CN104283703A - 一种用户登录提醒方法及系统 - Google Patents

Abstract

本发明提供一种用户登录提醒方法及系统，所述方法包括：采集生成的日志数据；从所述日志数据中筛选出所有登录日志，建立登录日志队列；对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配；将匹配的告警提醒根据所述用户资产组内定义的用户进行发送。与现有技术相比，本发明避免了在IDC内承租人的计算资源上建立第三方帐号，解决了IDC内互联网内开放的计算资源异常登录实时提醒的问题，从而有效避免IDC内计算资源的系统安全问题，可以满足异常登录准实时性提醒的要求。

Description

一种用户登录提醒方法及系统

技术领域

本发明涉及移动通信技术领域，尤其涉及一种用户登录提醒方法及系统。

背景技术

IDC（Internet Data Center，互联网数据中心）是专门承接网络资源外包和专业网络服务的数据中心。IDC是一个重要的网络服务平台，是伴随着互联网发展的需求而发展起来的新的网络时代的数据中心。它通常与骨干网高速连接，借助丰富的网络及IT资源向企业、网站出租带宽和计算资源，并提供有品质保证的服务。

由于IDC整体暴露在互联网上，同时在承租IDC内计算资源的客户中仅有少量高端客户会选用VPN（Virtual Path Network，虚通道网络）方式来管理维护自己所租用的计算资源。而大量中低端客户都是通过SSH协议、Telnet等互联网直连方式来管理维护自己所租用的计算资源，以这就给互联网上的恶意人员利用带来了可乘之机。他们可以通过嗅探、抓包、字典等多种方式来破解IDC内承租人所承租的计算资源上的帐号和口令，从而以承租人的身份从互联网上直接登录、控制该计算资源，来盗取、修改各种信息或者破坏系统可用性。

针对这种异常登录的情况，当前IDC内针对出租的计算资源帐号异常登录监控一般会采用以下两种方式来处理：一种方式是人工方式，即在安全事件发生并对承租人造成损失后，由承租人事后通过手工提取登录日志文件，进行分析发现异常登录情况；另一种方式是自动方式，考虑到UNIX类主机自身Syslog日志自身不包含SSH、Telnet等登录日志，而Windows类主机不具备Syslog日志转发功能，即在IDC内租用计算资源上建立程序帐号，通过定期登录采集UNIX类主机Last文件中的登录日志和Windows类主机登录日志文件分析后发现异常登录。

具体来说，在实现本发明的过程中，发明人发现现有的方案存在如下缺点：

针对目前IDC内异常登录发现中的第一种方式，即人工方式属于被动式查找异常登录问题，完全是事后分析，往往要求该计算资源承租人依据安全事件现象并结合安全事件处置经验对该安全事件进行分析，定位登录异常，追踪恶意人员，但是具有一定经验的恶意人员一般都会在控制该计算资源后，对Last文件等登录日志进行修改或删除，从而无法追踪的具体人员。

针对第二种方式，考虑到UNIX类主机自身Syslog日志自身不包含Telnet等登录日志，即在IDC内租用计算资源上建立程序帐号，通过系统定期登录采集UNIX类主机Last文件中的登录日志发现异常登录；Windows类主机自身包含登录日志，但不具备Syslog实时日志转发功能，需要开发相应服务。这就要求承租人要么投入大量人力和物力来建立维护自己的上述系统，经济上不可取；要么租用第三方该系统，则又要给第三方自己的主机上建立登录帐号，这又额外造成了很大的管理风险。

两种方式均无法满足异常登录准实时性提醒的要求。

发明内容

本发明的目的在于克服现有技术的缺点和不足，提供一种用户登录提醒方法及系统。

一种用户登录提醒方法，所述方法包括：

采集生成的日志数据；

从所述日志数据中筛选出所有登录日志，建立登录日志队列；

对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配；

将匹配的告警提醒根据所述用户资产组内定义的用户进行发送。

所述采集生成的日志数据，还包括：

对UNIX类计算资源基于命令行SHELL特征方式生成登录日志，通过系统日志Syslog方式进行准实时发送；对Windows类计算资源通过Syslog日志转发方式进行准实时发送。

