CN104376023B - 一种基于日志的审计方法及系统 - Google Patents

Abstract

本发明公开了一种基于日志的审计方法及系统，涉及计算机安全领域。获取各系统登录操作的原始日志；解析出源地址、操作账号、设备IP和操作命令；定位所操作设备及所属信息系统、操作人员、操作内容和重要级别；建立以信息系统为索引，其对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图；监控其中重要级别是否满足报警条件，若满足，则发起报警，并将其记入审计敏感信息集中，以便审计查阅分析。通过计算机程序对日志数据进行分析处理，建立以信息系统为视角的操作审计视图，能对某信息系统中被操作的设备、具体操作人员、对应的操作内容及是否关键操作等自动监控报警，无需人工干预，实现自动化审计，大大提高审计效率和准确性。

Description

一种基于日志的审计方法及系统

技术领域

本发明涉及计算机网络信息安全技术领域，特别涉及一种基于日志的审计方法及系统。

背景技术

随着经济社会不断发展，信息作为维持经济社会管理的社会基础性资源，已经成为政治、经济、国防、科技、文化等社会一切领域的基础。信息系统作为信息的主要存储、运行的平台，在各个领域发挥着重要的作用。随着信息系统的不断发展，审计机关适时的提出了信息系统审计的概念，将信息系统作为对象纳入到审计中来。近年来，各级审计机关不断加大信息系统审计的力度，大大推进了信息系统审计工作。

现有的信息系统操作行为的日志审计方案：收集信息系统各设备的登录操作日志，制定审计规则，析取日志中的操作源地址、操作设备IP、操作账号、操作内容形成标准化日志，把这些标准化日志集中存储在审计库中，审计管理员可以在审计库中通过信息系统各设备的IP地址检索该设备详细的操作。

现有的信息系统操作行为的日志审计方案中，如果对信息系统做审计，需要在审计库中，人工频繁的用设备IP检索，才能得到信息系统的操作日志，并且事后还需要人工分析日志间的关联关系，判断操作是否高危操作，审计工作繁琐，效率非常低下。

发明内容

鉴于上述问题，本发明实施例提供一种基于日志的审计方法及系统，通过计算机程序对日志数据进行分析处理，建立以信息系统为视角的操作审计视图，以实现自动化审计，大大提高审计效率和准确性的目的。

本发明实施例采用了如下技术方案：

本发明一个实施例提供了一种基于日志的审计方法，所述方法包括：

获取各系统登录操作的原始日志；

对原始日志进行内容分析，解析出日志中的源地址、操作账号、设备IP地址和操作命令；

根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统；

根据所述源地址定位操作人员，或根据源地址与操作账号的组合定位操作人员；

根据所述操作命令确定操作内容和重要级别；

建立以信息系统为索引，各信息系统对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图；

监控所述审计视图中重要级别是否满足报警条件，若满足，则发起报警，并将该满足报警条件的信息系统及所对应的操作设备、操作人员、操作内容及重要级别作为一条记录，记入审计敏感信息集中，以便审计查阅分析。

所述方法还包括：实时获取各系统登录操作的原始日志；

每获取到一条新的原始日志，则在所述审计视图中对应信息系统为索引的内容中，增加该新的原始日志中解析及定位得到的本次操作设备、操作人员、操作内容及重要级别。

所述方法还包括：

预先建立操作人员关系表、信息系统关系表和第一知识库；

所述根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统具体为：

查询所述信息系统关系表，定位所述设备IP地址对应的设备，及该设备所属的信息系统；所述信息系统关系表中记录有设备IP地址和设备及设备所属信息系统的对应关系；

所述根据所述源地址定位操作人员具体为：

查询所述操作人员关系表，定位所述源地址对应的操作人员；所述操作人员关系表中记录有操作人员和源地址的对应关系；

所述根据源地址与操作账号的组合定位操作人员具体为：

查询所述操作人员关系表，定位所述源地址与操作账号的组合对应的操作人员；所述操作人员关系表中记录有所述组合和源地址的对应关系；

所述根据所述操作命令确定操作内容和重要级别具体为：

查询所述第一知识库，定位所述操作命令对应的操作内容和重要级别；所述第一知识库中记录有操作命令与操作内容和重要级别的对应关系。

所述方法还包括：对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系。

所述对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系具体为：

在所述预定周期内，判断若新增的内容中某一操作命令被执行的频率超出预置值，则将该操作命令的重要级别修正为高，并在所述第二知识库中增加该操作命令与操作内容和修正后重要级别的对应关系；

