【正文】 點的平臺，平臺需要數(shù)據(jù)訪問的透明性以及實現(xiàn)數(shù)據(jù)源的及時可用性，因此平臺需要設計一個合理方案，以對來自不同數(shù)據(jù)源的各種數(shù)據(jù)進行表示，從而便于進行統(tǒng)一處理；其次則應考慮異構(gòu)數(shù)據(jù)轉(zhuǎn)換問題，將來自不同數(shù)據(jù)源的各種數(shù)據(jù)轉(zhuǎn)換成集成系統(tǒng)能進一步處理的統(tǒng)一格式；另外還必須定義基本運算，進行信息數(shù)據(jù)的歸并，從而能夠有效完成數(shù)據(jù)查詢、存取等具體功能。因此數(shù)據(jù)采集引擎在通過一定的協(xié)議或者文件方式采集到大量的原始數(shù)據(jù)后，會對數(shù)據(jù)進行如下的處理：　　數(shù)據(jù)格式統(tǒng)一標準化，因為數(shù)據(jù)來源來自多種不同類型的設備和系統(tǒng)，數(shù)據(jù)采集方式也存在著較大的差異化，導致獲取到的原始數(shù)據(jù)格式是多種多樣的，因此數(shù)據(jù)采集層首先將原始數(shù)據(jù)按照平臺規(guī)定的數(shù)據(jù)格式，進行統(tǒng)一標準化處理?！　?shù)據(jù)歸并，針對海量的原始數(shù)據(jù)，數(shù)據(jù)采集層會按照安全事件的類型、安全事件發(fā)生的時間、安全事件的次數(shù)等條件對原始數(shù)據(jù)進行必須的歸并?！　?shù)據(jù)壓縮，當大量的數(shù)據(jù)在網(wǎng)絡中傳輸時，勢必會造成網(wǎng)絡擁擠，影響正常的業(yè)務應用。為了保證網(wǎng)絡傳輸?shù)臅惩?，?shù)據(jù)采集層對原始數(shù)據(jù)一定的壓縮處理，再提交到數(shù)據(jù)傳輸接口?！　?shù)據(jù)傳輸，此為數(shù)據(jù)采集層向數(shù)據(jù)處理層提交數(shù)據(jù)的傳輸接口。　　五、 數(shù)據(jù)處理層　　數(shù)據(jù)采集引擎將標準化和歸并后的安全告警數(shù)據(jù)、性能數(shù)據(jù)、配置數(shù)據(jù)、故障數(shù)據(jù)等信息提交給平臺的核心數(shù)據(jù)處理系統(tǒng)后，核心數(shù)據(jù)處理系統(tǒng)能夠有效識別各類數(shù)據(jù)，并將不同的數(shù)據(jù)分發(fā)給不同的數(shù)據(jù)處理子系統(tǒng)進行處理，防止同一數(shù)據(jù)被不同的數(shù)據(jù)處理子系統(tǒng)分別處理?！　∥覀儗⒃紨?shù)據(jù)分為三類：業(yè)務系統(tǒng)數(shù)據(jù)、網(wǎng)絡數(shù)據(jù)和安全數(shù)據(jù)，因此數(shù)據(jù)處理平臺設計了如下三個數(shù)據(jù)處理子系統(tǒng)：　　業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)；　　網(wǎng)絡數(shù)據(jù)處理子系統(tǒng)；　　安全數(shù)據(jù)處理子系統(tǒng)?！　?業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)　　業(yè)務系統(tǒng)數(shù)據(jù)的來源，主要是：業(yè)務系統(tǒng)、日志服務器等。數(shù)據(jù)采集平臺通過程序接口訪問業(yè)務系統(tǒng)獲取主要監(jiān)測數(shù)據(jù)，提交給數(shù)據(jù)處理平臺后，數(shù)據(jù)處理平臺進行初步判斷，檢測為業(yè)務系統(tǒng)數(shù)據(jù)，會自動提交給業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)。在業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)中，我們又將數(shù)據(jù)進行了一定的分門別類，具體類別如下：　　操作系統(tǒng)數(shù)據(jù)；　　數(shù)據(jù)庫系統(tǒng)數(shù)據(jù)；　　中間件系統(tǒng)數(shù)據(jù)。　　業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)定期自動向安全數(shù)據(jù)處理子系統(tǒng)輸出數(shù)據(jù)。業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)在進行數(shù)據(jù)處理時，一旦檢測到各種異常，就會生成特定安全事件，并隨時輸出到安全數(shù)據(jù)處理子系統(tǒng)，作為安全數(shù)據(jù)處理子系統(tǒng)的數(shù)據(jù)來源之一。　　 操作系統(tǒng)數(shù)據(jù)處理 　　業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)在獲取到操作系統(tǒng)數(shù)據(jù)后，會根據(jù)不同操作系統(tǒng)的特性，對數(shù)據(jù)進行一定的處理?！　