CN112235367B - 一种实体行为关系消息订阅方法、系统、终端及存储介质 - Google Patents

Abstract

本发明提供一种基于有向图结构的实体行为关系消息订阅方法、系统、终端及存储介质，对日志文件进行标记，确定其所属类型；选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；用户根据相应的消息订阅方法指定约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。实现了大数据模式下实体行为关系数据的高效组织与分发，实现了订阅者与实体间的数据交互，同时提高了数据分析效率，对网络安全分析和威胁检测等方面提供较大帮助。

Description

一种实体行为关系消息订阅方法、系统、终端及存储介质

技术领域

本发明涉及网络安全技术问题，尤其涉及一种基于有向图结构的实体行为关系消息订阅方法、系统、终端及存储介质。

背景技术

在计算机快速发展的过程中，互联网以及互联网衍生出来的云计算、物联网、大数据等技术在给人们的生活、工作、学习带来了极大便利的同时，也产生了许多网络安全问题。尤其对于企业来说，来自内部和外部的网络安全问题会使得个人以及企业遭受巨大的损失，同时对国家的安全更是构成了极大的威胁。

目前，解决这一问题主要以实体行为分析方法为主。实体行为分析方法是使用高级数据分析方法分析实体的行为，实现网络威胁检测，解决网络安全问题。但各实体行为关系复杂多样，面对海量的实体行为数据，无法进行准确的获取或者匹配，造成网络威胁检测准确度差，而且由于各实体行为关系复杂多样，数据分析处理量大，造成系统资源无法有效的使用，不仅影响网络安全监控，还影响系统的日常工作，进而导致系统可能受到严重的网络威胁，安全性差。

发明内容

为了克服上述现有技术中的不足，本发明提供一种基于有向图结构的实体行为关系消息订阅方法，方法包括：

步骤一，对日志文件进行标记，确定其所属类型；

步骤二，选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；

步骤三，用户选取消息订阅方法并输入对应的约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；

步骤四，若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。

进一步需要说明的是，步骤一中，

对日志文件中的属性内容进行标记；

标记方式包括：源IP地址、目标IP地址、协议类型等关键信息；

每个日志文件形成字段信息，字段信息包括：{实体类型：(服务器、PC机等)；实体属性：(IP地址；MAC地址等)；实体行为类型：(上传；下载等)；实体行为属性：(协议；字节等)；}。

进一步需要说明的是，步骤二中，

将有向图的所有实体生成一个非空有穷集合，并在集合中将实体进行分类，生成若干个子集：V＝{(v₁,v₂,v₅),(v₄,v₇),…,(v_i,v_j,v_k)}。其中，v代表不同类型实体的相关信息；

将各种行为进行分类生成类似集合；

有向图结构中的数据增加或减少的过程中，对非空有穷集合进行操作来实现数据更新。

进一步需要说明的是，步骤三中，用户至少定义一个约束条件；

通过匹配算法与用户输入的每个约束条件进行匹配；

每个约束条件均匹配后，将匹配成功的信息发送给对应的用户。

进一步需要说明的是，约束条件包括：定义为实体器件，或定义对数据的操作行为，或定义数据类型，或定义具体的数据。

进一步需要说明的是，步骤三中，用户根据相应的消息订阅方法定义一个约束条件；

在进行消息订阅时，用户指定获取实体器件信息，或者指定操作行为的属性信息。

本发明还提供一种基于有向图结构的实体行为关系消息订阅系统，包括：日志文件处理模块、有向图构建模块以及消息订阅推送模块；

日志文件处理模块用于对日志文件进行标记，确定其所属类型；

有向图构建模块用于选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；

消息订阅推送模块用于获取用户输入的约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；

若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。

进一步需要说明的是，消息订阅推送模块用于获取用户定义的至少一个约束条件，通过匹配算法与用户输入的每个约束条件进行匹配；

每个约束条件均匹配后，将匹配成功的信息发送给对应的用户。

本发明还提供一种实现基于有向图结构的实体行为关系消息订阅方法的终端，包括：

存储器，用于存储计算机程序及基于有向图结构的实体行为关系消息订阅方法；处理器，用于执行所述计算机程序及基于有向图结构的实体行为关系消息订阅方法，以实现基于有向图结构的实体行为关系消息订阅方法的步骤。

本发明还提供一种具有基于有向图结构的实体行为关系消息订阅方法的存储介质，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行以实现基于有向图结构的实体行为关系消息订阅方法的步骤。

从以上技术方案可以看出，本发明具有以下优点：

本发明涉及的基于有向图结构的实体行为关系消息订阅方法及系统使订阅者可以选择不同的消息订阅方法，丰富了订阅者获取感兴趣信息的手段，例如指定某类节点与某类边组合的约束条件，即订阅某类实体发生某种行为，实现更细粒度的信息筛选。

