一種賬戶審計(jì)方法
【專利摘要】本發(fā)明提供了一種賬戶審計(jì)方法，其包括以下步驟：用戶身份關(guān)聯(lián)、資產(chǎn)關(guān)聯(lián)、操作行為分析、高危行為審計(jì)。本發(fā)明提供的賬戶審計(jì)方法簡(jiǎn)單、易操作，能準(zhǔn)確發(fā)現(xiàn)隱藏在網(wǎng)絡(luò)通信流中網(wǎng)絡(luò)帳號(hào)之間的關(guān)聯(lián)性，這種關(guān)聯(lián)性來源于用戶的上網(wǎng)習(xí)慣，可以有效克服上網(wǎng)行為關(guān)聯(lián)對(duì)先驗(yàn)關(guān)聯(lián)線索的依賴性，提高對(duì)用戶在多種應(yīng)用上網(wǎng)行為的聯(lián)合審計(jì)能力，具有實(shí)際的應(yīng)用價(jià)值。
【專利說明】
一種賬戶審計(jì)方法
技術(shù)領(lǐng)域
[0001]本發(fā)明涉及到電信技術(shù)領(lǐng)域，特別是一種賬戶審計(jì)方法。
【背景技術(shù)】
[0002]近十年來，隨著Web2.0理念的深入，越來越多的在線社交媒體出現(xiàn)，其發(fā)展迅速，種類多樣。人們?cè)谔摂M社會(huì)網(wǎng)絡(luò)空間中的行為直接反映了其在真實(shí)世界中的身份、社會(huì)關(guān)系和活動(dòng)規(guī)律。因此，虛擬社會(huì)網(wǎng)絡(luò)已經(jīng)形成一種新形態(tài)的數(shù)字社會(huì)，成為連接物理社交世界和虛擬網(wǎng)絡(luò)空間的橋梁。由于社會(huì)媒體詳細(xì)記錄了用戶的思想和行為軌跡，這使得利用計(jì)算技術(shù)觀察和研究社會(huì)成為可能。因此，社交媒體在定向信息推送、推薦系統(tǒng)、輿論監(jiān)管等方面占據(jù)出舉足輕重的地位。
[0003]但是，網(wǎng)絡(luò)的虛擬性和匿名化掩蓋了用戶的真實(shí)身份。由于用戶的個(gè)性化信息與用戶隱私密切相關(guān)，所以互聯(lián)網(wǎng)服務(wù)提供商一般會(huì)對(duì)用戶數(shù)據(jù)進(jìn)行匿名化處理之后再提供共享或?qū)ν獍l(fā)布。而且，社交媒體的豐富資源帶來信息交流方式的多樣化，人們傾向于使用多種渠道進(jìn)行線上溝通，并有意識(shí)地區(qū)分不同網(wǎng)絡(luò)行為所使用的用戶標(biāo)識(shí)，這使得同一個(gè)真實(shí)的社會(huì)實(shí)體在虛擬網(wǎng)絡(luò)環(huán)境中擁有多個(gè)賬號(hào)、多重身份。
[0004]目前，現(xiàn)有方法基于用戶上網(wǎng)登記信息(如接入賬號(hào)、手機(jī)號(hào)等)進(jìn)行有限的賬號(hào)關(guān)聯(lián)，但是在沒有用戶上網(wǎng)接入賬號(hào)的情況下，用戶上網(wǎng)行為是無(wú)法準(zhǔn)確關(guān)聯(lián)的。另一些方法側(cè)重于在單一數(shù)據(jù)源上對(duì)匿名的網(wǎng)絡(luò)用戶進(jìn)行獨(dú)立分析和行為審計(jì)，但是用戶的各種信息會(huì)碎片化地散布在各個(gè)社交媒體中，單一的社交媒體所提供的信息是不完整的，無(wú)法還原一個(gè)真實(shí)社會(huì)實(shí)體的上網(wǎng)行為整體全貌。
