CN110889113A - 一种日志分析方法、服务器、电子设备及存储介质 - Google Patents

Abstract

本申请提供了一种日志分析方法、服务器、电子设备及存储介质。所述方法包括：获得待分析的第一日志文件；对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；展示所述第一日志文件对应的日志分析结果。本申请在日志文件发送到内网终端之前，采用检测文件特征和行为特征以及解析语句相结合的检测方式对日志文件进行检测，能及时获得日志文件中的安全信息、异常信息或应用相关信息等，克服了相关技术中日志分析时效滞后的问题。

Description

一种日志分析方法、服务器、电子设备及存储介质

技术领域

本发明涉及网络安全技术领域，特别是涉及一种日志分析方法、服务器、电子设备及存储介质。

背景技术

计算机在运行过程中会产生大量的日志文件，技术人员通过记录和分析这些日志文件，能够获取到计算机运行过程中的安全信息、异常信息、系统错误等，进而能够确定产生异常或系统错误的原因，并对相应的原始代码进行改进。

在相关技术中，技术人员只能针对已经产生的日志文件进行分析，即技术人员永远滞后地获取到日志文件，换言之，当一些日志文件是恶意文件时，由于无法及时地判断其是否为恶意文件，只能等到其对计算机运行产生了恶意行为后，才能将其记录并阻止其下一次访问计算机，而无法主动在第一时间追踪到其恶意行为并及时防范，因而，相关技术中急需一种更好地检测日志文件的方式。

发明内容

本申请实施例提供了一种日志分析方法、服务器、电子设备及存储介质，旨在克服相关技术中存在的日志文件检测时效滞后的问题。

本申请实施例第一方面提供了一种日志分析方法，应用于服务器，所述方法包括：

获得待分析的第一日志文件；

对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

展示所述第一日志文件对应的日志分析结果。

可选地，在根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果之后，所述方法还包括：

记录并存储所述第一日志文件对应的日志分析结果；

对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

在所述第二日志文件的文件形式与非恶意文件的通用文件形式相匹配时，确定所述第二日志文件是非恶意文件。

可选地，在根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果之后，所述方法还包括：

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是恶意文件时，拦截所述第一日志文件；

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是非恶意文件时，通过网络将所述第一日志文件发送给终端。

可选地，所述服务器上运行有OSSEC服务端程序；获得待分析的第一日志文件，包括：

通过所述OSSEC服务端程序接收并存储多个日志文件；

将多个所述日志文件中的任一日志文件确定为所述第一日志文件。

可选地，对所述第一日志文件包括的语句进行解析，包括：

利用正则表达式，提取所述第一日志文件包括的语句中的预设信息，所述预设信息包括以下至少一者：关键词、表名、列名、字段值以及运算符。

可选地，对所述第一日志文件的文件特征和行为特征进行检测，包括：

根据预设规则库，对所述第一日志文件的文件特征和行为特征进行打分。

本申请实施例第二方面提供了一种服务器，包括：

存储收集模块，用于获得待分析的第一日志文件；

分析模块，用于对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

第一确定模块，用于根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

结果展示模块，用于展示所述第一日志文件对应的日志分析结果。

可选地，所述服务器还包括：

储存模块，用于记录并存储所述第一日志文件对应的日志分析结果；

记忆模块，用于对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得模块，用于获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断模块，用于判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

第二确定模块，用于在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

第三确定模块，用于在所述第二日志文件的文件形式与非恶意文件的通用文件形式相匹配时，确定所述第二日志文件是非恶意文件。

可选地，所述服务器还包括：

拦截模块，用于在所述第一日志文件对应的日志分析结果表征所述第一日志文件是恶意文件时，拦截所述第一日志文件；

发送模块，用于在所述第一日志文件对应的日志分析结果表征所述第一日志文件是非恶意文件时，通过网络将所述第一日志文件发送给终端。

可选地，所述服务器上运行有OSSEC服务端程序；所述存储收集模块包括：

存储收集子模块，用于通过所述OSSEC服务端程序接收并存储多个日志文件；

第四确定模块，用于将多个所述日志文件中的任一日志文件确定为所述第一日志文件。

可选地，所述分析模块包括：

语句分析子模块，用于利用正则表达式，提取所述第一日志文件包括的语句中的预设信息，所述预设信息包括以下至少一者：关键词、表名、列名、字段值以及运算符。

可选地，所述分析模块还包括：

动态分析子模块，用于根据预设规则库，对所述第一日志文件的文件特征和行为特征进行打分。

本申请实施例第三方面提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行时实现本申请第一方面所述的方法的步骤。

