CN102682245A - 用于检测与系统应用处理相关联的欺诈的系统和方法 - Google Patents

Abstract

本发明名称为用于检测与系统应用处理相关联的欺诈的系统和方法。提供了用于检测与系统应用处理相关联的欺诈的系统和方法。示例方法可包括：对于多个应用服务(110a-110n)的至少子集中的每一个，接收指示与应用服务(110a-110n)的执行相关联的执行路径中的相应点的审计日志消息(130)；并且在执行应用服务(110a-110n)的应用服务终点(110d)之前，分析所接收的审计日志消息(130)以确定执行路径是否满足至少一个预定义的预期执行路径。

Description

用于检测与系统应用处理相关联的欺诈的系统和方法

技术领域

本发明实施例一般涉及欺诈检测，并且更具体地涉及用于检测与系统应用处理相关联的欺诈的系统和方法。

背景技术

计算机应用安全持续成为主要关注。用分布式计算，在系统组件和系统应用软件模块之间生成和交换消息。这些消息可包含对系统的操作关键的敏感信息或重要数据。在单个软件应用之间和/或在完全不同的系统之间交换消息的分布式计算环境中，常规消息保证技术利用服务的组合，包括：访问控制和用户特权、个别消息的数字签名、时间戳记、以及基于网络的安全，例如因特网协议(“IP”)安全和数字防火墙效用。例如，现有的消息保证技术在接收到消息后分析该消息的数字签名和/或利用IP安全性和安全防火墙来限制在网络上的消息传送。

但是，这些技术不防止有效的系统用户(例如高级用户(power user)或管理员)模仿系统并且发送具有适当的数字签名和网络证书的变更的或者欺诈的消息。另外，这些当前的消息保证技术一般在本质上是反应式的，在安全事故发生后进行报告或者调查。这些解决方案一般在欺诈消息通信发生之前不防止它们。

因而，需要用于检测与系统应用处理相关联的欺诈的方法和系统。

发明内容

本发明的实施例能够解决上面描述的需要中的一些或全部。实施例可包括用于检测与系统应用处理相关联的欺诈的系统、方法和设备。根据本发明的一个实施例，提供了一种用于检测与系统应用处理相关联的欺诈的方法。该方法可包括：执行基于软件的操作，造成多个应用服务的执行，每个应用服务与一个或更多系统应用中的相应系统应用相关联，其中，应用服务的执行定义基于软件的操作的执行路径。该方法还包括：为应用服务的至少子集中的每个生成与相应应用服务的执行相关联的审计日志，以至少部分地表示基于软件的操作的执行路径；并且，在执行应用服务中的至少一个之前，分析先前在执行基于软件的操作时生成的审计日志中的每个，以确定基于软件的操作的执行路径是否满足至少一个预定义的预期执行路径。

根据另一实施例，提供了一种用于检测与系统应用处理相关联的欺诈的系统。该系统可包括：消息保证服务器，消息保证服务器包括至少一个处理器并且在网络上与至少一个系统应用通信，至少一个系统应用包括用于执行至少一个基于软件的操作的多个应用服务。该消息保证服务器能够可操作以：对于应用服务的至少子集中的每个，接收审计日志消息，其指示与应用服务的执行相关联的执行路径中的相应点；以及在执行应用服务中的至少一个之前，分析所接收的审计日志中的每个，以确定基于软件的操作的执行路径是否满足至少一个预定的预期执行路径。

根据又一实施例，提供了一种用于检测与系统应用处理相关联的欺诈的方法。该方法可包括：对于多个应用服务的至少子集中的每个，接收审计日志消息，其指示与应用服务的执行相关联的执行路径中的相应点；以及在执行应用服务的应用服务终点之前，分析所接收的审计日志消息，以确定执行路径是否满足至少一个预定义的预期执行路径。

通过本发明的多种实施例的技术来实现附加系统、方法、设备、特征和方面。本文详细描述本发明的其它实施例和方面并且将其认为是要求保护的发明的一部分。可参考描述和附图来理解其它实施例、特征和方面。

附图说明

因此，已经用一般术语来描述本发明，马上将参考附图(其不一定按比例绘制)，并且在附图中：

图1是根据一个实施例的用于检测欺诈的示例系统的框图。

图2是根据一个实施例的用于配置欺诈检测系统的示例方法的流程图。

图3是根据一个实施例的用于检测欺诈的示例方法的流程图。

具体实施方式

下文马上将参考附图更完全地描述本发明的说明性实施例，其中，示出本发明的一些但不是全部实施例。实际上，可用很多不同形式来实施本发明并且本发明不应该被解释为限于本文阐述的实施例；更确切地，提供这些实施例使得本公开将满足可申请的法律要求。通篇类似数字指的是类似单元。

在具有多个计算组件的分布式系统中，或者通过多种中间系统或系统应用、或者直接地从一个系统或系统应用到另一系统或系统应用交换消息。可利用所交换的消息来传送受方系统应用使用的数据，或者发出在受方系统应用处执行动作或与受方系统应用相关联来执行动作的命令。

