CN114257643B - 一种日志传输方法及系统 - Google Patents

Abstract

本发明提供一种日志传输方法及系统，所述方法包括：获取待传输的日志；将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；基于预设协议将所述目标ELF日志传输至所述目标服务器；本发明所述方法能够将普通日志的格式转换成具有标准格式的目标ELF日志，提高了日志传输的识别率。

Description

一种日志传输方法及系统

技术领域

本发明属于系统告警领域，尤其涉及一种日志传输方法及系统。

背景技术

系统事件的日志消息既可以记录在本地文件中，也可以转换成特定格式后通过网络发送到接收服务器，以便服务器对多个设备的日志消息进行统一的存储，或者解析其中的内容做相应的处理。

现有技术将Syslog类型的日志利用传输协议上传到服务器进行处理时，由于没有规范的标准来约束Syslog格式，即Syslog格式非常随意，甚至有些情况下没有任何格式，导致接收Syslog日志的服务器无法对Syslog日志进行解析，也就无法根据解析的内容进行异常事件排查。

因此，如何将系统日志的格式进行标准化处理，以提高日志传输的识别率，是业界亟需解决的重要课题。

发明内容

本发明提供的一种日志传输方法及系统，用以解决现有技术将日志传输到服务器时，由于日志格式不规范导致服务器无法解析的缺陷，以提高日志传输的识别率。

本发明提供一种日志传输方法，所述方法包括：

获取待传输的日志；将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；基于预设协议将所述目标ELF日志传输至所述目标服务器。

根据本发明提供的一种日志传输方法，所述方法还包括：

获取所述目标ELF日志的字符串长度；若所述字符串长度大于或等于预设长度，则将所述目标ELF日志拆分为至少两个分块结构，所述分块结构包括分块目标ELF魔数、消息ID、序列号以及序列计数中的至少两者。

判定所有所述分块结构均能够在预设时长内完成传输，则所述目标服务器接收所述分块结构对应的目标ELF日志。

所述预设时长为小于或等于5秒。

在Netty框架下利用TCP/UDP协议将所述目标ELF日志传输至所述目标服务器中。

将所述目标ELF日志压缩成GZIP格式的文件或者ZLIB格式的文件，并将压缩后的文件传输至所述目标服务器。

本发明还提供一种日志传输系统，所述系统包括：

日志获取单元，用于获取待传输的日志；日志转换单元，用于将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；日志传输单元，用于基于预设协议将所述目标ELF日志传输至所述目标服务器。

本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述日志传输方法的步骤。

本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述日志传输方法的步骤。

本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述日志传输方法的步骤。

本发明提供的一种日志传输方法及系统，先获取待传输的日志，然后将所述日志转换为目标ELF日志，目标ELF日志具有目标服务器可识别的标准格式，最后基于预设的信息传输协议将目标ELF日志传输至目标服务器；本发明所述方法能够将普通日志的格式转换成具有标准格式的目标ELF日志，提高了日志传输的识别率。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的日志传输方法的流程示意图；

图2是本发明另一实施例提供的从第三方应用到支持目标ELF日志服务器进行日志传输的流程示意图；

图3是本发明实施例提供的日志传输系统的结构示意图；

图4是本发明提供的电子设备的结构示意图。

具体实施方式

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面结合图1描述本发明实施例提供的日志传输方法，所述方法包括：

步骤101、获取待传输的日志。

可以理解的是，操作系统内核、各种应用服务器以及大多数应用程序都会输出不同发生事件的日志，如系统日志，安全日志以及应用日志，而各种日志的内容、规模和用途也各不相同，这些信息中往往包含了很多对用户有用的内容，用户可对不同类型的日志信息进行分析来实现不同的功能需求；例如，对于一条Web日志：127.0.0.1 - - [07/Nov/2019：18：14：54 +0800] “GET / dvwa/phpinfo.php=PHPE9568F34-D428-11d2-A769-00AA001ACF42

