CN103916254A - 一种动态认证行为分析方法及系统 - Google Patents

Abstract

本发明公开了一种动态认证行为分析方法及系统。其中该方法包括：从动态认证行为涉及的网元中提取日志；根据所述日志对所述动态认证行为各个操作的内容进行状态分析；根据每个操作的状态分析结果判断是否需要启动下一个操作。本发明的动态认证行为分析方法及系统，通过提取网元日志对动态认证行为的每一步操作进行状态分析，自动化识别业务当前运行质量并引导提示用户进行下一步访问，提高人机交互性能，能够快速准确的识别故障点和故障原因，保障业务访问质量，提高访问速度。

Description

一种动态认证行为分析方法及系统

技术领域

本发明涉及业务支撑技术领域，尤其涉及一种动态认证行为分析方法及系统。

背景技术

黑龙江移动对综合客户服务系统、办公电子化系统等企业应用提供互联网VPN访问接口，企业内部用户、第三方用户近15000人，登录认证模式主要以动态短信口令为主。由于动态短信认证系统可靠性涉及用户信息管理系统、动态口令生成系统、短信息发送接口、短信网关等多项业务系统的运行质量，各应用系统、IT网络质量、话务网络质量、省际承载网络质量、用户操作失误均可能对业务登录访问造成影响。

现有技术方案处理流程如下：

1、用户登陆系统，Firepass4300VPN接入网关接收到用户请求后返回SSLVPN系统登录页。

2、用户输入用户名及静态密码，等待系统验证。

3、Radius认证服务器将收到的用户名、密码和用户统一管理平台数据库的用户信息进行比对，匹配成功，触发动态口令生成；匹配失败，返回提示信息“密码错误，请重新输入”。

4、动态口令生成后，将生成的动态口令回传给Radius认证服务器，同时触发短信网关，给用户发短信。

5、用户输入手机收到的动态口令，等待系统验证，验证通过，登陆SSLVPN系统，进而访问相应的业务系统。

SSLVPN系统使用基于静态口令的动态短信密码对用户认证,认证系统的硬件配置为3台Firepass4300，其中由2台firepass4300配置的容错对和第三台配置成了集群工作模式。可同时满足4000用户的接入需求。

现有的动态认证方法主要存在以下缺陷：

（1）目前各业务系统监控告警、用户故障申告处理相对分离，当系统发生故障、产生延迟或操作失误等因素造成用户无法登录时，用户难以得到故障原因，无法及时访问业务系统；

系统使用Firepass4300默认的登陆页时，无法对认证结果进行正确判断，Radius认证服务器对用户信息进行验证后，无论验证是否成功，登录页只能向用户展示一种“密码错误，请重新输入”的提示信息。这就会造成：①用户将错误用户名及密码输入时，还在盲目的等待手机短信。②用户输入了正确的用户名和密码，已经触发了短信，但是用户误以为输入了错误的信息，重新输入，重新触发短信。导致短信冲突无法登陆系统。

（2）发生登陆失败时，管理员只能被动的维护。

发明内容

为了解决现有技术中故障点识别不准确的技术问题，本发明提出一种动态认证行为分析方法及系统。

本发明的一个方面，提供一种动态认证行为分析方法，包括：

从动态认证行为涉及的网元中提取日志；

根据所述日志对所述动态认证行为各个操作的内容进行状态分析；

根据每个操作的状态分析结果判断是否需要启动下一个操作。

本发明的另一个方面，提供一种动态认证行为分析系统，包括：

日志提取装置，用于从动态认证行为涉及的网元中提取日志；

状态分析装置，用于根据所述日志对所述动态认证行为各个操作的内容进行状态分析，根据每个操作的状态分析结果判断是否需要启动下一个操作。

本发明的动态认证行为分析方法及系统，通过提取网元日志对动态认证行为的每一步操作进行状态分析，自动化识别业务当前运行质量并引导提示用户进行下一步访问，提高人机交互性能，能够快速准确的识别故障点和故障原因，保障业务访问质量，提高访问速度。

