CN104125304B - 一种会话级应用审计方法及系统 - Google Patents

Abstract

本发明提供一种会话级应用审计方法及系统，系统包括审计策略定义模块、会话监控模块，用于在会话层，对运行在运维服务器上的各应用进程进行监控；捕获模块，用于实时捕获操作行为数据；获取模块；执行模块，用于获取各种审计数据；映射关系配置表，用于存储操作行为数据与审计信息的映射关系。优点为：部署在被审计的目标服务器，用于在操作系统会话层面对应用进程监控，与产生会话的具体协议无关，也不需对现有网络结构进行任何改变，易维护；可方便迅速的查找到操作行为数据、屏幕视频帧、账户名、时间戳和应用程序名的对应关系，无需与任何第三方账户系统对接。并且，能够显示操作行为发生时的视频帧，真实还原当时的操作场景。

Description

一种会话级应用审计方法及系统

技术领域

本发明属于服务器操作行为审计技术领域，具体涉及一种会话级应用审计方法及系统。

背景技术

当前，企业的IT系统构成复杂，常常包括数量众多的运维主机和数量众多的运维终端，各个运维终端向运维主机发送操作指令，进而远程操作控制各台运维主机。因此，有效监控各台运维终端对运维主机的操作行为，是企业控制内部风险的重要手段。

现有技术中，主流的细粒度到操作行为的、非日志的事件审计产品一般采用代理登录的模式。即：在运维终端和运维主机之间的某一通信网络节点上布署代理主机，其工作过程为：

(1)当运维终端A需要和运维主机B通信时，首先使运维终端A连接到代理主机；

(2)运维终端A向代理主机发送需要建立的运维主机的标识，即为运维主机B；代理主机进而与运维主机B建立通信连接；

(3)运维终端A向代理主机发送对运维主机B的操作行为；然后，代理主机将接收到的操作行为发送到运维主机B上；

(4)代理主机接收运维主机B的反馈结果，再将该反馈结果发送到运维终端A。

在上述过程中，代理主机记录接收到的所有操作指令，进而达到对运维主机B进行审计的目的。

上述采用代理主机进行审计监控的模式主要存在以下问题：

(1)需要更改用户的现有网络结构，额外布署物理网络节点，而由于用户的网络结构千差万别，复杂度很高，因此，额外布署物理网络节点的布置难度较大，施工成本较高，特殊情况时，甚至无法布署物理网络节点；因此，具有较大的使用局限性；

(2)由于运维终端和运维主机之间的通讯报文均需要经过代理主机，因此，对代理主机的可靠性要求极高；一旦代理主机自身发生故障时，会直接影响运维终端和运维主机之间的正常通讯，使操作人员无法对运维主机进行正常运维行为；

(3)需要实时升级SSH(安全外壳协议)、RDP等网络通信协议，具有系统维护成本高的问题；

(4)代理主机所记录的操作指令不易检索；此外，代理主机仅记录字符数据形式的操作指令，只能对运维真实场景进行模拟仿真回放，具有回放的运维场景真实度有限的问题。

发明内容

针对现有技术存在的缺陷，本发明提供一种会话级应用审计方法及系统，布置于目标运维主机，可有效解决上述问题。

本发明采用的技术方案如下：

本发明提供一种会话级应用审计方法，包括以下步骤：

S1，定义审计策略；其中，所述审计策略指：当监控到操作行为发生时，记录账户名和/或记录应用程序名称，还包括执行以下动作中的一种或几种的组合：记录屏幕视频帧、记录应用程序的标题数据和记录时间戳；

S2，在会话层，对运行在目标运维服务器上的各个应用进程进行监控，当监控到某一个指定应用进程产生新的会话时，实时捕获该会话下发生的各个操作行为数据；

S3，对于捕获到的每一个操作行为数据，均执行以下步骤：

获取发生所述操作行为数据的应用进程，进而获取到发生所述操作行为数据的指定应用程序名称和/或登录该应用程序的账户名；其中，所述指定应用程序名称对应指定应用程序；

然后，如果以指定应用程序名称为关键词查找所定义的审计策略，则获得与所述指定应用程序名称绑定的审计策略，基于获得的所述审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得当前登录所述指定应用程序的账户名；

操作4：记录当前时刻的时间戳；

如果以账户名为关键词查找所定义的审计策略，则获得与所述账户名绑定的审计策略，基于获得的所述审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得所述指定应用程序名称；