所述方法还包括：在所述预定周期内，判断若新增的内容中所述某一操作命令被执行的频率低于所述预置值，则在所述第二知识库中删除该操作命令与操作内容和修正后重要级别的对应关系。

根据所述操作命令确定重要级别具体为：

查询所述第一知识库和第二知识库，若在所述第一知识库和第二知识库中定位所述操作命令对应的重要级别不一致，则以第二知识库中定位的重要级别为该操作命令对应的重要级别。

另外，本发明实施例还提供了一种基于日志的审计系统，所述系统包括：

获取模块，用于获取各系统登录操作的原始日志；

内容解析模块，用于对原始日志进行内容分析，解析出日志中的源地址、操作账号、设备IP地址和操作命令；

设备定位模块，用于根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统；

操作人员定位模块，用于根据所述源地址定位操作人员，或根据源地址与操作账号的组合定位操作人员；

操作级别确定模块，用于根据所述操作命令确定操作内容和重要级别；

审计视图建立模块，用于建立以信息系统为索引，各信息系统对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图；

监控报警记录模块，用于监控所述审计视图中重要级别是否满足报警条件，若满足，则发起报警，并将该满足报警条件的信息系统及所对应的操作设备、操作人员、操作内容及重要级别作为一条记录，记入审计敏感信息集中，以便审计查阅分析。

所述系统还包括操作人员关系表、信息系统关系表和第一知识库；

所述设备定位模块，具体用于查询所述信息系统关系表，定位所述设备IP地址对应的设备，及该设备所属的信息系统；所述信息系统关系表中记录有设备IP地址和设备及设备所属信息系统的对应关系；

所述操作人员定位模块，具体包括第一人员定位单元和第二人员定位单元，

所述第一人员定位单元，用于查询所述操作人员关系表，定位所述源地址对应的操作人员；所述操作人员关系表中记录有操作人员和源地址的对应关系；

所述第二人员定位单元，用于查询所述操作人员关系表，定位所述源地址与操作账号的组合对应的操作人员；所述操作人员关系表中记录有所述组合和源地址的对应关系；

所述操作级别确定模块，具体用于查询所述第一知识库，定位所述操作命令对应的操作内容和重要级别；所述第一知识库中记录有操作命令与操作内容和重要级别的对应关系。

所述系统还包括第二知识库和修正模块，所述修正模块用于对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系；

所述修正模块具体包括：

判断单元，用于在所述预定周期内，判断若新增的内容中某一操作命令被执行的频率超出预置值；

修正单元，用于当所述判断单元的判断结果为是，则将该操作命令的重要级别修正为高；

增加单元，用于在所述第二知识库中增加该操作命令与操作内容和修正后重要级别的对应关系；

所述修正模块还包括删除单元，用于在所述预定周期内，判断若新增的内容中所述某一操作命令被执行的频率低于所述预置值，则在所述第二知识库中删除该操作命令与操作内容和修正后重要级别的对应关系。

所述操作级别确定模块具体用于：

查询所述第一知识库和第二知识库，若在所述第一知识库和第二知识库中定位所述操作命令对应的重要级别不一致，则以第二知识库中定位的重要级别为该操作命令对应的重要级别。

可见，本发明实施例提供一种基于日志的审计方法及系统，通过计算机程序对日志数据进行分析处理，建立以信息系统为视角的操作审计视图，能够对某信息系统中被操作的设备、具体操作人员、对应的操作内容及是否关键操作等信息进行自动监控及报警，无需人工干预，实现自动化审计，大大提高审计效率和准确性的目的。