[0005]由于在網(wǎng)絡(luò)數(shù)據(jù)中信息是離散、無(wú)序的，附屬于同一社會(huì)實(shí)體的多種用戶身份的關(guān)聯(lián)線索無(wú)據(jù)可循，因此在多種數(shù)據(jù)流空間中對(duì)表象獨(dú)立的用戶身份進(jìn)行關(guān)聯(lián)融合是一個(gè)具有挑戰(zhàn)性的課題。在現(xiàn)實(shí)工作中面臨著諸多困難，如:網(wǎng)絡(luò)流量巨大，導(dǎo)致簡(jiǎn)單的數(shù)據(jù)挖掘方法無(wú)法滿足處理規(guī)模的制約；目標(biāo)社會(huì)屬性稀缺，導(dǎo)致目標(biāo)社會(huì)身份的推測(cè)異常困難；NAT、動(dòng)態(tài)IP等技術(shù)廣泛應(yīng)用，導(dǎo)致在難以尋找可靠的用戶標(biāo)識(shí)關(guān)聯(lián)依據(jù);數(shù)據(jù)資源協(xié)議多樣、形態(tài)復(fù)雜，導(dǎo)致缺乏有效的方法適應(yīng)異構(gòu)的原始數(shù)據(jù)。
[0006]因此，如何在網(wǎng)絡(luò)原始流中，不依賴先驗(yàn)的線索，自動(dòng)挖掘跨域上網(wǎng)賬號(hào)的同源性，關(guān)聯(lián)上網(wǎng)用戶對(duì)多種社交媒體的訪問行為，是必需認(rèn)真解決的技術(shù)問題。

【發(fā)明內(nèi)容】

[0007]為解決上述技術(shù)問題，本發(fā)明提供了一種賬戶審計(jì)方法，其包括以下步驟:
[0008]用戶身份關(guān)聯(lián):
[0009]將系統(tǒng)層的日志、數(shù)據(jù)庫(kù)日志、應(yīng)用層的日志及網(wǎng)絡(luò)數(shù)據(jù)和實(shí)際用戶關(guān)聯(lián)，實(shí)現(xiàn)對(duì)不同用戶之間的操作的日志進(jìn)行關(guān)聯(lián)審計(jì)，區(qū)分不同用戶行為和聚合同一用戶的行為；
[0010]資廣關(guān)聯(lián):
[0011]審計(jì)結(jié)果與資產(chǎn)進(jìn)行關(guān)聯(lián)，以實(shí)現(xiàn)事件和資產(chǎn)的對(duì)應(yīng)，直觀地為相關(guān)系統(tǒng)管理人員、安全人員提供具體系統(tǒng)的安全狀況，資產(chǎn)關(guān)聯(lián)能力可以通過兩種方式實(shí)現(xiàn):
[0012]如果審計(jì)系統(tǒng)中具備資產(chǎn)管理的能力，審計(jì)出的事件和內(nèi)置的資產(chǎn)管理模塊進(jìn)行關(guān)聯(lián)分析；
[0013]如果審計(jì)系統(tǒng)中不具備資產(chǎn)管理能力，與4A平臺(tái)的資源管理模塊進(jìn)行結(jié)合，通過對(duì)其進(jìn)行查詢操作，實(shí)現(xiàn)和審計(jì)事件的關(guān)聯(lián)分析；
[0014]操作行為分析:
[0015]通過審計(jì)系統(tǒng)，要在全部網(wǎng)絡(luò)事件中審計(jì)出用戶操作行為，將系統(tǒng)層的日志、數(shù)據(jù)庫(kù)日志、應(yīng)用層的日志及網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行相互關(guān)聯(lián)，對(duì)財(cái)務(wù)數(shù)據(jù)相關(guān)的關(guān)鍵系統(tǒng)數(shù)據(jù)進(jìn)行訪問、修改和刪除，需要再現(xiàn)用戶的完整操作過程；
[0016]根據(jù)日志或網(wǎng)絡(luò)數(shù)據(jù)生成用戶操作行為，依據(jù)模型能進(jìn)行準(zhǔn)確的異常行為檢測(cè)；
[0017]對(duì)不規(guī)則或頻繁出現(xiàn)的事件進(jìn)行統(tǒng)計(jì)分析、過濾和事件聚合，同時(shí)提供自定義匹配模式查詢功能；
[0018]對(duì)安全事件進(jìn)行關(guān)聯(lián)，將來自不同設(shè)備的海量日志關(guān)聯(lián)為準(zhǔn)確的操作行為，并對(duì)特定安全事件實(shí)現(xiàn)還原；
