CN103378991B - 一种在线服务异常监测方法及其监测系统 - Google Patents

Abstract

本发明涉及一种在线服务异常监测方法，该方法包括以下步骤：服务可靠性体检模块、模拟终端用户访问监测模块以及本地服务端安全代理辅助监测和上报模块，分别深入和广泛采样所需的在线服务涉及到的网络层、操作系统层、在线Web系统和应用层、数据库层、文件系统层全层次信息及相关历史在线服务信息后，根据采样结果、专家知识库信息和用户反馈库信息判断是否生成异常事件，并传输至事件管理服务器、专家反馈模块和用户反馈模块，若生成异常事件，事后日志分析及远程本地端联动模块自动对各系统日志进行分析，事件管理服务器根据分析结果发出警告或显示监测结果。与现有技术相比，本发明具有综合全面、准确性高、适应性高等优点。

Description

一种在线服务异常监测方法及其监测系统

技术领域

本发明涉及一种在线服务的监测方法及系统，尤其是涉及一种在线服务异常监测方法及其监测系统。

背景技术

在线服务是指互联网或者局域网服务提供商通过网络为用户提供计算、存储、信息查询等等信息服务。在线服务需要保持网络在线。然而由于各种原因，在线服务可能发生异常。在线服务发生异常的原因很多，包括服务器软硬件故障、网络故障等，还有很重要的一部分原因是由于在线服务受到恶意攻击，发生了安全问题。例如：服务器被攻击甚至被完全控制，在线服务的域名解析被破坏(污染或者劫持)，在线服务内容静态部分被破坏或被写入非法信息，后台数据库被破坏或者植入恶意信息，内容提供目录被置入后门等。

在发生包括上述这些安全问题时，可能有如下后果：在线服务原有功能速度变慢，效率降低，甚至完全不可使用；访问在线服务的用户电脑被病毒感染或者用户信息泄露；在线服务自身被完全控制，或信息泄露，甚至包括商业机密；在线服务被植入非法信息用作非法宣传途径。

目前在线服务的异常监测方法有如下问题：

1)功能分散。监测类系统可以完成的功能有很多，例如异常事件事前漏洞监测，事后网页静态内容监测、数据库动态内容监测、在线服务功能质量监测、在线服务软硬件故障监测，以及事后不同系统的事件审计等。目前的监测类系统虽然可以完成这些功能，但是这些处理安全威胁的手段由不同的系统实现，没有直接联系，造成服务运营方使用和维护不便，且成本高昂。

2)功能不足。一些现有的监测方法功能上不完善。例如，最常见的网管类系统，仅提供各类设备自身SNMP(简单网络管理协议)支持的功能，不能发现业务层面的异常。又如IDS(入侵检测系统)，仅提供被动式非业务层监测。再如模拟用户访问在线服务对网页进行分析查找问题这一类监测系统，其忽略了服务器本身文件系统，在线服务数据库等方面，极易造成漏报，比如攻击者如果在服务器上安装后门，这个后门一般情况下无法通过其他网页链接访问到，只有在知道显式链接方式的情况下才能被发现。这种问题只靠模拟用户访问无法发现。

3)效率低。以在线内容恶意信息监测为例，当前较高端的做法是使用模拟真实环境的虚拟机监测在线内容加载时的恶意操作。这种方法需要大量的计算资源来实现，速度慢，效率低。

4)准确性差。仍以在线内容恶意信息监测为例，当前较高端的做法是在模拟真实环境的虚拟机中监测在线内容加载时的恶意操作。这种方法依赖于恶意代码的攻击成功实施。如果恶意代码攻击失败，没有出现恶意操作，这种方法就不能成功发现问题，导致漏报的发生。较低端的做法则不使用虚拟机，或甚至不模拟访客真实环境，造成大量漏报和误报。除了虚拟机技术，另一种目前较普遍的相辅的监测方法，则以纯静态判断在线内容脚本中是否有可疑语句为依据，造成大量的误报。所有当前这些方法均不能有效解决漏报和误报的准确率问题。