本申请实施例第四方面提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本申请第一方面所述的方法中的步骤。

本申请实施例提供了一种日志分析方法，服务器首先获取待分析的第一日志文件，检测其文件特征和行为特征，得到检测结果，解析其包括的语句，得到解析结果；然后根据检测结果和解析结果分析得到日志分析结果(即：是恶意文件还是非恶意文件)，然后将得到的日志分析结果展示给用户，使得用户可以根据日志分析结果做出进一步决策(例如：查找风险、排除风险、优化系统等)。本申请在日志文件发送到内网终端之前，采用检测文件特征和行为特征以及解析语句相结合的检测方式对日志文件进行检测，能及时获得日志文件中的安全信息、异常信息或应用相关信息等，克服了相关技术中日志分析时效滞后的问题，便于用户及时做出决策，优化了用户的使用体验。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例的描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请一实施例示出的一种日志分析方法的流程图；

图1A是本申请一实施例示出的一种日志文件的示意图；

图2是本申请一实施例示出的另一种日志分析方法的流程图；

图3是本申请一实施例示出的一种日志分析方法的分析流程示意图；

图4是本申请一实施例示出的一种日志分析方法的原理示意图；

图5是本申请一实施例示出的一种服务器的结构示意图；

图6是本申请一实施例示出的一种电子设备的示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请提供了一种日志分析方法，应用于服务器。图1是本申请一实施例示出的一种日志分析方法的流程图。如图1所示，本申请的日志分析方法包括以下步骤：

步骤S11：获得待分析的第一日志文件。

在本实施例中，所述服务器上运行有OSSEC服务端程序；步骤S11具体可以包括：

通过所述OSSEC服务端程序接收并存储多个日志文件；

将多个所述日志文件中的任一日志文件确定为所述第一日志文件。

在本实施例中，OSSEC是一款开源的多平台的入侵检测系统，可以运行于Windows、Linux、OpenBSD/FreeBSD以及MacOS等操作系统中，其功能包括日志分析、全面检测、root-kit检测等。作为一款HIDS，OSSEC应当被安装在一台实施监控的系统中。在本申请各个实施例中，服务器中运行有OSSEC服务端程序。

日志文件用于记录系统中所发生的所有事件的信息，例如：各种系统服务的启动、运行、关闭等信息。日志文件有多种，例如：应用程序日志(对应的文件名为AppEvent.evt)、安全日志(对应的文件名为SecEvent.evt)以及系统日志(对应的文件名为SysEvent.evt)。通过对日志文件进行分析，可以查找出包含攻击行为、非法操作、恶意访问等非法行为的恶意日志文件，进而针对性地对这些非法行为进行防范，排除终端运行过程中存在的安全隐患。

在本申请实施例中，终端位于内部网络中，当外部网络针对内部网络中的终端发送日志文件时，服务器首先捕获日志文件，然后对日志文件进行检测，并根据检测结果，确定是否将日志文件发送给对应的终端，以使终端运行该日志文件。

在本实施例中，服务器设置有缓存区域，用于存储外部网络向内部网络发送的各种日志文件。针对外部网络发送的每一个日志文件，服务器都会捕获该日志文件，并存储在缓存区域中，然后逐个进行检测。

第一日志文件是缓存区域中的任意一个日志文件，例如可以是获取终端XX的通讯录，又例如可以是获取终端所在的地理位置信息。

步骤S12：对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果。

具体地，对所述第一日志文件包括的语句进行解析，包括：

利用正则表达式，提取所述第一日志文件包括的语句中的预设信息，所述预设信息包括以下至少一者：关键词、表名、列名、字段值以及运算符。当然，本申请可以采用正则表达式提取预设信息，也可以采用其它运算匹配方式提取预设信息，本申请对此不作具体限制。