∑脚_所支持的操作系統(tǒng)類型，至少包括：Windows2000/2003服務器系統(tǒng)、Linux服務器系統(tǒng)、IBM AIX服務器系統(tǒng)、SUN Solaris服務器系統(tǒng)、HP UNIX服務器系統(tǒng)、Tru64服務器系統(tǒng)等?！　〔僮飨到y(tǒng)數(shù)據(jù)處理的內(nèi)容，如下表所示：序號類別描述1基本信息整理操作系統(tǒng)所屬主機名稱、網(wǎng)絡接口數(shù)量，每個接口的IP地址/MAC地址、子網(wǎng)掩碼等；最近24小時內(nèi)主機操作系統(tǒng)連接狀態(tài)的統(tǒng)計分析2CPU靜態(tài)信息整理CPU編號、核心數(shù)、CPU品牌3CPU動態(tài)信息整理記錄時間、CPU使用率4內(nèi)存動態(tài)信息總物理內(nèi)存、可用物理內(nèi)存、總虛擬內(nèi)存、可用虛擬內(nèi)存、總頁面文件大小、可用頁面文件大小、記錄時間、內(nèi)存使用率5系統(tǒng)進程動態(tài)信息進程ID、使用用戶、映像名稱、CPU使用率、內(nèi)存、記錄時間6硬盤動態(tài)信息掛載點、類型、總大小、可用大小、文件系統(tǒng)類別、硬盤IO、記錄時間7性能事件在業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)檢測到某個操作系統(tǒng)的CPU使用率、內(nèi)存使用率、硬盤空間使用率等性能指標超過特定閥值時，會自動生成性能事件，隨后提交給安全數(shù)據(jù)處理子系統(tǒng)。8故障事件在業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)檢測到某個主機設備由UP狀態(tài)轉(zhuǎn)換為DOWN狀態(tài)等，會自動生成故障事件，隨后提交給安全數(shù)據(jù)處理子系統(tǒng)?！　?數(shù)據(jù)庫系統(tǒng)數(shù)據(jù)處理　　業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)在獲取到數(shù)據(jù)庫系統(tǒng)數(shù)據(jù)后，會根據(jù)不同的數(shù)據(jù)庫系統(tǒng)特性，對數(shù)據(jù)進行一定的處理?！　∑脚_所支持的數(shù)據(jù)庫系統(tǒng)類型，至少包括： DBOracle、SQL Server、MYSQL等?！　?shù)據(jù)庫系統(tǒng)數(shù)據(jù)處理內(nèi)容，如下表所示：序號類別描述1基本信息整理數(shù)據(jù)庫名稱、數(shù)據(jù)路徑、基本目錄、數(shù)據(jù)庫版本、字符集、配置的臨時表大小、臨時表目錄、更新時間2數(shù)據(jù)表信息表的名稱、行的格式、行數(shù)、索引長度、表的類型、當前大小、擴展大小、表創(chuàng)建時間、表更新時間、更新時間等信息3緩存信息創(chuàng)建的臨時文件數(shù)目、創(chuàng)建的臨時表數(shù)目、在查詢緩存中的空閑內(nèi)存塊數(shù)量、查詢緩存中空閑內(nèi)存數(shù)量、查詢緩沖的請求命中率、添加到插敘緩存中的查詢數(shù)量、由于低內(nèi)存而從查詢緩存中刪除的查詢數(shù)量、注冊在查詢緩存中的查詢請求數(shù)量、在插敘緩存中塊的總數(shù)目、使用內(nèi)存大小、打開表的數(shù)量、打開過的表的數(shù)量、表緩存配置數(shù)、更新時間等信息4線程信息緩存中的線程數(shù)、為處理遠程連接請求創(chuàng)建的線程總數(shù)、當前打開的連接數(shù)、處于非睡眠狀態(tài)的線程數(shù)、更新時間等信息5鎖信息表的直接鎖定次數(shù)、鎖等待的次數(shù)、更新時間等信息6頁和行鎖信息數(shù)據(jù)的頁數(shù)量、臟頁數(shù)目、緩沖池中頁刷新請求數(shù)目、空閑頁的數(shù)量、頁緩存池的大小、頁的大小、當前被等待的行鎖的數(shù)量、共計消耗在獲取行鎖上的時間、為獲取行鎖平均等待時間、更新時間等信息7性能事件在業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)檢測到某個數(shù)據(jù)庫系統(tǒng)的表空間使用率、連接數(shù)使用率等性能指標超過特定閥值時，會自動生成性能事件，隨后提交給安全數(shù)據(jù)處理子系統(tǒng)。8故障事件在業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)檢測到某個數(shù)據(jù)庫系統(tǒng)的實例未啟動、連接服務未啟動、數(shù)據(jù)庫關閉、數(shù)據(jù)庫歸檔日志已滿、數(shù)據(jù)庫連接數(shù)已滿等異常時，自動生成故障事件，隨后提交給安全數(shù)據(jù)處理子系統(tǒng)?！?應用系統(tǒng)數(shù)據(jù)處理 　　業(yè)務系統(tǒng)數(shù)據(jù)處理子系統(tǒng)在獲取到應用系統(tǒng)數(shù)據(jù)后，會根據(jù)不同的應用系統(tǒng)特性，對數(shù)據(jù)進行一定的處理?！　∑脚_能夠支持應用系統(tǒng)類型，至少包括：IBM Websphere、Apache Tomcat、Microsoft IIS等?！　孟到y(tǒng)數(shù)據(jù)處理的內(nèi)容，如下表所示：序