剧本执行方法、装置和计算机设备

技术领域

本申请涉及脚本执行领域，特别是涉及一种剧本执行方法、装置和计算机设备。

背景技术

如今的网络环境越来越复杂，网络安全的意识也在普遍增强，SOAR可做到自动化安全编排来处理相关网络安全事件。

SOAR进行安全编排时，除安全设备的联动外，编排离不开脚本的调用以实现一次性任务或重复系统任务。当下技术中，Python脚本文件如果使用Linux命令行执行接收该数据作为入参时，接收动态参数长度过长，SOAR通过剧本流转参数，进行参数传递时，有时会出现几十兆几百兆的数据作为参数传递，会出现Argument list too long的系统错误，因此会导致剧本无法正常被确定，甚至无法实现正常的剧本运行，大大增加服务器资源消耗的风险。

发明内容

基于此，有必要针对上述技术问题，提供一种剧本执行方法、装置和计算机设备。

第一方面，本申请提供了一种剧本执行方法，所述方法包括：

获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；

根据SOAR系统，获取实时脚本参数；

基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

在其中一个实施例中，所述获取SOAR系统中的历史日志数据，并基于所述历史数据构建剧本参数知识库包括：

获取SOAR系统的历史日志数据；所述历史日志数据包括参数信息以及参数信息对应的历史剧本；

提取所述历史日志数据中所有参数信息以及相应参数的历史剧本；所述参数信息包括参数长度、参数类型以及参数值；

根据所有所述参数信息以及相应参数的历史剧本，构建剧本参数知识库。

在其中一个实施例中，所述提取所述历史日志数据中所有参数信息以及相应参数的历史剧本包括：

从所述历史日志数据中确定无长度报错的日志数据；

提取所述无长度报错的日志数据中，所有参数信息以及相应参数的历史剧本。

在其中一个实施例中，所述根据SOAR系统获取实时脚本参数包括：

获取用户输入的安全触发信息；

基于所述安全触发信息以及SOAR系统，获取实时脚本参数。

在其中一个实施例中，所述基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本包括：

将所述实时脚本参数与所述剧本参数知识库中的参数信息进行匹配；

确定与实时脚本参数相匹配的目标参数信息；

将目标参数信息对应的历史剧本，作为实时剧本。

在其中一个实施例中，所述确定实时剧本并执行包括：

确定实时剧本是否规范；

若规范，则将所述实时剧本解析为目标格式的实时剧本；所述目标格式包括AST语法树格式；

基于内置函数对所述目标格式的实时剧本进行执行。

在其中一个实施例中，所述内置函数包括exec函数。

第二方面，本申请还提供了一种剧本执行装置，所述装置包括：

构建模块，用于获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；

获取模块，用于根据SOAR系统，获取实时脚本参数；

执行模块，用于基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

第三方面，本申请还提供了一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；

根据SOAR系统，获取实时脚本参数；

基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

第四方面，本申请还提供了一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；

根据SOAR系统，获取实时脚本参数；

基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

上述剧本执行方法、装置和计算机设备，通过获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；根据SOAR系统，获取实时脚本参数；基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。上述剧本执行方法，基于SOAR系统获取的实时脚本参数以及预先设定的剧本参数知识库精准确定实时剧本并执行，精准确定执行剧本，进而实现正常的剧本运行，降低了服务器资源消耗的风险。

附图说明

为了更清楚地说明本申请实施例或传统技术中的技术方案，下面将对实施例或传统技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为一个实施例中剧本执行方法的应用环境图；

图2为本发明一个实施例的剧本执行方法的流程示意图；

图3为本发明一个实施例中的剧本执行方法的具体实施过程的流程示意图；

图4为本发明一个实施例中的剧本执行装置的结构框图；

图5为本发明一个实施例中的计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅用以解释本申请，并不用于限定本申请。