UNIX类计算资源生成日志包含如下步骤：

通过在UNIX类计算资源形成SHELL过程中的特定文件，分别在不同变量中保存获取的单一信息：所述单一信息包括但不限于登录源地址、用户、登录协议和当前设备名称tty；

按照系统记录Syslog日志通用格式，通过记录logger命令，将所述单一信息进行聚合，形成主机登录日志信息；

通过trap信号方式，将聚合生成的登录登出日志信息发送到log日志，生成登录日志。

所述方法还包括：

按照标准化日志格式，将所述日志数据存储为统一的标准化日志；

从所述标准化日志中筛选出所有登录日志。

所述对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配，包括：

对于所述登录日志队列中排队的登录日志根据用户资产组标识进行匹配分类，将属于每个所述用户资产组的所述登录日志进行再排队；

对于每个所述用户资产组的登录日志根据用户自定义的告警提醒规则进行逐一匹配；所述逐一匹配包括但不限于根据用户的登录帐号、登录源IP地址或登录的时间段条件进行匹配。

所述将匹配的告警提醒根据所述用户资产组内定义的用户进行发送，包括：

将匹配的告警提醒根据所述用户资产组内定义的用户发送给短信端口；

短信端口将所述告警提醒发送至所述用户资产组内定义的用户。

一种用户登录提醒系统，所述系统包括日志生成采集单元、筛选单元、匹配单元和发送单元，其中，

所述日志生成采集单元，用于采集生成的日志数据；

所述筛选单元，用于从所述日志数据中筛选出所有登录日志，建立登录日志队列；

所述匹配单元，用于对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配；

所述发送单元，用于将匹配的告警提醒根据所述用户资产组内定义的用户进行发送。

所述系统还包括标准化单元，用于按照标准化日志格式，将所述日志数据存储为统一的标准化日志；

所述筛选单元从所述标准化日志中筛选出所有登录日志，建立登录日志队列。

所述日志生成采集单元进一步包括单一信息获取子单元、聚合子单元和日志生成子单元，其中，

所述单一信息获取子单元，用于通过在UNIX类计算资源形成SHELL过程中的特定文件，分别在不同变量中保存获取的单一信息：所述单一信息包括但不限于登录源地址、用户、登录协议和tty；

所述聚合子单元，用于按照Syslog日志通用格式，通过logger命令，将所述单一信息进行聚合，形成主机登录日志信息；

所述日志生成子单元，用于通过trap信号方式，将聚合生成的登录登出日志信息发送到log日志，生成登录日志。

所述匹配单元进一步包括分类子单元和告警匹配子单元，其中，

所述分类子单元，用于对于所述登录日志队列中排队的登录日志根据用户资产组标识进行匹配分类，将属于每个所述用户资产组的所述登录日志进行再排队；

所述告警匹配子单元，用于对于每个所述用户资产组的登录日志根据用户自定义的告警提醒规则进行逐一匹配；所述逐一匹配包括但不限于根据用户的登录帐号、登录源IP地址或登录的时间段条件进行匹配。

本发明通过采集日志数据，并筛选其中的登录日志建立登录日志队列，将登录日志逐条匹配用户资产组，按照用户资产组内定义的告警提醒规则匹配告警提醒，并将告警提醒发送给相应的用户。本发明避免了在IDC内承租人的计算资源上建立第三方帐号，解决了IDC内互联网内开放的计算资源异常登录实时提醒的问题，从而有效避免IDC内计算资源的系统安全问题，可以满足异常登录准实时性提醒的要求。

