CN103780678B

CN103780678B - 一种网络审计中的事件流转控制方法及系统

Info

Publication number: CN103780678B
Application number: CN201310741884.1A
Authority: CN
Inventors: 刘勇
Original assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Current assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Priority date: 2013-12-27
Filing date: 2013-12-27
Publication date: 2017-03-22
Anticipated expiration: 2033-12-27
Also published as: CN103780678A

Abstract

本发明实施例公开了一种网络审计中的事件流转控制方法及系统，其中方法可包括：事件流转模块根据配置信息订阅网络事件，并调用功能插件对所述网络事件进行处理；所述事件流转模块在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系。如此技术方案能够实现网络审计中对网络事件的并行处理，提高网络事件的处理速度，并且降低系统资源的消耗。

Description

一种网络审计中的事件流转控制方法及系统

技术领域

本发明涉及网络审计领域，特别是涉及一种网络审计中的事件流转控制方法及系统。

背景技术

网络审计是指通过捕获网络数据报文，解析报文各层内容，最终达到还原网络传输内容的目的。网络审计一般用于规范员工上网行为、提高工作效率，防止企业机密资料外泄，威慑违法行为，为企业提供网络安全保障。

网络审计系统主要具备审计功能和事件处理功能；其中，审计功能负责还原网络传输内容生成网络事件；事件处理功能是通过若干个处理网络事件的功能点实现对网络事件的加工处理，每个功能点完成一项或者多项对事件的加工。网络事件在一个功能点被处理后，被传送到下一个功能点进行处理的过程，即为事件流转。

目前，事件处理功能有以下两种实现方式，第一种实现方式是将所有功能点融合在一个进程中，将所有功能点编译在一起并执行。第二种实现方式是将各个功能点独立模块化，每个模块是一个独立进程，每个模块需要从上一个功能点模块接收网络事件，处理之后再将该网络事件发送给下一个功能点模块。

第一种实现方式的可扩展性差，当增加或者减少某个功能点时，需重新编译程序；并且该方式无法实现对网络事件的并行处理。第二种实现方式在进行并行处理时需要多次拷贝分发，多次拷贝分发就需要多次内存分配和回收，将消耗大量系统资源。

发明内容

为了解决上述技术问题，本发明提供了一种网络审计中的事件流转控制方法及系统，用以实现网络审计中对网络事件的并行处理，提高网络事件的处理速度，并且降低系统资源的消耗。

为此，本发明提供如下技术方案:

一种网络审计中的事件流转控制方法，所述方法包括：

事件流转模块根据配置信息订阅网络事件，并调用功能插件对所述网络事件进行处理；

所述事件流转模块在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系。

本发明还提供一种网络审计中的事件流转控制系统，所述系统包括：至少一个事件流转模块；

所述事件流转模块包括：

事件订阅模块，用于根据配置信息订阅网络事件；

事件处理模块，用于调用功能插件对所订阅的网络事件进行处理；

事件发布模块，用于在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系。

本发明实施例一种网络审计中的事件流转控制方法及系统，为了达到网络审计中对网络事件的并行处理，提高网络事件的处理速度，并且降低系统资源的消耗的目的，首先，事件流转模块根据配置信息订阅网络事件，并调用功能插件对所述网络事件进行处理；所述功能插件具有处理网络事件的功能点所具有的处理功能；通过调用功能插件实现对事件处理的功能，由于功能插件不参与数据流转，各个功能插件之间彼此独立互不影响，因此，当功能插件故障后，并不会对其他功能插件造成影响，从而避免现有技术中的一个功能点失效后，整个系统都无法正常工作的问题。然后，所述事件流转模块在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系。由于网络事件流转采用了发布-订阅技术，使得多个功能点可同时接收同一网络事件并作处理，极大的提高了事件的分发速度和处理速度，由于事件处理是在同一个进程中进行，事件分发时无须进行事件拷贝，减少了内存分配与释放，降低了系统资源的消耗。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一种网络审计中的事件流转控制方法实施例1的流程图；

