；
图7为本发明一实施例提供的处理节点设备的结构示意图；
图8为本发明一实施例提供的消息总线的结构示意图；
图9示意性地示出了用于执行根据本发明的消息订阅方法的计算设备的框图；以及
图10示意性地示出了用于保持或者携带实现根据本发明的消息订阅方法的程序代码的存储单元。
具体实施方式
下面结合附图和具体的实施方式对本发明作进一步的描述。
其中，在本发明的所有实施例中，“/”表示“或者”的关系。
图1示出了本发明一实施例提供的消息订阅方法的流程示意图，图2示出了本发明另一实施例提供的消息订阅方法的示意图，结合图1和图2所示，本实施例的消息订阅方法如下所述。
101、在事件源通过消息总线发布消息事件时，加载在所述消息总线上的至少一个第一处理节点，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件。
其中，所述第一处理节点为采用插件形式动态加载在所述消息总线上的节点。第一配置信息可为消息总线动态加载第一处理节点过程中生成的配置信息，第一处理节点按照该配置信息获取消息总线中的消息事件。
举例来说，该步骤中的事件源可理解为：服务器中的主机事件源、互联网中的网络事件源、和/或，通过所述消息总线发布消息事件的任一接入***，第三方消息事件源等。
本实施例对事件源仅为举例说明，任意能够在消息总线中发布消息事件的均可理解为该消息总线的事件源。
102、第一处理节点根据所述第一配置信息处理获取的消息事件。
在本实施例中，消息总线可在一服务器的内存中运行，类似一个广播的流，可以广播/发布任何消息事件，但不存储该消息事件。该消息总线上可以动态加载多个第一处理节点，如图2所示，该第一处理节点可以根据第一配置信息订阅消息总线中广播的消息事件。
第一处理节点可以对消息总线中的消息事件进行丢弃、删除消息事件，添加消息属性、存储消息事件等。本实施例不对该第一处理节点进行限定，该第一处理节点可理解 为以软件形式实现的插件***在硬件中实现对消息总线中消息事件的处理。例如，第一处理节点可为订阅插件、消息发布插件等。
若第一处理节点向消息总线中发布消息事件，则可认为该第一处理节点为该消息总线的一个事件源。
应说明的是，本实施例中消息总线中的消息事件的格式为键-值格式，即key-value格式。
本实施例中的消息订阅方法，通过动态加载在消息总线上的至少一个第一处理节点获取消息总线中的消息事件，并处理获取的消息事件，进而可实现对消息总线中输入/输出的消息事件进行动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护，提高网络安全产品的效率。
此外，上述图2中示出的消息总线中消息事件可为MAP类型的消息事件，MAP为移动实体之间传递消息的信令，MAP消息可为包括事务处理能力应用部分(Transaction Capabilities Application Part，简称TCAP)、信令连接控制部分(Signaling Connection Control Part，简称SCCP)、媒体传输协议(Media Transfer Protocol，简称MTP)协议层的协议数据。
在图1所示的流程图中，所述方法还包括：多个第一处理节点之间还可以相互订阅消息事件，即，第一处理节点根据所述第一配置信息从另一第一处理节点中订阅或发布的消息事件中获取与所述第一配置信息对应的消息事件。
如图3所示，第一处理节点a2根据第一配置信息可从第一处理节点a1中订阅的消息事件中获取与第一配置信息对应的消息事件。
举例来说，在图3中，若第一处理节点a1为订阅消息总线中源IP为198.102.151.11的消息事件，并将订阅的消息事件入库。此时，第一处理节点a2可从第一处理节点a1中订阅符合需求的消息事件。由于第一处理节点a1为将订阅的消息事件入库处理，则第一处理节点a2可以订阅第一处理节点a1已经订阅过的所有消息事件。
如果第一处理节点a1没有对订阅的源IP为198.102.151.11的消息事件进行入库处理，则第一处理节点a2只能动态实时地订阅第一处理节点a1中订阅的消息事件。即，第一处理节点a2无法订阅所述第一处理节点a1和第一处理节点a2在建立订阅关系之前第一处理节点a1从消息总线中订阅的消息事件。
通常，第一处理节点a1和第一处理节点a2可以构成树型结构，如二叉树结构，本实施例仅为举例说明，不对其进行限定。
图4示出了本发明另一实施例提供的消息订阅方法的流程示意图，图5示出了本发明另一实施例提供的消息订阅方法的示意图，结合图4和图5所示，本实施例的消息订 阅方法如下所述。
401、消息总线动态加载至少一个第一处理节点，生成与该第一处理节点对应的第一配置信息。
举例来说，本实施例中的第一配置信息包括下述的一种或多种：
在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件等等。
402、在事件源通过消息总线发布消息事件时，至少一个第一处理节点根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件。
403、第一处理节点根据所述第一配置信息处理获取的消息事件。