一个示例分布式系统可以是智能电网系统，其包括在一个或更多网络上进行通信和处理事务的多个系统应用和其它应用和子系统。系统应用(或与子系统相关联的应用等)中的每个可具有一个或更多应用服务(例如，软件模块、功能模块等)，当被执行(或否则被调用)以执行相应操作时，使得在它们中间或者与其它系统应用的系统应用交换消息。因此，系统是指多种系统应用和/或子系统的集合，其中每个可具有一个或更多应用服务，其是暴露的并且能够被执行用于其间的集成和/或互操作性。还意识到的是，在一些实例中，系统可调用或否则利用与系统应用和/或不同的系统或者子系统相关联的应用服务，不同的系统或者子系统可能不直接与相同的系统相关联或可能不是相同系统的一部分。智能电网系统内的示例系统应用可包括但不限于：能量管理系统(“EMS”)、监管数据采集和控制(“SCADA”)系统、分布式管理系统(“DMS”)、停电管理系统(“OMS”)、网络管理系统、地理空间信息系统(“GIS”)、仪表接口系统、高级量测基础设施(“AMI”)系统、消费者信息系统、会计和记账系统、报告和监测系统、分布式资源管理系统(“DRMS”)、集成和中间件系统等等。意识到的是，虽然通过本文示例来描述智能电网系统，但是本文描述的实施例可适于与任何数量的分布式计算系统一起操作，任何数量的分布式计算系统例如工厂控制系统、信息管理系统、信息安全系统、金融系统、网络和通信控制系统、防御和安全系统等等。本文描述的说明性示例不是限制性的。

在常规分布式系统中，可利用数字签名和/或网络安全机制来校验消息完整性。但是，这些技术不提供以下担保：消息选取了执行的必要路径或者如预期的在到达受方应用或服务之前执行预期系统应用或应用服务，如相应系统架构师和程序员定义的。当操作没有按照事件的预期顺序时，可能的是，一个或更多消息被在中间的某人(例如通过偷听和重放或传送变更的消息)或者高级用户(例如，具有足够权限和安全证书的用户)截取和变更，高级用户知道对信息的访问权，因此允许该用户发布消息以及绕开会被预期的以及可对系统操作和/或安全性具有影响的事件的多种顺序。

本文描述的某些实施例能够防止不需要由授权的软件发起或通过按照预定义路径的必要顺序的、消息的未授权发布。能够通过对比一个或更多预先确定的预期执行路径和事件的顺序来校验执行顺序和消息路径(这里一般称为“执行路径”)，从而验证授权的系统应用和关联服务执行以及消息生成和通信。为了这样做，在系统应用操作期间的多种阶段(例如，关联应用服务中的一个或更多)，生成审计日志，其捕获与正在执行的特定应用服务相关联的信息。同时，随着操作继续进行，审计日志表示执行路径。在执行应用服务中的一个或更多之前(例如，在终点服务或其它关键的或高度敏感的应用服务之前)，对比关联系统操作的预期执行路径来校验先前生成并存储的审计日志。例如，根据一个实施例，在执行应用服务终点之前，应用服务可包括应用程序设计，其访问审计日志数据以分析先前的执行路径。在另一实施例中，应用服务可发出验证中央服务器执行的执行路径的请求，中止操作直到接收满足预先确定的预期操作路径中的至少一个的肯定响应。可能的是，多于一个的执行路径可能是可接受的。预先确定与被执行的基于软件的操作相关联的预期执行路径中的每个并且并将其存储在存储器中。根据审计日志如果确定未执行预期执行路径的每个点，则可假设系统操作没有按照授权的顺序，并且因此指示可能的欺诈行为。

审计日志文件还可以包括指示操作之间的持续时间的时间戳。预先确定的预期执行路径同样可定义时间间隔阈值，其指示操作之间的预期持续时间或阈值持续时间，当被违反时，其会指示潜在的欺诈操作。因此，作为分析审计日志文件的一部分，时间戳或时间间隔信息能够与时间间隔阈值进行比较，以确定是否花费了额外时间以传递消息或执行关联操作，其会指示潜在的欺诈操作。

因此，本文描述的实施例允许：校验系统应用确切操作和消息执行路径以标识潜在的欺诈，验证什么操作被执行、消息取什么路径、谁发送了消息或执行了操作、各个操作花费了多久等等。因此，能够达到消息保证的增加级别，其允许防止消息重放攻击、消息截取、系统模仿以及其它消息篡改行为。

马上参考图1-3来描述示例实施例。

图1是根据一个实施例的示例分布式计算系统100的框图。分布式计算系统100能够包括多个系统应用105a-105n，由此每个系统应用105a-105n包括多个应用服务110a-110n(其一般涉及软件模块或模块的集合)。多个应用服务110a-110n中的每个可执行以执行相应系统应用105a-105n的基于软件的操作。意识到的是，多个系统应用105a-105n中的每个和相应应用服务110a-110n可以可操作以执行任何数量的不同的基于软件的操作，其可依靠执行多种应用服务110a-110n的顺序和/或执行期间在多种应用服务110a-110n之间交换的数据、命令或其它指令。每个系统应用105a-105n可与整个分布式计算系统100的不同系统、程序或产品相关联，或者，在一些实例中，多个系统应用105a-105n会与分布式计算系统的相同系统、程序或产品相关联。每个系统应用105a-105n可存在于或被执行在不同的物理计算机系统上，或者，在一些实施例中，多个系统应用105a-105n可存在于相同的计算机系统上。如上所述，在一个示例中，分布式计算系统100可与智能电网计算系统相关联，由此系统应用中的每个配置成执行智能电网计算系统内的不同功能。但是，分布式计算系统100不限于智能电网计算系统，而是一般可涉及配置成执行一个或更多应用服务的任何计算系统，执行期间一个或更多应用服务在应用服务之间传送消息、数据或命令以执行一个或更多特定的基于软件的操作。