HTTP/1.1”200 2536 “http://127.0.0.1/dvwa/phpinfo.php”“Mozilla/5.0(Windows NT 10.0; Win64；x64) AppleWebKit/537.36 (KHTML，like Gecko) Chrome/69.0.3497.100 Safari/537.36”，可根据上述日志显示内容获取访问者的IP、访问日期、请求方式、请求链接、请求参数、HTTP协议、返回转态码、返回包长度、请求包的Referer、以及访问者的浏览器信息等；本实施例获取从第三方应用服务或兼容目标ELF格式的应用服务中产生普通日志作为待检测日志。

步骤102、将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式。

可以理解的是，本实施先在目标ELF日志采集器中定义一个转换函数，然后分别解析待检测日志的日志等级以及日志内容，再利用转换函数将每条日志的日志等级以及日志内容记录到目标ELF日志中，以得到转换后的目标ELF日志，例如，某个产品产生的一条完整的日志为：

eventtype="ZGV0ZWN0b3I="date="1609987874"sensor=""device="192.168.1.163"interface=""plugin_id="500" '\'plugin_sid="66"priority=""protocol="dWRw" src_ip="10.157.10.185"src_port=

"3306" dst_ip="12.12.12.20" dst_port="800"''username=""password=""filename=""userdata1=

"5Lit5paHWGlhb01p"userdata2="NDcxNDM="userdata3="" '\'userdata4="ZXRoOA== "userdata5

="cHVzaC5icm93c2VyLnFxLm-NvbQ=="userdata6="QQ==Amazon"userdata7="" '\ 'userdata8

="" userdata9="" occurrences="" log="ak4xuO5w8gMrd/stxvVeL4wk/5MYc5k4qwn9V594Wr2Du

IR/al4J47hxD9GW3dMwrw2yeA59W8VK95QW2ezcT2exSz0XCbltYUKnRNtGUJHV023JJIy12LzOYenW/PgSwDby4iyTgDSlSyJnJkz9Skud21cedrczwwchpjA+13fM2NOrtApQn9OxUykBf6HwCDIyaAfY42yEBo8GzovIhV/OabqmcPQeBvrpOxynbKFZy0mgOuTP44ZmxKiufug4v+/BJ/oV93OoZcqMrhggjCGhWpDUQajPpr9SbiChnThBC4KIwdKRahPpkELBviVPnkSPKQJLKcNvPtC2p85A/rpg5Q7oiP94DevsidXaWJQikXVOtwP0LC1VxYUkvdTHXe4bmSRkIYsK8vjpVt0pUw=="snort_sid=""snort_cid="" fdate="MjAyMS0wMS0wNyAw-Mjo1MToxNA=="tzone="OC4w"ctx

=""sensor_id="02469cb38b294914b0a59c8fec2f4ca6"event_id=""binary_data=""pulses=""event_id

="509311eb-9245-0090-0b67-3ae535ed95d5"ver="1"，分析该日志以及各项内容，并转化成JSON格式的目标ELF日志为：

{"date":"1609987874","occurrences":"","event_id":"509311eb-9245-0090-0b67-3ae535ed95d5"

,"src_ip":"192.168.200.20","dst_port":"80","log":"{\"timestamp\":\"2021-01-07T10:51:14.642395

+0800\",\"flow_id\":317891855699291,\"in_iface\":\"eth8\",\"event_type\":\"dns\",\"src_ip\":\"10.157.10.185\",\"src_port\":62843,\"dest_ip\":\"10.157.10.129\",\"dest_port\":53,\"proto\":\"UDP\",\"dns\":{\"type\":\"query\",\"id\":47143,\"rrname\":\"push.browser.qq.com\",\"rrtype\":\"A\",\"tx_id\":0}}","interface":"","protocol":"udp","password":"","userdata7":"","fdate":"2021-01-07 02:51:14",

userdata8":"","userdata5":"push.browser.qq.com","dst_ip":"12.12.12.20","userdata6":"QQ","plugin_sid":"100856","userdata9":"","ver":"1","snortsid":"","userdata3":"","userdata4":"eth8","plugin_id"