附图说明

图1是本发明动态认证行为的流程示意图；

图2是本发明动态认证行为分析方法实施例的流程图；

图3是本发明日志提取过程的示意图；

图4是本发明动态认证行为分析系统实施例的结构图；

图5是本发明认证系统的架构图。

具体实施方式

以下结合附图对本发明进行详细说明。

如图1所示，本发明动态认证行为主要包括如下操作：

步骤102，密码触发服务器接收终端发送的静态用户名和静态密码，并将所述静态用户名和静态密码传送至Radius服务器；

步骤104，Radius服务器对所述静态用户名和静态密码进行验证，将验证结果发送到所述密码触发服务器和动态口令服务器；

步骤106，密码触发服务器将验证结果通知到所述终端；

步骤108，当验证通过时，所述动态口令服务器生成动态口令，将所述动态口令发送到所述Radius服务器，并通过短信网关发送到所述终端；

步骤110，终端接收到所述动态口令后，将所述动态口令通过密码触发服务器发送到Radius服务器；

步骤112，Radius服务器根据从所述动态口令服务器获得的动态口令对所述密码触发服务器转发的动态口令进行验证。

如图2所示，本发明动态认证行为分析方法实施例包括：

步骤202，从动态认证行为涉及的网元中提取日志，这些网元包括：密码触发服务器、Radius服务器、动态口令服务器和短信网关；

步骤204，根据提取的日志对动态认证行为上述各个操作的内容进行状态分析；

步骤206，根据每个操作的状态分析结果判断是否需要启动下一个操作。

具体地，如图3所示，为了从海量的日志中准确的检索出特定用户的登录信息及所做的相关操作，可以根据用户ID、源IP地址和/或会话ID从上述网元中提取日志。

（1）用户ID

用户ID是用户自身的唯一标识，在审计操作中采用用户ID作为初始审计标识，在对不同用户登录系统的相关操作进行审计时，用户ID可以唯一标识出该用户的访问操作。

当此标识生效后，日志信息的检索就会被定位到相应的用户名或账号，同时，设置开始时间和结束时间，这时该账号在这段时间内的访问记录将被检索出来。

（2）源IP地址

源IP地址即为用户登录系统时所使用机器的IP地址，在审计过程中采用此IP地址作为登录机器的唯一标识。在对相同的用户ID进行审计时，源IP地址可以唯一标识出该用户的位置信息。

此标识是为了保障在相同用户ID的情况下对用户位置检索的准确性而设立的，确保对相同的用户ID在相同的开始时间和结束时间的时间段内对不同位置的访问进行正确的检索。

（3）会话(Session)ID

会话（Session）ID即为每一次客户端与服务器端的信息交互的唯一标识，这个标识非常重要，当用户ID标识和源IP地址标识都相同而无法唯一定位用户访问时，会话ID唯一标识了这次信息交互。

当会话ID标识生效后，系统即可根据开始时间和结束时间的时间段对此次会话操作所涉及到的信息内容进行检索，从而审计到此段时间该用户在其IP地址所在机器上所做的操作。

如图4所示，本发明还提供一种动态认证行为分析系统，包括：日志提取装置41和状态分析装置42。其中，日志提取装置从动态认证行为涉及的网元中提取日志。状态分析装置根据所述日志对所述动态认证行为各个操作的内容进行状态分析，根据每个操作的状态分析结果判断是否需要启动下一个操作。

如图5所示，本发明动态认证行为分析系统在整个认证系统架构中通过管理信息系统网络与密码触发服务器、Radius服务器、动态口令服务器和短信网关等其他设备进行通信。

用户通过CMNET云团，双线到达Firepass4300的2台前置机，继而接入由3台Firepass4300组成的工作集群，随后通过双线穿过管理信息系统网络云团，下连Radius服务器、动态口令服务器、短信网关、用户统一管理平台、动态认证行为分析系统、省内密码触发服务器等6组功能性服务器，同时直连应用系统云团最终提供验证登录成功后的业务实现。

各个硬件的功能如下：

1、前置机：一台负责web负载均衡流量分发；另一台负责向Radius服务器传送静态密码，获取Radius服务器验证状态，展现验证状态信息。

2、Firepass4300：VPN接入网关，使用基于静态口令的动态短信密码对用户认证,认证系统的硬件配置为3台Firepass4300，其中由2台Firepass4300配置的容错对和第三台配置成了集群工作模式。可同时满足4000用户的接入需求。

3、Radius服务器：将收到的用户名、密码和用户统一管理平台数据库的用户信息进行比对：若验证匹配成功，触发动态口令生成，Radius认证服务器存储动态口令；同时将验证结果回传给省内密码触发服务器；若验证匹配失败，同时将验证结果回传给省内密码触发服务器。将用户输入的动态口令和Radius服务器内存储的动态口令比对。

4、动态口令服务器：动态口令生成，并将生成的动态口令回传给Radius认证服务器，同时触发短信网关。

5、短信网关：发送动态口令到用户手机。

6、动态认证行为分析系统：对用户的动态口令进行审计验证。

7、省内密码触发模块：传送用户的动态口令到Radius服务器验证，并对验证结果进行判定：若判定成功，告知用户“已触发动态密码，请接收短信息！”，若判定失败，告知用户“用户名密码错误,请重新登录”。用户输入的动态口令和Radius服务器内存储的动态口令比对匹配失败后，告知用户“密码输入错误，请重新输入！”。