基于主题的消息订阅方法是将所有实体和行为按照事先定义好的主题标准进行分类，每个实体或行为只能属于一个主题。订阅者在订阅消息时，通过指定主题来接收属于该主题的所有实体或行为消息。基于主题的消息订阅方法主要包括以下三类方法。

基于节点类型的消息订阅。该类方法中订阅者可以指定某类节点，然后订阅获取该类节点以及与该类节点连接的边，即可获取实体与实体行为的相关信息。

基于边类型的消息订阅。该类方法中订阅者可以指定某类边，然后订阅获取发生该行为的所有实体及行为属性。

基于子图的消息订阅。该类方法中订阅者可以指定某类节点与某类边组合的约束条件，即订阅某类实体发生某种行为，实现更细粒度的信息筛选。

基于内容的消息订阅方法及系统中是由实体或实体行为本身的属性来决定的。属性可以是用来描述实体或实体行为的元数据，也可以是其所包含一些数据。订阅者在订阅消息时，可以根据实体或实体行为的属性来指定约束条件。基于内容的消息订阅方法主要包括以下两类方法。

订阅者通过指定实体某些属性来制定约束条件，并向调度中心注册，实现对订阅者的身份监控以及约束条件进行监控，避免非授权用户使用。

订阅者通过指定实体行为中某些属性来关注部分实体行为，然后在图中获取与该部分行为相关的实体和其他的行为属性。

本发明实现了大数据模式下实体行为关系数据的高效组织与分发，实现了订阅者与实体间的数据交互，同时提高了数据分析效率，对网络安全分析和威胁检测等方面提供较大帮助。

本发明还针对海量的实体行为关系数据建立图结构，实现了对数据的分类存储与管理，有利于更高效的查询与获取数据，可用性较高。

本发明提出了两类、五种消息订阅方法，订阅者可以快速、精准的获取感兴趣信息，通过消息订阅的方式实现了订阅者与数据之间的实时交互，具有较高的实用价值。

附图说明

为了更清楚地说明本发明的技术方案，下面将对描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为实体行为关系消息订阅方法流程图；

图2为实体行为关系有向图；

图3为消息订阅流程图；

图4为基于有向图结构的实体行为关系消息订阅系统示意图。

具体实施方式

本发明涉及基于有向图结构的实体行为关系消息订阅方法，其中，消息订阅系统是一种基于事件通信模型的中间件系统，它可以有效解决海量数据的数据交互问题。发布者以事件的形式产生数据，订阅者通过约束条件以描述其感兴趣的事件，消息调度中心负责将事件及时、可靠地传递给所有感兴趣的订阅者，以此方式实现数据的高效传输与利用。

对于本发明涉及的基于有向图结构的实体行为关系消息订阅方法，本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

对于本发明涉及的基于有向图结构的实体行为关系消息订阅方法，如图1所示，其涉及的附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

对于本发明涉及的基于有向图结构的实体行为关系消息订阅方法，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本发明的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本发明的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本发明的各方面。

具体的方法包括：

S11，对日志文件进行标记，确定其所属类型；

本发明中，针对不同的日志文件进行实体和实体行为的标记，确定其所属类型。实体可以作为系统中的节点，比如服务器，终端机，交换机等等。实体行为可以是对数据进行处理的行为，比如对数据进行增删改查操作，还可以是对实体进行的操作，也就是对实体参数进行增删改查操作。这些操作都会在系统中以日志文件的形式进行记录保存。系统中的日志文件可以用建立时间，或增删改查等操作时间进行标识，还可以以记录的内容来进行标识等等。

其中，对日志文件中的属性内容进行标记，例如源IP地址、目标IP地址、协议类型等关键性信息。每个日志最终形成一个字段：{实体类型：(服务器、PC机等)；实体属性：(IP地址；MAC地址等)；实体行为类型：(上传；下载等)；实体行为属性：(协议；字节等)；}。

S12，选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；

本发明中，选取一段时间内的所有日志文件，对每个文件进行解析获取其实体和行为的相关信息，按照源IP访问目标IP的顺序依次串联所有实体，最终形成一个有向图结构，如图2所示。图中的每个点代表一个实体，每条边代表一个行为。不同形状代表不同类型的实体和行为，图中还同时包含了实体和行为的属性信息。

S13，获取用户输入的约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；

S14，若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。

作为本发明的实施方式中，在消息订阅过程中，也就是用户对系统中的数据，或实体，或用户需要获取的信息，作为消息订阅。

订阅者也就是用户，通过向调度中心注册，调度中心可以是系统的服务器。配置约束条件订阅感兴趣信息，调度中心实时监听、获取图结构的数据更新情况，并通过匹配算法将获取的信息与各订阅者的约束条件进行匹配，若匹配成功则将数据分发给该订阅者，以此来完成订阅者与数据之间的交互。