在本实施例中，预设信息是指词条信息，一个日志文件通常可以拆解得到多个词条，这些词条可以是：关键词、表名、列名、字段值、运算符中的一种或者多种。

关键词是指涉及到终端的敏感词条，例如：终端所属的用户的个人信息，包括姓名、住址、身份证号码、电话号码、绑定的银行卡信息等存在较大安全隐患且需要较高重视程度的词条。当然，关键词也可以是其它的预先定义的存在较大安全隐患且需要较高重视程度的词条。

在一种实施方式中，服务器可以预先设置一些存在较高安全隐患的关键词，然后利用正则表达式提取日志文件中的关键词，得到多个词条；在另一种实施方式中，服务器可以根据日志文件存储预设信息的形式，直接利用正则表达式提取出日志文件中的表名、列名、字段值以及运算符中的一种或多种，得到多个词条。在实际实施过程中，可以将上述两种实施方式结合使用，服务器预先定义组成词条的类型，然后再获取相应的词条。示例地，预先定义的组成词条的类型包括：关键词、表名、列名、字段值，那么服务器在对日志文件中包括的语句进行解析以后，可得到多个由关键词、表名、列名、字段值组成的词条。

本申请实施例可根据实际需求灵活配置解析过程需要的预设信息，能有效提高日志文件检测结果的准确度。

具体地，对所述第一日志文件的文件特征和行为特征进行检测，包括：

根据预设规则库，对所述第一日志文件的文件特征和行为特征进行打分。

在本申请实施例中，服务器一方面对第一日志文件的语句进行解析，另一方面还会提取出第一日志文件中的各种特征，包括：文件特征和行为特征，例如文件特征可以是版本信息、壳信息、注册表信息等信息，行为特征可以是网络操作、文件操作等操作。其中，网络操作是指周期性访问某一个IP或连接地址的操作，文件操作可以是读取系统文件、获取主机名、IP、MAC、硬盘文件列表、屏幕快速抓图、读取摄像头、遍历文件等操作。

服务器预先存储有多个文件特征和行为特征对应的得分规则，在获取到第一日志文件的文件特征和行为特征后，对照该得分规则对第一日志文件进行打分。

示例地，具体按照得分规则打分的操作步骤可以是：若第一文件的版本信息、壳信息符合预设条件(预设条件通常表征该特征为恶意文件特征)，则查阅版本信息符合预设条件时的分值，壳信息符合预设条件时的分值，并增加到第一文件的分数上，而注册表信息不符合预设条件，则不用将相应的分值增加到第一文件的分数上；针对第一文件的多个文件行为(即：行为特征)，当文件行为满足预设条件(预设条件通常表征该特征为恶意文件特征)时，查找相应的分值，并增加到第一文件的分数上，当文件行为不满足预设条件时，则不用将相应的分值增加到第一文件的分数上。

示例地，若检测到的文件操作包括：读取联系人信息、读取用户住址、读取用户所在地理位置、读取用户绑定的银行卡信息，假设这些文件操作均是恶意文件特征，因此这些文件操作均符合预设条件，则首先通过得分规则查找到各个文件操作对应的分值，例如上述各个操作依次对应的分值为5分、5分、3分、10分，那么关于文件操作所得分数为23分，按照类似的方式，依次对第一日志文件包括的各项文件特征、各项除文件操作外的其它的行为特征进行打分，最终得到第一日志文件的分数。

图1A是本申请一实施例示出的一种日志文件的示意图。再示例地，一条日志文件为图1A所示的日志文件时，当查询到该日志文件中有“src_ip＝XXX”这一特征时，为该日志文件加5分，当该日志文件中有1024以上的端口时，再为该日志文件加5分，类似地，依次为该日志文件的特征进行打分，最终得到该日志文件的分数。