5)监测报告复杂而且事件关联性差。使用多种监测手段出具不同的报告，各种报告中对发现的安全问题的描述也很复杂且术语不尽相同，对于安全领域不熟悉的用户难以了解网站综合的安全状况。尽管有不同形式的联动技术(主要以SNMP为主)来解决不同厂商设备间的联动，例如防火墙和入侵检测，但联动效果受不同平台天然差异无法做到完善的事件关联，从而影响联动效果。报告形式的不足，以及事件联动效果差让用户对事件不能快速响应和反馈，影响事件的快速解决。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种管理方便、准确性高、适应性高的、综合全面的在线服务异常监测方法及其监测系统。

本发明的目的可以通过以下技术方案来实现：

一种在线服务异常监测方法，该方法包括以下步骤：

1)服务可靠性体检模块、模拟终端用户访问监测模块以及本地服务端安全代理辅助监测和上报模块分别采样所需的在线服务信息和历史在线服务信息；

2)服务可靠性体检模块、本地服务端安全代理辅助监测和上报模块以及模拟终端用户访问监测模块根据采样结果、专家知识库信息和用户反馈库信息判断是否生成异常事件，将判断结果传输至事件管理服务器，并将判断结果依次输出至专家反馈模块和用户反馈模块；

3)专家反馈模块和用户反馈模块分析判断结果的准确性，并将分析结果分别传输到专家知识库和用户反馈库；

4)事件管理服务器接收到的判断结果若为生成异常事件，则事后日志分析及远程本地端联动模块自动对各系统日志进行分析，将分析结果与异常事件相关联，并将关联结果传输至事件管理服务器；

5)事件管理服务器根据关联结果发出警告或显示监测结果。

所述的服务可靠性体检模块的检查对象包括服务器操作系统、Web服务平台软件、在线服务应用本身、数据库系统和在线服务Web访问。

所述的模拟终端用户访问监测模块的监测内容包括可用性监测、在线内容变化监测和非法及恶意信息监测。

所述的可用性监测具体为实时地对在线服务进行连接，获取和记录在线服务的连接和业务响应速度，检查在线服务连接速度及业务功能是否正常。

所述的在线内容变化监测具体为实时地对在线服务提供的内容进行检查，获取内容的特征，检查在线内容是否发生改变。

所述的非法及恶意信息监测具体步骤为：首先对在线服务内容中的脚本、结构进行分析进行静态分析，查找非法恶意信息，若发现确定的非法恶意信息，则立即生成异常事件，若发现疑似非法恶意信息，则进行动态分析，最终确定是否含有非法恶意信息。

所述的本地服务端安全代理辅助监测和上报模块的监测跟踪对象包括网络环境、文件系统、数据库、Web系统和操作系统。

一种实施在线服务异常监测方法的监测系统，该系统包括服务可靠性体检模块、模拟终端用户访问监测模块、本地服务端安全代理辅助监测和上报模块、事后日志分析及远程本地端联动模块、事件管理服务器、专家反馈模块、用户反馈模块、专家知识库和用户反馈库，所述的服务可靠性体检模块、模拟终端用户访问监测模块、本地服务端安全代理辅助监测和上报模块以及事后日志分析及远程本地端联动模块均分别与事件管理服务器、专家反馈模块连接，所述的专家反馈模块分别与用户反馈模块和专家知识库连接，所述的用户反馈模块与用户反馈库连接，所述的专家知识库和用户反馈库均分别与服务可靠性体检模块、模拟终端用户访问监测模块、本地服务端安全代理辅助监测和上报模块连接，所述的事后日志分析及远程本地端联动模块与事件管理服务器连接。

与现有技术相比，本发明具有以下优点：

1)全面。本发明综合了各种监测方式，同时关注在线服务的软硬件平台、网络、在线服务本身、用户对在线服务的访问等方面，持续对在线服务进行可靠性体检和监测。全面的事前漏洞、薄弱点检查、事中实时监测、事后日志分析功能使得用户不需要再同时使用多种监测系统。

2)管理方便。本发明使用事件管理服务器统一处理各类事件，集中管理使得管理非常方便。

3)效率高，准确。静态监测与动态监测相结合，避免了单纯静态监测的准确性问题和单纯动态监测的性能问题，且同时从技术上解决了当前静动态监测中漏报和误报的问题。

4)自学习方式提高适应性。专家和用户对监测结果的反馈影响未来的监测结果，本发明可以使得监测逐步适应实际情况，得到更加准确的结果。

5)方便非专业人士了解在线服务的综合安全(可用性、机密性和完整性)状况，综合安全指数的引入使得在线服务的综合安全状况有一个统一的计量标准，即使是非专业人士也能轻松理解在线服务的综合安全状况。