附图说明

图1为本发明实施例1提供的用户登录提醒方法原理流程图；

图2为本发明实施例1提供的用户登录提醒系统结构示意图；

图3为本发明实施例2提供的用户登录提醒系统结构示意图；

图4为本发明实施例2提供的日志生成采集单元100结构示意图；

图5为本发明实施例2提供的匹配单元300结构示意图。

具体实施方式

下面结合附图对本发明的具体实施方式进行详细描述。但本发明的实施方式不限于此。

本发明实施例的原理在于提出了一种在IDC内基于Syslog方式的主机用户登录短信提醒的方法和系统，避免了在IDC内承租人的计算资源上建立第三方帐号，解决了IDC内互联网内开放的计算资源异常登录实时提醒的问题，从而有效避免IDC内计算资源的系统安全问题。当IDC承租人开通此项服务并设置好帐号告警提醒规则和时段后，每有承租人登录自己租用的计算资源时，系统就会向承租人指定的手机发送一条通知，通知承租人计算资源登录的源IP地址、所有帐号等信息。

通过在IDC内计算资源中的UNIX类主机上采用基于SHELL脚步采集登录日志，在Windows类主机特有的额外转发服务方式采集登录日志信息，然后通过业界统一的Syslog方式，准实时发送到短信提醒系统，然后这些登录日志信息按照用户提前设定的告警过滤规则，按照时间段、IP地址、帐号等规则进行过滤，并触发短信提醒，帮助IDC内计算资源承租人及时发现所管理设备的异常登录情况。

如图1所示，为本发明实施例1提供的用户登录提醒方法原理流程图，具体如下：

步骤10，采集生成的日志数据。

具体来说，对于用户登录的日志数据，针对UNIX类计算资源采用基于SHELL特征方式生成Telnet、SSH登录日志，并通过Syslog方式进行准实时发送；针对Windows类计算资源采用Syslog日志转发的方式，进行准实时发送。所出租的计算资源（UNIX主机和Windows类主机）通过自身的Syslog机制或增加的Syslog服务，将日志准实时被动采集到相应的日志采集和存储模块。

对于登录日志的生成，实际上需要区分UNIX主机和Windows类主机，也就是UNIX类计算资源和Windows类计算资源。

特别的，针对UNIX主机采用SHELL方式生成用户登录日志的方法。其实施原理为：在用户进行登录时，形成shell时会读取执行某些文件。通过在这些文件中获取登录源地址、用户、登录协议、tty等信息以logger命令将整合后的信息发送给syslogd，再转发至日志服务器，完成登录登出日志的完整采集。

其实施步骤具体如下：

获取登录日志要求的单一信息。通过在UNIX计算资源形成SHELL过程中的特定文件，分别在不同变量中保存获取的登录源地址、用户、登录协议、tty（当前设备名称）等基本信息。例如：

saddr=$(who am i|cut-d\(-f2|cut-d\)-f1)

protoc=$(tty|cut-d/-f3-)

logtype=$(ps$(ps l`echo$$`|grep-v UID|awk'{print$4}')|grep-v PID|awk'{print$5}'|awk-F:'{print$1}')

聚合生成登录日志信息。按照系统记录Syslog日志通用格式，通过系统内部自带的logger（记录）命令，将上述单一信息进行聚合，形成主机登录日志信息。例如：

/usr/bin/logger-t login-tsr-p auth.info$(whoami)login from$saddr successby$logtype$protoc

发送给自身Syslogd进程。通过trap信号方式，将聚合生成的登录登出日志信息发送到log日志。例如：

trap'/usr/bin/logger-t logout-tsr-p auth.info$(whoami)logout from$saddrsuccess by$logtype$protoc'0

trap'/usr/bin/logger-t loghup-tsr-p auth.info$(whoami)loghup from$saddrsuccess by$logtype$protoc'1

步骤20，从日志数据中筛选出所有登录日志，建立登录日志队列。

在所有Syslog日志中，将所有属于登录日志特征的日志筛选出来，单独建立登录日志队列。本步骤的目的在于在所有的日志中筛选出登录日志，并建立登录日志的队列，以方便后续用户资产匹配的过程。