在本申请实施例中，日志文件的分数与其风险程度成正比，与其为恶意文件的概率成正比。得分越高的日志文件，对应的风险越高，为恶意日志文件的概率越高。

在一种实施方式中，服务器还可以针对提取出的语句中的多个词条设置得分规则，按照上述对文件特征和行为特征进行打分的相似的处理方式，对语句中的多个词条进行打分。

步骤S13：根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件。

在本实施例中，检测结果即检测得到的文件特征及行为特征，解析结果即从语句中提取出的预设信息(也即：多个词条)，对检测结果以及解析结果进行综合分析，可以得到日志分析结果，综合分析的方式可以是多种，如下：

在第一种实施方式中，对检测结果进行打分，得到第一分数(百分制)；对解析结果进行打分，得到第二分数(百分制)；当第一分数和第二分数满足第一预设条件时，确定第一日志文件为非恶意文件。

在第二种实施方式中，对检测结果进行打分，得到分数(百分制)；将解析结果与预先存储的多个恶意日志文件的特征进行匹配，得到匹配值(百分制)，当分数和匹配值满足第二预设条件时，确定第一日志文件为非恶意文件。

针对上述第一种实施方式，第一预设条件可以是：第一分数和第二分数均低于预设分数阈值时，确定第一日志文件为非恶意文件。

在该第一种实施方式中，当第一分数高于预设分数阈值、第二分数高于预设分数阈值或者第一分数和第二分数均高于预设分数阈值时，均可确定第一日志文件为恶意文件。此外，还可以根据第一分数和第二分数各自所在分数的区间，为恶意文件添加恶意等级，一般地，第一分数和第二分数越高，恶意文件的恶意等级越高，对终端的风险越高。

针对上述第二种实施方式，第二预设条件可以是：分数低于预设分数阈值且匹配值低于预设匹配阈值时，确定第一日志文件为非恶意文件。

在该第二种实施方式中，服务器对历史记录的恶意文件进行整理，可以得到多个恶意文件的特征，若第一日志文件的解析结果中存在这些恶意文件的特征，且这些特征所占的比值大于预设匹配阈值时，确定第一日志文件为恶意文件。通过该种实施方式，当分数高于预设分数阈值、匹配值大于预设匹配值或者分数高于预设分数阈值且匹配值大于预设匹配值时，均可确定第一日志文件为恶意文件。

在本申请实施例中，为提前预测外部网络向内网终端发送的日志文件的风险性，提供了一种检测日志文件的方式，即：采用检测文件特征和行为特征以及解析语句相结合的检测方式对日志文件进行检测，能及时获得日志文件中的安全信息、异常信息或应用相关信息等，不仅克服了相关技术中日志分析时效滞后(时效滞后是指：只有当日志文件的恶意行为产生后才能追踪得到，而无法在第一时间主动发现恶意行为，现有针对性的APT攻击无法在第一时间主动发现恶意行为)的问题，即：克服了相关技术中由于滞后地获得日志文件而无法及时地判断日志文件是否为恶意文件以及无法及时采取防范措施的问题，而且显著提高了检测结果的准确度。

图2是本申请一实施例示出的另一种日志分析方法的流程图。参照图2，在步骤S13之后，本申请提供的日志分析方法还可以包括：

步骤S21：记录并存储所述第一日志文件对应的日志分析结果。

步骤S22：对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式。

在本实施例中，当服务器确定第一日志文件是恶意文件时，进一步放大第一日志文件以提取更多的文件信息，所提取的文件信息及日志分析结果用于进一步自学习，以优化服务器后续的日志文件检测过程。

对日志文件进行自学习后，可以得到恶意文件的通用文件形式或非恶意文件的通用文件形式。其中，恶意文件的通用文件形式是指包含关键的恶意文件特征的文件形式，即：包含该关键的恶意文件特征的文件通常情况下为恶意文件；非恶意文件的通用文件形式是指不包含关键的恶意文件特征的文件形式，即：不包含该关键的恶意文件特征的文件通常情况下为非恶意文件。

在本申请中，自学习即对恶意文件的特征和非恶意文件的特征进行统计和归纳，例如对多个恶意文件进行自学习可以得到恶意文件的多个特征，这些特征可以通过选取和组合得到多个恶意文件的通用文件形式；类似地，对多个非恶意文件进行自学习可以得到非恶意文件的多个特征，这些特征可以通过选取和组合得到多个非恶意文件的通用文件形式。