例如，第一处理节点可根据第一配置信息修改获取的消息事件的属性，并将修改属性后的消息事件发布；或者，第一处理节点可根据第一配置信息丢弃获取的消息事件；或者，第一处理节点可根据第一配置信息将获取的消息事件存储在数据库中；或者，第一处理节点可根据获取的消息事件进行流量统计分析或安全统计分析；或者，第一处理节点根据获取的消息事件进行关联分析(如人名映射)；或者，第一处理节点转发获取的消息事件等等。该处仅为举例说明第一处理节点如何处理获取的消息事件，本实施例不对其进行限定，可根据实际需要进行处理。
404、第一处理节点还用于动态加载至少一个第二处理节点，生成与该第二处理节点对应的第二配置信息；
所述第二处理节点根据所述第二配置信息从所述第一处理节点订阅或发布的消息事件中获取与所述第二配置信息对应的消息事件，以及处理所获取的消息事件。
可理解的是，第M处理节点还可动态加载至少一个第M+1处理节点，生成与该第M+1处理节点对应的第M+1配置信息；
该第M+1处理节点根据第M+1配置信息从第M处理节点订阅或发布的消息事件中获取与第M+1配置信息对应的消息事件，以处理所获取的消息事件。
上述M取值可为正整数。
也就是说，第M处理节点和第M+1处理节点可构成树型结构，如二叉树结构；或者，第M处理节点和第M+1处理节点可构成链式结构，本实施例不对其进行限定，图5中示出的是构成二叉树结构的第一处理节点a2和第二处理节点b1、b2。
本实施例中，在事件源通过消息总线发布消息事件之前，该消息总线需要动态加载至少一个处理节点，以便这些处理节点能够获取消息总线中的消息事件。
举例来说，处理节点可以是产品准入的插件，或者抓取某一源IP流量的插件，或者是入侵检查***分析的插件等。该些插件可以是通过软件实现的，预先加载在一服务器的消息总线中。该消息总线可以把统一格式的消息事件发布，以供加载在消息总线上的多个插件订阅。
消息总线上插件的订阅或者插件与插件之间的订阅与该消息总线所在的服务器/主机没有关联，且和服务器/主机所在的网络也是无关联的。
可理解的是，上述任一实施例中，消息总线中的任一消息事件的属性均可包括该消息事件的源IP、目的IP、源端口和目的端口等信息。
上述实施例中的消息事件的消息格式可动态扩展，进而针对该消息格式而建立的一套基于发布订阅模式的消息总线，消息总线上的订阅插件或发布插件以动态加载的方式挂到消息总线上，以达到可插拔消息总线模式。
发布插件通过消息总线发布消息事件，消息总线上动态加载的各种订阅插件，对发布插件发出的消息事件进行处理，例如，删除、添加消息属性发布，丢弃等。
本发明实施例中基于上述的消息总线可构建常用的网络安全***，例如日志服务器、安全审计***、流量统计***等。
图6示出了本发明另一实施例提供的消息订阅方法的流程示意图，如图6所示，本实施例的消息订阅方法如下所述。
601、消息总线动态加载插件形式的至少一个第一处理节点，并生成该第一处理节点的第一配置信息。
举例来说，第一配置信息可包括下述的一种或多种：在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件等等。
602、在事件源通过所述消息总线发布消息事件时，所述消息总线根据所述第一配置信息查找与所述第一配置信息对应的消息事件，将查找的消息事件发送所述第一处理节点，以使所述第一处理节点处理发送的消息事件。
举例来说，本实施例中所述消息事件为MAP消息类型的消息事件；
所述消息事件的格式为动态扩展的键-值格式(key-value)；消息事件的属性可包括：所述消息事件的源IP、目的IP、源端口号和目的端口号。
步骤602中的事件源可为下述的一种或多种：服务器中的主机事件源、互联网中的网络事件源、和第一处理节点中的事件源、第三方事件源、通过所述消息总线发布消息 事件的任一接入***等。
可选地，在具体应用中，上述图6所示的方法还可包括下述图中未示出的步骤603：
603、删除加载的至少一个第一处理节点。
本实施例的消息订阅方法，消息总线动态加载至少一个第一处理节点，进而向至少一个第一处理节点发送该第一处理节点订阅的消息总线中的消息事件，以使至少一个第一处理节点处理获取的消息事件，进而可实现对消息总线中输入/输出的消息事件进行动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护，提高网络安全产品的效率。
上述任一实施例中的消息总线ftms可以理解为一个主机的stml，消息总线广播有定义统一类型的消息事件，消息总线上可以定义很多插件，即处理节点，每个插件可以对消息事件进行添加、删除、或修改。该消息总线类似于物理总线，在该消息总线上广播的消息事件不被存储，后加载在该消息总线上的处理节点是无法获知加载之前的消息总线中广播的内容。
本实施例的消息总线中加载有多个处理节点，具体应用中，该些处理节点可为采用插件形式加载在消息总线上。
图7示出了本发明实施例提供的一种处理节点设备的结构示意图，如图7所示，该处理节点设备包括：第一获取模块71和处理模块72。
第一获取模块71用于在事件源通过所述消息总线发布消息事件时，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件；
处理模块72用于根据所述第一配置信息处理获取的消息事件。
可选地，所述处理节点设备还包括图中未示出的加载模块；该加载模块，用于加载至少一个第二处理节点，生成与该第二处理节点对应的第二配置信息；
所述第二处理节点根据所述第二配置信息从所述处理节点设备订阅或发布的消息事件中获取与所述第二配置信息对应的消息事件，以及处理获取的消息事件。
需要说明的是，本实施例中的处理节点设备即为第一处理节点。
举例来说，所述第一配置信息包括下述的一种或多种：
