CN112463553A - 一种基于普通告警关联分析智能告警的系统与方法 - Google Patents

Abstract

本发明提供一种基于普通告警关联分析智能告警的系统与方法，包括数据采集模块、告警存储模块、关联分析模块、中间存储器、智能告警模块；通过配置事件匹配的条件对已有大数据进行过滤，将符合条件的数据存储到中间存储器，通过分布式任务的方式定期将缓存的数据进行二次筛选，匹配满足用户设置的条件，如果满足条件则根据用户配置的告警数据发送告警信息。本发明适用于大数据的清洗和分析，深度挖掘已存在数据的价值，实现高级告警，对于用户精准定位和处理问题、根据已知情形对未来做出预防响应，防患于未然，具有很高的实用性。

Description

一种基于普通告警关联分析智能告警的系统与方法

技术领域

本发明涉及网络技术安全领域，尤其涉及一种基于普通告警关联分析智能告警的系统与方法，更具体地说，是涉及到日志审计、流量监控等事件关联分析的方法和系统。

背景技术

工业互联网是互联网和新一代信息技术与工业系统全方位深度融合所形成的产业和应用生态，是工业智能化发展的关键综合信息基础设施，其自身的安全可靠是确保其在各生产领域能够落地实施的前提，更是产业安全和国家安全的重要基础和保障。

工业互联网的关键是工业生产虚拟化并上云上平台，由此在数字化的基础上实现智能制造。在这个过程中就涉及到数据安全和网络安全的问题。目前实现安全防御的措施主要是监测审计和入侵检测两种手段：用户网络包含大量的信息资产，包括各种网络设备、安全设备、主机、应用及数据库等，每种设备类型的日志格式都不相同，即使是记录同一事件，也都有各自的日志规格。而每一种日志产生的数据量是相当庞大的，例如一个流量检测的系统60秒内可以产生五千条以上的流量告警信息；一个标准的入侵检测系统每天可能产生超过千万数量的事件日志，巨量的数据给运维审计等带来非常大的压力，也为业务顺畅运行的挑战。

发明内容

本发明的目的在于提供一种基于普通告警关联分析智能告警的方法与系统，能够解决上述提到的至少一个技术问题。

本发明提供一种基于普通告警关联分析智能告警的系统，其特征在于，包括数据采集模块、告警存储模块、关联分析模块、中间存储器、智能告警模块：

所述数据采集模块，用于监控系统运行，采集告警日志数据；

所述告警存储模块，用于存储所述告警日志数据；

所述关联分析模块，用于定义关联分析策略，并存储到智能分析器，并根据所述关联分析策略对所述告警存储模块中的所述告警日志数据进行关联分析，产生符合预设条件的告警日志数据；

所述中间存储器，用于存储符合预设条件的告警日志数据；

所述智能告警模块，用于对所述中间存储器中的所述符合预设条件的告警日志数据根据用户设置的智能告警策略进行多维度分析，发送智能告警信息。

进一步的，所述数据采集模块还包括，入侵检测规则配置模块和/或监测审计规则配置模块，所述入侵检测规则配置模块用于配置入侵检测规则，所述监测审计规则配置模块用于配置监测审计规则。

进一步的，所述告警存储模块包括消息队列以及分布式存储系统，所述消息队列用于接收告警日志数据，避免数据量过大造成系统宕机；所述分布式存储系统为基于全文索引的分布式存储系统，能够提高检索的效率和实时性。

进一步的，所述定义关联分析策略包括，设置策略名称和描述信息，定义匹配事件、触发规则、事件关系；匹配事件包括事件字段、目标值以及字段和目标值之间的逻辑关系；所述逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

进一步的，所述智能告警策略包括是否输出告警记录、允许在多长时间内产生告警的次数、是否需要自定义字段，如果需要自定义告警字段，定义告警字段和字段值。

本发明还提供一种基于普通告警关联分析智能告警的方法，其特征在于，包括以下步骤：

监控系统运行，采集告警日志数据；

存储所述告警日志数据；

定义关联分析策略，并存储到智能分析器，并根据所述关联分析策略对所述告警存储模块中的所述告警日志数据进行关联分析，产生符合预设条件的告警日志数据；

存储符合预设条件的告警日志数据；

对所述符合预设条件的告警日志数据根据用户设置的智能告警策略进行多维度分析，发送智能告警信息。

进一步的，所述监控系统运行，采集告警日志数据包括，配置入侵检测规则和/或监测审计规则，监控系统持续运行，当监控到的流量符合所述配置的规则或检测到疑似入侵行为是，产生告警日志数据。

