CN101894162B - 一种动态网络事件关联与联动的实现方法和装置 - Google Patents

Abstract

本发明公开了一种动态网络事件关联和联动的实现方法和装置，初始化关联场景运行环境，将用户通过关联语言编写关联场景脚本编译生成关联场景，将编译后生成的关联场景加载到关联场景运行环境中，当网络事件产生时，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动。本发明基于脚本技术，为用户提供事件关联语言，用户通过关联语言编写不同的关联场景脚本，用户可以通过记事本打开查看、编辑关联场景脚本文件，关联场景脚本更接近于自然语言。本发明克服现有技术基于状态机的方法描述能力差且无法保障应用连续性的缺陷。

Description

一种动态网络事件关联与联动的实现方法和装置

技术领域

本发明涉及网络事件关联和联动技术领域，尤其涉及一种动态网络事件关联和联动的实现方法和装置。

背景技术

关联分析是指如果两个或多个事物之间存在一定的关联，其中一个事物能通过其他事物进行预测，它的目的是为了挖掘隐藏在数据间的相互关系。

联动的含义是，当发生了某事件时，需要同时触发其它系统中特定的操作。如：网络入侵检测系统发现了入侵操作，通过与防火墙系统联动阻止入侵操作。

目前普遍使用的是基于状态机的事件关联与联动处理方法。状态机确切的说是一个有向图形，由一组节点和一组相应的转移函数组成。状态机通过响应一系列事件而运行。其中每个事件都在属于当前节点的转移函数的控制范围内，其中函数的范围是节点的一个子集。函数返回下一个，也许是同一个节点。这些节点中至少有一个必须是终态，当到达终态，状态机停止。

系统通过读取一些定义好的状态机场景，并为每个场景建立一个状态机，当收到事件时依次把事件输入到每个状态机中，从而触发状态机的状态变迁与联动。

作为一种广泛使用的事件关联与联动处理方法，状态机已经有了一定的应用规模，此种方法存在的最大问题为，状态场景需要专业人员编写，系统的最终用户通常无法掌握状态机场景的定义方法。其次，状态机方法中多个场景间的关联很难实现，而且现有的方法在场景发生变化后，必须重启程序，重新加载场景，无法保障应用持续性，这些都是由状态机自身的技术特点决定的，另外，状态机场景对于自身的描述能力差，即使是专业人员定义的状态机，经过一段时间后再对状态机场景的阅读，常常也无法了解此状态机的编写目的与原因，对更改产生很大的阻力。

发明内容

本发明要解决的技术问题是，提供一种动态网络事件关联和联动的实现方法和装置，克服现有技术中基于状态机的方法，关联场景描述能力差且无法保障应用连续性的缺陷。

本发明采用的技术方案是，所述动态网络事件关联和联动的实现方法，包括：

初始化关联场景运行环境；

将用户通过关联语言编写关联场景脚本编译生成关联场景，并将编译后生成的关联场景加载到关联场景运行环境中；

当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动。

所述初始化关联场景运行环境包括：加载网络事件关联和联动所需的动态链接库；

所述网络事件关联和联动所需的动态链接库包括运行环境本身定义的函数，以及用户编写的扩展函数。

所述将用户通过关联语言编写关联场景脚本编译生成关联场景，并将编译后生成的关联场景加载到关联场景运行环境中的具体过程包括：

步骤一、对用户编写的关联场景脚本进行词法分析与语法分析，留下符合脚本语法规则的关联场景脚本；

步骤二、在运行环境中，把每个符合脚本语法规则的关联场景脚本翻译成一个独立的语法树栈，语法树栈中元素为运行环境可识别的二进制格式；

步骤三、判断语法树栈中是否存在关联场景的入口函数，若存在则加载成功，否则加载失败，跳转步骤一重新执行编译。

所述语法树栈中的元素包括：字符串相关操作、数学运算相关操作、网络相关操作和系统配置相关操作在内存中的函数地址以及变量的地址。

所述当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动的具体过程包括：

当有网络事件产生时，运行环境把网络事件写入每个关联场景对应的语法树栈，然后调用关联场景的入口函数，关联场景的入口函数从语法树栈的栈顶取出参数并执行语法树栈内描述的操作。