在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件。
在本实施例中，所述处理节点设备和所述至少一个第二处理节点组成二叉树结构；
或者，
所述处理节点设备和所述至少一个第二处理节点组成链式结构。
在另一可能的实现方式中，所述处理节点设备还可包括图中未示出的第二获取模块，该第二获取模块，用于根据所述第一配置信息从另一处理节点设备中订阅或发布的消息事件中获取与所述第一配置信息对应的消息事件。
本实施例中的事件源可包括下述的一种或多种：
服务器中的主机事件源、互联网中的网络事件源和所述处理节点设备中的事件源、通过所述消息总线发布消息事件的任一接入***。
可理解的是，本实施例中的处理模块可具体用于：修改获取的消息事件的属性，并将修改属性后的消息事件发布；或者，丢弃获取的消息事件；或者，将获取的消息事件存储在数据库中；或者，根据获取的消息事件进行流量统计分析或安全统计分析；或者，根据获取的消息事件进行关联分析；或者，转发获取的消息事件。
上述任一实施例中的消息事件可为MAP消息类型的消息事件；
所述消息事件的格式为动态扩展的键-值key-value格式；
和/或，所述消息事件的属性包括：所述消息事件的源IP、目的IP、源端口号和目的端口号。
本实施例的处理节点设备处理获取的消息事件，进而可实现对消息总线中输入/输出的消息事件进行动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护，提高网络安全产品的效率。
图8示出了本发明实施例提供的一种消息总线的结构示意图，如图8所示，该消息总线包括：加载模块81、生成模块82、查找模块83和发送模块84；
加载模块81用于加载插件形式的至少一个第一处理节点；
生成模块82用于根据所述加载模块加载的至少一个第一处理节点，生成该第一处理节点的第一配置信息；
查找模块83用于在事件源通过所述消息总线发布消息事件时，根据所述第一配置信息查找与所述第一配置信息对应的消息事件；
发送模块84用于将查找的消息事件发送至所述第一处理节点，以使所述第一处理节点处理发送的消息事件。
可选地，所述消息总线还可包括图中未示出的删除模块，该删除模块84用于删除加载的至少一个第一处理节点。
举例来说，所述消息事件为MAP消息类型的消息事件；
所述消息事件的格式为动态扩展的键-值key-value格式；和/或，所述消息事件的属性包括：所述消息事件的源IP、目的IP、源端口号和目的端口号。
本实施例中，事件源可包括下述的一种或多种：
服务器中的主机事件源、互联网中的网络事件源、和第一处理节点中的事件源、通过所述消息总线发布消息事件的任一接入***。
所述第一配置信息包括下述的一种或多种：在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件。
本实施例中的消息总线可实现对输入/输出的消息事件进行动态扩展，方便以消息事件为粒度的网络安全产品进行后期维护，提高网络安全产品的效率。
上述处理节点、消息总线可执行前述的方法实施例的流程，本发明不再对上述处理节点和消息总线进行详细的举例说明。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的 范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的处理节点设备和消息总线中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
例如，图9示出了可以实现消息订阅方法的计算设备。该计算设备传统上包括处理器910和以存储器920形式的计算机程序产品或者计算机可读介质。存储器920可以是诸如闪存、EEPROM(电可擦除可编程只读存储器)、EPROM、硬盘或者ROM之类的电子存储器。存储器920具有用于执行上述方法中的任何方法步骤的程序代码931的存储空间930。例如，用于程序代码的存储空间930可以包括分别用于实现上面的方法中的各种步骤的各个程序代码931。这些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一个或者多个计算机程序产品中。这些计算机程序产品包括诸如硬盘，紧致盘(CD)、存储卡或者软盘之类的程序代码载体。这样的计算机程序产品通常为如参考图10所述的便携式或者固定存储单元。该存储单元可以具有与图9的计算设备中的存储器920类似布置的存储段、存储空间等。程序代码可以例如以适当形式进行压缩。通常，存储单元包括计算机可读代码931’，即可以由例如诸如910之类的处理器读取的代码，这些代码当由计算设备运行时，导致该计算设备执行上面所描述的方法中的各个步骤。
本文中所称的“一个实施例”、“实施例”或者“一个或者多个实施例”意味着，结合实施例描述的特定特征、结构或者特性包括在本发明的至少一个实施例中。此外，请注意，这里“在一个实施例中”的词语例子不一定全指同一个实施例。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过 同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
此外，还应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims (29)

