Гибридный подход к генерации сигнатур журналов

Анализ сообщений журналов имеет большое значение для выявления подозрительной активности в системах и сетях. Для этого анализа необходимо точно извлекать переменные сущности. Переменные сущности извлекаются путем сопоставления сообщений журналов с шаблонами журналов. Каждый такой шаблон может быть представлен в виде сигнатуры журнала. В данной статье представлен гибридный подход к извлечению сигнатур журналов. Подход состоит из двух модулей. Первый модуль выявляет шаблоны журналов путем формирования кластеров журналов. Второй модуль использует распознавание именованных сущностей (Named Entity Recognition, NER) для извлечения сигнатур на основе выявленных кластеров журналов. Эксперименты проводились на журналах событий операционной системы Windows, Microsoft Exchange и Unix. Результаты проверялись путем сравнения сигнатур и переменных сущностей со стандартной документацией по журналам. Эксперименты показали, что извлеченные сигнатуры готовы к использованию и обладают высокой точностью.