CN117675508A - 一种告警监控系统和告警监控方法 - Google Patents

Abstract

本发明提供了一种告警监控系统和告警监控方法，该告警监控系统包括安全设备、管理平台、后端服务器和客户端；安全设备，用于生成告警数据，将告警数据写入数据库；管理平台，用于响应用户的更新操作，从数据库中读取待更新的告警数据，对读取到的待更新的告警数据进行更新，并将更新后的告警数据写入数据库；后端服务器，用于在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息，将通知消息发往客户端；客户端，用于在接收到通知消息的情况下，在数据库中获得当前写入的告警数据。应用本发明提供的系统，能够以消息通知的机制来监控告警数据的变化，从而以低性能损耗的方式实现告警数据的实时更新。

Description

一种告警监控系统和告警监控方法

技术领域

本发明涉及网络安全技术领域，特别涉及一种告警监控系统和告警监控方法。

背景技术

目前，网络安全整体形势日渐严峻，为了保障业务系统的安全，需要对业务系统进行安全防护，在进行安全防护的过程中，为了能直观的展示网络攻击情况，需要进行告警监控。

传统的告警监控技术，通常是通过定时查询后台数据库告警数据的方式在页面上展示告警情况。定时查询的方式实现简单，但是有两个弊端：一是告警数据的更新不够实时，二是频繁的查询降低了系统的性能。

发明内容

本发明所要解决的技术问题是提供一种告警监控系统和告警监控方法，能够以消息通知的机制来监控告警数据的变化，从而以低性能损耗的方式实现告警数据的实时更新。具体方案如下：

根据本发明实施例的第一方面，提供一种告警监控系统，包括：

安全设备、管理平台、后端服务器和客户端；

所述安全设备，用于生成告警数据，将所述告警数据写入数据库；

所述管理平台，用于响应用户的更新操作，从所述数据库中读取待更新的告警数据，对读取到的所述待更新的告警数据进行更新，并将更新后的告警数据写入所述数据库；

所述后端服务器，用于在检测到所述安全设备或所述管理平台向所述数据库写入告警数据的情况下，生成通知消息，将所述通知消息发往所述客户端；

所述客户端，用于在接收到所述通知消息的情况下，在所述数据库中获得当前写入的告警数据。

上述的系统，可选的，所述安全设备，还用于：

在生成所述告警数据后，生成第一消息，并将所述第一消息存放到预设的消息队列中；

相应的，所述后端服务器，用于：若在所述消息队列中读取到所述安全设备发送的所述第一消息，则确定所述安全设备向所述数据库写入告警数据。

上述的系统，可选的，所述管理平台，还用于：

将更新后的所述告警数据写入所述数据库后，生成第二消息，并将所述第二消息存放到预设的消息队列中；

相应的，所述后端服务器，用于：若在所述消息队列中读取到所述管理平台发送的所述第二消息，则确定所述管理平台向所述数据库写入用户更新后的告警数据。

上述的系统，可选的，所述客户端，还用于：

在接收到所述通知消息的情况下，等待预设时长后，在所述数据库中获得当前写入的告警数据。

根据本发明实施例的第二方面，提供一种告警监控方法，应用于后端服务器，包括：

在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息；

将所述通知消息发往客户端，以使得所述客户端在所述数据库中获得所述告警数据。

上述的方法，可选的，检测到安全设备向数据库写入告警数据的过程，包括：

若在预设的消息队列中读取到所述安全设备发送的第一消息，则确定所述安全设备向所述数据库写入告警数据。

上述的方法，可选的，检测到管理平台向数据库写入告警数据的过程，包括：

若在预设的消息队列中读取到所述管理平台发送的第二消息，则确定所述管理平台向所述数据库写入用户更新后的告警数据。

根据本发明实施例的第三方面，提供一种告警监控方法，应用于客户端，包括：

接收后端服务器的通知消息，所述通知消息由所述后端服务器在检测到安全设备或管理平台向数据库写入告警数据时生成；

在所述数据库中获得所述告警数据。

上述的方法，可选的，所述在数据库中获得所述告警数据，包括：

在到达预设的等待时长后，在所述数据库中获得所述告警数据。

上述的方法，可选的，还包括：

将所述告警数据显示预设的显示页面上。

与现有技术相比，本发明包括以下优点：

本发明提供了一种告警监控系统和告警监控方法，该告警监控系统包括安全设备、管理平台、后端服务器和客户端；其中，安全设备生成告警数据，将告警数据写入数据库；管理平台响应用户的更新操作，从数据库中读取待更新的告警数据，对读取到的待更新的告警数据进行更新，并将更新后的告警数据写入数据库；后端服务器在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息，将通知消息发往客户端；客户端在接收到通知消息的情况下，在数据库中获得当前写入的告警数据。应用本发明实施例提供的系统，能够通过后端服务器监控告警数据的变化，在出现新的告警数据的情况下，通知客户端获得新的告警数据，从而能够以低性能损耗的方式实现告警数据的实时更新。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种告警监控系统的结构示意图；