系统应用105a-105n中的每个，以及因此应用服务110a-110n，在网络115上与消息保证服务器120通信。系统应用105a-105n中的一个或更多可直接地或者在网络115上彼此通信。消息保证服务器120可被实施为包括一个或更多处理器和存储器的任何计算机系统，所述一个或更多处理器和存储器可操作以存储和执行程序设计指令(例如，软件或其它计算机可执行指令)，从而促进本文描述的欺诈检测操作。通过执行计算机可执行指令，消息保证服务器120可包括或形成促进检测分布式计算系统100内发生的欺诈操作的专用计算机或具体机器。

在存储器中存储并可被消息保证服务器120的一个或更多处理器执行的示例程序设计指令，可包括配置模块125、审计日志模块130以及欺诈检测模块135，每个可操作以部分促进欺诈检测操作，如本文进一步描述的。存储器还可以包括操作系统，其被处理器利用以执行消息保证服务器120的程序设计指令。消息保证服务器120可还包括一个或更多数据存储装置(例如审计日志数据库140)，其可以可操作以存储在执行各个应用服务110a-110n期间接收的审计日志文件，并且可选地，其可以可操作以存储被欺诈检测模块135利用的和由配置模块125生成的数据，例如但不限于审计日志文件、与一个或更多应用服务110a-11n的执行相关联的预定义的预期执行路径和时间间隔阈值、用户权限信息、欺诈报警消息模板等等。

更具体地，配置模块125可包括可操作以促进配置欺诈检测操作的程序设计指令，例如但不限于：收集或者否则定义系统应用105a-105n和关联应用服务110a-110n信息；定义一个或更多预期执行路径；将一个或更多预期执行路径与应用服务110a-110n相关联；定义用于执行系统应用105a-105n和应用系统110a-110n操作的多种顺序的时间间隔阈值；将时间间隔阈值与应用服务110a-110n相关联；定义欺诈检测逻辑以生成或者否则捕获和分析与应用服务110a-110n中的一个或更多的执行相关联的审计日志信息，其至少部分地可被应用服务110a-110n中的一个或更多执行，和/或其至少部分地可被消息保证服务器120执行；等等。因此，在一个实施例中，配置模块125可以可操作以定义、生成和呈现用户接口以呈现和捕获来自与本文描述的配置欺诈检测操作相关联的用户的信息。在一些实施例中，可例如由系统架构师或软件程序员在相应系统应用105a-105n的开发、生成和程序设计期间执行配置模块执行的很多方面。本文参考图2来提供关于配置模块125的示例操作的更多细节。

审计日志模块130可包括程序设计指令，其可操作以促进应用服务110a-110n中的一个或更多生成和存储审计日志文件。例如，根据一个实施例，审计日志模块130可以可操作以通过网络115在一个或更多应用服务110a-110n的执行期间接收审计日志文件，并且将审计日志存储在存储器中，例如存储在审计日志数据库140中。本文参考图3来提供关于审计日志模块130的示例操作的附加细节。

欺诈检测模块135可包括程序设计指令，其可操作以促进分析审计日志信息，从而确定执行路径和关联操作是否满足正被分析的应用服务110a-110n的至少一个预先确定的预期执行路径和/或一个或更多时间间隔阈值。根据一个实施例，可由被正被分析的应用服务110a-110n执行由欺诈检测模块执行的至少一些方面。例如，在执行应用服务110a-110n的预计的操作(例如，应用服务终点)之前，应用服务110a-110n可包括程序设计指令以在网络115上向消息保证服务器120发出命令，来取回审计日志文件和预期执行路径用于在完成执行预期操作之前进行分析。在另一实施例中，应用服务110a-110n可改为向消息保证服务器120发出由消息保证服务器120分析审计日志文件并进行授权确定的命令，消息保证服务器120又能够以欺诈状态回复，欺诈状态指示操作是否被授权从而应用服务110a-110n能够继续进行。可在完成执行与给定的基于软件的操作相关联的应用服务110a-110n中的一些或全部之前访问和执行欺诈检测模块135。本文参考图3来提供关于欺诈检测模块135的示例操作的附加细节。

消息保证服务器120可还包括数据总线，其可操作用于在存储器和一个或更多处理器之间提供数据通信。用户(例如，系统操作员或配置人员、安全人员等)可经由至少一个用户接口装置(例如但不限于键盘、鼠标、控制面板或能够通信去往和来自计算机系统的数据的任何其它装置)来与消息保证服务器接口。消息保证服务器120可还包括一个或更多合适的网络接口(例如，网卡或其它通信装置)，其促进消息保证服务器120到一个或更多合适的网络(例如，网络115)的连接，允许与操作系统应用105a-105n的计算机系统中的每个的通信。另外，应该意识到的是，其它外部装置(例如，其它组件或机器和/或分布式计算系统100内的其它计算机系统)可以经由网络接口来与消息保证服务器120通信。因此，消息保证服务器120和由此实现的程序设计指令可包括软件、硬件、固件或其任何组合。还应该意识到的是，可一起使用多个计算机，由此可在一个或更多不同的计算机上执行本文描述的不同特征。

网络115可包括任何数量的电信和/或数据网络，不管是公共的、私有的或其组合，例如但不限于局域网、广域网、内部网、因特网、中间手持数据传输装置、公共交换电话网络和/或其任何组合，其中任何都可以是有线的和/或无线的。由于网络连接性，可在分布式计算环境的上下文中实践本文描述的多种方法。虽然为了简单起见分布式计算系统100仅示出为包括一个网络115，但是要理解的是，任何其它网络配置是可能的，其可以可选地包括多个网络，每个具有例如网关和路由器的装置，用于提供网络之间的连接性。