[0019]高危行為審計(jì):
[0020]導(dǎo)入高危行為審計(jì)描述文件:包括自身系統(tǒng)重要操作或者危險(xiǎn)操作列表、操作級(jí)另IJ、對(duì)應(yīng)的說明、高危操作的具體指令或特征值;對(duì)以下高危行為進(jìn)行審計(jì):
[0021]系統(tǒng)層:系統(tǒng)文件刪除、系統(tǒng)文件的修改、系統(tǒng)文件屬性修改、格式化磁盤、操作服務(wù)端口開啟、啟動(dòng)后臺(tái)進(jìn)程和可執(zhí)行文件安裝；
[0022]數(shù)據(jù)庫(kù):關(guān)鍵數(shù)據(jù)表的插入、修改及刪除；
[0023]應(yīng)用層:用戶數(shù)據(jù)的修改、關(guān)鍵業(yè)務(wù)參數(shù)配置的修改；
[0024]各層共性的高危操作:用戶越權(quán)訪問、用戶權(quán)限升級(jí)、更改口令、新建用戶、非正常時(shí)間登陸、多次錯(cuò)誤登陸、審計(jì)策略更改和其他異常事件。
[0025]較佳地，還包括以下步驟:
[0026]審計(jì)查詢:按照如下關(guān)鍵詞或者關(guān)鍵詞組合進(jìn)行查詢、產(chǎn)生審計(jì)報(bào)告，所述關(guān)鍵詞包括操作人員主帳號(hào)、操作行為、被訪問資源名稱或IP、操作時(shí)間、操作系統(tǒng)帳號(hào)或從帳號(hào)、異常操作。
[0027 ]較佳地，用戶的身份關(guān)聯(lián)可以通過以下兩種方式實(shí)現(xiàn):
[0028]如果審計(jì)系統(tǒng)采集到的日志含有用戶主帳號(hào)UID信息，或?qū)徲?jì)系統(tǒng)具備用戶身份數(shù)據(jù)庫(kù)，則由審計(jì)系統(tǒng)自身完成用戶身份關(guān)聯(lián)分析；
[0029]如果審計(jì)系統(tǒng)中不具備上述條件，則和4A平臺(tái)的集中帳號(hào)管理模塊進(jìn)行結(jié)合，實(shí)現(xiàn)和用戶主帳號(hào)的關(guān)聯(lián)。
[0030]本發(fā)明具有以下有益效果:
[0031]本發(fā)明提供的賬戶審計(jì)方法簡(jiǎn)單、易操作，能準(zhǔn)確發(fā)現(xiàn)隱藏在網(wǎng)絡(luò)通信流中網(wǎng)絡(luò)帳號(hào)之間的關(guān)聯(lián)性，這種關(guān)聯(lián)性來源于用戶的上網(wǎng)習(xí)慣，可以有效克服上網(wǎng)行為關(guān)聯(lián)對(duì)先驗(yàn)關(guān)聯(lián)線索的依賴性，提高對(duì)用戶在多種應(yīng)用上網(wǎng)行為的聯(lián)合審計(jì)能力，具有實(shí)際的應(yīng)用價(jià)值。
[0032]當(dāng)然，實(shí)施本發(fā)明的任一產(chǎn)品并不一定需要同時(shí)達(dá)到以上所述的所有優(yōu)點(diǎn)。
【附圖說明】
[0033]為了更清楚地說明本發(fā)明實(shí)施例的技術(shù)方案，下面將對(duì)實(shí)施例描述所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù)這些附圖獲得其他的附圖。
[0034]圖1為本發(fā)明實(shí)施例提供的賬戶審計(jì)方法流程示意圖。
【具體實(shí)施方式】
[0035]下面將結(jié)合本發(fā)明實(shí)施例中的附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清楚、完整地描述，顯然，所描述的實(shí)施例僅僅是本發(fā)明一部分實(shí)施例，而不是全部的實(shí)施例?；诒景l(fā)明中的實(shí)施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動(dòng)前提下所獲得的所有其它實(shí)施例，都屬于本發(fā)明保護(hù)的范圍。