图2是本发明实施例一种网络审计中的事件流转控制系统实施例1的结构图；

图3是本发明实施例一种网络审计中的事件流转控制系统实施例2的结构图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和实施方式对本发明实施例作进一步的详细说明。

参阅图1，示出的本发明实施例一种网络审计中的事件流转控制方法的实施例1的流程图，所述方法可包括：

步骤101，事件流转模块根据配置信息订阅网络事件，并调用功能插件对所述网络事件进行处理。

由于网络审计系统一般包括审计功能和事件处理功能，而在网络审计中最重要的一个环节是对网络事件的处理，因此，如何实现事件处理功能是网络审计技术中最为关键的一个技术点，而本发明实施例是针对如何实现事件处理功能提供了一种技术方案。

本步骤的事件流转模块具有控制功能，调用的功能插件提供事件处理功能，所调用的功能插件具有处理网络事件的功能点所具有的处理功能，比如：对网络事件的储存处理、统计处理、外发处理、危害分析处理等功能。

本步骤的事件流转模块可从本系统或者其他系统的进程处订阅网络事件，具体是根据本事件流转模块的配置信息得知应该从哪个进程处订阅网络事件；所谓订阅是指一种数据接收方式，事件接收者从事件发布者处接收事件，称之为订阅，发布于订阅成对使用。

在实际应用中，当事件流转模块启动工作时，可根据配置信息得知应该加载哪一个功能插件，然后加载对应的功能插件，在根据配置信息订阅网络事件，然后调用所加载的功能插件对所订阅的网络事件进行处理。

步骤102，所述事件流转模块在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系。

在上述步骤101对网络事件处理之后，事件流转模块直接发布所述网络事件；所谓发布是指一种数据分发方式，具体是指将事件以广播的形式发送，无论是否有接收者进行接收，都进行广播。

因此，为了将网络事件流转下去，以便其他事件流转模块对该网络事件进行处理，本事件流转模块在调用了功能插件实现对网络事件的处理之后，直接采用发布-订阅技术，以便其他事件流转模块订阅该网络事件。对于事件流转模块而言，不关注所调用的功能插件的处理情况，也就是说，不论所调用的功能插件处理成功或者失败，或者功能插件出现故障等等，只要所调用的功能插件处理完毕，则将该网络事件进行发布，可见：事件流转模块可不受本模块所调用的功能插件处理情况的影响，直接发布网络事件，为订阅该网络数据的其他事件流转模块做好技术准备。

本发明实施例网络审计的事件流转控制方法，首先，利用事件流转模块订阅网络事件，并调用功能插件对所订阅的网络事件进行处理；所述功能插件具有处理网络事件的功能点所具有的处理功能；通过调用功能插件实现对事件处理的功能，由于功能插件不参与数据流转，各个功能插件之间彼此独立互不影响，因此，当功能插件故障后，并不会对其他功能插件造成影响，从而避免现有技术中的一个功能点失效后，整个系统都无法正常工作的问题。然后，事件流转模块在所述网络事件处理之后，发布所述网络事件，以便与本事件流转模块有订阅关系的其他事件流转模块订阅所述网络事件。由于网络事件流转采用了发布-订阅技术，使得多个功能点可同时接收同一网络事件并作处理，极大的提高了事件的分发速度和处理速度，由于事件处理是在同一个进程中进行，事件分发时无须进行事件拷贝，减少了内存分配与释放，降低了系统资源的消耗。