本发明实施例中，当动态认证行为的操作出现故障时，动态认证行为分析系统还进行告警，具体流程如下：

（1）读取密码触发服务器用户登录日志；

（2）分析判定用户登录行为；

（3）记录用户登陆行为，判定用户登录错误行为是否已经超出系统设置的阀值；

（4）对超出登陆阀值的用户登录信息向管理员发送告警；

（5）管理员查询问题，给用户打电话，提供临时登录解决方案。

本发明的动态认证行为分析方法及系统，通过提取网元日志对动态认证行为的每一步操作进行状态分析，自动化识别业务当前运行质量并引导提示用户进行下一步访问，提高人机交互性能，能够快速准确的识别故障点和故障原因，保障业务访问质量，提高访问速度。

通过新增的全业务动态短信触发模块和SSLVPN审计模块，解决了现有技术中的系统使用Firepass4300默认的登陆页时，无法对认证结果进行正确判断、Radius认证服务器对用户信息进行验证后无论验证是否成功，登录页只能向用户展示一种“密码错误，请重新输入”的提示信息等弊端。

通过在Firepass4300前设置两台前置机中的一台负责web负载均衡流量分发解决了现有技术中的Firepass4300启用sandbox自定义登录页后系统的负载均衡无法正常工作的弊端。

通过增设两台行为审计服务器，获取密码触发服务器上的日志信息，对用户登陆状态分析，发出登陆错误告警，解决了现有技术中的发生登陆失败时管理员只能被动的维护的弊端。

本发明实现了用户登录时的闭环短信触发控制及基于Session ID的用户访问审计，针对各类问题做了应急预案，实现了低成本，低故障率，高生产率。

对用户的业务访问整个环节的审计分析，当某环节发生故障或延迟时及时通知系统管理人员并反馈用户；对用户登录行为进行分析，当用户操作失误造成无法登录时系统自动引导用户进行业务访问。通过分析、模拟、验证业务各环节运行状态及用户使用行为，自动化识别业务当前运行质量并引导提示用户进行下一步访问，提高人机交互性能，以保障业务访问质量、提高访问速度。

应说明的是：以上实施例仅用以说明本发明而非限制，本发明也并不仅限于上述举例，一切不脱离本发明的精神和范围的技术方案及其改进，其均应涵盖在本发明的权利要求范围中。

Claims (7)

1.一种动态认证行为分析方法，其特征在于，包括：

从动态认证行为涉及的网元中提取日志；

根据所述日志对所述动态认证行为各个操作的内容进行状态分析；

根据每个操作的状态分析结果判断是否需要启动下一个操作。

2.根据权利要求1所述的方法，其特征在于，所述动态认证行为包括如下操作：

密码触发服务器接收终端发送的静态用户名和静态密码，并将所述静态用户名和静态密码传送至Radius服务器；

所述Radius服务器对所述静态用户名和静态密码进行验证，将验证结果发送到所述密码触发服务器和动态口令服务器；

所述密码触发服务器将验证结果通知到所述终端；

当验证通过时，所述动态口令服务器生成动态口令，将所述动态口令发送到所述Radius服务器，并通过短信网关发送到所述终端；

所述终端接收到所述动态口令后，将所述动态口令通过密码触发服务器发送到Radius服务器；

所述Radius服务器根据从所述动态口令服务器获得的动态口令对所述密码触发服务器转发的动态口令进行验证。

3.根据权利要求2所述的方法，其特征在于，从动态认证行为涉及的网元中提取日志包括：

从所述密码触发服务器、Radius服务器、动态口令服务器和短信网关中提取日志。

4.根据权利要求3所述的方法，其特征在于，从动态认证行为涉及的网元中提取日志包括：

根据用户ID、源IP地址和/或会话ID从动态认证行为涉及的网元中提取日志。

5.一种动态认证行为分析系统，其特征在于，包括：

日志提取装置，用于从动态认证行为涉及的网元中提取日志；

状态分析装置，用于根据所述日志对所述动态认证行为各个操作的内容进行状态分析，根据每个操作的状态分析结果判断是否需要启动下一个操作。

6.根据权利要求5所述的系统，其特征在于，所述动态认证行为涉及的网元包括：

密码触发服务器、Radius服务器、动态口令服务器和短信网关。

7.根据权利要求5所述的系统，其特征在于，所述日志提取装置，用于根据用户ID、源IP地址和/或会话ID从动态认证行为涉及的网元中提取日志。