SOAR：Security Orchestration,Automation and Response(SOAR)安全编排和自动化响应。大量的安全事件，都需要安全分析师的介入，运营成本高，企业需要用更少的钱，来做更多的事。加上安全分析师的分析时间，经常被浪费在一些低级别或无关紧要的事件分析上。传统的安全响应执行过程，响应时间长，人工介入多，相关处理过程难以定量评估。为了解决以上问题，出现了SOAR，主要包括编排，自动化，以及合理的KPI评估体系。

注册中心：存储微服务系统注册的配置信息、网络信息，提供服务发现功能。

脚本引擎：执行内置的Python脚本的系统服务。

网关：http请求调用脚本引擎时，通过该组件去做分发请求。

Ailpha：处理大数据日志的安全分析平台，用于获取安全分析后的安全日志。

当下技术中，SOAR安全编排复杂的剧本时，往往需要搭配脚本来判断下一步的处置动作或者处置方向，慢慢的会增加脚本数量而难以管理；Python脚本通过命令行执行文件时(即“python文件名args参数”方式执行)，如果传入args参数长度过大(几十兆或者几百兆的参数大小)时会导致linux的系统错误，导致脚本运行错误使安全剧本无法达到预期的效果。

本申请实施例提供剧本执行方法，可以应用于如图1所示的应用环境中。其中，终端102通过网络与服务器104进行通信。数据存储系统可以存储服务器104需要处理的数据。数据存储系统可以集成在服务器104上，也可以放在云上或其他网络服务器上。用户在终端102上做出当前行为，终端102将当前行为数据传输给服务器104，服务器104获取系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；根据系统，获取实时脚本参数；基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。其中，终端102可以但不限于是各种智能汽车，个人计算机、笔记本电脑、智能手机、平板电脑、物联网设备和便携式可穿戴设备，物联网设备可为智能音箱、智能电视、智能空调、智能车载设备等。便携式可穿戴设备可为智能手表、智能手环、头戴设备，智能车载控制设备等。服务器104可以用独立的服务器或者是多个服务器组成的服务器集群来实现。

在一个实施例中，如图2所示，提供了一种剧本执行方法，本实施例以该方法应用于终端进行举例说明，可以理解的是，该方法也可以应用于服务器，还可以应用于包括终端和服务器的系统，并通过终端和服务器的交互实现。本实施例中，该方法包括以下步骤：

步骤S201，获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库。

具体地，历史日志数据是指用户SOAR系统或者云端SOAR系统中存储的SOAR系统的历史参数数据，所述历史参数数据中包括与剧本执行关联的参数数据，进而基于所述历史参数数据构建剧本参数知识库。

具体地，剧本参数知识库中包括历史日志数据中所有参数信息以及相应参数的历史剧本；所述参数信息包括参数长度、参数类型以及参数值。

具体地，可以将历史参数数据基于用户使用需求进行初步筛选后，基于筛后的历史参数数据构建剧本参数知识库，筛选条件可以依据实际需求进行确定，在此不作一一列举。

步骤S202，根据SOAR系统，获取实时脚本参数。

具体地，SOAR系统接收到人工/自动安全信息后，SOAR系统触发启动，与此同时基于收到的安全信息获取实时脚本参数。

可以理解的，人工/自动安全信息中往往包含着用户对于剧本的选择需求，因此基于人工/自动安全信息解析得到的实时脚本参数信息中也包含着用户对于剧本的选择需求。

步骤S203，基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

具体地，将所述实时脚本参数和所述剧本参数知识库中的参数数据进行匹配，匹配完成后进而确定实时剧本并对应执行剧本。

上述剧本执行方法中，通过获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；根据SOAR系统，获取实时脚本参数；基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。基于SOAR系统获取的实时脚本参数以及预先设定的剧本参数知识库精准确定实时剧本并执行，有效规避了因剧本参数或者传递参数过长导致的剧本执行报错的故障。