在网络审计过程中，由于网络事件的数据量较大，若每次只能对一个网络事件进行处理，这样导致网络审计处理过程较长，同时也会耗费大量的人力物力。

基于上述技术问题，本发明实施例还提供了一种优选方案。具体是在上述本发明实施例1的基础上，针对上述步骤101提供了一种优选的实现方式。

优选的，事件流转模块根据配置信息订阅网络事件，并调用功能插件对所述网络事件进行处理，包括：

步骤1011，所述事件流转模块根据配置信息启动至少两个事件处理子任务；

步骤1012，所述事件流转模块选择一个事件处理子任务，将所订阅的网络事件推送给所选择的事件处理子任务；

步骤1013，所选择的事件处理子任务调用功能插件的对所述网络事件进行处理。

为了并行处理多个网络事件，设计配置信息时就设置好应该启动多少个事件处理子任务，对于事件流转模块而言，就根据自身的配置信息启动多少个事件处理子任务；当事件流转模块接收到一个网络事件时，就考虑要将该网络事件推送给哪一个事件处理子任务进行处理，因此，事件流转模块需要从所启动的所有事件处理子任务中选择一个事件处理子任务，该被选择的事件处理子任务拉回该网络事件，然后调用功能插件的对所述网络事件进行处理。当事件流转模块接收到多个网络事件时，则将这些网络事件分别推送给多个事件处理子任务，然后，各事件处理子任务分别调用功能插件，同时对这些网络事件进行处理，因此，本步骤通过事件处理子任务的处理方式就能够实现网络事件的并行处理。

所谓推送是指一种数据发送方式，发送者推送事件时必须有拉回者接收，否则将阻塞一直等待被接收。所谓拉回是指一种数据接收方式，从推送者处接收事件即为拉回，推送与拉回成对使用。

利用本优选方案之后，当事件流转模块接收到大量的网络事件时，可通过多个事件处理子模块同时处理，以提高网络审计的事件处理速率，减小人力物力资源的耗费。

为了更快速地对网络事件进行处理，本发明实施例提供了优选方案，优选的，所述事件流转模块通过以下方式选择一个事件处理子模块，包括：

通过负载均衡算法选择一个空闲的事件处理子模块。

由于有些功能插件自身可产生新的事件，而这些新的事件也属于网络审计所要处理网络事件的范畴内，因此，为了对功能插件所产生的新的事件也进行处理，本发明实施例还提供了优选方案。具体是在上述本发明实施例1的基础上，还包括：

所述事件流转模块扩展所调用的功能插件的自身事件采集模块，以便所述采集模块所采集的事件被订阅。

当然，对于事件流转模块而言，当所调用的功能插件本身具有事件采集模块时，且该采集模块可在线程里独立运行时，则当调用该功能插件时，启动其自身的采集模块，然后将该采集模块所采集的事件通过本事件流转模块发布出去，这样就保证了该功能插件自身所采集的事件在整个审计系统中得到流转。

对于本发明事件流转模块而言，还可根据配置信息决定是否所订阅的网络事件推送给所调用的功能插件进行处理，也可决定是否将处理后的网络事件进行发布。也就是说，在配置信息中可规定哪些网络事件只是需要接收而不需要功能插件进行处理，哪些网络事件只需要本事件流转模块调用功能插件进行处理，而不需要将其发布出去。

另外，由于事件流转模块所调用的功能插件在对网络事件进行处理后，可能会产生新的事件，比如告警事件等，那么，事件流转模块不仅可向外发布本事件流转模块处理的网络事件，也可向外发布经所调用的功能插件处理后产生新的事件，如告警事件等。则新产生的事件经由事件流转模块向外发布后，就与其他网络事件一样了，可被其他事件流转模块所调用的功能插件订阅、处理和发布了。

在实际网络审计过程中，有时需要监测所处理的网络事件个数，或者监测当前网络事件处理的状态等，了解网络审计的网络事件处理情况，基于此技术问题，本发明还提供了优选方案。具体是在上述本发明实施例1的基础上，所述方法还包括：

