步骤2：接收告警数据。
　　内网安全监视平台主要使用Syslog[2]方式采集安全设备的日志信息，并通过Syslog日志信息确定安全设备告警信息。电力系统专用安全设备（横向隔离设备、纵向加密认证装置）使用Syslog方式直接采集日志信息；通用安全设备（防火墙、入侵检测系统、防病毒系统）通过Agent代理将日志转换为符合电力系统标准格式的日志后采集；调度自动化系统内部的关键设备和应用通过Agent代理将日志转换为标准格式发送至内网安全监视平台。Syslog采用用户数据报协议（UDP）作为其底层传输层机制，Syslog日志信息采用标准的UDP数据包向内网安全监视平台发送信息。内网安全监视平台主要采集广域网安全监视部分和局域网安全监视部分传送的告警原始数据。
　　广域网安全监视部分监视二次系统安全设备（电力专用安全设备和通用安全设备），通过数据采集装置实时采集网络中存在的异常访问，非法外连等重要告警信息。
　　局域网安全监视部分监视主站调度自动化系统内部主机的安全状态，当系统内部主机发生异常、非法操作或外连时，向内网安全监视平台发出告警。
　　步骤3：告警数据加入合法告警队列。
　　内网安全监视平台接收告警日志数据后，先将这些告警数据做数据合法性验证，根据告警数据的合法性，将告警数据加入合法告警队列。如果接收到的告警数据不合法，则将该不合法的告警数据丢弃。如果接收到的告警数据合法，则将该合法的告警数据加入合法告警队列。这里的告警数据合法性校验主要是校验接收到告警数据的内容格式是否符合标准的Syslog格式，并判断告警内容是否符合规范格式。
　　步骤4：告警数据加入监视范围内告警队列。
　　内网安全监视平台对告警数据合法性验证后，先将这些告警数据的源IP范围做合法性验证，根据告警数据源IP范围的合法性，将告警数据加入监视范围内告警队列。如果接收到的告警数据的源IP范围不合法，则将该不合法的告警数据丢弃。如果接收到的告警数据的源IP范围合法，则将该合法的告警数据加入合法告警队列。
　　步骤5：按告警设备类型分类告警队列。
　　内网安全监视平台对告警数据源的IP范围做合法性验证后，需根据告警数据中的告警信息将告警数据按告警设备类型分类成多个告警队列。例如，防火墙队列、IDS队列、防病毒队列、服务器队列等。
　　步骤6：按分类告警队列计算告警特征值。
　　内网安全监视平台读取分类后的告警队列，从这些分类后的告警队列中获取当前发送的报警数据，并通过特征值提取算法计算特征值。
　　本文中优选采用一种MD5算法[3～4]的优化变形方法计算告警数据的特征值，具体计算过程如下：
　　（1）去除告警数据中的告警时间。告警内容相同，但是告警时间可能不同，为保持告警数据的一致性所以需要去掉告警时间。
　　（2）去掉告警数据内容中存在的空格。空格信息本身对于告警内容影响不大，为提高MD5运算效率，将空格信息去掉。
　　（3）计算处理后告警数据的MD5值并简化计算结果。由于标准md5算法的特征值结果为16个字节，考虑到电力业务特点及告警数据内容有限性，同时为提高平衡二叉树查找、插入效率，将16字节结果前8字节和后8字节进行异或，得到8字节的最终特征值结果。
　　步骤7：匹配告警特征值在否在平衡二叉树中存在状况并保存告警数据。
　　内网安全监视平台计算出每条告警日志数据的特征值后，与内网安全监视平台初始化后构建的含有告警数据的平衡二叉树比较。在平衡二叉树中查找是否存在该特征值的节点；若不存在，将该节点插入平衡二叉树和数据库的告警信息表中；若存在，则更新平衡二叉树上该节点的告警次数及告警结束时间。

---

期刊库（http://www.zgqkk.com），是一个专门从事期刊推广、投稿辅导的网站。
　　本站提供如何投稿辅导，寻求投稿辅导合作，快速投稿辅导，投稿辅导格式指导等解决方案：省级投稿辅导/国家级投稿辅导/核心期刊投稿辅导//职称投稿辅导。

---

　　【免责声明】本文仅代表作者本人观点，与投稿辅导_期刊发表_中国期刊库专业期刊网站无关。投稿辅导_期刊发表_中国期刊库专业期刊网站站对文中陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考，并请自行承担全部责任。