CN111444537B - 一种适用于拟态环境的日志处理方法及系统 - Google Patents

Abstract

本发明适用于拟态环境的日志处理方法及系统包括：请求裁决器接收到多个执行体发来的日志访问请求，根据日志访问请求对日志访问请求进行合理分组，对同一组内的多个请求信息进行一致性裁决，并生成合适的裁决结果信息，将裁决ID和本组的执行体清单发送给结果分发器；请求裁决器将裁决结果信息发送给日志系统；日志系统接收裁决结果信息，进行真实的日志访问操作，并将操作结果信息发送给结果分发器；结果分发器接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至清单中所有异构应用平台执行体；各异构应用平台执行体接收到日志操作结果信息，日志访问结束，继续进行后续操作。

Description

一种适用于拟态环境的日志处理方法及系统

技术领域

本发明涉及日志系统技术领域，特别是涉及一种适用于拟态环境的日志处理方法及系统。

背景技术

在现有的应用拟态化构建方案中，日志通常都由各执行体独立记录和管理的。该方案存在两个问题点：

1)由于各执行体数据的独立存储日志，随着时间的增长，各执行体上的日志信息会占用大量的存储空间。从而在执行时切换时，需要消耗较长时间来进行执行体间的数据同步操作，进而降低拟态系统整体的可用性。

2)为了保证各执行体间日志数据的强一制性，现有应用中常见的随机性因素需要通过修改应用源码的方式来消除，工作量大而繁杂，增加了拟态化改造的难度。比如记录日志时的主键和时间戳，通常由应用自主生成，但是在拟态环境中这两部分在各执行体需要由应用程序来按照指定规则生成，以保证数据的强一制性。

发明内容

本发明针对现有技术存在的问题和不足，提供一种新型的适用于拟态环境的日志处理方法及系统。

本发明是通过下述技术方案来解决上述技术问题的：

本发明提供一种适用于拟态环境的日志处理方法，其特点在于，其包括以下步骤：

S1、请求裁决器接收到多个异构应用平台执行体发来的日志访问请求；

S2、请求裁决器根据日志访问请求的来源IP、产生的日志内容、请求访问时间等多个因素对日志访问请求进行合理分组；

S3、请求裁决器对同一组内的多个请求信息进行一致性裁决，并生成合适的裁决结果信息，将裁决ID和本组的执行体清单发送给结果分发器；

S4、请求裁决器将裁决结果信息发送给日志系统；

S5、日志系统接收请求裁决器发来的裁决结果信息，进行真实的日志访问操作，并将操作结果信息发送给结果分发器；

S6、结果分发器接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至清单中所有异构应用平台执行体；

S7、各异构应用平台执行体接收到日志操作结果信息，日志访问结束，继续进行后续操作。

本发明还提供一种适用于拟态环境的日志处理系统，其特点在于，其包括请求裁决器、结果分发器和日志系统；

所述请求裁决器用于接收多个异构应用平台执行体的日志请求信息，进行日志的预处理，按请求来源、请求内容、请求时间等因素对日志进行智能分组；针对每一组内的多个日志访问请求进行智能裁决，并根据裁决的结果构造出最合适的日志请求；将组内智能裁决后的裁决ID和执行体清单发送至结果分发器；将裁决之后的日志访问请求发送到日志系统进行相应的后续处理；

所述结果分发器用于接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至所有清单中的异构应用平台执行体；

所述日志系统用于收到裁决的日志信息，对日志信息进行处理，提供日志的记录、分析、处理、监控接口。

在符合本领域常识的基础上，上述各优选条件，可任意组合，即得本发明各较佳实例。

本发明的积极进步效果在于：

本发明构建了一套适用于拟态环境的日志处理方法及系统，可同时接受多个异构执行体的请求，经分组、裁决之后形成统一的处理结果，并予以响应，基于拟态的攻防构造，更具内生安全的特性，提供日志的安全输出和分析，防御黑客的攻击。

附图说明

图1为本发明较佳实施例的适用于拟态环境的日志处理流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本实施例提供一种适用于拟态环境的日志处理方法。