在此之前，可以对日志进行标准化，日志数据采集后，通过初试定义的统一标准化日志格式，将所有生成的日志按照统一的格式进行标准化入库，方便后续对所有日志进行统一处理。这里的标准化格式可以根据需要进行定义，以方便后续登陆日志的匹配。

步骤30，对登录日志队列中的登录日志逐条进行用户资产组匹配，并按照用户资产组内定义的告警提醒规则进行匹配。

对登录日志队列中的日志，逐条先进行用户资产组匹配，在匹配用户资产组后，再按照该用户资产组内用户自定义的告警提醒规则进行匹配，将符合的规则派发给短信端口。

对于登录日志队列中排队的登录日志根据用户资产组标识进行匹配分类，将属于每个所述用户资产组的所述登录日志进行再排队；对于每个用户资产组的登录日志根据用户自定义的告警提醒规则进行逐一匹配；逐一匹配包括但不限于根据用户的登录帐号、登录源IP地址或登录的时间段条件进行匹配。

这里的告警提醒规则，是用户资产组内用户自定义的告警提醒规则，该告警提醒规则由用户自行设定，并存储在用户资产组内。例如，用户可以定义告警提醒的时间、阈值等。

通常来说，针对标准化登录日志筛选的方式具体实施步骤为：

用户资产组匹配。对于排队的用户登录日志首先根据用户资产组标识进行匹配分类，将属于每个资产组的日志进行再排队。

用户告警提醒规则匹配。对于每个资产组的登录日志则按照FIFO的原则，根据前期用户自定义的告警提醒规则进行逐一匹配，按照以下四种匹配规则进行匹配，具体匹配规则原则如下。匹配规则包括登录帐号、登录源IP、登录的时间段等条件进行匹配。

产生短信提醒信息。将符合匹配告警提醒规则的告警信息，发送到系统展现及短信提醒相关功能模块。

本实施例中，是以短信提醒的方式来发送告警提醒的，实际上，本实施例可以通过多种方式完成告警提醒的发送，例如，可以通过短信网关发送短信，或者通过彩信发送，或者可以通过互联网为用户设置的通信软件发送通知信息等。具体的告警提醒发送方式，可以根据用户实际需求来设定。

步骤40，将匹配的告警提醒根据用户资产组内定义的用户进行发送。

将匹配的告警提醒根据用户资产组内定义的用户发送给短信端口；短信端口将所述告警提醒发送至用户资产组内定义的用户。

本步骤中，允许用户资产组中定义的用户来接收告警提醒信息，通常是用户提供手机号码，然后通过短信的方式发送告警提醒信息到用户的手机号码。通常由短信提醒模块将符合的告警提醒信息已以短信的方式发送至当前配置的用户，以帮助IDC承租人及时准确发现所租用计算资源的异常登录情况。

至此，完成了用户登录提醒的过程。用户可根据自定义的规则和方式，在适当的时候接收到告警提醒，从而实时掌握自身所租用计算资源的异常登录情况。

本实施例中，具体有点有如下几项有益效果：

UNIX类主机登录日志生成采集能力：通过创新性的SHELL脚本方式，解决了目前UNIX系统自身Syslog日志中无Telnet、SSH登录日志的问题，该种方式由于不用在IDC内承租人租用的设备中建立第三方帐号，确保了承租设备自身的安全性，符合IDC内承租人的安全要求。

迅速发现异常登录行为的能力：通过Syslog准实时方式，解决了传统第三方帐号登录采集登录日志的方式中的时延问题，确保IDC计算资源承租人能够迅速发现登录探测类安全事件，更好的服务于IDC广大用户。