  1. 一种处理节点设备，所述处理节点设备为采用插件形式加载在消息总线上，所述处理节点设备包括：
    第一获取模块，用于在事件源通过所述消息总线发布消息事件时，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件；
    处理模块，用于根据所述第一配置信息处理获取的消息事件。
  2. 根据权利要求1所述的处理节点设备，其中，所述处理节点设备还包括：
    加载模块，用于加载至少一个第二处理节点，生成与该第二处理节点对应的第二配置信息；
    所述第二处理节点根据所述第二配置信息从所述处理节点设备订阅或发布的消息事件中获取与所述第二配置信息对应的消息事件，以及处理获取的消息事件。
  3. 根据权利要求2所述的处理节点设备，其中，所述处理节点设备和所述至少一个第二处理节点组成二叉树结构；
    或者，
    所述处理节点设备和所述至少一个第二处理节点组成链式结构。
  4. 根据权利要求1至3任一所述的处理节点设备，其中，所述处理节点设备还包括：
    第二获取模块，用于根据所述第一配置信息从另一处理节点设备中订阅或发布的消息事件中获取与所述第一配置信息对应的消息事件。
  5. 根据权利要求1至3任一所述的处理节点设备，其中，所述事件源包括下述的一种或多种：
    服务器中的主机事件源、互联网中的网络事件源和所述处理节点设备中的事件源、通过所述消息总线发布消息事件的任一接入***。
  6. 根据权利要求1至5任一所述的处理节点设备，其中，所述第一配置信息包括下述的一种或多种：
    在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件。
  7. 根据权利要求1至6任一所述的处理节点设备，其中，所述处理模块，具体用于：
    修改获取的消息事件的属性，并将修改属性后的消息事件发布；
    或者，
    丢弃获取的消息事件；
    或者，
    将获取的消息事件存储在数据库中；
    或者，
    根据获取的消息事件进行流量统计分析或安全统计分析；
    或者，
    根据获取的消息事件进行关联分析；
    或者，
    转发获取的消息事件。
  8. 根据权利要求1至7任一所述的处理节点设备，其中，所述消息事件为MAP消息类型的消息事件；
    所述消息事件的格式为动态扩展的键-值key-value格式；
    和/或，
    所述消息事件的属性包括：所述消息事件的源IP、目的IP、源端口号和目的端口号。
  9. 一种消息总线，包括：
    加载模块，用于加载插件形式的至少一个第一处理节点；
    生成模块，用于根据所述加载模块加载的至少一个第一处理节点，生成该第一处理节点的第一配置信息；
    查找模块，用于在事件源通过所述消息总线发布消息事件时，根据所述第一配置信息查找与所述第一配置信息对应的消息事件；
    发送模块，用于将查找的消息事件发送至所述第一处理节点，以使所述第一处理节点处理发送的消息事件。
  10. 根据权利要求9所述的消息总线，其中，所述消息总线还包括：
    删除模块，用于删除加载的至少一个第一处理节点。
  11. 根据权利要求9或10所述的消息总线，其中，所述消息事件为MAP消息类型的消息事件；
    所述消息事件的格式为动态扩展的键-值key-value格式；
    和/或，
    所述消息事件的属性包括：所述消息事件的源IP、目的IP、源端口号和目的端口 号。
  12. 根据权利要求9至11任一所述的消息总线，其中，所述事件源包括下述的一种或多种：
    服务器中的主机事件源、互联网中的网络事件源、和第一处理节点中的事件源、通过所述消息总线发布消息事件的任一接入***。
  13. 根据权利要求9至12任一所述的消息总线，其中，所述第一配置信息包括下述的一种或多种：
    在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件。
  14. 一种消息订阅方法，包括：
    在事件源通过消息总线发布消息事件时，加载在所述消息总线上的至少一个第一处理节点，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件；
    所述第一处理节点根据所述第一配置信息处理获取的消息事件；
    其中，所述第一处理节点为采用插件形式加载在所述消息总线上的节点。
  15. 根据权利要求14所述的方法，其中，所述方法还包括：
    所述第一处理节点还用于加载至少一个第二处理节点，生成与该第二处理节点对应的第二配置信息；