能够由具有与上面参考消息保证服务器120描述的相同或类似的组件和操作的计算机系统执行系统应用105a-105n和关联应用服务110a-110n中的每个。

本领域普通技术人员将意识到，仅作为示例来提供参考图1来描述并且在其中示出的分布式计算系统100。许多其它操作环境、系统架构和装置配置是可能的。其它系统实施例能够包括更少或更大数量的组件，并且可以合并参考图1中示出的系统组件来描述的功能性中的一些或全部。因此，本发明的实施例不应该被解释为限于任何具体操作环境、系统架构或装置配置。

图2是根据说明性实施例的用于配置欺诈检测系统的示例方法200的流程图。可利用方法200以与一个或更多分布式计算系统(例如，参考图1来描述的分布式计算系统100)相关联。例如，可至少部分由与也参考图1描述的消息保证服务器120的配置模块125接口的用户执行方法200的方面。

方法200可在框205开始，其中关于系统应用105a-105n和关联应用服务110a-110n中的每个的信息被收集和存储，例如存储在审计日志数据库140中。系统应用信息可包括但不限于与以下各项相关联的信息：应用(例如，系统应用标识符，等等)；正被执行的软件；软件的功能；系统应用可与其接口的其它系统应用；在其上存储和执行系统应用的计算机系统；用户信息(例如，授权用户的标识符，执行程序实例的用户的标识符，等等)；与系统应用相关联的每个应用服务110a-110n，等等。类似地，应用服务信息可包括但不限于与以下各项相关联的信息：应用服务与其相关联的系统应用105a-105n(例如，系统应用标识符，等等)；应用服务(例如，应用服务标识符等等)；应用服务的功能；其它应用服务和/或应用服务可与其接口的系统应用；涉及的软件类；涉及的软件方法；预期数据类型和/或消息内容；服务的执行日期；服务的执行时间；用户信息(例如，授权用户的标识符，执行程序实例的用户的标识符，等等)；等等。意识到的是，仅为了说明性的目的来提供前面提到的系统应用和应用服务信息的示例，并且不是限制性的。可在本文描述的欺诈检测操作期间聚集和利用与系统应用和/或应用服务以及其执行相关联的任何合适信息。

接着框205的是框210，其中，输入一个或更多预期执行路径并且使其与应用服务110a-110n中的一个或更多相关联。在一些实施例中，执行路径可不与每个应用服务110a-110n相关联，而仅与子集相关联，例如，与应用服务终点相关联和/或与其它关键的和/或数据敏感的应用服务相关联。还意识到的是，在一些实施例中，例如如果执行与多于一个基于软件的操作相关联的应用服务(例如，通过执行其它应用服务的不同组合来达到，等等)，则应用服务110a-110n可具有与其相关联的多于一个预期执行路径。预期执行路径可提供关于应该在执行即时应用服务110a-110n之前执行的一个或更多系统应用105a-105n和/或一个或更多应用服务110a-110n的细节。例如，对于每个基于软件的操作，其将使用一个或更多应用服务110a-110n，将对其检测欺诈行为(注意，对于一些操作，不必检测欺诈行为)，预期执行路径将标识要在正被分析的即时应用服务110a-110n之前执行的应用服务110a-110n(或者系统应用105a-105n)的至少子集和其中的每个。因此，预期执行路径表示根据设计和预期的正在执行的特定的基于软件的操作的操作顺序。在一些实施例中，预期执行路径信息可仅标识紧接在前的应用服务110a-110n，其可假设根据相同的或类似的技术会在较早应用服务110a-110n的执行之前检测到在较早操作中发生的欺诈行为。还意识到的是，在一些实施例中，不要求预期执行路径指示每一个执行的应用服务110a-110n或执行的操作，但在一些实施例中，仅操作的子集被标识，例如，允许省略对安全或成功的操作不关键的操作或省略可能有大量变种的操作。此外，对于一些应用服务110a-110n，可存在多于一个预期执行路径，例如，当应用服务110a-110n能够被多个不同的应用服务或系统应用访问或调用时，其对于正被执行的不同的基于软件的操作而有所不同。在这些情况中，仅要满足多个预期执行路径中的一个。

每个预期执行路径信息可被存储在审计日志数据库140中，并且一般可与基于软件的操作相关联，或者与应用服务110a-110n或系统应用105a-105n或其任何组合相关联。例如，表或其它数据结构可包括对应用服务110a-110n的引用，以及对于每个应用服务110a-110n，对以下一个或更多应用服务110a-110n(和/或系统应用105a-105n)的引用：要在执行正被分析的相应应用服务110a-110n之前被执行。因此，根据这个实施例，当应用服务110a-110n正被分析时(例如，在完成其操作之前对消息保证服务器120进行调用的服务终点或其它服务)，能够标识该特定应用服务110a-110n的预期执行路径。但是，在其它实施例中，表或者其它数据结构可存储以下执行路径信息：其标识特定的基于软件的操作的整个执行路径，并且不直接与操作内的具体应用服务相关联。因此，在这个实施例中，当具体应用服务110a-110n正在被分析(例如，在完成其操作之前对消息保证服务器120进行调用的服务终点)，例如通过引用正被执行的一般的基于软件的操作而不是最初引用正被执行的即时应用服务110a-110n，来标识整个操作的预期执行路径。在一个实施例中，审计日志信息和预期执行路径仅被分析用于应用服务终点，并且因此当被创建和存储时仅需要与应用服务终点相关联。但是，在其它实施例中，审计日志信息和预期执行路径也能够被分析用于中间应用服务。意识到的是，为了说明性目的而提供前面提到的预期执行路径配置，并且可利用用于存储预期执行路径操作和将其与正被执行的应用服务或操作相关联的任何合适装置。