所述事件流转模块向控制模块发送注册信息；

所述事件流转模块接收所述控制模块推送的消息，所述消息包括：控制消息、策略消息、命令消息任意一种或者多种；

所述事件流转模块依据所述消息执行对应的操作。

事件流转模块可在启动时向控制模块发送注册信息，所谓注册信息包括本事件流转模块的名称标识和功能标识。则控制模块可通过事件流转模块的注册信息实现与事件流转模块的信息互通，以实现监控该事件流转模块的目的。

当网络审计处理过程中需要监控网络事件的处理状态时，则控制模块可采用推送-来回技术，根据注册信息向对应的事件流转模块推送消息。该消息的可包括：控制消息、策略消息、命令消息任意一种或者多种；

控制消息可包括：控制事件流转模块的停止或者启动的控制信息。

策略消息可包括：事件过滤器策略或事件丢弃策略等信息

命令消息可包括：事件流转模块状态的查询或事件处理个数查询等信息。

若控制模块推送的是命令消息，则控制模块在事件流转模块接收消息并处理后，还需从事件流转模块将响应信息拉回。对于事件流转模块而言，当从控制模块处接收到消息后，根据消息的具体内容，做出对应的操作，比如：若接收到的消息是控制消息标识停止，事件流转模块则停止工作。若接收到的是策略消息包括事件丢弃策略，则事件流转模块丢弃当前接收到的网络事件。

本发明实施例提供一种网络审计中的事件流转控制系统。

参阅图2，示出的本发明实施例一种网络审计中的事件流转控制系统实施例1的结构图，该系统可包括：

至少一个事件流转模块；所述事件流转模块包括：

事件订阅模块，用于根据配置信息订阅网络事件；

事件处理模块，用于调用功能插件对所订阅的网络事件进行处理；所述功能插件具有处理网络事件的功能点所具有的处理功能；

事件发布模块，用于在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他流转模块与本事件流转模块之间存在订阅关系。

所述事件订阅模块，实质上是根据本事件流转模块的配置信息，从订阅源处订阅网络事件，所谓订阅源可以是系统中的其他进程，或者其他事件订阅模块，或者其他系统的进程等。在事件流转模块的配置信息中预先规定了本事件流转模块应该加载并调用的功能插件，同时也规定了本事件流转模块与其他事件流转模块之间的订阅关系，一般情况下，启动该功能插件所在的事件流转模块时，需要先启动其订阅的事件流转模块。依次递归，启动系统中所有事件流转模块。事件流转模块在加载功能插件时，调用功能插件的初始化接口对功能插件进行初始化。

事件流转控制系统中的各个事件流转模块是利用彼此之间的订阅关系而相互通信连接的，在实际应用中，可根据改变配置信息以使事件流转模块调用不同的功能模块实现不同的处理功能，因此，事件流转模块实质上是通过订阅、发布网络事件的方式实现对网络事件的流转控制功能，并通过调用功能插件实现网络事件处理功能。

本发明实施例网络审计的事件流转控制系统，利用事件流转模块订阅网络事件，并调用功能插件对所订阅的网络事件进行处理；所述功能插件具有处理网络事件的功能点所具有的处理功能；通过调用功能插件实现对事件处理的功能，由于功能插件不参与数据流转，各个功能插件之间彼此独立互不影响，因此，当功能插件故障后，并不会对其他功能插件造成影响，从而避免现有技术中的一个功能点失效后，整个系统都无法正常工作的问题。然后，事件流转模块在所述网络事件处理之后，发布所述网络事件，以便与本事件流转模块有订阅关系的其他事件流转模块订阅所述网络事件。由于网络事件流转采用了发布-订阅技术，使得多个功能点可同时接收同一网络事件并作处理，极大的提高了事件的分发速度和处理速度，由于事件处理是在同一个进程中进行，事件分发时无须进行事件拷贝，减少了内存分配与释放，降低了系统资源的消耗。