附图说明

图1为本发明实施例提供的一种基于日志的审计方法流程图；

图2为本发明实施例提供的基于日志的审计方法的一个具体实例的逻辑层次示意图；

图3为本发明实施例提供的一种基于日志的审计系统结构框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

为了从海量日志中审计出操作人员的行为，本发明实施例提出一种以操作人员为视角的信息系统操作审计日志组织方法。本发明实施例要解决的技术问题是：解决审计管理员面对海量日志无法高效对操作人员的操作行为审计，即通过计算机程序对日志数据进行分析处理，建立以操作人员为视角的操作审计视图，以实现自动化审计，大大提高审计效率和准确性的目的。

参见图1，本发明实施例提供一种日志审计方法，具体包括如下步骤：

S101：获取各系统登录操作的原始日志。

S102：对原始日志进行内容分析，解析出日志中的源地址、操作账号、设备IP地址和操作命令。

S103：根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统。

S104：根据所述源地址定位操作人员，或根据源地址与操作账号的组合定位操作人员。

S105：根据所述操作命令确定操作内容和重要级别。

优选的，本发明实施例还包括：

预先建立操作人员关系表、信息系统关系表和第一知识库。

相应的，上述步骤S103根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统具体为：

查询所述信息系统关系表，定位所述设备IP地址对应的设备，及该设备所属的信息系统；所述信息系统关系表中记录有设备IP地址和设备及设备所属信息系统的对应关系。

所述操作人员关系表中记录有操作人员和源地址的对应关系，则上述步骤S104根据所述源地址定位操作人员具体为：查询所述操作人员关系表，定位所述源地址对应的操作人员。

所述操作人员关系表中记录有所述组合和源地址的对应关系，则上述步骤S104根据源地址与操作账号的组合定位操作人员具体为：查询所述操作人员关系表，定位所述源地址与操作账号的组合对应的操作人员。

上述步骤S105根据所述操作命令确定操作内容和重要级别具体为：

查询所述第一知识库，定位所述操作命令对应的操作内容和重要级别；所述第一知识库中记录有操作命令与操作内容和重要级别的对应关系。

S106：建立以信息系统为索引，各信息系统对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图。

具体的，所述方法还包括：实时获取各系统登录操作的原始日志。

每获取到一条新的原始日志，则在所述审计视图中对应信息系统为索引的内容中，增加该新的原始日志中解析及定位得到的本次操作设备、操作人员、操作内容及重要级别。

也就是说，本发明实施例提供的方法是一个不断更新的过程，即随着原始日志的不断获取，没获取到一条新的原始日志，则在审计视图中对应该信息系统为索引的内容中，增加该新的原始日志中根据上述步骤S102-S105解析及定位得到的本次操作设备、操作人员、操作内容及重要级别。当然，若审计视图中没有该信息系统，则在审计视图中以该信息系统为索引新建一条记录，并添加该信息系统对应的本次操作设备、操作人员、操作内容及重要级别。

优选的，为了进一步提升审计结果的准确性，本发明另一实施例中还包括有第二知识库，相应的，还包括如下步骤：

对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系。

具体的，不断统计一定周期内（如最近一周时间内）的新记录，分析这些记录中是否有满足修正条件的记录，若有，则对满足修正条件的操作命令的重要级别进行修正，并在第二知识库中记录该操作命令与操作内容和修正后重要级别的对应关系。

举例说明，上述对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系的一种具体实施方式可以为：

在所述预定周期内，判断若新增的内容中某一操作命令被执行的频率超出预置值，则将该操作命令的重要级别修正为高，并在所述第二知识库中增加该操作命令与操作内容和修正后重要级别的对应关系。

也就是说，若在一定周期内，某项操作命令被执行的过于频繁，则认为在该段时间内，该项操作命令相对重要，需要审计中对其进行关注，因此，修改该项操作命令的重要级别为高级别，并在第二知识库中增加该记录，体现其当前的重要程度。

相应的，本发明实施例提供的方法还包括：在所述预定周期内，判断若新增的内容中所述某一操作命令被执行的频率低于所述预置值，则在所述第二知识库中删除该操作命令与操作内容和修正后重要级别的对应关系。

可见，第一知识库相对稳定，第二知识库中的内容会实时更新，主要用于体现最近某一时间段内的情况。

基于第二知识库存在的具体实施例中，根据所述操作命令确定重要级别具体为：

查询所述第一知识库和第二知识库，若在所述第一知识库和第二知识库中定位所述操作命令对应的重要级别不一致，则以第二知识库中定位的重要级别为该操作命令对应的重要级别。也就是说，当第一知识库和第二知识库中查询到的重要级别不一致时，以第二知识库为准。