接着框210的是框215，其中，定义时间间隔阈值并且将其与所存储的预期执行路径中的一个或更多相关联。可利用时间间隔阈值以定义两个应用服务110a-110n的执行之间可允许的最大(或时间的其它预定义量)持续时间，假设超过阈值的操作指示潜在的欺诈行为。在一些实施例中，可为具体的基于软件的操作定义多个时间间隔阈值，使得在执行多个应用服务110a-110n的顺序期间，预期满足某些多个时间间隔阈值。可以但不要求在两个连续的操作之间(例如，在第一操作和要被执行的紧接后续操作之间)定义时间间隔阈值。在其它实施例中，可在两个不连续操作之间(例如，两个应用服务110a-110n之间，对于其执行一个或更多中间应用服务)定义时间间隔阈值。

接着框215的是框220，其中，程序设计代码可配置成生成欺诈检测逻辑以促进获取和分析审计日志信息，从而对于正被分析的应用服务110a-110n，确定执行路径和关联操作是否满足至少一个预先确定的预期执行路径和/或时间间隔阈值。根据一个实施例，欺诈检测逻辑的至少一些方面(其可被实施为一个或更多欺诈检测模块)可以被正由分析的应用服务110a-110n执行或与其相关联。例如，在执行应用服务110a-110n的预计的操作(例如，应用服务终点)之前，应用服务110a-110n可包括程序设计指令以发出命令以在网络115上从消息保证服务器120取回审计日志文件和预期执行路径信息，用于在完成执行预期操作之前进行分析。在另一实施例中，应用服务110a-110n可改为向消息保证服务器120发出命令以使得由消息保证服务器120进行审查日志文件的分析和确定，消息保证服务器120又能够以欺诈状态回复，例如指示操作是否被授权所以应用服务110a-110n能够继续进行。因此意识到的是，根据多种实施例，可根据任何数量的合适配置来提供欺诈检测逻辑，例如完全在相应应用服务110a-110n内、完全在消息保证服务器120内、完全或至少部分在可操作来与相应应用服务110a-110n相关联地执行的另一软件模块和/或计算机系统内或其任何组合。欺诈检测逻辑可提供用于与给定的基于软件的操作相关联的应用服务110a-110n中的一些或全部。本文参考图3来提供关于欺诈检测逻辑的示例操作的附加细节。

方法200可在框220后结束，框220已经配置相应系统应用105a-105n、应用服务110a-110n和/或消息保证服务器120以促进分析和验证与给定的基于软件的操作相关联的应用服务执行。

图3是根据说明性实施例的用于检测欺诈的示例方法300的流程图。可利用方法300来与一个或更多分布式计算系统(例如，参考图1描述的分布式计算系统100)相关联。例如，可在也参考图1描述的作为具体的基于软件的操作的一部分的一个或更多系统应用105a-105n和关联应用服务110a-110n的执行期间至少部分执行方法300的方面。在某些应用服务110a-110n的执行期间，操作信息(例如，审计日志文件和执行路径信息)被分析以检测是否有欺诈服务已经发生的可能性。

方法300可在框305开始，其中在具体的基于软件的操作的执行期间执行的程序化的操作和消息执行发生。框305描绘由一个或更多系统应用105a-105n和关联应用服务110a-110n执行的具体的基于软件的操作的一般发起或继续的操作。如本文所描述的，基于软件的操作可以是由希望执行消息保证和欺诈检测的分布式计算系统执行的任何软件操作。当基于软件的操作被执行时，每个应用服务110a-110n沿着该基于软件的操作的执行路径定义分开的点。如先前说明的，能够基于与基于软件的操作相关联的预先确定的预期执行路径，在这些应用服务的一个或更多的执行之前验证操作和/或消息真实性。因此，方法200示出可与一个应用服务110a-110n的执行相关联(例如，之前)来执行的操作，其能够被重复用于多个应用服务110a-110n，如决定框335所示出的。

接着框305的是框310，其中，生成一个或更多审计日志文件用于正被执行的相应应用服务110a-110n并在网络上将其传送到集中式服务器，例如，如参考图1所描述的在网络115上传送到消息保证服务器120。审计日志文件可包括这样的信息，其能够用于捕获与执行路径中的特定点相关联的信息，以及用于执行与沿着基于软件的操作的执行路径执行的相应应用服务110a-110n或后续应用服务110a-110n相关联的欺诈检测。审计日志信息可以是适合标识正被执行的具体应用服务110a-110n的任何信息，以及可选地，希望关于关联应用服务110a-110n(例如，正被执行的服务、之前的应用服务和/或后续应用服务，等等)、关联系统应用105a-105n的任何附加信息，或与基于软件的操作相关联的任何其它信息。示例审计日志文件信息可包括但不限于与以下各项相关联的信息：正被执行的基于软件的操作；基于软件的操作的功能；关联系统应用(例如，系统应用标识符，等等)；系统应用可与其接口的其它系统应用；正被执行的应用服务(例如，应用服务标识符，等等)；应用服务的功能；调用正被执行的应用服务的应用服务；要被正被执行的应用服务调用的应用服务；与系统应用相关联的每个其它应用服务，其它应用服务，和/或应用服务可与其接口的系统应用；涉及的软件类；涉及的软件方法；预期的数据类型和/或消息内容；服务的执行日期；服务的执行时间；在其上存储和执行系统应用的计算机系统；用户信息(例如，授权用户的标识符、执行程序实例的用户的标识符、用户权限，等等)；等等。意识到的是，为了仅说明性目的来提供前面提到的审计日志信息并且其不是限制性的。