操作4：记录当前时刻的时间戳；

S4，将S2捕获的操作行为数据与下列审计信息的映射关系存储到映射关系配置表：所述审计信息为S3获得的以下信息的一种或几种组合：所述屏幕视频帧、所述指定应用程序的标题数据、所述指定应用程序的账户名、所述指定应用程序名称和所述时间戳。

优选的，S4之后，还包括：

S5，接收对目标运维服务器的操作行为数据进行检索回放的指令，其中，该检索回放的指令中携带检索关键词；所述检索关键词为账户信息、需检索的时间信息、需检索的应用程序名称的一种或几种组合信息；

S6，根据所述检索关键词检索所述映射关系配置表，定位到与所述检索关键词对应的操作行为数据和操作行为数据发生时的指定屏幕视频帧。

优选的，S6之后，还包括：

S7，按所设定的播放帧数参数，检索到位于所述指定屏幕视频帧之前且与所述指定屏幕视频帧相邻的连续的若干张屏幕视频帧，还检索到位于所述指定屏幕视频帧之后且与所述指定屏幕视频帧相邻的连续的若干张屏幕视频帧；然后，根据各张检索到的屏幕视频帧的时间戳信息，按时间先后顺序播放所检索到的各张屏幕视频帧，从而还原得到操作行为数据发生时的操作场景。

本发明提供一种会话级应用审计系统，所述会话级应用审计系统运行于目标运维服务器，包括：

审计策略定义模块，用于定义与账户名绑定的审计策略，包括：记录屏幕视频帧、记录应用程序的标题数据、定义应用程序名称和记录时间戳的一种或几种组合；

还用于定义与应用程序名称绑定的审计策略，包括：记录屏幕视频帧、记录应用程序的标题数据、定义账户名和记录时间戳的一种或几种组合；

会话监控模块，用于在会话层，对运行在目标运维服务器上的各个应用进程进行监控；

捕获模块，用于当所述会话监控模块监控到某一个指定应用进程产生新的会话时，实时捕获该会话下发生的各个操作行为数据；

获取模块，用于获取发生所述捕获模块捕获到的操作行为数据的应用进程，进而获取到发生所述操作行为数据的指定应用程序名称和/或登录该应用程序的账户名；

第一审计策略查找模块，如果所述获取模块获取到的为发生所述操作行为数据的指定应用程序名称，则查找所述审计策略定义模块所定义的与应用程序名称绑定的第一审计策略；

第二审计策略查找模块，如果所述获取模块获取到的为发生所述操作行为数据的账户名，则查找所述审计策略定义模块所定义的与账户名绑定的第二审计策略；

执行模块，用于根据所述第一审计策略查找模块所查找到的所述第一审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得当前登录所述指定应用程序的账户名；

操作4：记录当前时刻的时间戳；

还用于根据所述第二审计策略查找模块所查找到的所述第二审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得所述指定应用程序名称；

操作4：记录当前时刻的时间戳；

映射关系配置表，用于存储所述捕获模块所捕获到的作行为数据与下列审计信息的映射关系：

所述审计信息为执行模块获得的以下信息的一种或几种组合：所述屏幕视频帧、所述指定应用程序的标题数据、所述指定应用程序的账户名、所述指定应用程序名称和所述时间戳。

本发明提供的会话级应用审计方法及系统，具有以下优点：

(1)该会话级应用审计系统部署在被审计的目标服务器上，用于在操作系统会话层面对应用进程进行监控，与产生会话的具体协议无关，也不需对现有网络结构进行任何改变，也不需要代理主机，具有易维护的优点；

(2)本发明可方便迅速的查找到操作行为数据、屏幕视频帧、账户名、时间戳和应用程序名的对应关系，无需与任何第三方的账户系统对接。并且，能够显示操作行为发生时的视频帧，真实还原当时的操作场景。

附图说明

图1为本发明提供的会话级应用审计方法的流程示意图；

图2为本发明提供的会话级应用审计系统的结构示意图。

具体实施方式

以下结合附图对本发明进行详细说明：

如图1所示，本发明提供一种会话级应用审计方法，包括以下步骤：

S1，定义审计策略；其中，所述审计策略指：当监控到操作行为发生时，记录账户名和/或记录应用程序名称，还包括执行以下动作中的一种或几种的组合：记录屏幕视频帧、记录应用程序的标题数据和记录时间戳；