本发明提出基于主题和基于内容的消息订阅方法的区别在于设置了不同的约束条件，如图3所示，消息订阅流程图。

其中，一种消息订阅方法为，基于主题的消息订阅方法。这种方式是将有向图的所有实体生成一个非空有穷集合，并在集合中将实体进行分类，生成若干个子集：V＝{(v₁,v₂,v₅),(v₄,v₇),…,(v_i,v_j,v_k)}。其中，v代表不同类型实体的相关信息。同样将各种行为进行分类生成类似集合。在数据增加或减少的过程中对集合进行操作来实现数据更新。

在基于节点类型的消息订阅方法中，订阅者在进行消息订阅时可以将约束条件设置为某类实体，例如服务器，然后将约束条件注册到调度中心完成对该类主题的订阅，每当调度中心接收到与服务器实体相关的信息时就会将其发送给订阅者。同样，如果是系统中某一个用户的终端，则将用户终端的约束条件注册到调度中心完成对终端的订阅，每当调度中心接收到与用户终端实体相关的信息时就会将其发送给订阅者。

在基于边类型的消息订阅方法中，订阅者在进行消息订阅时可以将约束条件设置为某类行为，并将约束条件注册到调度中心，当调度中心接收到与该类行为相关的信息时就会将其发送给订阅者。行为可以是对某一些数据的增删改查操作。

在基于子图的消息订阅方法中，订阅者进行消息订阅时可能有较多的约束条件，调度中心满足每一个约束条件才能对数据进行分发。

其中，本发明的另一种消息订阅方法为，基于内容的消息订阅方法。

该类方法不对实体和行为进行详细分类，而是将所有实体归为一类，将所有行为归为一类，即图结构中的节点和边不作分类处理。

订阅者在进行消息订阅时只需要指定实体或者行为的某些属性。当指定实体属性时，例如IP地址，调度中心获取数据后只判断实体属性中的IP地址是否满足约束条件，若满足条件则进行数据发布。当指定行为属性时，调度中心获取数据后只判断行为属性是否满足约束条件即可。

基于上述方法，本发明还提供一种系统实施方式，具体的，如图4所示，系统包括：日志文件处理模块1、有向图构建模块2以及消息订阅推送模块3；

日志文件处理模块1用于对日志文件进行标记，确定其所属类型；

有向图构建模块2用于选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；

消息订阅推送模块3用于获取用户输入的约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；

若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。

其中，消息订阅推送模块用于获取用户定义的至少一个约束条件，通过匹配算法与用户输入的每个约束条件进行匹配；将匹配成功的信息发送给对应的用户。

约束条件可以包括：定义为实体器件，或定义对数据的操作行为，或定义数据类型，或定义具体的数据。

其中，定义数据类型，也就是对系统中某些类型的数据进行匹配调取。比如数字型数据、文本型数据、byte型数据、short型数据、int型数据、long型数据等等。

订阅者还可以定义具体的数据，来进行调取。

这样，本发明构建实体行为关系的有向图结构，在系统中，图节点代表实体，边代表行为，节点与边均可以附带相应的属性信息。将实体间发生的不同行为按照发生顺序映射成有向图，各节点之间的不同边关系即构建成了实体行为关系有向图。

本发明基于有向图结构的消息订阅方法及系统，从不同维度满足订阅者的订阅需求，更有利于实现消息订阅的及时性和准确性。

本发明的基于主题的消息订阅方法及系统是将所有实体和行为按照事先定义好的主题标准进行分类，每个实体或行为只能属于一个主题。订阅者在订阅消息时，通过指定主题来接收属于该主题的所有实体或行为消息。基于主题的消息订阅方法主要包括以下三类方法。

基于节点类型的消息订阅。该类方法中订阅者可以指定某类节点，然后订阅获取该类节点以及与该类节点连接的边，即可获取实体与实体行为的相关信息。

基于边类型的消息订阅。该类方法中订阅者可以指定某类边，然后订阅获取发生该行为的所有实体及行为属性。

基于子图的消息订阅。该类方法中订阅者可以指定某类节点与某类边组合的约束条件，即订阅某类实体发生某种行为，实现更细粒度的信息筛选。

基于内容的消息订阅方法及系统中，是由实体或实体行为本身的属性来决定的。属性可以是用来描述实体或实体行为的元数据，也可以是其所包含一些数据。订阅者在订阅消息时，可以根据实体或实体行为的属性来指定约束条件。基于内容的消息订阅方法主要包括以下两类方法。