该方法进一步包括：实时判断关联场景的更改，更新关联场景库。

本发明还提供一种动态网络事件关联和联动的实现装置，包括如下组成部分：

运行环境初始化模块，用于加载网络事件关联和联动所需的动态链接库；

脚本编译加载模块，用于将用户通过关联语言编写关联场景脚本编译生成关联场景，并将编译后生成的关联场景加载到关联场景运行环境中；

关联场景运行模块，用于当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动。

所述网络事件关联和联动所需的动态链接库包括运行环境本身定义的函数，以及用户编写的扩展函数。

所述脚本编译加载模块进一步包括：

规则匹配模块，用于对用户编写的关联场景脚本进行词法分析与语法分析，留下符合脚本语法规则的关联场景脚本；

语法树创建模块，用于把每个符合脚本语法规则的关联场景脚本翻译成一个独立的语法树栈，语法树栈中元素为运行环境可识别的二进制格式；

确认加载模块，用于判断语法树栈中是否存在关联场景的入口函数，若存在则加载成功，否则加载失败。

所述关联场景运行模块进一步用于：

当有网络事件产生时，把网络事件入每个关联场景对应的语法树栈，然后调用关联场景的入口函数，关联场景的入口函数从语法树栈的栈顶取出参数并执行语法树栈内描述的操作。

采用上述技术方案，本发明至少具有下列优点：

本发明所述动态网络事件关联和联动的实现方法和装置，初始化关联场景运行环境，将用户通过关联语言编写关联场景脚本编译生成关联场景，将编译后生成的关联场景加载到关联场景运行环境中，当网络事件产生时，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动。本发明基于脚本技术，为用户提供事件关联语言，用户通过关联语言编写不同的关联场景脚本，用户可以通过记事本打开查看、编辑关联场景脚本文件，关联场景脚本更接近于自然语言，通过阅读关联语言脚本很容易理解关联场景含义，不需要更专业的人员，场景维护人员只要具有简单的编程知识即可实现场景的定义。

系统运行过程中只要针对每个网络事件调用关联场景，只需要保持一个语法树栈，而不用为每个关联场景保存状态，这就节省了大量的系统资源，且脚本经过了编译优化处理，运行效率更高。

同时关联语言编写的联动、报警等关联场景也可以被其它关联场景调用，进而减少系统管理人员的负担。

脚本方法可以实现场景的动态加载，由于场景状态都存储在运行时语法树栈中，所以场景加载、卸载、变更对于已经记录的网络事件状态没有影响，保障了应用持续性。

附图说明

图1为本发明第一实施例所述动态网络事件关联和联动的实现方法流程图；

图2为本发明算数操作在语法树栈中的描述形式；

图3为本发明函数调用操作在语法树栈中的描述形式；

图4为本发明第二实施例所述动态网络事件关联和联动的实现方法流程图；

图5为本发明第三实施例所述动态网络事件关联和联动的实现装置组成结构示意图。

具体实施方式

为更进一步阐述本发明为达成预定目的所采取的技术手段及功效，以下结合附图及较佳实施例，对本发明提出的所述动态网络事件关联和联动的实现方法和装置，详细说明如后。

本发明第一实施例，如图1所示，所述动态网络事件关联和联动的实现方法，包括如下具体步骤：

步骤S101，初始化关联场景运行环境，具体的，加载网络事件关联和联动所需的动态链接库。网络事件关联和联动所需的动态链接库包括运行环境本身定义的函数，以及用户编写的扩展函数，方便关联场景脚本的编写。用户基于运行环境比如C语言运行环境、Java虚拟机运行环境、glibc库运行环境等，编写扩展函数的内容是本领域技术人员熟练掌握的，故此处不详述。