自定义规则的短信提醒：通过为IDC用户提供短信提醒规则自定义的功能，方便IDC承租人根据自己的帐号、登录源IP地址、登录时间段等信息来设置自身的短信提醒。

实际上，本实施例可以是构建于如图2所示的系统架构之上，其中，IDC内有n个虚拟主机，通过Syslog方式将日志信息存储在日志采集机上，系统核心服务器在完成相关告警提醒信息采集后，通过短信网关生成短信提醒，通过BTS（BaseTransceiver Station，基站）来发送给用户终端手机。

如图3所示，本发明实施例2还提供一种用户登录提醒系统，该系统包括日志生成采集单元100、筛选单元200、匹配单元300和发送单元400，具体如下：

日志生成采集单元100，用于采集生成的日志数据；

筛选单元200，用于从日志数据中筛选出所有登录日志，建立登录日志队列；

匹配单元300，用于对登录日志队列中的登录日志逐条进行用户资产组匹配，并按照用户资产组内定义的告警提醒规则进行匹配；

发送单元400，用于将匹配的告警提醒根据用户资产组内定义的用户进行发送。

进一步的，该系统还包括标准化单元500，用于按照标准化日志格式，将日志数据存储为统一的标准化日志；

筛选单元200从标准化日志中筛选出所有登录日志，建立登录日志队列。

进一步的，如图4所示，上述的日志生成采集单元100进一步包括单一信息获取子单元101、聚合子单元102和日志生成子单元103，具体如下：

单一信息获取子单元101，用于通过在UNIX类计算资源形成SHELL过程中的特定文件，分别在不同变量中保存获取的单一信息：单一信息包括但不限于登录源地址、用户、登录协议和tty；

聚合子单元102，用于按照Syslog日志通用格式，通过logger命令，将单一信息进行聚合，形成主机登录日志信息；

日志生成子单元103，用于通过trap信号方式，将聚合生成的登录登出日志信息发送到log日志，生成登录日志。

进一步的，如图5所示，上述的匹配单元300进一步包括分类子单元301和告警匹配子单元302，具体如下：

分类子单元301，用于对于登录日志队列中排队的登录日志根据用户资产组标识进行匹配分类，将属于每个用户资产组的登录日志进行再排队；

告警匹配子单元302，用于对于每个用户资产组的登录日志根据用户自定义的告警提醒规则进行逐一匹配；逐一匹配包括但不限于根据用户的登录帐号、登录源IP地址或登录的时间段条件进行匹配。

实际上，发明人曾经在某IDC内申请一台CentOS操作系统虚拟主机IP地址为218.203.12.16进行功能测试，当配置root用户任意时间段、任意IP登录短信提醒策略后，可以在系统监控界面准实时看到该用户的登录事件，同时系统按照前期用户所配置的手机号码发送短信，用户收到来自10658448的登录短信提醒。

综上，本发明通过采集日志数据，并筛选其中的登录日志建立登录日志队列，将登录日志逐条匹配用户资产组，按照用户资产组内定义的告警提醒规则匹配告警提醒，并将告警提醒发送给相应的用户。本发明避免了在IDC内承租人的计算资源上建立第三方帐号，解决了IDC内互联网内开放的计算资源异常登录实时提醒的问题，从而有效避免IDC内计算资源的系统安全问题，可以满足异常登录准实时性提醒的要求。当IDC承租人开通此项服务并设置好帐号告警提醒规则和时段后，每有承租人登录自己租用的计算资源时，系统就会向承租人指定的手机发送一条通知，通知承租人计算资源登录的源IP地址、所有帐号等信息。

上述实施例为本发明较佳的实施方式，但本发明的实施方式并不受上述实施例的限制，其他的任何未背离本发明的精神实质与原理下所作的改变、修饰、替代、组合、简化，均应为等效的置换方式，都包含在本发明的保护范围之内。

Claims (10)