附图说明

图1为本发明的系统结构及数据流示意图；

图2为本发明在线内容非法及恶意信息监测的流程图；

图3为本发明多层监测概念图。

图1中箭头方向表示数据流方向。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。

实施例

如图1所示，一种在线服务异常监测方法，该方法包括以下步骤：

步骤一，将当前在线服务信息采样和历史在线服务信息采样，连同专家知识库8信息和用户反馈库9信息一起作为服务可靠性体检模块1、模拟终端用户访问监测模块2以及本地服务端安全代理辅助监测和上报模块3的输入参数；

步骤二，服务可靠性体检模块1、模拟终端用户访问监测模块2以及本地服务端安全代理辅助监测和上报模块3判断是否生成异常事件，将判断结果输入事件管理服务器5；

步骤三，同时将将判断结果依次输入专家反馈模块6和用户反馈模块7，而后进入相应的专家知识库8和用户反馈库9，作为以后判断问题的参考；

步骤四，事件管理服务器5接收到的判断结果若为生成异常事件，则事后日志分析及远程本地端联动模块4自动对各系统日志进行分析，将分析结果与异常事件相关联，并将关联结果传输至事件管理服务器5；

步骤五，事件管理服务器5根据关联结果发出警告或显示监测结果。

如图1所示，一种实施上述在线服务异常监测方法的监测系统，包括服务可靠性体检模块1、模拟终端用户访问监测模块2、本地服务端安全代理辅助监测和上报模块3、事后日志分析及远程本地端联动模块4、事件管理服务器5、专家反馈模块6、用户反馈模块7、专家知识库8和用户反馈库9，服务可靠性体检模块1、模拟终端用户访问监测模块2、以及本地服务端安全代理辅助监测和上报模块3均分别与事件管理服务器5、专家反馈模块6连接，专家反馈模块6分别与用户反馈模块7和专家知识库8连接，用户反馈模块7与用户反馈库8连接，专家知识库8和用户反馈库均9分别与服务可靠性体检模块1、模拟终端用户访问监测模块2、本地服务端安全代理辅助监测和上报模块3连接，事后日志分析及远程本地端联动模块4与事件管理服务器5连接。

服务可靠性体检是异常事故发生前对在线服务的技术范围监测，包括本地监测和远程监测两种方式。及早发现可能导致异常事件的薄弱环节，包括安全脆弱点。服务可靠性体检模块1以国际或国家或行业标准为依据，以一定频率进行，频率可自设。服务可靠性体检模块1包括对服务器操作系统(Windows，Linux等)，Web服务平台软件(IIS，Apache等)，在线服务应用本身(分析源程序，例如PHP，ASP等)，数据库系统(MS SQL，MySQL等)，在线服务Web访问(模拟终端用户访问检查问题)进行检查。全部自动进行，发现问题则生成警告和估值，供服务运营方持续提升系统可靠性。

模拟终端用户访问监测模块2对目标在线服务以运营管理人员设定的场景，以一定的时间间隔，持续进行远程或本地监测。时间间隔可由运营管理人员指定，也可使用默认设置。持续的监测包含如下几方面：

可用性监测，检查服务器是否可以连接，连接速度是否正常，在线业务是否功能正常；具体为持续对在线服务以一定的时间间隔进行连接和单个业务操作或完整业务流程检查，获取和记录在线服务的一般连接和业务响应速度。如果发生了连接速度比正常时慢且超过一定阈值，或者在线业务功能异常，则生成异常事件。

在线内容变化监测，检查在线内容是否相对于上次监测发生了巨大的改变。具体为持续对在线服务提供的内容以一定的时间间隔进行检查，获取内容的特征。如网页类，包括基准，页面大小，结构等。如果特征发生变化且超过一定阈值，则生成异常事件。

非法及恶意信息监测，检查在线内容是否被植入了非法，恶意信息。如图2所示，具体步骤包括：

步骤410，对在线服务内容中的脚本、结构进行分析进行静态分析，查找非法恶意信息；

步骤411，判断查找结果是否为确定的非法恶意信息，若是，则进入步骤413，若否，则进入步骤412；

步骤412，执行动态分析，动态分析采用虚拟机进行，虚拟机加载在线内容并监控恶意操作，用以确定非法恶意信息，进入步骤414；

步骤413，得到静态分析结果，立即生成异常事件，监测结束；

步骤414，得到动态分析结果，监测结束。

如图3所示，本发明的监测方法及监测系统能够从多个层面对目标在线服务提供全面监测，包括网络层、主机层、文件系统层、数据库层、Web系统层和Web应用层，各层的监测内容具体包括：