在一个实施例中，所述获取SOAR系统中的历史日志数据，并基于所述历史数据构建剧本参数知识库包括：

获取SOAR系统的历史日志数据；所述历史日志数据包括参数信息以及参数信息对应的历史剧本；

提取所述历史日志数据中所有参数信息以及相应参数的历史剧本；所述参数信息包括参数长度、参数类型以及参数值；

根据所有所述参数信息以及相应参数的历史剧本，构建剧本参数知识库。

具体地，历史日志数据是指用户系统或者云端系统中存储的历史参数数据，所述历史参数数据中包括与剧本执行关联的参数数据，因此，所述历史日志数据包括参数信息以及参数信息对应的历史剧本。

具体地，因为历史日志数据中的参数信息包括很多，因此，可以选取其中特征鲜明的参数信息，例如参数长度、参数类型以及参数值等；示例性的，当提取参数长度之后，如果有进一步的长度筛选条件，可以基于提取的参数长度进行进一步筛选；当提取参数类型之后，如果有进一步的种类筛选条件，可以基于提取的参数类型进行进一步筛选；当提取参数值之后，如果有进一步的参数值筛选条件，可以基于提取的参数值进行进一步筛选。

具体地，所有参数信息均有对应的剧本，因此，可以根据所有所述参数信息以及相应参数的历史剧本，构建剧本参数知识库。

上述实施例中，根据历史日志数据中的参数信息以及参数信息对应的历史剧本精准构建剧本参数知识库。

在一个实施例中，所述提取所述历史日志数据中所有参数信息以及相应参数的历史剧本包括：

从所述历史日志数据中确定无长度报错的日志数据；

提取所述无长度报错的日志数据中，所有参数信息以及相应参数的历史剧本。

具体地，因为当参数长度过长时，往往会出现SOAR系统卡顿的情况，导致脚本运行错误使安全剧本无法达到预期的效果，因此，从所述历史日志数据中确定无长度报错的日志数据，再基于无长度报错的日志数据构建剧本参数知识库，得到确保完全安全的剧本参数知识库。

上述实施例中，从所述历史日志数据中确定无长度报错的日志数据，实现了剧本参数知识库进一步筛选构建，确保知识库中的数据为无长度报错的参数数据以及对应的剧本。

在一个实施例中，所述根据SOAR系统获取实时脚本参数包括：

获取用户输入的安全触发信息；

基于所述安全触发信息以及SOAR系统，获取实时脚本参数。

具体地，用户输入的安全触发信息将SOAR系统启动，启动后，SOAR系统可以基于用户后续的指令或者基于用户安全触发信息中所包含的指令信息进行后续操作步骤的确定。

具体地，因为SOAR系统中存在脚本接口，因此可以依靠上述脚本接口获取实时脚本参数，其中，实时脚本参数包括Python脚本的相关请求参数，Python脚本的相关请求参数包括：脚本源程序、脚本执行需要的参数等。

可以理解的，所述实时脚本参数的格式是与剧本参数知识库的数据格式是匹配对应的。

上述实施例中，基于用户输入的安全触发信息中包含的指令信息，能够精准获取对应的实时脚本参数，能够精准实时把握用户需求。

在一个实施例中，所述基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本包括：

将所述实时脚本参数与所述剧本参数知识库中的参数信息进行匹配；

确定与实时脚本参数相匹配的目标参数信息；

将目标参数信息对应的历史剧本，作为实时剧本。

具体地，因为剧本参数知识库是基于历史日志数据进行确定的，因此，当实时脚本参数与剧本参数知识库中的参数信息实现匹配时，基于相匹配的目标参数信息可以精准确定对应的历史剧本，作为实时剧本。

可以理解的，剧本参数知识库还可以是进一步将最原始的参数信息进行条件筛选后的结果，也即剧本参数知识库中包含的参数信息还可以是基于某些条件进行具体限定后的结果，因此，将实时脚本参数与剧本参数知识库中的参数信息进行匹配，也可以实现对应筛选，也即只对符合筛选条件的实时脚本参数进行对应的剧本执行。