1.一种用户登录提醒方法，其特征在于，所述方法包括：

采集生成的日志数据；

从所述日志数据中筛选出所有登录日志，建立登录日志队列；

对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配；

将匹配的告警提醒根据所述用户资产组内定义的用户进行发送。

2.如权利要求1所述的方法，其特征在于，所述采集生成的日志数据，还包括：

对UNIX类计算资源基于命令行SHELL特征方式生成登录日志，通过系统日志Syslog方式进行准实时发送；对Windows类计算资源通过Syslog日志转发方式进行准实时发送。

3.如权利要求1或2所述的方法，其特征在于，UNIX类计算资源生成日志包含如下步骤：

通过在UNIX类计算资源形成SHELL过程中的特定文件，分别在不同变量中保存获取的单一信息：所述单一信息包括但不限于登录源地址、用户、登录协议和当前设备名称tty；

按照系统记录Syslog日志通用格式，通过记录logger命令，将所述单一信息进行聚合，形成主机登录日志信息；

通过trap信号方式，将聚合生成的登录登出日志信息发送到log日志，生成登录日志。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

按照标准化日志格式，将所述日志数据存储为统一的标准化日志；

从所述标准化日志中筛选出所有登录日志。

5.如权利要求1或4所述的方法，其特征在于，所述对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配，包括：

对于所述登录日志队列中排队的登录日志根据用户资产组标识进行匹配分类，将属于每个所述用户资产组的所述登录日志进行再排队；

对于每个所述用户资产组的登录日志根据用户自定义的告警提醒规则进行逐一匹配；所述逐一匹配包括但不限于根据用户的登录帐号、登录源IP地址或登录的时间段条件进行匹配。

6.如权利要求1所述的方法，其特征在于，所述将匹配的告警提醒根据所述用户资产组内定义的用户进行发送，包括：

将匹配的告警提醒根据所述用户资产组内定义的用户发送给短信端口；

短信端口将所述告警提醒发送至所述用户资产组内定义的用户。

7.一种用户登录提醒系统，其特征在于，所述系统包括日志生成采集单元、筛选单元、匹配单元和发送单元，其中，

所述日志生成采集单元，用于采集生成的日志数据；

所述筛选单元，用于从所述日志数据中筛选出所有登录日志，建立登录日志队列；

所述匹配单元，用于对所述登录日志队列中的登录日志逐条进行用户资产组匹配，并按照所述用户资产组内定义的告警提醒规则进行匹配；

所述发送单元，用于将匹配的告警提醒根据所述用户资产组内定义的用户进行发送。

8.如权利要求7所述的系统，其特征在于，所述系统还包括标准化单元，用于按照标准化日志格式，将所述日志数据存储为统一的标准化日志；

所述筛选单元从所述标准化日志中筛选出所有登录日志，建立登录日志队列。

9.如权利要求7所述的系统，其特征在于，所述日志生成采集单元进一步包括单一信息获取子单元、聚合子单元和日志生成子单元，其中，

所述单一信息获取子单元，用于通过在UNIX类计算资源形成SHELL过程中的特定文件，分别在不同变量中保存获取的单一信息：所述单一信息包括但不限于登录源地址、用户、登录协议和tty；

所述聚合子单元，用于按照Syslog日志通用格式，通过logger命令，将所述单一信息进行聚合，形成主机登录日志信息；

所述日志生成子单元，用于通过trap信号方式，将聚合生成的登录登出日志信息发送到log日志，生成登录日志。

10.如权利要求7所述的系统，其特征在于，所述匹配单元进一步包括分类子单元和告警匹配子单元，其中，

所述分类子单元，用于对于所述登录日志队列中排队的登录日志根据用户资产组标识进行匹配分类，将属于每个所述用户资产组的所述登录日志进行再排队；

所述告警匹配子单元，用于对于每个所述用户资产组的登录日志根据用户自定义的告警提醒规则进行逐一匹配；所述逐一匹配包括但不限于根据用户的登录帐号、登录源IP地址或登录的时间段条件进行匹配。