    所述第二处理节点根据所述第二配置信息从所述第一处理节点订阅或发布的消息事件中获取与所述第二配置信息对应的消息事件，以及处理获取的消息事件。
  16. 根据权利要求15所述的方法，其中，所述至少一个第一处理节点和所述至少一个第二处理节点组成二叉树结构；
    或者，
    所述至少一个第一处理节点和所述至少一个第二处理节点组成链式结构。
  17. 根据权利要求14至16任一所述的方法，其中，所述方法还包括：
    所述第一处理节点根据所述第一配置信息从另一第一处理节点中订阅或发布的消息事件中获取与所述第一配置信息对应的消息事件。
  18. 根据权利要求14至16任一所述的方法，其中，所述事件源包括下述的一种或多种：
    服务器中的主机事件源、互联网中的网络事件源和第一处理节点中的事件源、通过所述消息总线发布消息事件的任一接入***。
  19. 根据权利要求14至18任一所述的方法，其中，所述加载在所述消息总线上的至少一个第一处理节点，根据第一配置信息在所述消息事件中获取与所述第一配置信息对应的消息事件之前，所述方法还包括：
    所述消息总线加载所述至少一个第一处理节点，生成与该第一处理节点对应的第一配置信息。
  20. 根据权利要求14至19任一所述的方法，其中，所述第一配置信息包括下述的一种或多种：
    在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件。
  21. 根据权利要求14至20任一所述的方法，所述第一处理节点根据所述第一配置信息处理获取的消息事件，包括：
    所述第一处理节点修改获取的消息事件的属性，并将修改属性后的消息事件发布；
    或者，
    所述第一处理节点丢弃获取的消息事件；
    或者，
    所述第一处理节点将获取的消息事件存储在数据库中；
    或者，
    所述第一处理节点根据获取的消息事件进行流量统计分析或安全统计分析；
    或者，
    所述第一处理节点根据获取的消息事件进行关联分析；
    或者，
    所述第一处理节点转发获取的消息事件。
  22. 根据权利要求14至21任一所述的方法，所述消息事件为MAP消息类型的消息事件；
    所述消息事件的格式为动态扩展的键-值key-value格式；
    和/或，
    所述消息事件的属性包括：所述消息事件的源IP、目的IP、源端口号和目的端口号。
  23. 一种消息订阅方法，包括：
    消息总线加载插件形式的至少一个第一处理节点，并生成该第一处理节点的第一配 置信息；
    在事件源通过所述消息总线发布消息事件时，所述消息总线根据所述第一配置信息查找与所述第一配置信息对应的消息事件，将查找的消息事件发送至所述第一处理节点，以使所述第一处理节点处理发送的消息事件。
  24. 根据权利要求23所述的方法，其中，所述方法还包括：
    所述消息总线删除加载的至少一个第一处理节点。
  25. 根据权利要求23或24所述的方法，其中，所述消息事件为MAP消息类型的消息事件；
    所述消息事件的格式为动态扩展的键-值key-value格式；
    和/或，
    所述消息事件的属性包括：所述消息事件的源IP、目的IP、源端口号和目的端口号。
  26. 根据权利要求23至25任一所述的方法，所述事件源包括下述的一种或多种：
    服务器中的主机事件源、互联网中的网络事件源、和第一处理节点中的事件源、通过所述消息总线发布消息事件的任一接入***。
  27. 根据权利要求23至26任一所述的方法，所述第一配置信息包括下述的一种或多种：
    在所述消息总线中订阅符合预设规则的消息事件、删除符合预设规则的消息事件、添加符合预设规则的消息事件的属性、发布消息事件、丢弃符合预设规则的消息事件、转发符合预设规则的消息事件、实名制映射符合预设规则的消息事件、关联分析符合预设规则的消息事件、存储符合预设规则的消息事件。
  28. 一种计算机程序，包括计算机可读代码，当所述计算机可读代码在计算设备上运行时，导致所述计算设备执行根据权利要求14至27任一项所述的消息订阅方法。
  29. 一种计算机可读介质，其中存储了如权利要求28所述的计算机程序。
PCT/CN2015/094623 2014-12-30 2015-11-13 消息订阅方法、处理节点设备和消息总线 WO2016107306A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410850950.3 2014-12-30
CN201410850950.3A CN104618142B (zh) 2014-12-30 2014-12-30 消息订阅方法、处理节点设备和总线设备