[0036]如圖1所示，本發(fā)明實(shí)施例提供了一種賬戶審計(jì)方法，其包括以下步驟:
[0037]用戶身份關(guān)聯(lián):
[0038]將系統(tǒng)層的日志、數(shù)據(jù)庫(kù)日志、應(yīng)用層的日志及網(wǎng)絡(luò)數(shù)據(jù)和實(shí)際用戶關(guān)聯(lián)，實(shí)現(xiàn)對(duì)不同用戶之間的操作的日志進(jìn)行關(guān)聯(lián)審計(jì)，區(qū)分不同用戶行為和聚合同一用戶的行為；
[0039]資產(chǎn)關(guān)聯(lián):
[0040]審計(jì)結(jié)果與資產(chǎn)進(jìn)行關(guān)聯(lián)，以實(shí)現(xiàn)事件和資產(chǎn)的對(duì)應(yīng)，直觀地為相關(guān)系統(tǒng)管理人員、安全人員提供具體系統(tǒng)的安全狀況，資產(chǎn)關(guān)聯(lián)能力可以通過兩種方式實(shí)現(xiàn):
[0041]如果審計(jì)系統(tǒng)中具備資產(chǎn)管理的能力，審計(jì)出的事件和內(nèi)置的資產(chǎn)管理模塊進(jìn)行關(guān)聯(lián)分析；
[0042]如果審計(jì)系統(tǒng)中不具備資產(chǎn)管理能力，與4A平臺(tái)的資源管理模塊進(jìn)行結(jié)合，通過對(duì)其進(jìn)行查詢操作，實(shí)現(xiàn)和審計(jì)事件的關(guān)聯(lián)分析；
[0043]操作行為分析:
[0044]通過審計(jì)系統(tǒng)，要在全部網(wǎng)絡(luò)事件中審計(jì)出用戶操作行為，將系統(tǒng)層的日志、數(shù)據(jù)庫(kù)日志、應(yīng)用層的日志及網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行相互關(guān)聯(lián)，對(duì)財(cái)務(wù)數(shù)據(jù)相關(guān)的關(guān)鍵系統(tǒng)數(shù)據(jù)進(jìn)行訪問、修改和刪除，需要再現(xiàn)用戶的完整操作過程；
[0045]根據(jù)日志或網(wǎng)絡(luò)數(shù)據(jù)生成用戶操作行為，依據(jù)模型能進(jìn)行準(zhǔn)確的異常行為檢測(cè)；
[0046]對(duì)不規(guī)則或頻繁出現(xiàn)的事件進(jìn)行統(tǒng)計(jì)分析、過濾和事件聚合，同時(shí)提供自定義匹配模式查詢功能；
[0047]對(duì)安全事件進(jìn)行關(guān)聯(lián)，將來自不同設(shè)備的海量日志關(guān)聯(lián)為準(zhǔn)確的操作行為，并對(duì)特定安全事件實(shí)現(xiàn)還原；
[0048]高危行為審計(jì):
[0049]導(dǎo)入高危行為審計(jì)描述文件:包括自身系統(tǒng)重要操作或者危險(xiǎn)操作列表、操作級(jí)另IJ、對(duì)應(yīng)的說明、高危操作的具體指令或特征值;對(duì)以下高危行為進(jìn)行審計(jì):
[0050]系統(tǒng)層:系統(tǒng)文件刪除、系統(tǒng)文件的修改、系統(tǒng)文件屬性修改、格式化磁盤、操作服務(wù)端口開啟、啟動(dòng)后臺(tái)進(jìn)程和可執(zhí)行文件安裝；
[0051 ]數(shù)據(jù)庫(kù):關(guān)鍵數(shù)據(jù)表的插入、修改及刪除；
[0052]應(yīng)用層:用戶數(shù)據(jù)的修改、關(guān)鍵業(yè)務(wù)參數(shù)配置的修改；