S2，在会话层，对运行在目标运维服务器上的各个应用进程进行监控，当监控到某一个指定应用进程产生新的会话时，实时捕获该会话下发生的各个操作行为数据；

S3，对于捕获到的每一个操作行为数据，均执行以下步骤：

获取发生所述操作行为数据的应用进程，进而获取到发生所述操作行为数据的指定应用程序名称和/或登录该应用程序的账户名；其中，所述指定应用程序名称对应指定应用程序；

然后，如果以指定应用程序名称为关键词查找所定义的审计策略，则获得与所述指定应用程序名称绑定的审计策略，基于获得的所述审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得当前登录所述指定应用程序的账户名；

操作4：记录当前时刻的时间戳；

如果以账户名为关键词查找所定义的审计策略，则获得与所述账户名绑定的审计策略，基于获得的所述审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得所述指定应用程序名称；

操作4：记录当前时刻的时间戳；

S4，将S2捕获的操作行为数据与下列审计信息的映射关系存储到映射关系配置表：所述审计信息为S3获得的以下信息的一种或几种组合：所述屏幕视频帧、所述指定应用程序的标题数据、所述指定应用程序的账户名、所述指定应用程序名称和所述时间戳。

S4之后，还包括：

S5，接收对目标运维服务器的操作行为数据进行检索回放的指令，其中，该检索回放的指令中携带检索关键词；所述检索关键词为账户信息、需检索的时间信息、需检索的应用程序名称的一种或几种组合信息；

S6，根据所述检索关键词检索所述映射关系配置表，定位到与所述检索关键词对应的操作行为数据和操作行为数据发生时的指定屏幕视频帧。

因此，通过上述检索回放方式，可非常方便迅速的检索到某一时刻运维人员通过运维终端发送到目标运维服务器的操作行为数据，从而可全面对目标运维服务器上发生的操作行为进行监控。此外，当基于账户信息进行检索时，可检索到同一账户的所有操作行为数据，可全面方便获取某一运维人员的所有运维或操作指令。

S6之后，还包括：

S7，按所设定的播放帧数参数，检索到位于所述指定屏幕视频帧之前且与所述指定屏幕视频帧相邻的连续的若干张屏幕视频帧，还检索到位于所述指定屏幕视频帧之后且与所述指定屏幕视频帧相邻的连续的若干张屏幕视频帧；然后，根据各张检索到的屏幕视频帧的时间戳信息，按时间先后顺序播放所检索到的各张屏幕视频帧，从而还原得到操作行为数据发生时的操作场景。

例如，当需要检索2014年8月5日19：00的操作场景时，为方便说明，仅以设定的播放帧数参数为前后各2张为例进行说明：

设映射关系配置表中按时间戳先后顺序存储以下内容：映射关系1：18：30分-屏幕视频帧1-账户名a-操作行为数据1-应用程序1；映射关系2：18：50分-屏幕视频帧2-账户名a-操作行为数据2-应用程序1；映射关系3：19：00分-屏幕视频帧3-账户名a-操作行为数据3-应用程序1；映射关系4：19：30分-屏幕视频帧4-账户名a-操作行为数据4-应用程序1；映射关系5：19：32分-屏幕视频帧5-账户名a-操作行为数据5-应用程序1；则自动播放屏幕视频帧1、屏幕视频帧2、屏幕视频帧3、屏幕视频帧4和屏幕视频帧5，从而实现真实直观还原执行操作行为数据3时的操作场景。