接着框310的是框315，其中，至少对于一些应用服务110a-110n，在完成执行正被执行的应用服务110a-110n之前验证消息执行路径和/或应用服务操作。根据一个实施例，对于正被执行的应用服务110a-110n中的至少一个执行框315的操作，以在完成相应应用服务110a-110n之前检测欺诈，但是，不需要对于当执行基于软件的操作时执行的每个应用服务110a-110n来执行框315的操作。例如，在一个实施例中，在执行应用服务终点之前执行框315的操作，应用服务终点可被定义为要为给定的基于软件的操作执行的最后一个应用服务110a-110n。因此，在执行应用服务终点之前执行欺诈检测，可允许在完成基于软件的操作之前检测任何潜在欺诈消息和/或操作。但是，在其它实施例中，除了应用服务终点之外或代替应用服务终点，可与一个或更多其它应用服务110a-110n的执行相关联来执行框315的操作。对于在框315未授权的那些应用服务110a-110n，在一些实施例中，仍然可以在框310收集审计日志文件用于后续的分析。

根据一个实施例，框315的操作一般可包括分析先前在执行路径中的之前的应用服务执行期间生成的审计日志信息，来为正被执行的基于软件的操作定义在前执行路径。这个执行路径然后可以与存储的与基于软件的操作相关联的一个或更多预先确定的预期执行路径相比较，以确定实际执行路径是否满足(例如，执行相同或等效的操作)预期执行路径。如果不满足预期执行路径(例如，生成没有被预期执行路径定义的一个或更多操作或消息)，然后可确定潜在的欺诈行为已经发生并且要执行后续的动作，例如在下面的框330。

在一个示例实施例中，与正被执行的应用服务110a-110n相关联的程序设计指令可至少部分执行审计日志信息的分析和与特定的基于软件的操作的预期执行路径的比较。例如，可将应用服务110a-110n编程成例如在网络115上从消息保证服务器120取回先前生成的审计日志信息和预期执行路径信息，并由正执行的应用服务110a-110n本地地执行比较。作为另一示例，应用服务110a-110n可在网络115上向消息保证服务器120发起授权请求，其包括程序设计指令(例如，欺诈检测模块135，等等)，其使能用以下指示来响应：满足还是不满足预期执行路径，并且因此应用服务110a-110n能够继续还是应该将潜在的欺诈处置为异常。如又一示例，在中央管理对基于软件的操作的应用服务110a-110n的控制，使得对于相应应用服务110a-110n不要求附加程序设计。在这个示例中，在将对基于软件的操作的控制返回给相应应用服务110a-110n之前，能够例如由消息保证服务器120在中央执行集中式检查和授权。

可根据任何数量的合适方法来执行在框315执行的比较操作，包括但不限于以下各项中的一个或更多：比较先前执行的应用服务标识符和由预期执行路径定义的应用服务标识符；比较系统应用标识符和由预期执行路径定义的系统应用标识符；比较计算机系统标识符和由预期执行路径定义的计算机系统标识符；比较软件模块标识符和由预期执行路径定义的软件模块标识符；比较消息内容和由预期执行路径定义的预期消息内容；比较用户标识符和由预期执行路径定义的用户标识符和/或用户权限信息；等等。如先前描述的，可根据与在审计日志信息中包含的或否则经由审计日志信息而使得可用的以下信息中的一个或更多的关联来取回预期执行路径信息：应用服务标识符；系统应用标识符；基于软件的操作的标识符；或对于正被执行的操作独特的其它程序设计指令或软件信息。意识到的是，为了说明性的目的而提供前面提到的关于框315的操作并且其不是限制性的。

根据多种实施例，框320可选地可接着框315。在框320，被定义为两个不同应用服务110a-110n的执行之间的持续时间的时间间隔，能够与也由预期执行路径或关联的基于软件的操作的路径所定义的时间间隔阈值信息进行比较。可由被提供作为审计日志信息的一部分的时间戳信息来确定时间间隔，由此两个时间戳之间的差会定义表示两个应用服务110a-110n的执行之间的流逝持续时间的近似时间间隔。如所描述的，对于具体的基于软件操作可以定义一个或更多时间间隔阈值，使得在执行多个应用服务110a-110n的顺序期间，预期满足一个或更多间隔阈值。可以但不要求在两个连续的操作之间(例如，在第一操作和要执行的紧接后续操作之间)，或在两个不连续的操作之间(例如在以下两个应用服务110a-110n之间，对于其执行一个或更多中间应用服务)定义时间间隔阈值。如果审计日志和执行路径信息指示不满足与预期执行路径信息相关联的时间间隔阈值中的至少一个(例如，两个应用服务之间的持续时间超过了时间间隔阈值)，则可确定潜在的欺诈操作发生。用与在框315执行的操作相同或类似的方式，能够部分地由正被执行的应用服务110a-110n、由保证消息服务器120(或其它集中式系统)、由另一关联计算机系统和关联程序设计指令或由其任何组合执行框320的操作。此外，根据一个实施例，框315和320的操作不需要分开执行，而是改为可作为相同操作的一部分来执行，分析执行路径信息或时间间隔信息中的一个或两个。还意识到的是，在一些实施例中，仅执行框315的操作，而在其它实施例中，仅执行框320的操作。