:"1001","ctx":"","binarydata":"","userdata1":"query","userdata2":"47143","priority":"","sensor_id":"02469cb38b294914b0a59c8fec2f4ca6","filename":"","snortcid":"","pulses":"","src_port":"62843","sevent_id":"","sensor":"","tzone":"8.0","device":"192.168.1.163","username":""}；另外，由于转换后的目标ELF日志是具有标准形式的文件，可通过预设传输协议将采集的目标ELF日志传输到目标服务器。

步骤103、基于预设协议将所述目标ELF日志传输至所述目标服务器。

具体的，本实施例利用预设的数据传输协议将获取具有标准格式的目标ELF日志进行归一化处理后，传输到支持目标ELF日志的服务器中进行后续日志解析和分析过程。

需要说明的是，本实施例采用用户数据报协议(User Datagram Protocol，UDP)进行日志上传，UDP协议是一种无链接的传输层协议，利用UDP协议进行传输的延迟小，数据传输效率高，能够提高日志上传速率及效率。

本发明所述方法能够将普通日志的格式转换成具有标准格式的目标ELF日志，提高了日志传输的识别率。

可选的，获取所述目标ELF日志的字符串长度；若所述字符串长度大于或等于预设长度，则将所述目标ELF日志拆分为至少两个分块结构，所述分块结构包括分块目标ELF魔数、消息ID、序列号以及序列计数中的至少两者。

可以理解的是，大部分日志利用UDP协议进行上传时，日志包含内容的字符串长度不能超过1024字节，否则可能会导致接收该日志的服务器无法识别；例如，当前时间段内存在多条syslog日志的UDP报文长度为2048个字节，所需传输的UDP数据报总长度超过65536字节，则每条日志至少会被分成两条不超过1024字节的子日志，一般情况下，第一条子日志的开头部分对应了原日志开头部分，若第二条字日志没有正确的索引，会导致第二条字日志无法被原日志对应的接收服务器所识别，从而导致原始日志无法被对应的接收服务器所解析；本实施例将采集到的每条目标ELF日志设置为若干个分块结构，每个分块结构包含了目标ELF魔数、消息ID、序列号以及序列计数中的至少两个内容，其中，目标ELF魔数的长度为2字节，如“0x1e”、“0x0f”，消息ID长度为8字节，并且在每条日志对应的所有分块结构共享一个消息ID，该消息一般由毫秒时间戳和主机名构成，序列号长度为1字节，表示每个分块结构的序列号，序列计数长度为1字节，表示当前日志对应分块结构的总数，该分块结构的总数不超过128；这样，每条日志被单独分块后，每个分块结构都有明确的序列号、魔数以及共享的消息ID，可确保超过1024字节的目标ELF日志能够将其所有分块结构正确的向对应的目标服务器传输，以保证服务器对日志消息的正常接收。

本实施例提供了一种将目标ELF日志设置为多个分块结构的方法，以解决目前每条日志传输到服务器进行解析的过程中，因其长度超过1024字节而导致服务器无法识别的问题。

可选的，判定所有所述分块结构均能够在预设时长内完成传输，则所述目标服务器接收所述分块结构对应的目标ELF日志。

可以理解的是，每条目标ELF日志设置为多个分块结构后，每个分块结构都有一个明确的序列号、魔数以及共享的消息ID，从而保证每个分块结构有着相同的索引被传输到对应的目标服务器中，但是不同的分块结构传输速度并不相同，只有在最大传输时间内每个目标ELF日志的所有分块结构均能到达目标服务器，则该服务器可从分块结构中获取对应的目标ELF日志内容，若存在一个分块结构不能在规定时间内达到，则该服务器就不能获取完整的目标ELF日志内容。

本实施例提供了一种目标服务器接收目标ELF日志的方法，用于保证目标服务器能从接收的分块结构中获取对应的目标ELF日志。

可选的，所述预设时长为小于或等于5秒。

可以理解的是，理论上的预设时长最大值可以为5秒，但不仅限于5秒；本实施例规定了每条目标ELF日志的所有分块结构必须在开始上传的5秒内达到目标服务器，否则服务器将丢弃所有已到达和未到达的数据块。