上述实施例中，将实时脚本参数与剧本参数知识库中的参数信息进行匹配，基于匹配结果精准确定执行剧本，提高了准确度和安全性。

在一个实施例中，所述确定实时剧本并执行包括：

确定实时剧本是否规范；

若规范，则将所述实时剧本解析为目标格式的实时剧本；所述目标格式包括AST语法树格式；

基于内置函数对所述目标格式的实时剧本进行执行。

具体地，抽象语法树(AST)或语法树是用编程语言编写的源代码的抽象语法结构的树表示。树的每个节点表示在源代码中出现的构造。语法是“抽象的”，因为它不代表真实语法中出现的每个细节，而只是结构、内容相关的细节。例如，分组括号在树结构中是隐式的，并且可以通过具有三个分支的单个节点来表示类似于if-condition-then表达式的句法结构。这将抽象语法树与传统上指定的解析树区分开来，抽象语法树通常电解析器在源代码转换和编译过程中构建，构建完成后，通过后续处理(例如，上下文分析)将附加信息添加到AST。抽象语法树也用于程序分析和程序转换系统。

可以理解的，将实时剧本进一步解析为AST语法树格式的实时剧本，能够由于语法树本身格式的简洁与抽象，因此能够规避因参数长度过长而引起的系统报错。

上述实施例中，将实时剧本进一步解析为AST语法树格式的实时剧本，提高了剧本执行过程中的平稳性和安全性。

在一个实施例中，所述内置函数包括exec函数。

具体地，在Linux中，exec指的是一组函数，一共有6个，分别是：

#include

extern char**environ；

int execl(const char*path,const char*arg,...)；

int execlp(const char*file,const char*arg,...)；

int execle(const char*path,const char*arg,...,char*const envp[])；

int execv(const char*path,char*const argv[])；

int execvp(const char*file,char*const argv[])；

int execve(const char*path,char*const argv[],char*const envp[])；

其中只有execve是真正意义上的系统调用，其它都是在此基础上经过包装的库函数。

在一个实施例中，参阅图3所示，图3是剧本执行方法的具体实施过程的流程示意图，一种剧本执行方法的具体实施过程如下：

1、SOAR人工/安全信息触发，执行编排剧本；

2、剧本流程到Python脚本执行，用于获取相关信息进行判断下一步流程方向；

其中，通过脚本结果判断下一步流程方向继续返回到剧本主流程中继续执行剧本。

3、SOAR通过调用网关从注册中心中获取本发明SOAR系统的地址，将脚本内容及请求入参以rpc/http方式调用本发明进程接口；

其中，网关请求本发明的执行脚本接口，传递Python脚本的相关请求参数(脚本源程序、脚本执行需要的入参)。

4、本发明进程接收到脚本内容及请求入参，通过单独的线程去执行该脚本的编译执行获得执行结果；

其中，本发明接收到网关传递的请求参数，校验Python脚本源程序的规范性(即本发明提供的Python第三方包用于规范脚本内容编写)；校验通过后，本发明主进程通过线程池，开启单独的线程给该Python脚本程序执行使用。

5、该结果返回给SOAR后给到剧本中，该剧本流程以该结果作为判断下一步的依据来执行接下来的动作。

以上使用步骤单剧本会存在多次同样的流程。

其中，本发明将Python源程序内容通过内置函数ast.parse()解析成AST语法树格式；本发明利用内置函数exec将编译后的AST语法进行动态执行，并利用局部变量的形式传入脚本执行所需要的参数；当参数大小、参数值超过参数知识库极值时，自动中断剧本。当参数值缺省时，自动推荐参数平均值给剧本。