准备工作：系统安装部署完毕。

正常访问流程：

各执行体操作过程如下：接收命令，执行相应的操作，在操作过程中产生系统日志访问请求，由执行体上的日志服务程序将该请求发送至请求裁决器。

系统内部运行过程如下：

1、请求裁决器接收到多个异构应用平台执行体发来的日志访问请求。

2、请求裁决器根据日志访问请求的来源IP、产生的日志内容、请求访问时间等多个因素对日志访问请求进行合理分组。

3、请求裁决器对同一组内的多个请求信息进行一致性裁决，并生成合适的裁决结果信息(裁决后的日志访问请求信息)。同时，将裁决ID和本组的执行体清单发送给结果分发器。

4、请求裁决器将裁决结果信息发送给日志系统。

5、日志系统接收请求裁决器发来的裁决结果信息，进行真实的日志访问操作，并将操作结果信息发送给结果分发器。

6、结果分发器接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至清单中所有异构应用平台执行体。

7、各异构应用平台执行体接收到日志操作结果信息，日志访问结束，继续进行后续操作。

如图1所示，本实施例还提供一种适用于拟态环境的日志处理系统，其包括请求裁决器、结果分发器和日志系统。

请求裁决器，其用于接收多个执行体产生的日志信息，进行智能分组和裁决，并将裁决结果经合适处理后发送给日志系统。具体功能如下：接收多个异构应用平台执行体的日志请求信息，进行日志的预处理，按请求来源、请求内容、请求时间等因素对日志进行智能分组；针对每一组内的多个日志访问请求进行智能裁决，并根据裁决的结果构造出最合适的日志请求；将组内智能裁决后的裁决ID和执行体清单发送至结果分发器；将裁决之后的日志访问请求发送到日志系统进行相应的后续处理。请求裁决器的具体实现方式包括但不限于纯软件模块、独立服务器、嵌入式系统、FPGA芯片、ASIC芯片等。

结果分发器，其用于日志系统发来日志请求的结果信息，并按需同时分发给多个异构服务执行体。具体功能如下：接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至所有清单中的异构应用平台执行体。结果分发器的具体实现方式包括但不限于纯软件模块、独立服务器、嵌入式系统、FPGA芯片、ASIC芯片等。

日志系统，其用于接收裁决器发来的日志访问请求，收到裁决之后的日志信息，并对日志提供统一的分析、处理、监控等接口。具体功能如下：收到裁决的日志信息，对日志信息进行处理(传统日志系统将日志信息存入文件或相关的关系型数据库、分布式的日志系统将日志信息导入elasticsearch等日志分析系统、审计日志系统将日志信息推送到目标)，提供日志的分析、处理、监控接口，比如：日志分类，日志检索，日志分析等相关的日志接口。

本发明提高了日志系统的安全性，可有效防御基于漏洞和后门的攻击；本发明所提供的安全效应不依赖于先验知识和其他安全手段，因此能够配合其他系统(传统日志系统、分布式日志系统、审计日志)其他防御机制和方法获得更高的安全性提升，以此对系统实施更高等级的安全防护。

虽然以上描述了本发明的具体实施方式，但是本领域的技术人员应当理解，这些仅是举例说明，本发明的保护范围是由所附权利要求书限定的。本领域的技术人员在不背离本发明的原理和实质的前提下，可以对这些实施方式做出多种变更或修改，但这些变更和修改均落入本发明的保护范围。

Claims (2)

1.一种适用于拟态环境的日志处理方法，其特征在于，其包括以下步骤：

S1、请求裁决器接收到多个异构应用平台执行体发来的日志访问请求；

S2、请求裁决器根据日志访问请求的来源IP、产生的日志内容、请求访问时间对日志访问请求进行合理分组；

S3、请求裁决器对同一组内的多个请求信息进行一致性裁决，并生成裁决结果信息，将裁决ID和本组的执行体清单发送给结果分发器；

S4、请求裁决器将裁决结果信息发送给日志系统；

S5、日志系统接收请求裁决器发来的裁决结果信息，进行真实的日志访问操作，并将操作结果信息发送给结果分发器；

S6、结果分发器接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至清单中所有异构应用平台执行体；

S7、各异构应用平台执行体接收到日志操作结果信息，日志访问结束，继续进行后续操作。

2.一种适用于拟态环境的日志处理系统，其特征在于，其包括请求裁决器、结果分发器和日志系统；

所述请求裁决器用于接收多个异构应用平台执行体的日志请求信息，进行日志的预处理，按请求来源、请求内容、请求时间对日志进行智能分组；针对每一组内的多个日志访问请求进行智能裁决，并根据裁决的结果构造出日志请求；将组内智能裁决后的裁决ID和执行体清单发送至结果分发器；将裁决之后的日志访问请求发送到日志系统进行相应的后续处理；

所述结果分发器用于接收日志系统发来的日志访问结果信息，根据结果信息中的裁决ID查找执行体清单，并将结果信息同时分发至所有清单中的异构应用平台执行体；

所述日志系统用于收到裁决的日志信息，对日志信息进行处理，提供日志的记录、分析、处理、监控接口。