以C语言运行环境为例，实现网络事件的关联和联动共涉及下述几类函数库，如表1-表4所示：

表1数学运算相关操作函数库

函数名：	作用	实现
			math.abs	取绝对值	扩展实现
math.ceil	取不小于参数的最小整型数	引用C函数库
			math.floor	取小于参数的最小整	引用C函数库
	型数
			math.mod	取模	引用C函数库
math.sqrt	开平方	引用C函数库
			math.random	取随机数	引用C函数库
math.randomseed	更改随机种子数	引用C函数库

表2字符串相关操作

函数名：	作用	实现
			string.strtok	按给出的字符把一个字符串分割为若干子串	引用C函数库
string.strlen	取字符串长度	引用C函数库
			string.strsub	取一个字符串的子串	扩展实现
string.strset	把字符串中的所有字符都设置成指定字符	引用C函数库
			string.strlower	把字符串中的所有字符都设置成小写	引用C函数库
string.strupper	把字符串中的所有字符都设置成大写	引用C函数库
			string.strrep	将字符串中的某一子字符串用另一个子字符串的内容来替换	引用C函数库
string.ascii	判断一个字符是否为ascii字符	引用C函数库
			string.format	把参数格式化输出为	扩展实现
	一个字符串
			string.strfind	在一个字符串中查找另一个子串的位置	引用C函数库
string.gsub	根据正则表达式替换字符串	扩展实现

表3网络相关操作

函数名：	作用	实现
			net.sendmail	发送email	扩展实现
net.sendsms	发送短信	扩展实现
			net.resettcp	发送TCP阻断包	扩展实现

表4系统配置相关操作

函数名：	作用	实现
			sys.syslog	记录系统的syslog日志	引用C函数库
sys.webalert	向设备的管理界面发送报警信息	扩展实现
			sys.beep	蜂鸣报警	扩展实现
sys.runcli	运行设备配置命令	扩展实现

步骤S102，对用户编写的关联场景脚本进行词法分析与语法分析，留下符合脚本语法规则的关联场景脚本，具体的，

在关联场景脚本编译过程中，词法分析主要是判断一个脚本的内容是否符合词法表中指出的所有词法。例如：function即符合词法表中的用法，如果脚本出现了不符合词法表的用法，编译过程就会提示词法拼写错误，并终止编译。

词法分析通过后，编译过程会判断这些词的组合是否符合语法表的描述，例如：

function test()

{

}

就代表一个正确的函数定义，但，

test function()

{

}

就是一个错误的语法，因为function与函数名test的位置写反了。

由于词法表与语法表是事先根据用户编写关联场景脚本的需要定义的，是对脚本编译中的通常做法，故此处不详述。

步骤S103，在运行环境中，把每个符合脚本语法规则的关联场景脚本翻译成一个独立的语法树栈，语法树栈中元素为运行环境可识别的二进制格式。语法树栈中的元素包括：字符串相关操作、数学运算相关操作、网络相关操作和系统配置相关操作，以及一些常见的比较、四则运算与正则表达式匹配操作在内存中的函数地址以及变量的地址，这些操作包括运行环境本身定义的函数、用户编写的扩展函数以及关联场景的入口函数等。

例如，关联场景脚本中的a+b操作在语法树栈中表示为图2所示，语法树栈顶元素表示操作“+”，栈后面的两个元素分别表示“+”操作的两个操作数a和b。

又例如，关联场景脚本中的函数调用：sys.syslog(‘some msg’)以语法树栈表达，为图3所示，语法树栈顶元素call表示调用，第二个元素”sys.syslog”表示要调用的函数，语法树栈中第三个元素表示调用sys.syslog函数需要的参数。

步骤S104，判断语法树栈中是否存在关联场景的入口函数，若存在则加载成功，否则加载失败，跳转步骤S102重新执行编译的过程。

步骤S105，当网络事件产生时，记录网络事件，并逐个执行关联场景中描述的操作，实现事件关联和关联结果联动，具体的，

当有网络事件产生时，对每个关联场景来说，运行环境把网络事件入语法树栈，然后调用关联场景的入口函数，关联场景的入口函数从语法树栈的栈顶取出参数并执行语法树栈内描述的操作。