接着框320的是决定框325，其中，可选地确定与正被执行的应用服务110a-110n的执行相关联的操作和/或消息是否被授权。在一个实施例中，可仅对于应用服务110a-110n中的一个或子集(例如对于应用服务终点和/或对于任何其它敏感的或关键的应用服务110a-110n)执行决定框325(和框315-320)的操作。根据这些实施例，如果正执行将不对其执行授权的应用服务110a-110n，则在框310收集审计日志信息，并且操作继续到决定框335。但是，如果正执行将对其执行授权的应用服务110a-110n，则能够根据预期执行路径和时间间隔阈值信息来执行执行路径和/或时间间隔分析，如所描述的。如果正被执行的实际基于软件的操作的执行路径满足与该基于软件的操作相关联的一个或更多预期执行路径中的至少一个，和/或如果时间间隔没有超过时间间隔阈值，则操作是授权的并且可继续到决定框335。但是，对于基于软件的操作，如果执行路径不满足至少一个预期执行路径，或者如果时间间隔不满足时间间隔阈值，则可确定操作和/或消息潜在是欺诈并且在框330引发异常。

在框330，在确定潜在的欺诈可能已经发生之后，能够按照希望来处置异常。在一个实施例中，应用服务110a-110n的操作被中止(例如，向相应应用服务110a-110n发送防止操作的命令，等等)。在一个实施例中，能够生成一个或更多欺诈报警消息，例如以标识基于软件的操作并且指示潜在欺诈的原因(例如，未执行执行路径的什么方面和/或什么时间间隔被违反，等等)，并且可选地标识与其相关联的任何用户。欺诈报警消息能够被存储在存储器中(例如，用于后续的取回、分析和/或报告，等等)和/或被(例如，电子地、电子邮件、因特网通信、无线通讯、短消息服务、多媒体消息服务、电话呼叫、寻呼机消息传递服务，等等)传送到一个或更多系统用户，允许按照希望来进行适当的响应。意识到的是，按照希望，可根据多种其它合适的方法来处置在检测到潜在欺诈行为之后在框330生成的异常，其可因实现而有所不同，并且前面提到的示例不是限制性的。

但是，如果在决定框325确定操作是有效的并且是授权的(例如，满足至少一个预期执行路径和/或满足相应时间间隔阈值，等等)，则操作继续到决定框335。在决定框335，确定该基于软件的操作是否是完整的，或者是否有剩余应用服务110a-110n要被执行(例如，基于软件的操作的执行路径不完整)。如果有附加应用服务110a-110n要被执行(例如，正执行的应用服务110a-110n不是应用服务终点)，则允许执行当前的应用服务110a-110n，并且操作重复到框305，其中执行下一个应用服务110a-110n。对于下一(以及后续的)应用服务110a-110n，用如参考框305-335描述的相同或类似的方式，来收集审计日志信息并且可选地验证执行路径和/或时间间隔。但是，如果在决定框335确定基于软件的操作是完整的(例如，在应用服务终点)，则操作继续到框340，其中，准许执行应用服务终点并且基于软件的操作完成。

方法300可在框340之后结束，框340已经收集审计日志信息并且分析基于软件的操作的执行路径和/或时间间隔。

继续参考图3，马上提供特定的说明性示例。根据这个示例，示例的基于软件的操作可包括四个应用服务110a-110d，其中，应用服务110d作为应用服务终点。根据这个示例并且为了说明的目的，将仅对应用服务终点110d执行授权。因而，在框305，基于软件的操作会通过执行应用服务110a来开始。在框310，关于应用服务110a的审计日志信息会被生成并且被传送到消息保证服务器120，用于存储和后续的分析。对于应用服务110a，不完成框310-330，因为根据这个说明性的示例将不执行授权。因此，在决定框335确定附加应用服务110b-110d将被执行并且该基于软件的应用是不完整的。因此，对于应用服务110b-110c，操作重复回到框305、310和335，为应用服务110b-110c中的每个收集审计日志信息。可在相应应用服务110a-110d的执行之前，与相应应用服务110a-110d的执行同时，或者在应用服务110a-110d的执行之后，收集审计日志信息。

当对于应用服务终点110d，操作重复回到305时，以与用于在前的应用服务110a-110c中的每个相同或类似的方式，来在框310生成并传送审计日志信息。但是，因为应用服务终点110d现在正被执行，并且在这个示例中将对应用服务终点110d执行授权，所以执行框315-325。在框315，取回并分析为基于软件的操作而先前生成和收集的审计日志信息。审计日志信息将定义这个具体的基于软件的操作的执行路径，其包括应用服务110a、110b、110c、110d。如果这些中的每个(以及可选地，以这个顺序)是由基于软件的操作的预期执行路径定义的，则操作能够继续到框335，其中，操作能够继续进行到框340，允许应用服务110d被执行并且这个基于软件的操作完成。但是，如果应用服务110a、110b、110c、110d中的一个或更多不是由预期执行路径定义的，或者如果由预期执行路径定义的其它应用服务没有被执行，则其指示先前执行的操作可能包括一些欺诈行为，其通过跳过操作或者执行未定义或预期用于具体的基于软件的操作的附加操作。在这个情况中，异常会在框330被生成并且相应地被处置。

因此，本文描述的实施例提供用于检测与系统应用处理相关联的欺诈的系统和方法。某些实施例提供主动执行消息和操作保证的技术效果，降低分布式计算系统内有效安全破坏的机会。更多特定技术效果包括校验系统应用的确切操作以及关联执行路径以标识潜在的欺诈的能力，包括验证执行什么操作、消息取什么路径、谁发送了消息或执行了操作、各个操作花费了多久等等。这些实施例提供增加以下能力的技术效果：防止消息重放攻击、消息截取、系统模仿和/或对于在最终执行之前并且在沿着执行路径的多种点的操作和基于软件的消息传递的其它欺诈行为。由可操作来监测和授权分布式计算环境内的操作和基于软件的消息传递，以及分布式计算环境的记录和/或通知的集中式系统的创建而引起另外的技术效果。