步骤S23：获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

步骤S24：判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

步骤S25：在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

步骤S26：在所述第二日志文件的文件形式与非恶意文件的通用文件形式相匹配时，确定所述第二日志文件是非恶意文件。

在获得恶意文件的通用文件形式和非恶意文件的通用文件形式后，服务器在后续检测第二日志文件(第二日志文件是检测第一日志文件后，获取的其它日志文件中的任意一个日志文件)的过程中，可直接通过上述恶意文件的通用文件形式或非恶意文件的通用文件形式判定第二日志文件是否为恶意文件。具体过程为：在获得第二日志文件时，首先获得检测结果和解析结果，根据检测结果和解析结果判断是否存在相匹配的恶意文件的通用文件形式，或者相匹配的非恶意文件的通用文件形式，如果存在相匹配的恶意文件的通用文件形式，确定第二日志文件是恶志文件，如果存在相匹配的非恶意文件的通用文件形式，确定第二日志文件是非恶意文件，进而实现快速地对日志文件进行检测。

在本实施例中，服务器通过自学习获得恶意文件的通用文件形式和非恶意文件的通用文件形式，可以在后续检测日志文件的过程中，直接将匹配的日志文件判定为恶意文件或非恶意文件，避免对多个重复的日志文件进行检测，大幅度节省了检测时间，提高了日志检测的效率。

考虑到在实际实施场景中，服务器无法穷尽所有的恶意文件的通用文件形式或非恶意文件的通用文件形式，因此，若未成功查找到相匹配的恶意文件的通用文件形式或非恶意文件的通用文件形式，可采取上述步骤S13中所给出的两种实施方式继续对日志文件进行检测。

在本申请实施例中，在对第一日志文件的日志分析结果进行自学习后，还可以得到多个恶意文件的特征，这些恶意日志文件的特征可应用于上述步骤S13中所给出的两种实施方式。

可选地，在步骤S13之后，本申请提供的日志分析方法还可以包括：

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是恶意文件时，拦截所述第一日志文件；

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是非恶意文件时，通过网络将所述第一日志文件发送给终端。

在本实施例中，服务器拦截所有恶意文件，防止对应的内网中的终端运行该恶意日志文件，保证了所有终端运行过程的安全性。

步骤S14：展示所述第一日志文件对应的日志分析结果。

如前文所述，在本实施例中，服务器在得到日志文件的日志分析结果后，存储所有的日志分析结果，这些日志分析结果可通过前端交互界面展示给用户，便于用户根据日志分析结果对可能存在的风险进行防范，进而提升内网安全性。

在本申请实施例中，用户还可以通过前端交互界面输入多个日志文件，服务器对日志文件进行检测，然后将得到的日志分析结果展示给用户，以便于用户做出决策。

在本申请实施例中，服务器首先获取待分析的第一日志文件，检测其文件特征和行为特征，得到检测结果，解析其包括的语句，得到解析结果；然后根据检测结果和解析结果分析得到日志分析结果(即：是恶意文件还是非恶意文件)，然后将得到的日志分析结果展示给用户，使得用户可以根据日志分析结果做出进一步决策(例如：查找风险、排除风险、优化系统等)。在本申请中，在外网中的日志文件发送到内网终端之前，首先对日志文件进行检测，提前对日志文件的风险进行预测，防止影响终端的正常运行，提升了内网安全性，此外，采用文件特征和行为特征检测以及语句解析相结合的检测方式，克服了日志文件检测时效滞后的问题，方便用户及时做出决策，优化了用户的使用体验。

图3是本申请一实施例示出的一种日志分析方法的分析流程示意图。图4是本申请一实施例示出的一种日志分析方法的原理示意图。下面将结合图3和图4对本申请提供的日志分析方法进行整体说明。