下面举例说明当事件发生时，关联场景运行和联动的过程：

用户编写的三个关联场景的脚本如下：

关联场景脚本一：

Ecl＝{ }

Function Ecl.run(e)

{

   If(e[‘srcip’]＝＝‘192.168.1.1’)

     {

       Ecl.status＝’statusl’；

     }else     If(e[‘srcip’]＝＝‘192.168.1.2’and Ecl.status＝＝‘statusl’)

    {

       Ecl.status＝’status2’；

    }else      If(Ecl.status＝＝’status2’)

    {

       Sys.syslog(‘some warning log！’)

    }

}

    关联场景脚本二：

Ecl1＝{ }

Ecl1.run(e)

{

    If(Ecl1.test(e))

    {

       Sys.syslog(‘from ecl1’)；

   }

}

Ecl1.test(e)

{

   If(e[‘srcip’]＝＝‘192.168.1.1’)

   Retum True；

   Retum False；

}

关联场景脚本三：

Ecl2＝{ }

Ecl2.run(e)

{

   If(Ecl1.test(e))

   {

   Sys.syslog(‘from ecl2’)；

   }

}

关联场景脚本一第一行Ecl＝{}，表示建立一个名字为Ecl的场景。FunctionEcl.run(e)表示建立关联场景的事件输入接口。

当网络事件发生时，都会逐个执行三个关联场景，关联场景一对应的语法树栈收到网络事件后判断：如果有两个网络事件的源IP按192.168.1.1和192.168.1.2的顺序发生就记录一条syslog消息：“some warning log”。

关联场景三Ecl2对应的语法树栈收到网络事件后，执行时，调用了关联场景一Ecl1的函数Ecl1.test，当运行环境发现这种调用时会根据调用函数的前缀符号‘.’判断要调用的函数在哪个场景中，并到对应的已编译好的语法树中找到对应函数入口，把参数加入语法树栈并运行。由于每个关联场景运行时都是在自己独立的栈上，所以不会相互冲突。当关联场景间需要相互调用时，一个场景相当于另一个场景的动态库链接库。

本发明第二实施例，如图4所示，一种动态网络事件关联和联动的实现方法，与第二实施例大致相同，区别在于，本实施例的方法进一步包括：

步骤S206，运行环境实时接受关联场景的更改情况，更新关联场景库。

因为本发明是基于脚本技术的，用户可以通过记事本打开查看、编辑，重新编译成二进制格式的语法树栈后加载到运行环境中即可，因此，场景编写维护简单，且由于网络事件已经记录，不会影响应用的连续性。

本发明第三实施例，如图5所示，一种动态网络事件关联和联动的实现装置，包括如下组成部分：

1)运行环境初始化模块，用于加载网络事件关联和联动所需的动态链接库，网络事件关联和联动所需的动态链接库包括运行环境本身定义的函数，以及用户编写的扩展函数。

2)脚本编译加载模块，用于将用户通过关联语言编写关联场景脚本编译生成关联场景，并将编译后生成的关联场景加载到关联场景运行环境中。脚本编译加载模块进一步包括：

规则匹配模块，用于对用户编写的关联场景脚本进行词法分析与语法分析，留下符合脚本语法规则的关联场景脚本；

语法树创建模块，用于把每个符合脚本语法规则的关联场景脚本翻译成一个独立的语法树栈，语法树栈中元素为运行环境可识别的二进制格式；

确认加载模块，用于判断语法树栈中是否存在关联场景的入口函数，若存在则加载成功，否则加载失败。

3)关联场景运行模块，用于当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动，具体的，

当有网络事件产生时，对每个关联场景来说，关联场景运行模块把网络事件入语法树栈，然后调用关联场景的入口函数，关联场景的入口函数从语法树栈的栈顶取出参数并执行语法树栈内描述的操作。