S107：监控所述审计视图中重要级别是否满足报警条件，若满足，则发起报警，并将该满足报警条件的信息系统及所对应的操作设备、操作人员、操作内容及重要级别作为一条记录，记入审计敏感信息集中，以便审计查阅分析。

可见，本发明实施例提供的一种基于日志的审计方法，通过计算机程序对日志数据进行分析处理，建立以信息系统为视角的操作审计视图，能够对某信息系统中被操作的设备、具体操作人员、对应的操作内容及是否关键操作等信息进行自动监控及报警，无需人工干预，实现自动化审计，大大提高审计效率和准确性的目的。

以下为本发明实施例的一个具体实例，用于举例具体说明。参见图2，具体示出本具体实例方法所基于的逻辑层次图。

在该实例中，具体建立了一条以信息系统->设备->操作人员->操作内容->是否关键操作（即重要级别）的信息系统视角完整审计信息链。

处理步骤具体为：

1.基础数据维护：根据IT环境定义各信息系统，并将设备按信息系统分类，在数据库中建立信息系统分类表维护信息系统、设备类型、设备IP的对应关系；将源地址、操作账号与操作人员绑定，建立操作人员表，维护源地址、操作账号与操作人员的对应关系；为操作内容/命令建立一套重要级别知识库，维护操作内容/命令与重要级别的对应关系。

2.日志内容分析：收集各系统的登录操作日志，进行日志分析，析取日志中的源地址、被操作设备IP、操作命令、操作账号等字段。

3.设备定位：析取日志中的设备IP，通过信息系统分类表查找到该IP对应的设备，并获得该设备所属的信息系统。

4.操作人员定位：析取日志中的源地址与操作账号，通过源地址或者源地址与操作账号的组合在操作人员表中查找到对应的操作人员。

5.操作重要级别定位：用日志中析取出来的操作命令在知识库中查找相应的重要级别；

6.建立一张以信息系统为视角的操作审计视图，记录日志中对应出的设备、操作人员、操作内容、是否关键操作等字段，完成信息系统->设备->操作人员->操作内容->是否关键操作的信息系统视角完整审计信息链。

可见，自动对操作人员进行分类，审计人员可以以业务部门下的人员为主线，查看其操作过哪些设备、产生的操作、操作设备发生的告警信息，全面、准确的监控重点人员在重要设备上的敏感操作。

另外，参见图3，本发明实施例提供了一种基于日志的审计系统，所述系统具体包括：

获取模块301，用于获取各系统登录操作的原始日志；

内容解析模块302，用于对原始日志进行内容分析，解析出日志中的源地址、操作账号、设备IP地址和操作命令；

设备定位模块303，用于根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统；

操作人员定位模块304，用于根据所述源地址定位操作人员，或根据源地址与操作账号的组合定位操作人员；

操作级别确定模块305，用于根据所述操作命令确定操作内容和重要级别；

审计视图建立模块306，用于建立以信息系统为索引，各信息系统对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图；

监控报警记录模块307，用于监控所述审计视图中重要级别是否满足报警条件，若满足，则发起报警，并将该满足报警条件的信息系统及所对应的操作设备、操作人员、操作内容及重要级别作为一条记录，记入审计敏感信息集中，以便审计查阅分析。

具体的，本发明实施例提供的系统还包括实时更新模块，用于实时获取各系统登录操作的原始日志；每获取到一条新的原始日志，则在所述审计视图中对应信息系统为索引的内容中，增加该新的原始日志中解析及定位得到的本次操作设备、操作人员、操作内容及重要级别。

优选的，本发明实施例提供的系统还包括操作人员关系表、信息系统关系表和第一知识库。

相应的，上述设备定位模块，具体用于查询所述信息系统关系表，定位所述设备IP地址对应的设备，及该设备所属的信息系统；所述信息系统关系表中记录有设备IP地址和设备及设备所属信息系统的对应关系。