图2为本发明实施例提供的一种告警监控方法的流程图；

图3为本发明实施例提供的又一种告警监控方法的流程图；

图4为本发明实施例提供的另一种告警监控方法的流程图；

图5为本发明实施例提供的又一种告警监控系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本申请中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

现有的告警监控技术中，通常是以定时查询后台数据库告警数据的方式在页面上展示告警情况。采用这种方式会耗费大量的系统资源，导致CPU占用率高。在一些可行的方式中，为了快速缓解CPU的占用情况，加大了查询间隔，然而，通过加大查询间隔进行查询，会影响告警数据更新的实时性。为了解决定时查询带来的上述问题，设计了一种告警监控系统。

基于此，参见图1，为本发明实施例提供的一种告警监控系统的结构示意图，告警监控系统，包括：安全设备101、管理平台102、后端服务器103和客户端104；

安全设备101，用于生成告警数据，将告警数据写入数据库。

在本实施例中，安全设备在生成告警后将告警数据写入数据库，并将有新告警生成的消息发送至消息队列，以便后端服务器通过消息队列读取到告警数量变化的消息。

其中，消息队列可以为各种类型的队列，例如Kafka消息队列。

管理平台102，用于响应用户的更新操作，从数据库中读取待更新的告警数据，对读取到的待更新的告警数据进行更新，并将更新后的告警数据写入数据库。

在本实施例中，数据库可以用于存储各类告警数据，用户可以通过管理平台处置数据库中的各类告警数据，例如，用户可以通过管理平台对数据库中的告警数据执行读取操作、更新操作和删除操作等其中至少一种。

在本实施例中，管理平台可以响应用户的更新操作，从数据库中读取待更新的告警数据，对读取到的待更新的告警数据进行更新，并将更新后的告警数据写入数据库。管理平台还用于生成消息写入消息队列，管理平台生成的消息可以用于提示存在更新的告警数据。

在一些实施例中，管理平台可以响应用户的删除操作，在数据库中删除所述操作操作对应的告警数据。

后端服务器103，用于在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息，将通知消息发往客户端。

在本实施例中，后端服务器用于在检测到安全设备向数据库写入告警数据的情况下，生成通知消息；或者，在检测到管理平台向数据库写入用户更新后的告警数据的情况下，生成通知消息。后端服务器还用于和客户端建立通信协议连接，以通过该通信协议连接将生成的通知消息发往客户端。可选的，通信协议包括WebSocket协议，WebSocket协议是一种在单个TCP连接上进行全双工通信的协议。在本实施例中，通过建立WebSocket协议可以使客户端和服务器之间的数据交换变得更加简单，允许服务器主动向客户端推送数据。

客户端104，用于在接收到通知消息的情况下，在数据库中获得当前写入的告警数据。

在本实施例中，客户端用于在接收到后端服务器发送的通知消息的情况下，在数据库中获取安全设备写入的告警数据，或者在数据库中获取管理平台写入的用户更新后的告警数据。

基于本发明实施例提供的一种告警监控系统，该告警监控系统包括安全设备、管理平台、后端服务器和客户端；安全设备，用于生成告警数据，将告警数据写入数据库；管理平台，用于响应用户的更新操作，从数据库中读取待更新的告警数据，对读取到的待更新的告警数据进行更新，并将更新后的告警数据写入数据库；后端服务器，用于在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息，将通知消息发往客户端；客户端，用于在接收到通知消息的情况下，在数据库中获得当前写入的告警数据。应用本发明提供的系统，能够以消息通知的机制来监控告警数据的变化，从而以低性能损耗的方式实现告警数据的实时更新。

在一些实施例中，安全设备101，还用于：

在生成告警数据后，生成第一消息，并将第一消息存放到预设的消息队列中；

相应的，后端服务器，用于：若在消息队列中读取到安全设备发送的第一消息，则确定安全设备向数据库写入告警数据。

在本实施例中，安全设备在生成告警数据后，生成第一消息，第一消息可以表明安全设备生成新的告警数据写入数据库中，安全设备在生成第一消息后，将第一消息存放到预设的消息队列中。