[0053]各層共性的高危操作:用戶越權(quán)訪問、用戶權(quán)限升級(jí)、更改口令、新建用戶、非正常時(shí)間登陸、多次錯(cuò)誤登陸、審計(jì)策略更改和其他異常事件。
[0054]較佳地，還包括以下步驟:
[0055]審計(jì)查詢:按照如下關(guān)鍵詞或者關(guān)鍵詞組合進(jìn)行查詢、產(chǎn)生審計(jì)報(bào)告，所述關(guān)鍵詞包括操作人員主帳號(hào)、操作行為、被訪問資源名稱或IP、操作時(shí)間、操作系統(tǒng)帳號(hào)或從帳號(hào)、異常操作。
[0056]較佳地，用戶的身份關(guān)聯(lián)可以通過以下兩種方式實(shí)現(xiàn):
[0057]如果審計(jì)系統(tǒng)采集到的日志含有用戶主帳號(hào)UID信息，或?qū)徲?jì)系統(tǒng)具備用戶身份數(shù)據(jù)庫(kù)，則由審計(jì)系統(tǒng)自身完成用戶身份關(guān)聯(lián)分析；
[0058]如果審計(jì)系統(tǒng)中不具備上述條件，則和4A平臺(tái)的集中帳號(hào)管理模塊進(jìn)行結(jié)合，實(shí)現(xiàn)和用戶主帳號(hào)的關(guān)聯(lián)。
[0059]本發(fā)明提供的賬戶審計(jì)方法簡(jiǎn)單、易操作，能準(zhǔn)確發(fā)現(xiàn)隱藏在網(wǎng)絡(luò)通信流中網(wǎng)絡(luò)帳號(hào)之間的關(guān)聯(lián)性，這種關(guān)聯(lián)性來源于用戶的上網(wǎng)習(xí)慣，可以有效克服上網(wǎng)行為關(guān)聯(lián)對(duì)先驗(yàn)關(guān)聯(lián)線索的依賴性，提高對(duì)用戶在多種應(yīng)用上網(wǎng)行為的聯(lián)合審計(jì)能力，具有實(shí)際的應(yīng)用價(jià)值。
[0060]以上公開的本發(fā)明優(yōu)選實(shí)施例只是用于幫助闡述本發(fā)明。優(yōu)選實(shí)施例并沒有詳盡敘述所有的細(xì)節(jié)，也不限制該發(fā)明僅為所述的【具體實(shí)施方式】。顯然，根據(jù)本說明書的內(nèi)容，可作很多的修改和變化。本說明書選取并具體描述這些實(shí)施例，是為了更好地解釋本發(fā)明的原理和實(shí)際應(yīng)用，從而使所屬技術(shù)領(lǐng)域技術(shù)人員能很好地理解和利用本發(fā)明。本發(fā)明僅受權(quán)利要求書及其全部范圍和等效物的限制。
【主權(quán)項(xiàng)】
1.一種賬戶審計(jì)方法，其特征在于，包括以下步驟: 用戶身份關(guān)聯(lián): 將系統(tǒng)層的日志、數(shù)據(jù)庫(kù)日志、應(yīng)用層的日志及網(wǎng)絡(luò)數(shù)據(jù)和實(shí)際用戶關(guān)聯(lián)，實(shí)現(xiàn)對(duì)不同用戶之間的操作的日志進(jìn)行關(guān)聯(lián)審計(jì)，區(qū)分不同用戶行為和聚合同一用戶的行為； 資廣關(guān)聯(lián): 審計(jì)結(jié)果與資產(chǎn)進(jìn)行關(guān)聯(lián)，以實(shí)現(xiàn)事件和資產(chǎn)的對(duì)應(yīng)，直觀地為相關(guān)系統(tǒng)管理人員、安全人員提供具體系統(tǒng)的安全狀況，資產(chǎn)關(guān)聯(lián)能力可以通過兩種方式實(shí)現(xiàn): 如果審計(jì)系統(tǒng)中具備資產(chǎn)管理的能力，審計(jì)出的事件和內(nèi)置的資產(chǎn)管理模塊進(jìn)行關(guān)聯(lián)分析； 