上述操作人员定位模块，具体包括第一人员定位单元和第二人员定位单元：

所述第一人员定位单元，用于查询所述操作人员关系表，定位所述源地址对应的操作人员；所述操作人员关系表中记录有操作人员和源地址的对应关系。

所述第二人员定位单元，用于查询所述操作人员关系表，定位所述源地址与操作账号的组合对应的操作人员；所述操作人员关系表中记录有所述组合和源地址的对应关系。

上述操作级别确定模块，具体用于查询所述第一知识库，定位所述操作命令对应的操作内容和重要级别；所述第一知识库中记录有操作命令与操作内容和重要级别的对应关系。

进一步的，本发明实施例提供的系统还包括第二知识库和修正模块，所述修正模块用于对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系。

具体的，所述修正模块具体包括如下单元：

判断单元，用于在所述预定周期内，判断若新增的内容中某一操作命令被执行的频率超出预置值；

修正单元，用于当所述判断单元的判断结果为是，则将该操作命令的重要级别修正为高；

增加单元，用于在所述第二知识库中增加该操作命令与操作内容和修正后重要级别的对应关系。

相应的，修正模块还包括删除单元，用于在所述预定周期内，判断若新增的内容中所述某一操作命令被执行的频率低于所述预置值，则在所述第二知识库中删除该操作命令与操作内容和修正后重要级别的对应关系。

基于第二知识库存在的实施例中，所述操作级别确定模块具体用于：

查询所述第一知识库和第二知识库，若在所述第一知识库和第二知识库中定位所述操作命令对应的重要级别不一致，则以第二知识库中定位的重要级别为该操作命令对应的重要级别。

需要说明的是，本发明系统实施例中的各个模块或者子模块的工作原理和处理过程可以参见上述图1及图2所示方法实施例中的相关描述，此处不再赘述。

可见，本发明实施例提供的一种基于日志的审计方法，通过计算机程序对日志数据进行分析处理，建立以信息系统为视角的操作审计视图，能够对某信息系统中被操作的设备、具体操作人员、对应的操作内容及是否关键操作等信息进行自动监控及报警，无需人工干预，实现自动化审计，大大提高审计效率和准确性的目的。

为了便于清楚描述本发明实施例的技术方案，在发明的实施例中，采用了“第一”、“第二”等字样对功能和作用基本相同的相同项或相似项进行区分，本领域技术人员可以理解“第一”、“第二”等字样并不对数量和执行次序进行限定。

本领域普通技术人员可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，包括如下步骤：（方法的步骤），所述的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种基于日志的审计方法，其特征在于，所述方法包括：

获取各系统登录操作的原始日志；

对原始日志进行内容分析，解析出日志中的源地址、操作账号、设备IP地址和操作命令；

根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统；

根据所述源地址定位操作人员，或根据源地址与操作账号的组合定位操作人员；

根据所述操作命令确定操作内容和重要级别；

建立以信息系统为索引，各信息系统对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图；

监控所述审计视图中重要级别是否满足报警条件，若满足，则发起报警，并将该满足报警条件的信息系统及所对应的操作设备、操作人员、操作内容及重要级别作为一条记录，记入审计敏感信息集中，以便审计查阅分析；

该方法还包括：预先建立操作人员关系表、信息系统关系表和第一知识库；

所述根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统具体为：

查询所述信息系统关系表，定位所述设备IP地址对应的设备，及该设备所属的信息系统；所述信息系统关系表中记录有设备IP地址和设备及设备所属信息系统的对应关系。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：实时获取各系统登录操作的原始日志；

每获取到一条新的原始日志，则在所述审计视图中对应信息系统为索引的内容中，增加该新的原始日志中解析及定位得到的本次操作设备、操作人员、操作内容及重要级别。

3.根据权利要求1所述的方法，其特征在于，

所述根据所述源地址定位操作人员具体为：

查询所述操作人员关系表，定位所述源地址对应的操作人员；所述操作人员关系表中记录有操作人员和源地址的对应关系；

所述根据源地址与操作账号的组合定位操作人员具体为：

查询所述操作人员关系表，定位所述源地址与操作账号的组合对应的操作人员；所述操作人员关系表中记录有所述组合和源地址的对应关系；

所述根据所述操作命令确定操作内容和重要级别具体为：

查询所述第一知识库，定位所述操作命令对应的操作内容和重要级别；所述第一知识库中记录有操作命令与操作内容和重要级别的对应关系。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系。