在一种实施方式中，参照图3和图4，存储收集模块首先获取并存储外网传送的日志文件，然后将日志文件发送到分析模块，分析模块通过动态分析子模块获得日志文件的文件特征及行为特征，作为检测结果，通过语句分析子模块，得到预设信息，作为解析结果，然后根据检测结果和解析结果，得到日志分析结果，具体为：判断是否存在相匹配的恶意文件的通用文件形式或非恶意文件的通用文件形式，若存在相匹配的恶意文件的通用文件形式，确定该日志文件为恶意文件；若存在相匹配的恶非意文件的通用文件形式，确定该日志文件为非恶意文件；若既不存在恶意文件的通用文件形式和非恶意文件的通用文件形式，执行以下两种实施方式中的任意一种：

实施方式一：对检测结果进行打分，得到第一分数(百分制)；对解析结果进行打分，得到第二分数(百分制)；当第一分数和第二分数满足第一预设条件时，确定第一日志文件为非恶意文件；

实施方式二：对检测结果进行打分，得到分数(百分制)；将解析结果与预先存储的多个恶意日志文件的特征进行匹配，得到匹配值(百分制)，当分数和匹配值满足第二预设条件时，确定第一日志文件为非恶意文件。

实施方式一或实施方式二的具体实施过程具体可参照前文步骤S13所述。

通过上述通用文件形式、实施方式一或实施方式二得到日志分析结果后，分析模块将日志文件及对应的日志分析结果发送到储存模块进行存储，在该过程中，如果日志分析结果是恶意文件，分析模块还会提取出更多的文件信息，包含在对应的日志文件的日志分析结果中，一并发送至储存模块。

储存模块中的日志解析子模块用于对存储的日志文件进行去重、备份、删除或恢复的操作。记忆模块周期性从存储模块中获取日志文件及对应的日志分析结果，进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式以及恶意文件的特征，并反馈到分析模块，以进一步优化分析模块对日志文件的检测过程，提升检测效率。结果展示模块用于为用户提供交互界面，根据用户输入的查询指令，获取日志文件或者日志文件的日志分析结果并展示给用户。其中，结果展示模块中还设置有信息获取子模块，用于接收用户从外部环境获得的多个日志文件，并将日志文件发送到分析模块，得到相应的日志分析结果并返回给用户，以便于用户做出进一步决策。

本申请提供了一种日志分析方法，包括以下有益效果：

一、相比于相关技术中在日志文件已经在终端运行且产生恶意行为后，由人工对日志文件进行检测，本申请在日志文件发送到内网终端之前，采用检测文件特征和行为特征以及解析语句相结合的检测方式对日志文件进行检测，能及时获得日志文件中的安全信息、异常信息或应用相关信息等，克服了相关技术中日志分析时效滞后的问题，能提前对外部网络向内网终端发送的风险日志文件进行防范。

二、采用检测文件特征和行为特征以及解析语句相结合的检测方式对日志文件进行检测，提升了日志文件检测结果的准确度。

三、本申请中设置了自学习的环节，服务器通过自学习获得恶意文件的通用文件形式和非恶意文件的通用文件形式，可以在后续检测日志文件的过程中，直接将匹配的日志文件判定为恶意文件或非恶意文件，避免对多个重复的日志文件进行检测，大幅度节省了检测时间，提高了日志文件检测的效率。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

本申请实施例还提供了一种服务器500。图5是本申请一实施例示出的一种服务器的结构示意图。参照图5，服务器500包括：

存储收集模块501，用于获得待分析的第一日志文件；

分析模块502，用于对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

第一确定模块503，用于根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

结果展示模块504，用于展示所述第一日志文件对应的日志分析结果。

可选地，所述服务器500还包括：

储存模块，用于记录并存储所述第一日志文件对应的日志分析结果；

记忆模块，用于对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得模块，用于获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断模块，用于判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

