大数据安全运维一体化分析系统建设方案.ppt

系统级监控展示（网络状态） 分析告警 单数据源简单规则，通过对每次最新的监控数据进行阈值比较 上下限阈值比较 数据存活性比较 单数据源组合规则，对简单规则的结果进行进一步的处理，来减少告警量 多次告警，当触发的事件在一段时间内超过一定的次数时 告警冷却，当同一告警多次出现时，进行相应的冷处理。 变化告警，当监控数据与前一时间点差别很大时，进行告警。 多数据源组合规则，对多个数据源进行计算后获得： 基线告警，当数据与基线数据差别较大时，进行相应的告警 组合运算，可以计算比例超过／低于阈值后告警 基线计算规则 基线算法以周为单位，寻找前三周相同时间点为采样数据，计算当前时间点的基线。具体算法为： 以当前计算时间点为基准，分别向前倒退7天（一周），14天（二周），21天（三周），可以得到三个时间节点:?A1,?A2,?A3； 以每一个新时间节点（A1-A3）为基准，分别倒退36小时（A-36h），推前12小时（A+12h），这样将得到一个48小时的区间（B0-B39） 在这48小时时间区间内，再以每一个小时为时间区间，取48个采样值，例如交易量基线，则计算每小时交易量的总量数据作为该小时内的采样值 通过计算A1-A3的采样值，总计可以获取?48*3=144个采样值 计算这144个采样值的均值：V?与方差?：S 最后通过配置浮动系数(α)，求得基线数据：V+αS 应用分析 应用分