如果審計(jì)系統(tǒng)中不具備資產(chǎn)管理能力，與4A平臺(tái)的資源管理模塊進(jìn)行結(jié)合，通過對(duì)其進(jìn)行查詢操作，實(shí)現(xiàn)和審計(jì)事件的關(guān)聯(lián)分析； 操作行為分析: 通過審計(jì)系統(tǒng)，要在全部網(wǎng)絡(luò)事件中審計(jì)出用戶操作行為，將系統(tǒng)層的日志、數(shù)據(jù)庫(kù)日志、應(yīng)用層的日志及網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行相互關(guān)聯(lián)，對(duì)財(cái)務(wù)數(shù)據(jù)相關(guān)的關(guān)鍵系統(tǒng)數(shù)據(jù)進(jìn)行訪問、修改和刪除，需要再現(xiàn)用戶的完整操作過程； 根據(jù)日志或網(wǎng)絡(luò)數(shù)據(jù)生成用戶操作行為，依據(jù)模型能進(jìn)行準(zhǔn)確的異常行為檢測(cè)； 對(duì)不規(guī)則或頻繁出現(xiàn)的事件進(jìn)行統(tǒng)計(jì)分析、過濾和事件聚合，同時(shí)提供自定義匹配模式查詢功能； 對(duì)安全事件進(jìn)行關(guān)聯(lián)，將來自不同設(shè)備的海量日志關(guān)聯(lián)為準(zhǔn)確的操作行為，并對(duì)特定安全事件實(shí)現(xiàn)還原； 高危行為審計(jì): 導(dǎo)入高危行為審計(jì)描述文件:包括自身系統(tǒng)重要操作或者危險(xiǎn)操作列表、操作級(jí)別、對(duì)應(yīng)的說明、高危操作的具體指令或特征值;對(duì)以下高危行為進(jìn)行審計(jì): 系統(tǒng)層:系統(tǒng)文件刪除、系統(tǒng)文件的修改、系統(tǒng)文件屬性修改、格式化磁盤、操作服務(wù)端口開啟、啟動(dòng)后臺(tái)進(jìn)程和可執(zhí)行文件安裝； 數(shù)據(jù)庫(kù):關(guān)鍵數(shù)據(jù)表的插入、修改及刪除； 應(yīng)用層:用戶數(shù)據(jù)的修改、關(guān)鍵業(yè)務(wù)參數(shù)配置的修改； 各層共性的高危操作:用戶越權(quán)訪問、用戶權(quán)限升級(jí)、更改口令、新建用戶、非正常時(shí)間登陸、多次錯(cuò)誤登陸、審計(jì)策略更改和其他異常事件。2.如權(quán)利要求1所述的賬戶審計(jì)方法，其特征在于，還包括以下步驟: 審計(jì)查詢:按照如下關(guān)鍵詞或者關(guān)鍵詞組合進(jìn)行查詢、產(chǎn)生審計(jì)報(bào)告，所述關(guān)鍵詞包括操作人員主帳號(hào)、操作行為、被訪問資源名稱或I P、操作時(shí)間、操作系統(tǒng)帳號(hào)或從帳號(hào)、異常操作。3.如權(quán)利要求1所述的賬戶審計(jì)方法，其特征在于，用戶的身份關(guān)聯(lián)可以通過以下兩種方式實(shí)現(xiàn): 如果審計(jì)系統(tǒng)采集到的日志含有用戶主帳號(hào)U I D信息，或?qū)徲?jì)系統(tǒng)具備用戶身份數(shù)據(jù)庫(kù)，則由審計(jì)系統(tǒng)自身完成用戶身份關(guān)聯(lián)分析； 如果審計(jì)系統(tǒng)中不具備上述條件，則和4A平臺(tái)的集中帳號(hào)管理模塊進(jìn)行結(jié)合，實(shí)現(xiàn)和用戶主帳號(hào)的關(guān)聯(lián)。
【文檔編號(hào)】H04L29/06GK105933311SQ201610247969
【公開日】2016年9月7日
【申請(qǐng)日】2016年4月19日
【發(fā)明人】孫樂高
【申請(qǐng)人】安徽電信規(guī)劃設(shè)計(jì)有限責(zé)任公司