可选的，后端服务器可以预先订阅安全设备的消息，使得安全设备将第一消息放入到消息队列后，后端服务器可以在消息队列中读取到该第一消息；因此，在后端服务器读取到第一消息的情况下，可以确定安全设备向数据库写入告警数据，此时后端服务器生成通知消息，并通过通信协议连接将生成的通知消息发往客户端。

在一些实施例中，第一消息可以包括第一消息类型标识、安全设备的标识、安全设备生成告警数据的时间、将告警数据写入数据库的时间、告警数据的类型等其中一种或多种。

在一些实施例中，管理平台102，还用于：

将更新后的告警数据写入数据库后，生成第二消息，并将第二消息存放到预设的消息队列中；

相应的，后端服务器，用于：若在消息队列中读取到管理平台发送的第二消息，则确定管理平台向数据库写入用户更新后的告警数据。

在本实施例中，管理平台将更新后的告警数据写入数据库后，生成第二消息，第二消息可以表明管理平台更新告警数据，管理平台在生成第二消息后，可以将第二消息存放到预设的消息队列中。

可选的，后端服务器可以预先订阅管理平台的消息，使得管理平台将第二消息放入到消息队列后，后端服务器可以在消息队列中读取到第二消息，在后端服务器读取到第二消息的情况下，可以确定管理平台向数据库写入用户更新后的告警数据，此时后端服务器生成通知消息，并通过通信协议连接将生成的通知消息发往客户端。

在一些实施例中，第二消息可以包括第二消息类型标识、管理平台标识、管理平台更新告警数据的时间、管理平台将更新后的告警数据写入数据库的时间、更新后的告警数据的类型等其中一种或多种。

在一些实施例中，客户端104，还用于：在接收到通知消息的情况下，等待预设时长后，在数据库中获得告警数据。

在本实施例中，由于消息队列的消息通知速度远快于数据库的数据写入速度，本发明中客户端在接收到后端服务器发送的通知消息的情况下，等待预设时长后，在数据库中获得安全设备或者管理平台写入的告警数据。例如，设置客户端在收到消息队列的通知消息后，延迟10s再去读取数据库中的报警数据，虽然这样会带来最多10s的告警监控数据更新延迟，但是可以防止客户端读取数据库时，告警数据尚未存入数据库的情况。

如图2所示，为本发明实施例提供的一种告警监控方法的流程图，该告警监控方法可以应用于后端服务器，该告警监控方法主要包括以下步骤：

步骤S201：在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息。

在具体实现步骤S201的过程中，后端服务器在检测到安全设备向数据库写入告警数据的情况下，生成通知消息；或者，在检测到管理平台向数据库写入用户更新后的告警数据的情况下，生成通知消息，

步骤S202：将通知消息发往客户端，以使得客户端在数据库中获得告警数据。

在具体实现步骤S202的过程中，后端服务器通过和客户端建立的通信协议连接，将通知消息发往客户端，以使得客户端在数据库中获取安全设备写入的告警数据，或者在数据库中获取管理平台写入的用户更新后的告警数据。

在一些实施例中，步骤S201中检测到安全设备向数据库写入告警数据的过程，包括：

若在预设的消息队列中读取到安全设备发送的第一消息，则确定安全设备向数据库写入告警数据。

在本实施例中，若后端服务器在消息队列中读取到安全设备发送的第一消息，则确定安全设备向数据库写入告警数据。

在一些实施例中，步骤S201中，检测到管理平台向数据库写入告警数据的过程，包括：

若在预设的消息队列中读取到安全设备发送的第一消息，则确定安全设备向数据库写入告警数据。

在本实施例中，若后端服务器在消息队列中读取到管理平台发送的第二消息，则确定管理平台向数据库写入用户更新后的告警数据。

基于本发明实施例提供的一种告警监控方法，应用于后端服务器，该告警监控方法包括在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息，将通知消息发往客户端，以使得客户端在数据库中获得告警数据。应用本发明提供的方法，能够以消息通知的机制来监控告警数据的变化，从而以低性能损耗的方式实现告警数据的实时更新。