其中，播放帧数参数的具体值可手工设置，也可由监控系统自动设置。

如图2所示，本发明还提供一种会话级应用审计系统，所述会话级应用审计系统运行于目标运维服务器，包括：

审计策略定义模块，用于定义与账户名绑定的审计策略，包括：记录屏幕视频帧、记录应用程序的标题数据、定义应用程序名称和记录时间戳的一种或几种组合；

还用于定义与应用程序名称绑定的审计策略，包括：记录屏幕视频帧、记录应用程序的标题数据、定义账户名和记录时间戳的一种或几种组合；

会话监控模块，用于在会话层，对运行在目标运维服务器上的各个应用进程进行监控；

捕获模块，用于当所述会话监控模块监控到某一个指定应用进程产生新的会话时，实时捕获该会话下发生的各个操作行为数据；

获取模块，用于获取发生所述捕获模块捕获到的操作行为数据的应用进程，进而获取到发生所述操作行为数据的指定应用程序名称和/或登录该应用程序的账户名；

第一审计策略查找模块，如果所述获取模块获取到的为发生所述操作行为数据的指定应用程序名称，则查找所述审计策略定义模块所定义的与应用程序名称绑定的第一审计策略；

第二审计策略查找模块，如果所述获取模块获取到的为发生所述操作行为数据的账户名，则查找所述审计策略定义模块所定义的与账户名绑定的第二审计策略；

执行模块，用于根据所述第一审计策略查找模块所查找到的所述第一审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得当前登录所述指定应用程序的账户名；

操作4：记录当前时刻的时间戳；

还用于根据所述第二审计策略查找模块所查找到的所述第二审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得所述指定应用程序名称；

操作4：记录当前时刻的时间戳；

映射关系配置表，用于存储所述捕获模块所捕获到的作行为数据与下列审计信息的映射关系：

所述审计信息为执行模块获得的以下信息的一种或几种组合：所述屏幕视频帧、所述指定应用程序的标题数据、所述指定应用程序的账户名、所述指定应用程序名称和所述时间戳。

以下介绍一种本发明提供的会话级应用审计系统的两个具体实施例：

实施例一：

将本发明提供的会话级应用审计系统布署在某一台目标运维服务器，该目标运维服务器为运行linux或unix操作系统的服务器。

搭建一台windows系统的操作维护跳板机，该跳板机即为运维终端；然后在跳板机上打开维护软件，例如SecureCRT.exe或PUTTY.exe。跳板机通过操作维护软件向目标运维服务器发送操作行为数据。而布置在运维服务器的会话级应用审计系统通过记录SecureCRT.exe，PUTTY.exe等windows会话的应用程序的操作行为数据，实现对linux、unix目标运维服务器的审计工作。

具体的，会话级应用审计系统监控对目标运维服务器上的各个应用进程进行监控，当监控到RDP协议产生新的远程windows会话时，准确的记录了该会话下发生的操作行为数据，还根据审计策略，获得发生操作行为的应用程序名，账户名，应用程序的标题数据，操作时间戳和实时的屏幕视频帧。

变化各种RDP版本，并且变化RDP协议加密级别，测试在win7、windows server2008、windows server 2003下的会话，经验证，上述采取的各种测试模式的审计数据，均能被本发明提供的会话级应用审计系统捕获到。

实施例二：

打开SSH的终端维护linux主机运维服务器，运维终端在windows上打开SecureCRT或PUTTY.exe操作维护软件，进而连接到目标运维服务器；经验证，无论任何版本维护终端向运维服务器发送的操作行为数据，均可被布置在运维服务器上的会话级应用审计系统准确记录，记录的审计数据包括：账户名、时间戳、应用程序名、应用程序标题、屏幕视频帧和操作行为数据，经检索审计数据，能够自动播放到操作行为发生时的屏幕视频帧。

综上所述，本发明提供的一种会话级应用审计方法及系统，具有以下优点：

(1)该会话级应用审计系统部署在被审计的目标服务器上，用于在操作系统会话层面对应用进程进行监控，与产生会话的具体协议无关，避免了代理主机模式与协议绑定的问题；因此，当产生会话的协议出现升级或者变化时，不需对本发明的会话级应用审计系统进行任何改动，仍可继续运行；具有易维护的优点；

(2)本发明提供的会话级应用审计系统部署在被审计的目标运维服务器上，不需对现有网络结构进行任何改变，也不需要代理主机，具有对运维服务器运维行为的监控成本低的优点；

(3)本发明可方便迅速的查找到操作行为数据、屏幕视频帧、账户名、时间戳和应用程序名的对应关系，无需与任何第三方的账户系统对接。并且，能够显示操作行为发生时的视频帧，真实还原当时的操作场景。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (2)

1.一种会话级应用审计方法，其特征在于，包括以下步骤：

S1，定义审计策略；其中，所述审计策略指：当监控到操作行为发生时，记录账户名和/或记录应用程序名称，还包括执行以下动作中的一种或几种的组合：记录屏幕视频帧、记录应用程序的标题数据和记录时间戳；