第二确定模块，用于在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

第三确定模块，用于在所述第二日志文件的文件形式与非恶意文件的文件形式相匹配时，确定所述第二日志文件是非恶意文件。

可选地，所述服务器500还包括：

拦截模块，用于在所述第一日志文件对应的日志分析结果表征所述第一日志文件是恶意文件时，拦截所述第一日志文件；

发送模块，用于在所述第一日志文件对应的日志分析结果表征所述第一日志文件是非恶意文件时，通过网络将所述第一日志文件发送给终端。

可选地，所述服务器500上运行有OSSEC服务端程序；所述存储收集模块501包括：

存储收集子模块，用于接收并存储所述终端通过网络发送的多个日志文件；

第四确定模块，用于将多个所述日志文件中的任一日志文件确定为所述第一日志文件。

可选地，所述分析模块502包括：

语句分析子模块，用于利用正则表达式，提取所述第一日志文件包括的语句中的预设信息，所述预设信息包括以下至少一者：关键词、表名、列名、字段值以及运算符。

可选地，所述分析模块502还包括：

动态分析子模块，用于根据预设规则库，对所述第一日志文件的文件特征和行为特征进行打分。

基于同一发明构思，本申请另一实施例提供一种电子设备600，如图6所示。图6是本申请一实施例示出的一种电子设备的示意图。该电子设备包括存储器602、处理器601及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行时实现本申请上述任一实施例所述的方法中的步骤。

基于同一发明构思，本申请另一实施例提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本申请上述任一实施例所述的方法中的步骤。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种日志分析方法、服务器、电子设备及存储介质，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种日志分析方法，其特征在于，应用于服务器，所述方法包括：

获得待分析的第一日志文件；

对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

展示所述第一日志文件对应的日志分析结果。

2.根据权利要求1所述的方法，其特征在于，在根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果之后，所述方法还包括：

记录并存储所述第一日志文件对应的日志分析结果；

对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

在所述第二日志文件的文件形式与非恶意文件的通用文件形式相匹配时，确定所述第二日志文件是非恶意文件。

3.根据权利要求1所述的方法，其特征在于，在根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果之后，所述方法还包括：

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是恶意文件时，拦截所述第一日志文件；

在所述第一日志文件对应的日志分析结果表征所述第一日志文件是非恶意文件时，通过网络将所述第一日志文件发送给终端。

4.根据权利要求3所述的方法，其特征在于，所述服务器上运行有OSSEC服务端程序；获得待分析的第一日志文件，包括：

通过所述OSSEC服务端程序接收并存储多个日志文件；

将多个所述日志文件中的任一日志文件确定为所述第一日志文件。

5.根据权利要求1-4任一所述的方法，其特征在于，对所述第一日志文件包括的语句进行解析，包括：

利用正则表达式，提取所述第一日志文件包括的语句中的预设信息，所述预设信息包括以下至少一者：关键词、表名、列名、字段值以及运算符。

6.根据权利要求1-4任一所述的方法，其特征在于，对所述第一日志文件的文件特征和行为特征进行检测，包括：

根据预设规则库，对所述第一日志文件的文件特征和行为特征进行打分。

7.一种服务器，其特征在于，包括：

存储收集模块，用于获得待分析的第一日志文件；

分析模块，用于对所述第一日志文件的文件特征和行为特征进行检测，得到检测结果；对所述第一日志文件包括的语句进行解析，得到解析结果；

第一确定模块，用于根据所述检测结果和所述解析结果，确定所述第一日志文件对应的日志分析结果，所述日志分析结果表征所述第一日志文件是恶意文件还是非恶意文件；

结果展示模块，用于展示所述第一日志文件对应的日志分析结果。

8.根据权利要求7所述的服务器，其特征在于，所述服务器还包括：

储存模块，用于记录并存储所述第一日志文件对应的日志分析结果；

记忆模块，用于对所述第一日志文件对应的日志分析结果进行自学习，得到恶意文件的通用文件形式或非恶意文件的通用文件形式；

获得模块，用于获得待分析的第二日志文件，所述第二日志文件不同于所述第一日志文件；

判断模块，用于判断所述第二日志文件的文件形式是否与恶意文件的通用文件形式或非恶意文件的通用文件形式相匹配；

第二确定模块，用于在所述第二日志文件的文件形式与恶意文件的通用文件形式相匹配时，确定所述第二日志文件是恶意文件；

第三确定模块，用于在所述第二日志文件的文件形式与非恶意文件的文件形式相匹配时，确定所述第二日志文件是非恶意文件。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行时实现如权利要求1-6任一所述的方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-6任一所述的方法中的步骤。

Images