本实施例所述方法提供了目标ELF日志的所有分块结构达到目标服务里的最大时间范围，当前需要分块的目标ELF日志对应所有分块结构只有在该时间范围内到达服务器，才能使服务器接收到目标ELF日志，提高了日志接收的时效性，避免长时间占据传输路径。

可选的，在Netty框架下利用TCP/ UDP协议将所述目标ELF日志传输至所述目标服务器中。

可以理解的是，Netty 是一款异步的事件驱动的网络应用程序框架，它提供了大量的类来支持UDP应用程序的编写，其中，Netty的DatagramPacket是一个简单的消息容器，DatagramChannel实现用它来和远程节点通信；本实施例扩展Netty的MessageToMessageEncoder，每个目标ELF日志可以通过上述DatagramPacket进行传输，并由远程目标服务器的节点捕获。

本实施例提供了一种将目标ELF日志利用UDP协议传输到目标服务器的方法，能够减小传输过程的延迟，提高了日志上传速率及效率。

可选的，将所述目标ELF日志压缩成GZIP格式的文件或者ZLIB格式的文件，并将压缩后的文件传输至所述目标服务器。

可以理解的是，文件压缩可以打包多个彼此相关联的文件，提升了文件传输效率；若当前待传输的日志数量庞大，则日志的传输效率会受到当前网络状态以及磁盘空间的影响较大，影响目标服务器正常接收包含多个结构分块的目标ELF日志；本实施例在目标ELF日志上传到目标服务器前将其压缩为GZIP格式，然后将压缩文件上传至支持接收目标ELF日志的服务器进行后续的日志解析过程。

本实施例提供了一种将目标ELF日志压缩后上传至目标服务器的方法，能够提升日志传输效率，同时将多个相关联的日志压缩打包后能够缩短服务器对接收日志的校验过程。

基于上述实施例，结合图2对本发明提供方法的实施过程进行具体说明。

在本实施例中，先将第三方服务应用产生的时间日志读写到硬盘中存储，并对日志进行监控；然后利用目标ELF日志采集器对监控的日志进行解析，并基于采集器的转换函数将日志解析内容存入目标ELF日志中，已将输入的日志转化为目标ELF格式的日志，其中，目标ELF日志包含的字符串类型为JSON格式；接着对多个目标ELF日志采集器生成的目标ELF日志进行归一化处理，并在Netty框架下利用TCP/ UDP协议将所述目标ELF日志传输至支持接收目标ELF日志的服务器进行后续的日志解析过程。

这样，本实施例提供的一种日志传输方法，先获取待传输的日志，然后将所述日志转换为目标ELF日志，目标ELF日志具有目标服务器可识别的标准格式，最后基于预设的信息传输协议将目标ELF日志传输至目标服务器；本实施例所述方法能够将普通日志的格式转换成具有标准格式的目标ELF日志，提高了日志传输的识别率。

结合图3对本发明实施例提供的一种日志传输系统进行描述，下文描述的一种日志传输系统与上文描述的一种日志传输方法可相互对应参照。

本发明提供的一种日志传输系统，包括：

日志获取单元301，用于获取待传输的日志；日志转换单元302，用于将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；日志传输单元303，用于基于预设协议将所述目标ELF日志传输至所述目标服务器。

本实施例提供的一种日志传输系统，先通过日志获取单元301获取待传输的日志，然后通过日志转换单元302将所述日志转换为目标ELF日志，目标ELF日志具有目标服务器可识别的标准格式，最后通过日志传输单元303基于预设的信息传输协议将目标ELF日志传输至目标服务器；本实施例所述系统能够将普通日志的格式转换成具有标准格式的目标ELF日志，提高了日志传输的识别率。