如图3所示，为本发明实施例提供的一种告警监控方法的流程图，该告警监控方法可以应用于客户端，该告警监控方法主要包括以下步骤：

步骤S301：接收后端服务器的通知消息，通知消息由后端服务器在检测到安全设备或管理平台向数据库写入告警数据时生成。

在具体实现步骤S301的过程中，客户端接收后端服务器发送的通知消息。其中，通知消息为后端服务器在检测到安全设备向数据库写入告警数据时生成，或者为管理平台向数据库写入用户更新后的告警数据时生成。

步骤S302：在数据库中获得告警数据。

在具体实现步骤S302的过程中，客户端在数据库中获取安全设备写入的告警数据，或者在数据库中获取管理平台写入的用户更新后的告警数据。

在一些实施例中，步骤S302中，在数据库中获得告警数据，包括：

在到达预设的等待时长后，在数据库中获得告警数据。

在具体实现步骤S302的过程中，客户端在接收到后端服务器发送的通知消息的情况下，等待预设时长后，在数据库中获得安全设备或者管理平台写入的告警数据。

基于上述本发明实施例图3示出的告警监控方法，如图4所示，为本发明实施例提供的另一种告警监控方法的流程图，主要包括以下步骤：

步骤S401：接收后端服务器的通知消息，通知消息为后端服务器在检测到安全设备或管理平台向数据库写入告警数据时生成。

步骤S401：在数据库中获得告警数据。

步骤S401至步骤S402的具体执行过程与上述图3中公开的步骤S301至步骤S302相同，具体可参见，这里不再赘述。

步骤S403：将告警数据显示在预设的显示页面上。

在具体实现步骤S403的过程中，数据库将从数据库中获得的告警数据显示在浏览器告警监控页面上。

基于本发明实施例提供的一种告警监控方法，应用于客户端，该告警监控方法包括：接收后端服务器的通知消息，通知消息为后端服务器在检测到安全设备或管理平台向数据库写入告警数据时生成；在数据库中获得告警数据。应用本发明提供的方法，能够以消息通知的机制来监控告警数据的变化，从而以低性能损耗的方式实现告警数据的实时更新。

以下结合附图对本申请的技术方案进行举例说明：

本发明设计了一种基于消息通知机制的一种告警监控系统，该系统通过消息队列集群进行告警数据的更新通知，并通过客户端和服务器之间建立的通信协议连接将告警更新实时的通过服务器通知到客户端，客户端收到通知后读取数据库中的告警数据，进而展示在客户端前端页面上。消息通知机制相比于定时查询，能够实时展示告警数据，从而减少了不必要的查询开销，极大的提升了系统性能。

其中，消息队列可以为各种类型的队列，例如Kafka消息队列，Kafka为一种高吞吐量的分布式发布订阅消息系统；

通信协议可以为WebSocket，WebSocket是一种在单个TCP连接上进行全双工通信的协议，可以使客户端和服务器之间的数据交换变得更加简单，允许服务器主动向客户端推送数据；

数据库可以为ElasticSearch，是一个分布式、高扩展、高实时的搜索与数据分析引擎，能够为所有类型的数据提供近乎实时的搜索和分析。

具体的，参考图5可见，本发明设计了一套基于消息通知机制的告警监控系统。安全设备在生成告警数据后将告警数据写入ES存储，并将有新告警生成的通知消息发送至Kafka。后端服务器集群订阅该通知消息，并在收到通知消息后，通过和客户端建立的WebSocket连接，将消息通知到客户端。客户端收到通知消息后，读取ES中的告警数据，并显示在浏览器告警监控页面上。当用户通过管理平台处置告警后，将处置后的告警数据更新到ES，并将告警被更新的消息写入Kafka。同样的原理，最终消息会通知到客户端。客户端收到消息后，读取ES中更新的告警数据，显示在浏览器告警监控页面上。

如果不同的后端服务器，作为Kafka的消费端，设置相同的GroupId，则Kafka消息会被多台后端服务器同时读取，导致每台后端服务器只能读取到部分Kafka消息。只有和客户端建立了Websocket连接的后端服务器才能够将读取到的部分Kafka消息通知到客户端，进而客户端去更新浏览器告警监控页面数据。如果Kafka消息被未建立WebSocket连接的后端服务器读取，则该部分Kafka消息不能够通知到客户端，浏览器页面的数据也不会更新。为解决这个问题，采用不同后端服务器配置不同的GroupId来读取Kafka消息的策略，保证每台后端服务器都能够读取到全部的Kafka消息。

其中，GroupId为Kafka的消费者组Id。同一个GroupId的所有消费者共同消费同一Topic的消息，每条消息只会被其中一个消费者消费。如果消费者的GroupId不同，则一条消息可以被多个消费者消费。Topic为每条发布到Kafka集群的消息的类别。

