CN100555954C - 一种实现用户上网行为审计的方法及系统 - Google Patents

Abstract

本发明公开了一种实现用户上网行为审计的方法及系统，预先对NAT日志建立时间和地址索引，对动态主机配置协议DHCP日志建立时间索引，当查询条件为用户上网时间、用户的外网IP地址和NAT端口时，所述方法包括：根据用户上网时间、用户的外网IP地址和NAT端口，通过所述NAT日志的时间和地址索引从日志中查询包含内网IP地址的相应记录；通过所述DHCP日志的时间索引从DHCP日志中查询包含MAC地址的相应目录；根据所述MAC地址和时间从AAA日志中查询到相应的用户信息，根据所述用户信息对用户上网行为进行审计。本发明通过通过综合利用NAT系统日志、DHCP服务器系统日志和AAA系统日志，从而实现了用户上网信息的可审计性和可溯源性，从而提高了网络可管理性和安全性。

Description

一种实现用户上网行为审计的方法及系统

技术领域

本发明涉及网络的管理和安全技术领域，尤其涉及用户上网行为审计技术。

背景技术

如何感知用户的网络行为，实现对用户上网行为的审计，并根据审计结果对用户上网行为进行控制，一直是网络管理者关注的问题。简单地说，用户上网行为的审计技术是一种对用户上网行为进行记录和分析的方法，包括用户上网数据的采集和用户上网数据的分析等内容。在用户行为审计技术提供的各种分析数据基础上，网络管理者可以根据网络使用状况，对网络安全、用户行为进行有效的监控和管理，同时为网络犯罪提供有力的证据。

目前，在有限的技术条件和管理条件下，比如通过防火墙、网关等，并不能对网络安全及用户行为进行良好的监控和管理，也不能完全实现用户上网信息的可审计性和可溯源性。

发明内容

本发明提供一种用户上网行为审计的方法及系统，通过综合利用NAT系统日志、DHCP服务器系统日志和认证授权和计费系统日志，从而实现了用户上网信息的可审计性和可溯源性，从而提高了网络可管理性和安全性。

本发明提供了一种实现用户上网行为审计的方法，预先对动态主机配置协议DHCP日志建立时间索引，当查询条件为用户上网时间、用户的内网IP地址时，所述方法包括：

根据用户上网时间、用户的内网IP地址，通过所述DHCP日志的时间索引从DHCP日志中查询包含MAC地址的相应目录；

根据所述MAC地址和时间从认证授权和计费日志中查询到相应的用户信息，根据所述用户信息对用户上网行为进行审计。所述用户信息包括下述信息中的一个或多个：用户组、姓名、电话、电子邮件地址、住址。

本发明所述方法，还可以预先对网络地址转换NAT日志建立时间索引，并根据用户的外网IP地址对NAT日志建立地址索引，当查询条件为用户上网时间、用户的外网IP地址和NAT端口时，所述方法还包括：

根据用户上网时间、用户的外网IP地址和NAT端口，通过所述NAT日志的地址索引和时间索引查询到相应的NAT日志文件，并根据所述NAT日志文件查询到与所述外网IP地址对应的内网IP地址。

本发明所述方法还包括：

定期对得到的NAT日志和DHCP日志进行分析处理，过滤掉冗余和无效记录。

本发明还提供了一种实现用户上网行为审计的系统，包括：

DHCP日志单元，用于保存收集到的DHCP日志，并对DHCP日志建立时间索引；

认证授权和计费日志单元，用于保存认证授权和计费日志；

NAT日志单元，用于保存收集到的NAT日志，并对网络地址转换NAT日志建立时间索引和根据用户的外网IP地址对NAT日志建立地址索引。

查询单元，用于根据用户上网时间、用户的内网IP地址，通过所述DHCP日志的时间索引从DHCP日志中查询到相应的MAC地址；根据所述MAC地址和时间从认证授权和计费日志中查询到的用户信息，对用户上网行为进行审计；所述查询单元还用于根据用户上网时间、用户的外网IP地址和NAT端口，通过所述NAT日志的地址索引和时间索引查询到相应的NAT日志文件，并根据所述NAT日志文件查询到与所述外网IP地址对应的内网IP地址。

所述系统还可以包括：

日志分析整理单元，用于定期对得到的NAT日志和DHCP日志进行分析处理，过滤掉冗余和无效记录。

综上所述，本发明提供一种用户上网行为审计的方法及系统，通过综合利用NAT系统日志、DHCP服务器系统日志和认证授权和计费系统日志，从而实现了用户上网信息的可审计性和可溯源性，从而提高了网络可管理性和安全性。