S2，在会话层，对运行在目标运维服务器上的各个应用进程进行监控，当监控到某一个指定应用进程产生新的会话时，实时捕获该会话下发生的各个操作行为数据；

S3，对于捕获到的每一个操作行为数据，均执行以下步骤：

获取发生所述操作行为数据的应用进程，进而获取到发生所述操作行为数据的指定应用程序名称和/或登录该应用程序的账户名；其中，所述指定应用程序名称对应指定应用程序；

然后，如果以指定应用程序名称为关键词查找所定义的审计策略，则获得与所述指定应用程序名称绑定的审计策略，基于获得的所述审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得当前登录所述指定应用程序的账户名；

操作4：记录当前时刻的时间戳；

如果以账户名为关键词查找所定义的审计策略，则获得与所述账户名绑定的审计策略，基于获得的所述审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得所述指定应用程序名称；

操作4：记录当前时刻的时间戳；

S4，将S2捕获的操作行为数据与下列审计信息的映射关系存储到映射关系配置表：所述审计信息为S3获得的以下信息的一种或几种组合：所述屏幕视频帧、所述指定应用程序的标题数据、所述指定应用程序的账户名、所述指定应用程序名称和所述时间戳；

S4之后，还包括：

S5，接收对目标运维服务器的操作行为数据进行检索回放的指令，其中，该检索回放的指令中携带检索关键词；所述检索关键词为账户信息、需检索的时间信息、需检索的应用程序名称的一种或几种组合信息；

S6，根据所述检索关键词检索所述映射关系配置表，定位到与所述检索关键词对应的操作行为数据和操作行为数据发生时的指定屏幕视频帧；

S6之后，还包括：

S7，按所设定的播放帧数参数，检索到位于所述指定屏幕视频帧之前且与所述指定屏幕视频帧相邻的连续的若干张屏幕视频帧，还检索到位于所述指定屏幕视频帧之后且与所述指定屏幕视频帧相邻的连续的若干张屏幕视频帧；然后，根据各张检索到的屏幕视频帧的时间戳信息，按时间先后顺序播放所检索到的各张屏幕视频帧，从而还原得到操作行为数据发生时的操作场景。

2.一种会话级应用审计系统，其特征在于，所述会话级应用审计系统运行于目标运维服务器，包括：

审计策略定义模块，用于定义与账户名绑定的审计策略，包括：记录屏幕视频帧、记录应用程序的标题数据、定义应用程序名称和记录时间戳的一种或几种组合；

还用于定义与应用程序名称绑定的审计策略，包括：记录屏幕视频帧、记录应用程序的标题数据、定义账户名和记录时间戳的一种或几种组合；

会话监控模块，用于在会话层，对运行在目标运维服务器上的各个应用进程进行监控；

捕获模块，用于当所述会话监控模块监控到某一个指定应用进程产生新的会话时，实时捕获该会话下发生的各个操作行为数据；

获取模块，用于获取发生所述捕获模块捕获到的操作行为数据的应用进程，进而获取到发生所述操作行为数据的指定应用程序名称和/或登录该应用程序的账户名；

第一审计策略查找模块，如果所述获取模块获取到的为发生所述操作行为数据的指定应用程序名称，则查找所述审计策略定义模块所定义的与应用程序名称绑定的第一审计策略；

第二审计策略查找模块，如果所述获取模块获取到的为发生所述操作行为数据的账户名，则查找所述审计策略定义模块所定义的与账户名绑定的第二审计策略；

执行模块，用于根据所述第一审计策略查找模块所查找到的所述第一审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得当前登录所述指定应用程序的账户名；

操作4：记录当前时刻的时间戳；

还用于根据所述第二审计策略查找模块所查找到的所述第二审计策略，执行以下操作的一种或几种组合：

操作1：对目标服务器的当前屏幕进行截屏操作，获得屏幕视频帧；

操作2：获得所述指定应用程序的标题数据；

操作3：获得所述指定应用程序名称；

操作4：记录当前时刻的时间戳；

映射关系配置表，用于存储所述捕获模块所捕获到的作行为数据与下列审计信息的映射关系：

所述审计信息为执行模块获得的以下信息的一种或几种组合：所述屏幕视频帧、所述指定应用程序的标题数据、所述指定应用程序的账户名、所述指定应用程序名称和所述时间戳。