进一步的，当有告警日志数据产生时，首先记录到消息队列中，避免数据量过大造成系统宕机；分布式存储系统实时消费所述消息队列中的所述告警日志数据，将所述消息队列中的所述告警日志数据进行合并、过滤、解析，经过此过程产生系统预定义格式的告警数据存入所述分布式存储系统；所述分布式存储系统为基于全文索引的分布式存储系统，能够提高检索的效率和实时性。

进一步的，所述定义关联分析策略包括，设置策略名称和描述信息，定义匹配事件、触发规则、事件关系；匹配事件包括事件字段、目标值以及字段和目标值之间的逻辑关系；所述逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

进一步的，所述智能告警策略包括是否输出告警记录、允许在多长时间内产生告警的次数、是否需要自定义字段，如果需要自定义告警字段，定义告警字段和字段值。

因此，本发明基于普通告警数据通过多维度关联分析，在此基础上进行智能告警的技术，适用于各种需要对告警数据进行清洗和二次分析的场景，比如工业互联网、大数据、物联网等。

本发明实施的上述方案与现有技术相比，至少具有以下有益效果：通过配置事件匹配的条件对已有大数据进行过滤，将符合条件的数据存储到中间存储器，通过分布式任务的方式定期将缓存的数据进行二次筛选，匹配满足用户设置的条件，如果满足条件则根据用户配置的告警数据发送告警信息。适用于大数据的清洗和分析，深度挖掘已存在数据的价值，实现高级告警，对于用户精准定位和处理问题、根据已知情形对未来做出预防响应，防患于未然，具有很高的实用性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了本发明基于普通告警关联分析智能告警的系统实施例的示意图；

图2示出了本发明一种基于普通告警关联分析智能告警的方法的实施例流程图；

图3示出了本发明采集告警日志数据步骤的具体流程图；

图4示出了本发明定义关联分析策略步骤的具体流程图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

在本发明实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义，“多种”一般包含至少两种。

应当理解，本文中使用的术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的商品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种商品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的商品或者装置中还存在另外的相同要素。

入侵监测系统和监测审计系统，两套系统都是采用大数据采集、建模、分析技术，入侵监测是通过对各种网络资源的多维度信息采集和自动化的关联分析，及时发现网络当中的威胁和异常行为的网络安全工具，可以通过与防火墙、入侵防御、终端安全等产品的安全联动，实现对威胁和异常行为的有效处置。监测审计通过对网络端口进行实时监控，当流量超过系统设置的阈值时记录告警信息并发送到客户端，从而实现对异常行为的监控，是一种实时系统监控的网络安全监管系统。

多维度分析，又称关联分析。主要是针对告警数据的分析，日志数据主要有对流量监测告警日志、入侵监测的告警日志以及其它告警等来源。关联分析则是用户定义一个及以上的不同类型的匹配事件，对事件进行初步的筛选，然后通过配置的关联关系得出符合条件的告警数据。该方法的优势是能够对已有的告警做数据清洗和数据分析，挖掘数据深层次的价值。因此，对于产生更高层次的告警来说非常具有现实意义和实用价值。关联分析涉及到对实时事件的处理，需要对数据库进行大量的查询访问，传统的关系型数据库不适合执行每秒成千上万规模数据量的查询，而ElaticSearch检索系统存储数据更具效率和实时性，这也是本方法与系统关联分析需要用到ElaticSearch的原因。

智能告警，基于多维度分析，首先将用户设置的事件匹配的事件获取到数据，然后根据用户设置的匹配事件范围，匹配次数、分组分次等条件进行分析，满足该条件的则根据用户设置的高级告警字段发送对应的告警信息。这种方式的精准告警能够为用户分析问题和处理问题提供高效便捷的通道。

下面结合附图详细说明本发明的可选实施例。

图1示出了本发明实施例的示意图。

如图1所示，本发明的一种基于普通告警关联分析智能告警的系统，其特征在于，包括数据采集模块101、告警存储模块102、关联分析模块103、中间存储器104、智能告警模块105：

所述数据采集模块101，用于监控系统运行，采集告警日志数据；

所述告警存储模块102，用于存储所述告警日志数据；

所述关联分析模块103，用于定义关联分析策略，并存储到智能分析器，并根据所述关联分析策略对所述告警存储模块102中的所述告警日志数据进行关联分析，产生符合预设条件的告警日志数据；