Publications (1)

Publication Number Publication Date
WO2016107306A1 true WO2016107306A1 (zh) 2016-07-07

Family

ID=53152433

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/094623 WO2016107306A1 (zh) 2014-12-30 2015-11-13 消息订阅方法、处理节点设备和消息总线

Country Status (2)

Country Link
CN (1) CN104618142B (zh)
WO (1) WO2016107306A1 (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104618142B (zh) * 2014-12-30 2017-07-07 北京奇安信科技有限公司 消息订阅方法、处理节点设备和总线设备
CN105119966B (zh) * 2015-07-15 2018-07-13 中国联合网络通信集团有限公司 一种公众号管理方法及装置
CN108737522B (zh) * 2018-05-09 2021-07-20 中兴通讯股份有限公司 一种消息的处理方法、装置和***
CN109614164B (zh) * 2018-11-29 2021-09-28 深圳前海微众银行股份有限公司 实现插件可配置的方法、装置、设备及可读存储介质
CN109710432B (zh) * 2018-12-29 2020-11-20 苏州思必驰信息科技有限公司 用于应用程序开发中的多节点通信方法及***
CN111324469A (zh) * 2020-01-20 2020-06-23 天津美腾科技股份有限公司 偏向应用的结构优化的分布式事件中心的方法及***