当网络事件数据量较大时，为了更快的对这些网络事件进行处理，本发明实施例提供优选方案，优选的，所述事件处理模块，包括：

启动子模块，用于根据配置信息启动至少两个事件处理子任务；

选择子模块，用于选择任一个事件处理子任务，将所订阅的网络事件推送给所选择的事件处理子任务；

事件处理子模块，用于调用功能插件对所选择的事件处理子任务所拉回的所述网络事件进行处理。

为了更好地为网络事件分配处理子任务，本发明实施例提供有效方案，优选的，所述选择子模块，具体用于通过负载均衡算法选择一个空闲的事件处理子任务，将所订阅的网络事件推送给所选择的事件处理子模块。

优选的，所述事件流转模块还包括：

扩展模块，用于扩展本事件流转模块所调用的功能插件的自身事件采集模块，以便所述采集模块所采集的事件被订阅。

为了更好地监控整个审计过程中网络事件的处理情况，本发明实施例提供了优选方案，具体参阅图3，示出的本发明实施例一种网络审计中的网络事件流转控制系统的实施例2的流程图，该系统可包括：

至少一个事件流转模块；所述事件流转模块包括：

事件订阅模块，用于订阅网络事件；

事件发布模块，用于在所述网络事件处理之后，发布所述网络事件，以便与本事件流转模块所调用的功能插件有订阅关系的其他功能插件所在的事件流转模块订阅所述网络事件。

控制模块，用于接收所述事件流转模块发送的注册信息，并根据所述注册信息向所述事件流转模块推送消息，所述消息包括：控制消息、策略消息、命令消息任意一种或者多种；

所述事件流转模块，根据所接收的消息内容执行对应的操作。

利用本发明优选方案之后，不仅能够达到网络审计中对网络事件的并行处理，提高网络事件的处理速度，降低系统资源的消耗的目的，还可利用控制模块通过推送-拉回技术，实现对网络审计过程中网络事件的处理情况的监控。

需要说明的是，本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令处理器来完成，所述的程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储器（Read-Only Memory，ROM）或随机存取存储器（Random-Access Memory，RAM）等。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备及系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的设备及系统实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上对本发明所提供的网络审计的网络事件流转控制方法及系统进行了详细介绍，本文中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法；同时，对于本领域的一般技术人员，依据本发明，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims

1.一种网络审计中的事件流转控制方法，其特征在于，所述方法包括：

所述事件流转模块在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系；

所述事件流转模块根据配置信息订阅网络事件，并调用功能插件对所述网络事件进行处理，具体包括：

所述事件流转模块根据配置信息启动至少两个事件处理子任务；

所述事件流转模块选择一个事件处理子任务，将所订阅的网络事件推送给所选择的事件处理子任务；

所选择的事件处理子任务调用功能插件的对所述网络事件进行处理。

2.根据权利要求1所述的方法，其特征在于，所述事件流转模块通过以下方式选择一个事件处理子任务，包括：

通过负载均衡算法选择一个空闲的事件处理子任务。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

4.根据权利要求1至3任一项所述的方法，其特征在于，所述方法还包括：

所述事件流转模块向控制模块发送注册信息；

所述事件流转模块依据所述消息执行对应的操作。

5.一种网络审计中的事件流转控制系统，其特征在于，所述系统包括：至少一个事件流转模块；

所述事件流转模块包括：

事件订阅模块，用于根据配置信息订阅网络事件；

事件发布模块，用于在完成所述网络事件处理之后，发布所述网络事件，以使其他事件流转模块订阅所述网络事件，所述其他事件流转模块与本事件流转模块之间存在订阅关系；

所述事件处理模块，具体包括：

6.根据权利要求5所述的系统，其特征在于，

所述选择子模块，具体用于通过负载均衡算法选择一个空闲的事件处理子任务，将所订阅的网络事件推送给所选择的事件处理子任务。

7.根据权利要求5所述的系统，其特征在于，所述事件流转模块还包括：

8.根据权利要求5至7任一项所述的系统，其特征在于，还包括：

则所述事件流转模块，还用于根据所接收的消息内容执行对应的操作。