采用以上技术方案，可以实现关联场景脚本化、动态化。相比于传统的状态机方法，脚本方式下场景的描述不需要更专业的人员，场景维护人员只要具有简单的编程知识即可实现场景的定义。本发明除了可以实现的关联场景外，还可以实现联动处理，被其它关联场景脚本调用，在状态机方法中，一个状态机是无法调用其它状态机的。脚本方法可以实现场景的动态加载，由于场景状态都存储在运行时堆栈中，所以场景加载、卸载、变更对于已经记录的状态没有影响，而传统方法，场景发生变化后，必须重启程序，重新加载场景，无法保障应用持续性。另外脚本方法不需要为每个状态机保存其状态，且脚本经过了编译优化处理生成语法树栈，运行效率更高。

通过具体实施方式的说明，应当可对本发明为达成预定目的所采取的技术手段及功效得以更加深入且具体的了解，然而所附图示仅是提供参考与说明之用，并非用来对本发明加以限制。

Claims (8)

1.一种动态网络事件关联和联动的实现方法，其特征在于，包括：

初始化关联场景运行环境；

将用户通过关联语言编写的关联场景脚本编译生成关联场景，并将所述关联场景加载到关联场景运行环境中，具体过程包括：

步骤一、对用户编写的关联场景脚本进行词法分析与语法分析，留下符合脚本语法规则的关联场景脚本；

步骤二、在运行环境中，把每个符合脚本语法规则的关联场景脚本翻译成一个独立的语法树栈，语法树栈中元素为运行环境可识别的二进制格式；

步骤三、判断语法树栈中是否存在关联场景的入口函数，若存在则加载成功，否则加载失败，跳转步骤一重新执行编译；

当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动。

2.根据权利要求1所述动态网络事件关联和联动的实现方法，其特征在于，所述初始化关联场景运行环境包括：加载网络事件关联和联动所需的动态链接库；

所述网络事件关联和联动所需的动态链接库包括运行环境本身定义的函数，以及用户编写的扩展函数。

3.根据权利要求1所述动态网络事件关联和联动的实现方法，其特征在于，所述语法树栈中的元素包括：字符串相关操作、数学运算相关操作、网络相关操作和系统配置相关操作在内存中的函数地址以及变量的地址。

4.根据权利要求1、2或3所述动态网络事件关联和联动的实现方法，其特征在于，所述当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动的具体过程包括：

当有网络事件产生时，运行环境把网络事件写入每个关联场景对应的语法树栈，然后调用关联场景的入口函数，关联场景的入口函数从语法树栈的栈顶取出参数并执行语法树栈内描述的操作。

5.根据权利要求1所述动态网络事件关联和联动的实现方法，其特征在于，进一步包括：实时判断关联场景的更改，更新关联场景库。

6.一种动态网络事件关联和联动的实现装置，其特征在于，包括如下组成部分：

运行环境初始化模块，用于加载网络事件关联和联动所需的动态链接库；

脚本编译加载模块，用于将用户通过关联语言编写关联场景脚本编译生成关联场景，并将所述关联场景加载到关联场景运行环境中；

关联场景运行模块，用于当网络事件产生时，记录网络事件，逐个执行关联场景中描述的操作，实现事件关联和关联结果联动；

所述脚本编译加载模块进一步包括：

规则匹配模块，用于对用户编写的关联场景脚本进行词法分析与语法分析，留下符合脚本语法规则的关联场景脚本；

语法树创建模块，用于把每个符合脚本语法规则的关联场景脚本翻译成一个独立的语法树栈，语法树栈中元素为运行环境可识别的二进制格式；

确认加载模块，用于判断语法树栈中是否存在关联场景的入口函数，若存在则加载成功，否则加载失败。

7.根据权利要求6所述动态网络事件关联和联动的实现装置，其特征在于，所述网络事件关联和联动所需的动态链接库包括运行环境本身定义的函数，以及用户编写的扩展函数。

8.根据权利要求6或7所述动态网络事件关联和联动的实现装置，其特征在于，所述关联场景运行模块进一步用于：

当有网络事件产生时，把网络事件入每个关联场景对应的语法树栈，然后调用关联场景的入口函数，关联场景的入口函数从语法树栈的栈顶取出参数并执行语法树栈内描述的操作。

Images