由于Kafka消息的通知速度远快于ES的数据写入速度。因此本发明中可以设置客户端在收到Kafka消息后延迟10s再去读取ES中的数据，这样会带来最多10s的告警监控数据更新延迟，但是可以防止前端读取ES时，告警数据尚未存入ES的情况。

可见，本发明设计的基于消息通知机制的实时告警监控系统，在告警数量发生变化时，将消息通知到Kafka。通过Kafka消息集群进行告警数据的更新通知。后端服务器通过订阅相应的topic获取告警数量变化的通知。

并通过客户端和服务器之间建立的WebSocket连接，将告警更新的通知消息实时的通过服务器通知到客户端，客户端收到通知消息后读取ES中的告警数据，进而展示在客户端告警监控页面上。消息通知机制相比于定时查询，能够实时展示告警数据，从而减少了不必要的查询开销，极大的提升了系统性能。

本申请的技术方案具体具备以下优点：

1、基于Kafka的消息订阅/发布机制，传递有新增告警数据或已有告警数据被更新的消息到后端服务器，并通过前后端建立的WebSocket连接将消息通知到客户端，实现消息到客户端的广播。

2、通过对后端服务器配置不同GroupId的设计，实现所有的消息都能够被广播到每一个客户端。

3、根据Kafka消息的通知速度和ES的数据写入速度的性能差距，配置合理的时间间隔，保证客户端能够尽量及时的读取到最新告警数据。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本发明时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

以上对本发明所提供的一种告警监控系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种告警监控系统，其特征在于，包括：

安全设备、管理平台、后端服务器和客户端；

所述安全设备，用于生成告警数据，将所述告警数据写入数据库；

所述管理平台，用于响应用户的更新操作，从所述数据库中读取待更新的告警数据，对读取到的所述待更新的告警数据进行更新，并将更新后的告警数据写入所述数据库；

所述后端服务器，用于在检测到所述安全设备或所述管理平台向所述数据库写入告警数据的情况下，生成通知消息，将所述通知消息发往所述客户端；

所述客户端，用于在接收到所述通知消息的情况下，在所述数据库中获得当前写入的告警数据。

2.根据权利要求1所述的系统，其特征在于，所述安全设备，还用于：

在生成所述告警数据后，生成第一消息，并将所述第一消息存放到预设的消息队列中；

相应的，所述后端服务器，用于：若在所述消息队列中读取到所述安全设备发送的所述第一消息，则确定所述安全设备向所述数据库写入告警数据。

3.根据权利要求1所述的系统，其特征在于，所述管理平台，还用于：

将更新后的所述告警数据写入所述数据库后，生成第二消息，并将所述第二消息存放到预设的消息队列中；

相应的，所述后端服务器，用于：若在所述消息队列中读取到所述管理平台发送的所述第二消息，则确定所述管理平台向所述数据库写入用户更新后的告警数据。

4.根据权利要求1所述的系统，其特征在于，所述客户端，还用于：

在接收到所述通知消息的情况下，等待预设时长后，在所述数据库中获得当前写入的告警数据。

5.一种告警监控方法，应用于后端服务器，其特征在于，所述方法包括：

在检测到安全设备或管理平台向数据库写入告警数据的情况下，生成通知消息；

将所述通知消息发往客户端，以使得所述客户端在所述数据库中获得所述告警数据。

6.根据权利要求5所述的方法，其特征在于，检测到安全设备向数据库写入告警数据的过程，包括：

若在预设的消息队列中读取到所述安全设备发送的第一消息，则确定所述安全设备向所述数据库写入告警数据。

7.根据权利要求5所述的方法，其特征在于，检测到管理平台向数据库写入告警数据的过程，包括：

若在预设的消息队列中读取到所述管理平台发送的第二消息，则确定所述管理平台向所述数据库写入用户更新后的告警数据。

8.一种告警监控方法，应用于客户端，其特征在于，所述方法包括：

接收后端服务器的通知消息，所述通知消息由所述后端服务器在检测到安全设备或管理平台向数据库写入告警数据时生成；

在所述数据库中获得所述告警数据。

9.根据权利要求8所述的方法，其特征在于，所述在数据库中获得所述告警数据，包括：

在到达预设的等待时长后，在所述数据库中获得所述告警数据。

10.根据权利要求8所述的方法，其特征在于，还包括：

将所述告警数据显示在预设的显示页面上。