(19)中华人民共和国国家知识产权局
(12)发明专利说明书
(10)申请公布号 CN 110505238 A
(43)申请公布日 2019.11.26
(21)申请号 CN201910841006.4
(22)申请日 2019.09.06
(71)申请人 杭州安恒信息技术股份有限公司
    地址 310000 浙江省杭州市滨江区西兴街道联慧街188号
(72)发明人 孟希杰 范渊
(74)专利代理机构 北京超凡宏宇专利代理事务所(特殊普通合伙)
    代理人 范彦扬
(51)Int.CI
正则匹配哈希值     
                                                                  权利要求说明书 说明书 幅图
(54)发明名称
      基于EDR的消息队列的处理装置和方法
(57)摘要
      本发明提供了基于EDR的消息队列的处理装置和方法，包括处理模块、匹配模块和进程，其中，处理模块包括引擎；处理模块用于接收终端检测与响应EDR客户端发送的日志信息，并将日志信息发送给引擎；引擎用于根据所述日志信息得到接收日志信息的时间信息，并将日志信息中的EDR客户端的标识符ID、时间信息和引擎的ID进行关联，得到关联ID，并将关联ID发送给匹配模块；匹配模块用于根据关联ID查对应的进程ID，并根据进程ID将关联ID发送给相应的进程，可以确保日志信息有序发送和提高日志信息发送的准确性。
法律状态
法律状态公告日
法律状态信息
法律状态
2019-12-20
实质审查的生效
实质审查的生效
2019-11-26
公开
公开
2022-01-21
授权
发明专利权授予
权 利 要 求 说 明 书
1.一种基于EDR的消息队列的处理装置,其特征在于,包括处理模块、匹配模块和进程,其中,所述处理模块包括引擎;
所述处理模块,用于接收终端检测与响应EDR客户端发送的日志信息,并将所述日志信息发送给引擎;
所述引擎,用于根据所述日志信息得到接收所述日志信息的时间信息,并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联,得到关联ID,并将所述关联ID发送给所述匹配模块;
所述匹配模块,用于根据所述关联ID查对应的进程ID,并根据所述进程ID将所述关联ID发送给相应的进程。
2.根据权利要求1所述的基于EDR的消息队列的处理装置,其特征在于,所述进程包括解析模块和日志分析模块;
所述解析模块,用于对所述关联ID进行解析,得到所述EDR客户端的ID,并将所述EDR客户端的ID发送给所述日志分析模块;
所述日志分析模块,用于将所述EDR客户端的ID存储到大数据检索框架中。
3.根据权利要求2所述的基于EDR的消息队列的处理装置,其特征在于,所述日志信息还包括日志种类ID;
所述日志分析模块,还用于根据所述日志种类ID将不同种类的日志信息分为多个日志信息组。
4.根据权利要求2所述的基于EDR的消息队列的处理装置,其特征在于,还包括缓存模块,用于对所述EDR客户端的ID进行缓存。
5.根据权利要求1所述的基于EDR的消息队列的处理装置,其特征在于,所述处理模块,还用于将所述日志信息按照预设清洗规则进行清洗,得到清洗后的日志信息,所述预设清洗规则包括正则匹配清洗规则和哈希HASH清洗规则中的至少一种。
6.一种基于EDR的消息队列的处理方法,其特征在于,所述方法包括:
接收终端检测与响应EDR客户端发送的日志信息,并将所述日志信息发送给引擎;
所述引擎根据所述日志信息得到接收所述日志信息的时间信息,并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联,得到关联ID;
根据所述关联ID查对应的进程ID,并根据所述进程ID将所述关联ID发送给相应的进程。
7.根据权利要求6所述的基于EDR的消息队列的处理方法,其特征在于,所述方法还包括:
对所述关联ID进行解析,得到所述EDR客户端的ID;
将所述EDR客户端的ID存储到大数据检索框架中。
8.根据权利要求7所述的基于EDR的消息队列的处理方法,其特征在于,所述日志信息还包括日志种类ID,所述方法还包括:
根据所述日志种类ID将不同种类的日志信息分为多个日志信息组。
9.一种电子设备,包括存储器、处理器,所述存储器上存储有可在所述处理器上运行的计算机程序,其特征在于,所述处理器执行所述计算机程序时实现上述权利要求6至8任一项所述的方法的步骤。
10.一种具有处理器可执行的非易失的程序代码的计算机可读介质,其特征在于,所述程序代码使所述处理器执行所述权利要求6至8任一项所述的方法。
说  明  书
<p>技术领域
本发明涉及网络安全技术领域,尤其是涉及基于EDR的消息队列的处理装置和方法。
背景技术
随着EDR(EndpointDetectionandResponse,终端检测与响应)客户端的快速发展,对日志信息进行分析和处理,显得十分重要。
当EDR客户端发现威胁时,会产生登录防护、病毒查杀、进程防护、网站漏洞防护、防护和网站后门查杀等日志信息。如果EDR客户端直接对上述日志信息进行处理,效率太低,吞吐量达不到日志信息产生的速度。一旦日志信息量太大,会造成服务宕机等恶性事件。而采用kafka等消息队列,可以将日志信息从消息队列中取出,并进行处理。但是在日志信息较多的情况下,当对日志信息进行批量发送时,无法确保日志信息有序发送,并且无法精确匹配相应的目标对象。
发明内容
有鉴于此,本发明的目的在于提供基于EDR的消息队列的处理装置和方法,可以确保日志信息有序发送和提高日志信息发送的准确性。
第一方面,本发明实施例提供了基于EDR的消息队列的处理装置,包括处理模块、匹配模块和进程,其中,所述处理模块包括引擎;
所述处理模块,用于接收终端检测与响应EDR客户端发送的日志信息,并将所述日志信息发送给引擎;
所述引擎,用于根据所述日志信息得到接收所述日志信息的时间信息,并将所述日志信息中的所述EDR客户端的标识符ID、所述时间信息和所述引擎的ID进行关联,得到关联ID,并将所述关联ID发送给所述匹配模块;

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。