图4示例了一种电子设备的实体结构示意图，如图4所示，该电子设备可以包括：处理器(processor)410、通信接口(Communications Interface)420、存储器(memory)430和通信总线440，其中，处理器410，通信接口420，存储器430通过通信总线440完成相互间的通信。处理器410可以调用存储器430中的逻辑指令，以执行一种日志传输方法，该方法包括：获取待传输的日志；将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；基于预设协议将所述目标ELF日志传输至所述目标服务器。

此外，上述的存储器430中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（ROM，Read-Only Memory）、随机存取存储器（RAM，Random Access Memory）、磁碟或者光盘等各种可以存储程序代码的介质。

本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法提供的一种日志传输方法，该方法包括：获取待传输的日志；将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；基于预设协议将所述目标ELF日志传输至所述目标服务器。

本发明还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，计算机程序可存储在非暂态计算机可读存储介质上，所述计算机程序被处理器执行时，计算机能够执行上述各方法所提供的一种日志传输方法，该方法包括：获取待传输的日志；将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；基于预设协议将所述目标ELF日志传输至所述目标服务器。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (8)

1.一种日志传输方法，其特征在于，包括：

获取待传输的日志；

将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；

基于预设协议将所述目标ELF日志传输至所述目标服务器；

所述将所述日志转换为目标ELF日志具体包括：

解析待检测日志的日志等级以及日志内容，并基于转换函数将所述日志等级和所述日志内容记录到ELF日志中，得到所述目标ELF日志；

当所述目标ELF日志对应的多个分块结构中存在第一分块结构未在开始上传的5秒内达到所述目标服务器，控制所述目标服务器拒收所述第一分块结构，且丢弃第二分块结构，所述第二分块结构包括多个所述分块结构中除所述第一分块结构外的其他分块结构；

所述基于预设协议将所述目标ELF日志传输至所述目标服务器，之前还包括：

将所述目标ELF日志压缩成GZIP格式的文件或者ZLIB格式的文件，并将压缩后的文件传输至所述目标服务器。

2.根据权利要求1所述的日志传输方法，其特征在于，将所述日志转换为目标ELF日志，之后还包括：

获取所述目标ELF日志的字符串长度；

若所述字符串长度大于或等于预设长度，则将所述目标ELF日志拆分为至少两个分块结构，所述分块结构包括分块目标ELF魔数、消息ID、序列号以及序列计数中的至少两者。

3.根据权利要求2所述的日志传输方法，其特征在于，将所述目标ELF日志设置为至少两个分块结构，之后还包括：

判定所有所述分块结构均能够在预设时长内完成传输，则所述目标服务器接收所述分块结构对应的目标ELF日志。

4.根据权利要求3所述的日志传输方法，其特征在于，所述预设时长为小于或等于5秒。

5.根据权利要求1所述的日志传输方法，其特征在于，基于预设协议将所述目标ELF日志传输至目标服务器，具体包括：

在Netty框架下利用TCP/UDP协议将所述目标ELF日志传输至所述目标服务器中。

6.一种日志的传输系统，其特征在于，所述系统包括：

日志获取单元，用于获取待传输的日志；

日志转换单元，用于将所述日志转换为目标ELF日志，所述目标ELF日志具有目标服务器可识别的标准格式；

日志传输单元，用于基于预设协议将所述目标ELF日志传输至所述目标服务器；

所述日志转换单元，具体用于解析待检测日志的日志等级以及日志内容，并基于转换函数将所述日志等级和所述日志内容记录到ELF日志中，得到所述目标ELF日志；

日志传输单元，还用于当所述目标ELF日志对应的多个分块结构中存在第一分块结构未在开始上传的5秒内达到所述目标服务器，控制所述目标服务器拒收所述第一分块结构，且丢弃第二分块结构，所述第二分块结构包括多个所述分块结构中除所述第一分块结构外的其他分块结构；

所述基于预设协议将所述目标ELF日志传输至所述目标服务器，之前还包括：

将所述目标ELF日志压缩成GZIP格式的文件或者ZLIB格式的文件，并将压缩后的文件传输至所述目标服务器。

7.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述日志传输方法的步骤。

8.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述日志传输方法的步骤。

Images