基于实体属性的消息订阅方法。该类方法中订阅者通过指定实体某些属性来制定约束条件，并向调度中心注册。

基于实体行为属性的消息订阅方法。该类方法中订阅者通过指定实体行为中某些属性来关注部分实体行为，然后在图中获取与该部分行为相关的实体和其他的行为属性。

本发明实现了大数据模式下实体行为关系数据的高效组织与分发，实现了订阅者与实体间的数据交互，同时提高了数据分析效率，对网络安全分析和威胁检测等方面提供较大帮助。

进一步的将，本发明首先对所有的日志文件进行清洗、标记，形成固定格式的标准化数据。然后根据日志文件中的实体信息和行为信息构建实体行为关系有向图，最后通过不同的消息订阅方法订阅感兴趣的信息。

基于上述方法及系统，本发明还提供一种实现基于有向图结构的实体行为关系消息订阅方法的终端，包括：

存储器，用于存储计算机程序及基于有向图结构的实体行为关系消息订阅方法；处理器，用于执行所述计算机程序及基于有向图结构的实体行为关系消息订阅方法，以实现基于有向图结构的实体行为关系消息订阅方法的步骤。

本发明还提供一种具有基于有向图结构的实体行为关系消息订阅方法的存储介质，存储介质上存储有计算机程序，所述计算机程序被处理器执行以实现基于有向图结构的实体行为关系消息订阅方法的步骤。

实现基于有向图结构的实体行为关系消息订阅方法的终端是结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (7)

1.一种基于有向图结构的实体行为关系消息订阅方法，其特征在于，方法包括：

步骤一，对日志文件进行标记，确定其所属类型；

对日志文件中的属性内容进行标记；

标记方式包括：源IP地址、目标IP地址、协议类型关键信息；

每个日志文件形成字段信息，字段信息包括：{实体类型：（服务器、PC机）；实体属性：（IP地址；MAC地址）；实体行为类型：（上传；下载）；实体行为属性：（协议；字节）；}；

步骤二，选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；

将有向图的所有实体生成一个非空有穷集合，并在集合中将实体进行分类，生成若干 个子集：

；其中，

代表不同类型实体的相关信息；

将各种行为进行分类生成非空有穷集合；

有向图结构中的数据增加或减少的过程中，对非空有穷集合进行操作来实现数据更新；

步骤三，用户根据相应消息订阅方法输入约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；

用户至少定义一个约束条件；

通过匹配算法与用户输入的每个约束条件进行匹配；

每个约束条件均匹配后，将匹配成功的信息发送给对应的用户；

步骤四，若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。

2.根据权利要求1所述的基于有向图结构的实体行为关系消息订阅方法，其特征在于，

约束条件包括：定义为实体器件，或定义对数据的操作行为，或定义数据类型，或定义具体的数据。

3.根据权利要求1所述的基于有向图结构的实体行为关系消息订阅方法，其特征在于，

步骤三中，用户根据相应的消息订阅方法定义一个约束条件；

在进行消息订阅时，用户指定获取实体器件信息，或者指定操作行为的属性信息。

4.一种基于有向图结构的实体行为关系消息订阅系统，其特征在于，系统采用如权利要求1至3任意一项所述的基于有向图结构的实体行为关系消息订阅方法；

包括：日志文件处理模块、有向图构建模块以及消息订阅推送模块；

日志文件处理模块用于对日志文件进行标记，确定其所属类型；

有向图构建模块用于选取预设时间段内的所有日志文件，对每个日志文件进行解析，获取每个日志文件的实体和行为信息，按照源IP访问目标IP的顺序依次串联所有实体网络，形成一个有向图结构；

消息订阅推送模块用于获取用户输入的约束条件，通过匹配算法将系统中的信息与用户输入的约束条件进行匹配；

若匹配成功，则将匹配信息发送给对应的用户，实现用户与系统数据的交互。

5.根据权利要求4所述的基于有向图结构的实体行为关系消息订阅系统，其特征在于，

消息订阅推送模块用于获取用户定义的至少一个约束条件，通过匹配算法与用户输入的每个约束条件进行匹配；

每个约束条件均匹配后，将匹配成功的信息发送给对应的用户。

6.一种实现基于有向图结构的实体行为关系消息订阅方法的终端，其特征在于，包括：

存储器，用于存储计算机程序及基于有向图结构的实体行为关系消息订阅方法；

处理器，用于执行所述计算机程序及基于有向图结构的实体行为关系消息订阅方法，以实现如权利要求1至3任意一项所述基于有向图结构的实体行为关系消息订阅方法的步骤。

7.一种具有基于有向图结构的实体行为关系消息订阅方法的存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行以实现如权利要求1至3任意一项所述基于有向图结构的实体行为关系消息订阅方法的步骤。

Images