附图说明

图1为本发明实施例中进行NAT日志整理的流程示意图；

图2为本发明实施例中按照NAT设备名称和时间建立索引后NAT日志的文件结构示意图；

图3为本发明实施例中进行DHCP日志获取和整理的流程示意图；

图4为本发明实施例所述方法的流程示意图；

图5为本发明实施例所述系统的结构示意图。

具体实施方式

下面结合附图对本发明实施例所述的实现用户上网行为审计的方法进行详细说明。

在执行本发明实施例所述方法之前，需要对日志进行整理配置，具体包括：

首先需要配置一些参数，这些参数包括：NAT日志的FTP目录、归档目录、NAT日志格式描述，NAT日志保留时间，执行NAT日志预处理的间隔，需要执行的NAT统计。DHCP日志目录，DHCP数据存放目录，服务轮询间隔等，然后进行NAT日志和DHCP日志的整理工作。

定期采集DHCP服务器系统日志(DHCP日志)，在本发明实施例的具体实施过程中，可以通过动态配置DHCP日志获取方式，使用FTP或者网络文件共享等方式获取DHCP日志；NAT设备日志(NAT日志)定期上传到主机，然后对所述DHCP日志和NAT日志进行分析处理，将IP地址分配、IP地址更新等有效信息保留，将其他无用冗余信息删除。

然后分别对DHCP日志和NAT日志按照日期时间进行整理，建立时间索引，同时根据用户的外网IP地址对多个NAT设备的日志建立一个地址索引，具体建立过程，如图1和图2所示，下面分别详细描述。

图1所示为NAT日志文件的整理流程示意图，其具体处理过程如下：

定期扫描源目录中的NAT日志文件，建立日志文件索引信息(按照时间和用户的外网IP地址)，对于多个NAT设备的请况下，每个NAT对应的外网IP地址由用户来配置并生成相应NAT日志目录，同时根据时间来建立各NAT目录下日志文件的归档目录，具体的说包括以下步骤：

步骤11、逐个扫描FTP目录中的NAT日志，从NAT日志中提取NAT设备的名称；

步骤12、判断所述NAT设备的名称是否存在于NAT的二级目录中(所述NAT设备的名称与用户的外网IP地址具有对应的关系)，如果是，则从所述NAT日志中提取时间信息，执行步骤13，否则，建立该NAT设备的二级目录，并且从所述NAT日志中提取时间信息，建立该年月的三级目录和该年月日的四级目录，然后执行步骤15；

步骤13、当从所述NAT日志中提取了时间信息后，判断所述时间信息是否存在于该年月的三级目录中，如果是，则执行步骤14，否则，依次建立该年月的三级目录和四级目录，然后执行步骤15；

步骤14、判断所述时间信息是否存在于该年月日的四级目录中，如果是，执行步骤15；

步骤15、从FTP目录剪切该文件移动于相应目录中；

步骤16、删除过期的NAT日志文件和/或目录。

如图2所示，图2为本发明实施例中按照NAT的设备名称和时间建立索引后NAT日志的文件结构示意图，其中，一级目录为归档目录，二级目录为各NAT设备的名称目录，三级目录名称使用日志的年月，四级目录名称使用日志的年月日。

图3所示为DHCP日志文件的整理流程示意图，其具体处理过程如下：

根据用户设置的DHCP获取方式，从DHCP服务器日志目录中定期采集DHCP日志文件。将采集到的日志文件进行分析处理，将IP地址分配、IP地址更新等有效信息保留，其他无用冗余信息删除。DHCP日志数据文件按照日期组织，文件内数据按照时间排序，以便定位查询。同时删除相应目录中过期的日志文件。

本发明实施例所述实现用户上网行为审计的方法的具体处理过程如图4所示，具体包括以下步骤：

步骤401、输入查询条件，在本发明实施例的具体实施过程中，所述查询条件可以为时间、外网IP地址和NAT端口的组合，也可以为时间、内网IP地址的组合，还可以为时间、目的IP地址和/或目的端口的组合；

步骤402、分析所述查询条件，如果所述查询条件为时间、外网IP地址和NAT端口的组合，或者，如果所述查询条件为时间、目的IP地址和/或目的端口的组合，则执行步骤403，如果所述查询条件为时间、内网IP地址，则执行步骤407；

步骤403、通过NAT的地址索引，找到相应的NAT设备日志目录，即二级目录；

步骤404、根据设备目录逐层搜索NAT日志文件；

步骤405、通过时间索引精确定位到对应的至少一个NAT日志文件；

步骤406、在所述NAT日志文件中搜索符合查询条件的内网IP地址，在定位日志文件和日志记录时，由于考虑到NAT端口映射有一定的生存期，查询输入的时间与端口映射的建立时间有一定时间差。因此根据用户输入的时间范围需要加入一定的误差时间值，系统默认误差值为了30s，也可以在查询时候用户手动设置；

步骤407、根据在所述NAT日志文件中搜索到的内网IP地址和时间索引搜索到相关的DHCP日志，在所述DHCP日志中搜索到符合条件的记录，包括MAC地址，机器名等信息；该记录时间要小于对应NAT记录的时间或者用户输入的截止时间，并且在该时间之前没有租赁过期或者释放租赁；如果搜索到相应的记录，则执行步骤408，如果搜索不到相应的记录，说明内网IP地址是静态配置的，则执行步骤409；