所述中间存储器104，用于存储符合预设条件的告警日志数据；

所述智能告警模块105，用于对所述中间存储器104中的所述符合预设条件的告警日志数据根据用户设置的智能告警策略进行多维度分析，发送智能告警信息。

进一步的，所述数据采集模块101还包括，入侵检测规则配置模块和/或监测审计规则配置模块，所述入侵检测规则配置模块用于配置入侵检测规则，所述监测审计规则配置模块用于配置监测审计规则。

进一步的，所述告警存储模块102包括消息队列以及分布式存储系统，所述消息队列用于接收告警日志数据，避免数据量过大造成系统宕机；所述分布式存储系统为基于全文索引的分布式存储系统，能够提高检索的效率和实时性。

进一步的，所述定义关联分析策略包括，设置策略名称和描述信息，定义匹配事件、触发规则、事件关系；匹配事件包括事件字段、目标值以及字段和目标值之间的逻辑关系；所述逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

进一步的，所述智能告警策略包括是否输出告警记录、允许在多长时间内产生告警的次数、是否需要自定义字段，如果需要自定义告警字段，定义告警字段和字段值。

图2示出了本发明一种基于普通告警关联分析智能告警的方法的实施例，其特征在于，包括以下步骤：

步骤S201，监控系统运行，采集告警日志数据；

步骤S202，存储所述告警日志数据；

步骤S203，定义关联分析策略，并存储到智能分析器，并根据所述关联分析策略对所述告警存储模块中的所述告警日志数据进行关联分析，产生符合预设条件的告警日志数据；

步骤S204，存储符合预设条件的告警日志数据；

步骤S205，对所述符合预设条件的告警日志数据根据用户设置的智能告警策略进行多维度分析，发送智能告警信息。

进一步的，所述监控系统运行，采集告警日志数据包括，配置入侵检测规则和/或监测审计规则，监控系统持续运行，当监控到的流量符合所述配置的规则或检测到疑似入侵行为是，产生告警日志数据。

进一步的，当有告警日志数据产生时，首先记录到消息队列中，避免数据量过大造成系统宕机；分布式存储系统实时消费所述消息队列中的所述告警日志数据，将所述消息队列中的所述告警日志数据进行合并、过滤、解析，经过此过程产生系统预定义格式的告警数据存入所述分布式存储系统；所述分布式存储系统为基于全文索引的分布式存储系统，能够提高检索的效率和实时性。

图3示出了本发明采集告警日志数据步骤S201的流程。

步骤S2011，TAA日志采集器需要配置入侵检测规则和监测审计的规则，监控系统持续运行；

步骤S2012，检测流量是否符合告警规则条件或规则；

步骤S2013，检测到符合告警规则条件或规则或者检测到疑似入侵行为等，产生告警日志数据；

步骤S2014，当有告警日志数据时，首先记录到消息队列中，通过采用kafka消息队列的方式能够起到削峰填谷的作用，避免数据量过大造成服务器某一时间段”宕机”假象；

步骤S2015，分布式存储系统实时消费kafka消息队列中的数据，将TAA日志采集器发送到kafka消息队列中的数据进行合并、过滤和解析，经过此过程产生系统预定义格式的告警数据装入分布式存储系统，所述分布式分布系统如ElasticSearch。

进一步的，所述定义关联分析策略包括，设置策略名称和描述信息，定义匹配事件、触发规则、事件关系；匹配事件包括事件字段、目标值以及字段和目标值之间的逻辑关系；所述逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

进一步的，所述智能告警策略包括是否输出告警记录、允许在多长时间内产生告警的次数、是否需要自定义字段，如果需要自定义告警字段，定义告警字段和字段值。

图4示出了本发明定义关联分析策略步骤S203的流程图。

步骤S2031，首先用户需要新建策略，设置策略名称和描述信息等内容；

步骤S2032，用户定义匹配事件；

步骤S2033，判断匹配事件是否为多个；

如果只有一个匹配事件，则进行步骤S2034-S2035；

步骤S2034：设置匹配事件以定义触发规则；

步骤S2035：设置单个事件智能告警策略，如是否输出告警记录，允许在多长时间以内产生告警的次数、是否需要自定义告警字段，如果需要自定义告警字段，定义告警字段和字段值等。

如果匹配事件为多个，则执行步骤S2036-S2038：

步骤S2036：设置多个匹配事件以定义触发规则；

步骤S2037：定义多个匹配事件之间的关系；

可以定义的关系为一个事件的某字段与另外一个事件的某字段的关系，包括：”＝”,”！＝”,”<”,”>”,”<＝”,”>＝”；

步骤S2038：设置多个事件智能告警策略，可以设置对值相同/值不同字段计数，其中该策略的数据时间段和命中次数是必须进行设置的；设置是否输出告警记录，允许在多长时间以内产生告警的次数、是否需要自定义告警字段，如果需要自定义告警字段，定义告警字段和字段值等；