上面参考根据本发明示例实施例的系统、方法、设备和/或计算机程序产品的框图和流程图来描述本发明。将理解的是，框图和流程图的一个或更多框，以及框图和流程图中的框的组合分别能够由计算机可执行程序指令来实现。同样的，根据本发明的一些实施例，框图和流程图的一些框可能不一定需要以呈现的顺序来执行，或者可能根本不需要执行。

这些计算机可执行程序指令可被加载到通用计算机、专用计算机、处理器或其它可编程数据处理设备上以产生具体的机器，使得在计算机、处理器或其它可编程数据处理设备上执行的指令创建用于实现在流程图框中指定的一个或更多功能的装置。这些计算机程序指令也可被存储在计算机可读存储器中，其能够指引计算机或其它可编程数据处理设备以具体的方式来起作用，使得在计算机可读存储器中存储的指令产生包括实现流程图框中指定的一个或更多功能的指令装置的制造物品。作为示例，本发明的实施例可提供计算机程序产品，包括具有计算机可读程序代码或在其中实施的程序指令的计算机可用介质，所述计算机可读程序代码适于被执行以实现流程图框中指定的一个或更多功能。计算机程序指令也可被加载到计算机或其它可编程数据处理设备中，以使得在计算机或其它可编程设备上执行一系列操作单元或步骤以产生计算机实现的过程，使得在计算机或其它可编程设备上执行的指令提供用于实现流程图框中指定的功能的单元或步骤。

因此，框图和流程图的框支持用于执行指定功能的装置的组合、用于执行指定功能和程序的单元或步骤的组合以及用于执行指定功能的程序指令装置。还将理解的是，能够通过专用的、基于硬件的计算机系统来实现框图和流程图的每个框以及框图和流程图中的框的组合，专用的、基于硬件的计算机系统执行指定功能、单元或步骤、或专用硬件和计算机指令的组合。

虽然已经结合目前被认为是最可行和多种实施例来描述本发明，但是要理解的是，本发明并不限于所公开的实施例，而是相反，本发明意在覆盖被包括在所附权利要求的精神和范围内的多种修改和等效布置。

本书面描述使用示例来公开包括最佳模式的本发明，以及还使本领域技术人员能实践本发明，包括制作和使用任何装置或系统及执行任何结合的方法。本发明可取得专利的范围由权利要求定义，且可包括本领域技术人员想到的其它示例。如果此类其它示例具有与权利要求字面语言无不同的结构要素，或者如果它们包括与权利要求字面语言无实质不同的等效结构要素，则它们规定为在权利要求的范围之内。

部件表

100-系统

105a-105n-系统应用

110a-110n-应用服务

115-网络

120-消息保证服务器

125-配置模块

130-审计日志模块

135-欺诈检测模块

140-审计日志数据库

200-方法

205、210、215、220-框

300-方法

305、310、315、320-框

325、330、335、340-框

Claims (10)

1.一种用于检测与系统应用处理相关联的欺诈的方法，包括：

执行基于软件的操作，造成多个应用服务的执行，每个应用服务与一个或更多系统应用(105a-105n)中的相应系统应用相关联，其中所述多个应用服务(110a-110n)的所述执行定义所述基于软件的操作的执行路径；

为所述多个应用服务(110a-110n)的至少子集中的每个生成与所述相应应用服务的所述执行相关联的审计日志(130)，以至少部分地表示所述基于软件的操作的所述执行路径；以及

在执行所述多个应用服务(110a-110n)中的至少一个之前，分析先前在执行所述基于软件的操作时生成的所述审计日志(130)中的每个，以确定所述基于软件的操作的所述执行路径是否满足至少一个预定义的预期执行路径。

2.如权利要求1所述的方法，其中，所述一个或更多系统应用(105a-105n)包括多个系统应用(105a-105n)，并且其中，所述多个应用服务(110a-110n)的至少第一子集与第一系统应用相关联，并且所述多个应用服务(110a-110n)的至少第二子集与第二系统应用相关联。

3.如权利要求1所述的方法，其中，为所述多个应用服务(110a-110n)中的每个生成审计日志(130)。

4.如权利要求1所述的方法，其中，为所述多个应用服务(110a-110n)的子集生成审计日志(130)。

5.如权利要求1所述的方法，还包括在网络(115)上向消息保证服务器(120)传送每个审计日志(130)用于分析。

6.如权利要求1所述的方法，其中，在执行所述一个或更多系统应用(105a-105n)中的一个的应用服务终点之前，执行对先前生成的所述审计日志(130)的每个的分析。

7.如权利要求6所述的方法，其中，对于所述多个应用服务(110a-110n)的至少一个附加应用服务，额外执行对先前生成的所述审计日志(130)的每个的分析。

8.如权利要求1所述的方法，其中，在执行所述多个应用服务(110a-110n)中的一个之前，分析先前生成的所述审计日志(130)中的每个还包括：确定所述基于软件的操作的所述执行路径不满足至少一个预定义的预期执行路径。

9.如权利要求8所述的方法，还包括：停止执行所述多个应用服务(110a-110n)中的所述一个，以响应于确定所述基于软件的操作的所述执行路径不满足所述至少一个预定义的预期执行路径。

10.如权利要求8所述的方法，还包括：生成潜在欺诈报警消息(135)，以响应于确定所述基于软件的操作的所述执行路径不满足所述至少一个预定义的预期执行路径。

Images