步骤408、根据从DHCP中搜索到的MAC地址和时间，查找AAA(认证授权和计费)日志中的用户上网记录&用户表，获取用户信息，即，从AAA日志中查找相应的用户帐号和用户该时段的上网记录等信息，根据用户帐号，查找到该用户的详细信息，包括用户组、姓名、电话、E-mail、住址等内容；

步骤409、根据内网IP地址和时间，查找AAA日志中的用上网记录&用户表，获取用户信息。

在这些一系列处理后，精确定位用户，实现用户上网信息的追踪，从而实现用户上网信息可审计、可溯源性，且无需对硬件设备的特殊要求。

下面结合附图5对本发明实施例所述系统进行详细说明。

如图5所示，本发明实施例所述系统具体包括：

DHCP日志管理单元，用于对动态主机配置协议DHCP日志建立时间索引，对于DHCP日志的时间索引的建立过程，前面方法中已作详细说明，此处不再赘述；

NAT日志管理单元，用于对网络地址转换NAT日志建立时间索引，并根据用户的外网IP地址对NAT日志建立地址索引，对于NAT日志的时间索引和地址索引的建立过程，前面方法中已作详细说明，此处不再赘述；

AAA日志管理单元，用于保存AAA日志；

查询单元，用于根据用户上网时间、用户的内网IP地址，通过所述DHCP日志的时间索引从DHCP日志中查询到相应的MAC地址；

根据所述MAC地址和时间从AAA日志中查询到的用户信息，对用户上网行为进行审计。

所述查询单元还用于根据用户上网时间、用户的外网IP地址和NAT端口，通过所述NAT日志的地址索引和时间索引查询到相应的NAT日志文件，并根据所述NAT日志文件查询到与所述外网IP地址对应的内网IP地址。

日志分析处理单元，用于定期对得到的NAT日志和DHCP日志进行分析处理，过滤掉冗余和无效记录。

对于系统的各个单元的具体实现过程，由于在方法中已有详细说明，这里就不再赘述了。

综上所述，本发明实施例提供一种用户上网行为审计的方法及系统，通过综合利用NAT系统日志、DHCP服务器系统日志和AAA系统日志，实现了用户网络接入审计功能；网络管理员可以使用本发明实施例所述方法方便、快捷的查询出用户网络接入信息，包括用户详细信息，MAC地址，用户的内网IP地址、用户的外网IP地址、端口、目的IP地址、目的端口等信息，从而实现用户上网信息可审计性和可溯源性。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (8)

1、一种实现用户上网行为审计的方法，其特征在于，预先对动态主机配置协议DHCP日志建立时间索引，当查询条件为用户上网时间、用户的内网IP地址时，所述方法包括：

根据用户上网时间、用户的内网IP地址，通过所述DHCP日志的时间索引从DHCP日志中查询包含MAC地址的相应目录；

根据所述MAC地址和时间从认证授权和计费日志中查询到相应的用户信息，根据所述用户信息对用户上网行为进行审计。

2、如权利要求1所述的方法，其特征在于，预先对网络地址转换NAT日志建立时间索引，并根据用户的外网IP地址对NAT日志建立地址索引，当查询条件为用户上网时间、用户的外网IP地址和NAT端口时，所述方法还包括：

根据用户上网时间、用户的外网IP地址和NAT端口，通过所述NAT日志的地址索引和时间索引查询到相应的NAT日志文件，并根据所述NAT日志文件查询到与所述外网IP地址对应的内网IP地址。

3、如权利要求1或2所述的方法，其特征在于，所述方法还包括：

定期对得到的NAT日志和DHCP日志进行分析处理，过滤掉冗余和无效记录。

4、如权利要求1或2所述的方法，其特征在于，所述用户信息包括下述信息中的一个或多个：

用户组、姓名、电话、电子邮件地址、住址。

5、一种实现用户上网行为审计的系统，其特征在于，包括：

DHCP日志单元，用于保存收集到的DHCP日志，并对DHCP日志建立时间索引；

认证授权和计费日志单元，用于保存认证授权和计费日志；

查询单元，用于根据用户上网时间、用户的内网IP地址，通过所述DHCP日志的时间索引从DHCP日志中查询到相应的MAC地址；根据所述MAC地址和时间从认证授权和计费日志中查询到的用户信息，对用户上网行为进行审计。

6、如权利要求5所述的系统，其特征在于，所述系统还包括：

NAT日志单元，用于保存收集到的NAT日志，并对网络地址转换NAT日志建立时间索引和根据用户的外网IP地址对NAT日志建立地址索引。

7、如权利要求6所述的系统，其特征在于，所述查询单元还用于根据用户上网时间、用户的外网IP地址和NAT端口，通过所述NAT日志的地址索引和时间索引查询到相应的NAT日志文件，并根据所述NAT日志文件查询到与所述外网IP地址对应的内网IP地址。

8、如权利要求5到7中任意一项所述的系统，其特征在于，系统还包括：

日志分析整理单元，用于定期对得到的NAT日志和DHCP日志进行分析处理，过滤掉冗余和无效记录。

Images