执行步骤步骤S2035或者步骤S2038后均执行：

步骤S2039，当用户选择启用该条策略的时候，将策略保存到智能分析器并通过任务的方式进行事件匹配并执行关联分析，然后根据用户定义的告警信息进行智能告警；如果用户未启用该策略，则只执行保存操作。

本发明提供的流量入侵日志的关联分析方法，包括如下技术：

定义事件对象：定义事件字段和目标值，以及字段和目标值之间的逻辑关系，逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”；

事件匹配：通过关联分析引擎按照事先定义的事件逻辑规则从日志系统中检索满足条件的事件并添加到缓存的过程，多个事件需要将满足不同事件的数据分别存储以便进行关联分析；

关联分析：策略中的一个以上的事件根据预定义事件关联关系进行关联分析；单事件的策略运行时则不会该操作。

智能告警：若匹配事件符合触发关联分析定义的智能告警阈值(规则)，按照预定义的告警规则产生高级告警，将信息并入日志存储系统，这样当用户检索时就会有智能告警出现。

匹配事件和告警分析均通过分布式任务完成保证任务的可靠性，保证系统的高可用和并发处理能力，并解决多系统部署的幂等性问题。

接下来，更进一步地，描述关联分析策略步骤S203中单个事件的匹配方法：

通过任务开始执行事件匹配，到告警日志存储系统获取符合条件的告警数据存储到中间存储系统；

然后开始智能分析任务，验证中间存储系统的数据是否满足策略中定义的告警阈值，如果达到阈值以后，判断是否在规定的时间范围内，满足条件进行下一步，否则跳出任务；

开始智能告警的时候首先查找该任务执行的策略中定义的告警内容，拿到告警内容以后开始组装告警数据，进行告警操作并将该次告警信息存储，完成告警。

更进一步地，描述关联分析策略步骤S203中多事件配置关联分析规则解析：

首先通过任务开始执行事件匹配，到告警日志存储系统获取符合条件的告警数据存储到中间存储系统；

然后开始智能分析任务，通过关联事件去匹配中间存储器中的数据，将符合条件的关联数据放置到临时缓存中；

验证关联的数据是否满足策略中定义的告警阈值，如果达到阈值以后，进行下一步；否则跳出任务；

判断是否在规定的时间范围内，满足条件进行下一步，否则跳出任务；

开始智能告警的时候首先查找该任务执行的策略中定义的告警内容，拿到告警内容以后开始组装告警数据，进行告警操作并将该次告警信息存储，完成告警。

本专利旨在基于ElasticSearch和分布式任务的手段提供一种根据用户自定义事件配置和规则进行数据分析并产生高级告警的技术方法与系统。

该专利技术基于大数据智能分析和分布式任务的技术实现，通过配置事件匹配的条件对已有大数据进行过滤，将符合条件的数据存储到中间存储器，通过分布式任务的方式定期将缓存的数据进行二次筛选，匹配满足用户设置的条件，如果满足条件则根据用户配置的告警数据发送告警信息。适用于大数据的清洗和分析，深度挖掘已存在数据的价值，实现高级告警，对于用户精准定位和处理问题、根据已知情形对未来做出预防响应，防患于未然，具有很高的实用性。

本发明所述关联分析包括策略名称、策略描述、事件配置和规则配置、关联规则，时间范围和频率触发器以及该策略是否启用等信息；高级告警可以使用用户自定义告警名称，告警字段及字段值，以及在M时间范围内允许产生N次高级告警数据。

上述关联分析的事件设置匹配事件的的字段，目标值，字段和目标值之间的逻辑关系，逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

上述关联分析的事件可以包括一个及以上的事件，一个以上的事件关联可以定义不同的规则；多个规则之间的关系包括“与”和“或”，如果是“或”的关系，只要满足其中一条规则即视为符合的数据；如果是“与”的关系，多个条件都满足才是符合条件的数据。

本发明还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述用于授权管理控制请求的方法的步骤。其中，计算机可读存储介质可以包括但不限于任何类型的盘，包括软盘、光盘、DVD、CD-ROM、微型驱动器以及磁光盘、ROM、RAM、EPROM、EEPROM、DRAM、VRAM、闪速存储器设备、磁卡或光卡、纳米系统(包括分子存储器IC)，或适合于存储指令和/或数据的任何类型的媒介或设备。

本发明还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，处理器执行程序时实现用于授权管理控制请求的方法的步骤。在本发明实施例中，处理器为计算机系统的控制中心，可以是实体机的处理器，也可以是虚拟机的处理器。

