Алгоритм автоматического построения регулярных выражений для предобработки журнальных сообщений произвольного формата в вычислительных системах
Ключевые слова:
Аннотация
Введение: предобработка журнальных сообщений необходима для структуризации журнальных сообщений и выделения полей-характеристик для последующего анализа в целях обнаружения аномалий и компьютерных атак в вычислительной системе. Наиболее приемлемый подход, который доминирует в коммерческих решениях, – построение регулярных выражений, соответствующих журнальным сообщениям, что требует трудоемкой ручной обработки. Цель: разработать алгоритм автоматического построения регулярных выражений журнальных сообщений в реальном масштабе времени, который можно применить к любому журнальному сообщению независимо от его формата и источника продуцирования. Результаты: анализ источников журнальных сообщений, способов их доставки в системы хранения и обработки, а также существующих форматов журнальных сообщений показал, что журнальные сообщения, даже в рамках одного формата, часто не стандартизованы по набору полей. Разработан алгоритм, позволяющий по тексту журнального сообщения сформировать соответствующий ему шаблон и на основе процедуры обработки шаблонов построить регулярное выражение с выделенными полями, т.е. структурировать журнальное сообщение. Помимо этого, спроектирована система хранения накопленных шаблонов журнальных сообщений и соответствующих им регулярных выражений. Для проведения экспериментальных исследований разработан программный комплекс, обеспечивающий построение регулярных выражений по текстам журнальных сообщений в автоматическом режиме. Программный комплекс апробирован на реальных вычислительных системах различных конфигураций. Практическая значимость: предложенный алгоритм позволяет структурировать журнальные сообщения произвольных типов и форматов. Структурированные журнальные сообщения могут быть использованы для расследования инцидентов информационной безопасности, аудита информационных систем, в качестве входных данных для анализаторов аномалий и компьютерных атак.