示例性的，具体实施代码如下：

exec_dict＝{“param”:code_param}#脚本执行所需参数code_param放入局部变量字典中。

init_ast＝ast.parse(code)#源程序code解析为AST语法树格式。

exec(compile(init_ast,"","exec"),exec_dict)#动态执行编译程序。

其中，exec函数执行后，即脚本执行完，SOAR剧本所需要的结果输出会放入局部变量字典中；通过内置函数eval将执行后的该变量字典解析获取最终结果内容。

应该理解的是，虽然如上所述的各实施例所涉及的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，如上所述的各实施例所涉及的流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

基于同样的发明构思，本申请实施例还提供了一种用于实现上述所涉及的剧本执行方法的剧本执行装置。该装置所提供的解决问题的实现方案与上述方法中所记载的实现方案相似，故下面所提供的一个或多个剧本执行装置实施例中的具体限定可以参见上文中对剧本执行方法的限定，在此不再赘述。

在一个实施例中，如图4所示，提供了一种剧本执行装置，包括：构建模块410、获取模块420和执行模块430，其中：

构建模块410，用于获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库。

构建模块410，还用于获取SOAR系统的历史日志数据；所述历史日志数据包括参数信息以及参数信息对应的历史剧本；

提取所述历史日志数据中所有参数信息以及相应参数的历史剧本；所述参数信息包括参数长度、参数类型以及参数值；

根据所有所述参数信息以及相应参数的历史剧本，构建剧本参数知识库。

构建模块410，还用于从所述历史日志数据中确定无长度报错的日志数据；

提取所述无长度报错的日志数据中，所有参数信息以及相应参数的历史剧本。

构建模块410，还用于将所述实时脚本参数与所述剧本参数知识库中的参数信息进行匹配；

确定与实时脚本参数相匹配的目标参数信息；

将目标参数信息对应的历史剧本，作为实时剧本。

获取模块420，用于根据SOAR系统，获取实时脚本参数。

获取模块420，还用于获取用户输入的安全触发信息；基于所述安全触发信息以及SOAR系统，获取实时脚本参数。

执行模块430，用于基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

执行模块430，还用于确定实时剧本是否规范；

若规范，则将所述实时剧本解析为目标格式的实时剧本；所述目标格式包括AST语法树格式；

基于内置函数对所述目标格式的实时剧本进行执行。

所述内置函数包括exec函数。

上述剧本执行装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图5所示。该计算机设备包括通过系统总线连接的处理器、存储器、通信接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、移动蜂窝网络、NFC(近场通信)或其他技术实现。该计算机程序被处理器执行时以实现一种电池动态一致性的评估装置。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

本领域技术人员可以理解，图5中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述实施例中任一剧本执行方法，示例性的包括以下步骤：

获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；

根据SOAR系统，获取实时脚本参数；

基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行上述实施例中任一剧本执行方法，示例性的包括以下步骤：

获取SOAR系统的历史日志数据，并基于所述历史数据构建剧本参数知识库；

根据SOAR系统，获取实时脚本参数；

基于所述实时脚本参数和所述剧本参数知识库，确定实时剧本并执行。

需要说明的是，本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-OnlyMemory，ROM)、磁带、软盘、闪存、光存储器、高密度嵌入式非易失性存储器、阻变存储器(ReRAM)、磁变存储器(Magnetoresistive Random Access Memory，MRAM)、铁电存储器(Ferroelectric Random Access Memory，FRAM)、相变存储器(Phase Change Memory，PCM)、石墨烯存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器等。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic RandomAccess Memory，DRAM)等。本申请所提供的各实施例中所涉及的数据库可包括关系型数据库和非关系型数据库中至少一种。非关系型数据库可包括基于区块链的分布式数据库等，不限于此。本申请所提供的各实施例中所涉及的处理器可为通用处理器、中央处理器、图形处理器、数字信号处理器、可编程逻辑器、基于量子计算的数据处理逻辑器等，不限于此。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。