5.根据权利要求4所述的方法，其特征在于，所述对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系具体为：

在所述预定周期内，判断若新增的内容中某一操作命令被执行的频率超出预置值，则将该操作命令的重要级别修正为高，并在所述第二知识库中增加该操作命令与操作内容和修正后重要级别的对应关系；

所述方法还包括：在所述预定周期内，判断若新增的内容中所述某一操作命令被执行的频率低于所述预置值，则在所述第二知识库中删除该操作命令与操作内容和修正后重要级别的对应关系。

6.根据权利要求5所述的方法，其特征在于，根据所述操作命令确定重要级别具体为：

查询所述第一知识库和第二知识库，若在所述第一知识库和第二知识库中定位所述操作命令对应的重要级别不一致，则以第二知识库中定位的重要级别为该操作命令对应的重要级别。

7.一种基于日志的审计系统，其特征在于，所述系统包括：

获取模块，用于获取各系统登录操作的原始日志；

内容解析模块，用于对原始日志进行内容分析，解析出日志中的源地址、操作账号、设备IP地址和操作命令；

设备定位模块，用于根据所述设备IP地址定位所操作的设备，并获取该设备所属的信息系统；

操作人员定位模块，用于根据所述源地址定位操作人员，或根据源地址与操作账号的组合定位操作人员；

操作级别确定模块，用于根据所述操作命令确定操作内容和重要级别；

审计视图建立模块，用于建立以信息系统为索引，各信息系统对应的操作设备、操作人员、操作内容及重要级别为内容的审计视图；

监控报警记录模块，用于监控所述审计视图中重要级别是否满足报警条件，若满足，则发起报警，并将该满足报警条件的信息系统及所对应的操作设备、操作人员、操作内容及重要级别作为一条记录，记入审计敏感信息集中，以便审计查阅分析；

所述系统还包括操作人员关系表、信息系统关系表和第一知识库；

所述设备定位模块，具体用于查询所述信息系统关系表，定位所述设备IP地址对应的设备，及该设备所属的信息系统；所述信息系统关系表中记录有设备IP地址和设备及设备所属信息系统的对应关系。

8.根据权利要求7所述的系统，其特征在于，

所述操作人员定位模块，具体包括第一人员定位单元和第二人员定位单元，

所述第一人员定位单元，用于查询所述操作人员关系表，定位所述源地址对应的操作人员；所述操作人员关系表中记录有操作人员和源地址的对应关系；

所述第二人员定位单元，用于查询所述操作人员关系表，定位所述源地址与操作账号的组合对应的操作人员；所述操作人员关系表中记录有所述组合和源地址的对应关系；

所述操作级别确定模块，具体用于查询所述第一知识库，定位所述操作命令对应的操作内容和重要级别；所述第一知识库中记录有操作命令与操作内容和重要级别的对应关系。

9.根据权利要求8所述的系统，其特征在于，所述系统还包括第二知识库和修正模块，所述修正模块用于对预定周期内审计视图中新增的内容进行分析，对于满足修正条件的记录，在第二知识库中记录操作命令与操作内容和修正后重要级别的对应关系；

所述修正模块具体包括：

判断单元，用于在所述预定周期内，判断若新增的内容中某一操作命令被执行的频率超出预置值；

修正单元，用于当所述判断单元的判断结果为是，则将该操作命令的重要级别修正为高；

增加单元，用于在所述第二知识库中增加该操作命令与操作内容和修正后重要级别的对应关系；

所述修正模块还包括删除单元，用于在所述预定周期内，判断若新增的内容中所述某一操作命令被执行的频率低于所述预置值，则在所述第二知识库中删除该操作命令与操作内容和修正后重要级别的对应关系。

10.根据权利要求9所述的系统，其特征在于，所述操作级别确定模块具体用于：

查询所述第一知识库和第二知识库，若在所述第一知识库和第二知识库中定位所述操作命令对应的重要级别不一致，则以第二知识库中定位的重要级别为该操作命令对应的重要级别。