以上介绍仅为本发明的优选实施例而已，并非对本发明作任何实质和形式上的限制。虽然本发明已以较佳实施例揭示如上，然而并非用以限定本发明，对于本领域的技术人员来说，在不脱离本发明技术方案范围内，可以利用上述揭示的技术内容作出各种更改和变化的等效实施例。但凡未脱离本发明的精神和原则，依据本发明的技术实质对以上实施例所作的任何简单修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于普通告警关联分析智能告警的系统，其特征在于，包括数据采集模块、告警存储模块、关联分析模块、中间存储器、智能告警模块：

所述数据采集模块，用于监控系统运行，采集告警日志数据；

所述告警存储模块，用于存储所述告警日志数据；

所述关联分析模块，用于定义关联分析策略，并存储到智能分析器，并根据所述关联分析策略对所述告警存储模块中的所述告警日志数据进行关联分析，产生符合预设条件的告警日志数据；

所述中间存储器，用于存储符合预设条件的告警日志数据；

所述智能告警模块，用于对所述中间存储器中的所述符合预设条件的告警日志数据根据用户设置的智能告警策略进行多维度分析，发送智能告警信息。

2.如权利要求1所述的基于普通告警关联分析智能告警的系统，其特征在于：

所述数据采集模块还包括，入侵检测规则配置模块和/或监测审计规则配置模块，所述入侵检测规则配置模块用于配置入侵检测规则，所述监测审计规则配置模块用于配置监测审计规则。

3.如权利要求1所述的基于普通告警关联分析智能告警的系统，其特征在于：

所述告警存储模块包括消息队列以及分布式存储系统，所述消息队列用于接收告警日志数据，避免数据量过大造成系统宕机；所述分布式存储系统为基于全文索引的分布式存储系统，能够提高检索的效率和实时性。

4.如权利要求1-3任一项所述的基于普通告警关联分析智能告警的系统，其特征在于：

所述定义关联分析策略包括，设置策略名称和描述信息，定义匹配事件、触发规则、事件关系；匹配事件包括事件字段、目标值以及字段和目标值之间的逻辑关系；所述逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

5.如权利要求1-3任一项所述的基于普通告警关联分析智能告警的系统，其特征在于：

所述智能告警策略包括是否输出告警记录、允许在多长时间内产生告警的次数、是否需要自定义字段，如果需要自定义告警字段，定义告警字段和字段值。

6.一种基于普通告警关联分析智能告警的方法，其特征在于，包括以下步骤：

监控系统运行，采集告警日志数据；

存储所述告警日志数据；

定义关联分析策略，并存储到智能分析器，并根据所述关联分析策略对所述告警存储模块中的所述告警日志数据进行关联分析，产生符合预设条件的告警日志数据；

存储符合预设条件的告警日志数据；

对所述符合预设条件的告警日志数据根据用户设置的智能告警策略进行多维度分析，发送智能告警信息。

7.如权利要求6所述的一种基于普通告警关联分析智能告警的方法，其特征在于：

所述监控系统运行，采集告警日志数据包括，配置入侵检测规则和/或监测审计规则，监控系统持续运行，当监控到的流量符合所述配置的规则或检测到疑似入侵行为，产生告警日志数据。

8.如权利要求6所述的一种基于普通告警关联分析智能告警的方法，其特征在于：

当有告警日志数据产生时，首先记录到消息队列中，避免数据量过大造成系统宕机；分布式存储系统实时消费所述消息队列中的所述告警日志数据，将所述消息队列中的所述告警日志数据进行合并、过滤、解析，经过此过程产生系统预定义格式的告警数据存入所述分布式存储系统；所述分布式存储系统为基于全文索引的分布式存储系统，能够提高检索的效率和实时性。

9.如权利要求6-8任一项所述的一种基于普通告警关联分析智能告警的方法，其特征在于：

所述定义关联分析策略包括，设置策略名称和描述信息，定义匹配事件、触发规则、事件关系；匹配事件包括事件字段、目标值以及字段和目标值之间的逻辑关系；所述逻辑关系包括：“＝”，“！＝”,“>”,“<”，事件字段和目标值支持多表达式嵌套，多个表达式之间的条件组合有“与”“或”“非”。

10.如权利要求6-8任一项所述的一种基于普通告警关联分析智能告警的方法，其特征在于：

所述智能告警策略包括是否输出告警记录、允许在多长时间内产生告警的次数、是否需要自定义字段，如果需要自定义告警字段，定义告警字段和字段值。

Images