网络层：网络层监测可以发现ARP污染或劫持，D.D.o.S攻击，DNS劫持等异常；

主机层：主机层监测可以发现操作系统安全策略问题，用户账号异常，CPU性能异常，进程异常，硬盘异常等问题；

文件系统层：文件系统层监测可以发现在线服务静态页面的非法修改，被植入后门，植入恶意内容等问题；

数据库层：数据库层监测可以发现在线服务动态部分被植入恶意内容，信息泄露等问题；

Web系统层：Web系统层监测能发现Web平台软件，如IIS，Apache的性能，权限等问题；

Web应用层：Web应用层监测能发现在线服务响应慢，功能故障等问题。

各种监测发现异常之后产生事件，由事件管理服务器统一管理。事件产生之后可根据用户配置以电子邮件，手机短信，聊天工具等通讯方式通知用户报警信息，同时根据用户配置在本地端即时产生保护。用户可以在事件管理服务器查看，确认，处理，删除事件。

Claims (2)

1.一种在线服务异常监测方法，其特征在于，该方法包括以下步骤：

1）服务可靠性体检模块、模拟终端用户访问监测模块以及本地服务端安全代理辅助监测和上报模块分别采样所需的在线服务信息和历史在线服务信息；

2）服务可靠性体检模块、本地服务端安全代理辅助监测和上报模块以及模拟终端用户访问监测模块根据采样结果、专家知识库信息和用户反馈库信息判断是否生成异常事件，将判断结果传输至事件管理服务器，并将判断结果依次输出至专家反馈模块和用户反馈模块；

3）专家反馈模块和用户反馈模块分析判断结果的准确性，并将分析结果分别传输到专家知识库和用户反馈库，作为以后判断问题的参考；

4）事件管理服务器接收到的判断结果若为生成异常事件，则事后日志分析及远程本地端联动模块自动对各系统日志进行分析，将分析结果与异常事件相关联，并将关联结果传输至事件管理服务器；

5）事件管理服务器根据关联结果发出警告或显示监测结果；

所述的服务可靠性体检模块的检查对象包括服务器操作系统、Web服务平台软件、在线服务应用本身、数据库系统和在线服务Web访问；

所述的模拟终端用户访问监测模块的监测内容包括可用性监测、在线内容变化监测和非法及恶意信息监测；

所述的本地服务端安全代理辅助监测和上报模块的监测跟踪对象包括网络环境、文件系统、数据库、Web系统和操作系统；

所述的可用性监测具体为实时地对在线服务进行连接，获取和记录在线服务的连接和业务响应速度，检查在线服务连接速度及业务功能是否正常；

所述的在线内容变化监测具体为实时地对在线服务提供的内容进行检查，获取内容的特征，检查在线内容是否发生改变；

所述的非法及恶意信息监测具体步骤为：首先对在线服务内容中的脚本、结构进行静态分析，查找非法恶意信息，若发现确定的非法恶意信息，则立即生成异常事件，若发现疑似非法恶意信息，则进行动态分析，最终确定是否含有非法恶意信息。

2.一种实施如权利要求1所述的在线服务异常监测方法的监测系统，其特征在于，该系统包括服务可靠性体检模块、模拟终端用户访问监测模块、本地服务端安全代理辅助监测和上报模块、事后日志分析及远程本地端联动模块、事件管理服务器、专家反馈模块、用户反馈模块、专家知识库和用户反馈库，所述的服务可靠性体检模块、模拟终端用户访问监测模块以及本地服务端安全代理辅助监测和上报模块均分别与事件管理服务器、专家反馈模块连接，所述的专家反馈模块分别与用户反馈模块和专家知识库连接，所述的用户反馈模块与用户反馈库连接，所述的专家知识库和用户反馈库均分别与服务可靠性体检模块、模拟终端用户访问监测模块、本地服务端安全代理辅助监测和上报模块连接，所述的事后日志分析及远程本地端联动模块与事件管理服务器连接。