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020156601A1 (en) * 2001-04-19 2002-10-24 Tu Kevin Hsiaohsu Event monitoring and detection system
US20120089659A1 (en) * 2010-10-06 2012-04-12 Hbr Labs Inc. System and method for synchronizing collaborative form filling
US20130058262A1 (en) * 2011-04-20 2013-03-07 IBT- Internet Business Technologies Methods and systems for access to real-time full-duplex web communications platforms
CN104618142A (zh) * 2014-12-30 2015-05-13 北京奇虎科技有限公司 消息订阅方法、处理节点设备和总线设备

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101013949B (zh) * 2006-12-21 2011-05-18 建龙钢铁控股有限公司 一种消息广播通信方法
CN102938731B (zh) * 2012-11-22 2015-01-21 北京锐易特软件技术有限公司 一种基于代理缓存适配模型的交换集成装置及方法
CN103259701A (zh) * 2012-12-04 2013-08-21 中国科学院沈阳自动化研究所 面向复杂生产过程管理***的消息总线实现方法
CN103927163B (zh) * 2014-03-06 2017-05-17 中国人民解放军装甲兵工程学院 插件框架处理装置及插件***
CN103986710B (zh) * 2014-05-15 2017-12-15 华为技术有限公司 一种消息传输的方法、装置及***

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020156601A1 (en) * 2001-04-19 2002-10-24 Tu Kevin Hsiaohsu Event monitoring and detection system
US20120089659A1 (en) * 2010-10-06 2012-04-12 Hbr Labs Inc. System and method for synchronizing collaborative form filling
US20130058262A1 (en) * 2011-04-20 2013-03-07 IBT- Internet Business Technologies Methods and systems for access to real-time full-duplex web communications platforms
CN104618142A (zh) * 2014-12-30 2015-05-13 北京奇虎科技有限公司 消息订阅方法、处理节点设备和总线设备

Also Published As

Publication number Publication date
CN104618142B (zh) 2017-07-07
CN104618142A (zh) 2015-05-13

Similar Documents

Publication Publication Date Title
WO2016107306A1 (zh) 消息订阅方法、处理节点设备和消息总线
US11880721B2 (en) Processing a query having calls to multiple data sources
US10320566B2 (en) Distributed logging of application events in a blockchain
US9501535B2 (en) System and method for correlating cloud-based big data in real-time for intelligent analytics and multiple end uses
US9798882B2 (en) Real-time model of states of monitored devices
US20140351227A1 (en) Distributed Feature Collection and Correlation Engine
JP2015079504A (ja) ネットワーク動作アーチファクトの順序によるマルウェアの分類
WO2018184535A1 (zh) 保险业务处理方法、装置、服务器和存储介质
CN111752799A (zh) 一种业务链路跟踪方法、装置、设备及储存介质
CN111581397A (zh) 一种基于知识图谱的网络攻击溯源方法、装置及设备
WO2018161881A1 (zh) 结构化数据的处理方法、存储介质和计算机设备
US10659486B2 (en) Universal link to extract and classify log data
WO2015149628A1 (zh) Dns缓存信息处理方法、设备及***
CN103324713B (zh) 多级服务器中的数据处理方法、装置和数据处理***
CN114208114B (zh) 每参与者的多视角安全上下文
US20120246312A1 (en) Transforming HTTP Requests Into Web Services Trust Messages For Security Processing
KR101783298B1 (ko) 그래프 데이터베이스 기반으로 입력 데이터로부터 노드 정보를 생성 및 관리하는 방법 및 이를 이용하는 서버
CN106528876B (zh) 分布式***的信息处理方法及分布式信息处理***
CN113965378B (zh) 一种威胁邮件溯源分析方法、***、设备及存储介质
CN110071898B (zh) 一种去中心检测节点合法性的方法
CN113779021B (zh) 数据处理方法、装置、计算机***及可读存储介质
CN114363002A (zh) 一种网络攻击关系图的生成方法及装置
CN113032820A (zh) 文件存储方法、访问方法、装置、设备及存储介质
WO2017028553A1 (zh) 一种消息安全管控方法、装置和***
JP7433335B2 (ja) 移動中のデータの処理技術

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15874987

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15874987

Country of ref document: EP

Kind code of ref document: A1