CN105427037A - 基于业务的指标化信息安全审计预警系统及方法 - Google Patents

Abstract

本发明提供一种基于业务的指标化信息安全审计预警系统及方法，包括规则节点生成模块、规则簇匹配模块、流程生成模块和预警指标生成模块；所述规则节点生成模块用于将业务操作的每一条操作数据生成一个规则节点；所述规则簇匹配模块用于针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇；所述流程生成模块用于将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程；所述预警指标生成模块用于根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。本发明的基于业务的指标化信息安全审计预警系统及方法将业务要求和指标相对应，实现了指标化的预警技术，提升了用户体验。

Description

基于业务的指标化信息安全审计预警系统及方法

技术领域

本发明涉及信息安全的技术领域，特别是涉及一种基于业务的指标化信息安全审计预警系统及方法。

背景技术

近些年来，随着IT系统的快速发展，企业对IT系统的依赖程度也越来越高。就一个网络信息系统而言，需要考虑一些传统的安全问题，比如防黑客、防病毒、防垃圾邮件、防后门、防蠕虫等。但是，随着信息化程度的提高，各类业务系统也变得日益复杂，对业务系统的防护也变得越来越重要，非传统领域的安全治理也变得越来越重要。根据最新的统计资料，给企业造成的严重攻击中70％是来自于组织中的内部人员，因此，针对业务系统的信息安全治理成为一道难题，业务审计应运而生。

面向业务的信息安全审计系统，顾名思义，是对用户业务的安全审计，与用户的各项应用业务有密切的关系，是信息安全审计系统中重要的组成部分，它从用户的业务安全角度出发，思考和分析用户的网络业务中所存在的脆弱点和风险。

通过对很多现实中的案例的分析，很容易发现由于内部人员，包括内部员工或者提供第三方IT支持的维护人员等，的违规操作而导致的安全问题日益频繁和突出。这些操作都与客户的业务息息相关。虽然防火墙、防病毒、入侵检测系统、防病毒、内网安全管理等常规的安全产品可以解决大部分传统意义上的网络安全问题，但是，对于这类与业务息息相关的操作行为、违规行为的安全问题，必须要有强力的手段来防范和阻止，这就是针对业务的信息安全审计系统能够带给我们的价值。

如申请号为201210237933.3、申请日为《业务信息数据的审计方法和装置》的中国发明专利公开一种业务信息数据的审计装置，包括：信息数据接收监控单元，用于接收需要审计的业务信息数据和该业务信息数据的技术文档，将所述业务信息数据和技术文档发送给审计管理部署单元；审计管理部署单元，用于提取所述信息数据接收监控单元传来的所述业务信息数据和技术文档的基本特性信息，根据该基本特性信息分别确定所述业务信息数据的审计方案和所述技术文档的审计方案，将所述业务信息数据、业务信息数据的审计方案发送给数据分析单元，将所述技术文档、技术文档的审计方案发送给文档分析单元；数据分析处理单元，用于按照所述业务信息数据的审计方案对所述审计管理部署单元传来的业务信息数据进行数据分析，该数据分析包括数据完整性分析，获取数据分析结果；文档分析处理单元，用于按照所述技术文档的审计方案对所述审计管理部署单元传来的所述技术文档进行文档分析，该文档分析包括需求规范分析、设计规范分析，获取文档分析结果；其中，所述审计管理部署单元包括：审计方案存储模块，用于存储预先设置的业务信息数据、技术文档的各种审计方案，每种业务信息数据的审计方案分别和相应的数据特性信息对应，每种技术文档的审计方案分别和相应的文档特性信息对应，所述业务数据审计方案包括：简易业务数据审计方案、一般业务数据审计方案和复杂业务数据审计方案，所述技术文档审计方案包括：简易技术文档审计方案、一般技术文档审计方案和复杂技术文档审计方案；审计方案确定模块，用于提取所述业务信息数据的基本特性信息，将所述业务信息数据的基本特性信息和所述审计方案存储模块中存储的业务信息数据的各种审计方案对应的数据特性信息进行匹配，根据匹配结果确定所述业务信息数据的审计方案；提取所述技术文档的基本特性信息，将所述技术文档的基本特性信息和所述审计方案存储模块中存储的技术文档的各种审计方案对应的文档特性信息进行匹配，根据匹配结果确定所述技术文档的审计方案；数据分配模块，用于将所述业务信息数据、业务信息数据的审计方案发送给数据分析单元，将所述技术文档、技术文档的审计方案发送给文档分析单元；数据存储模块，用于存储已经审计过的、正在审计的或者还没有开始审计的业务信息数据和技术文档，以及所述业务信息数据和技术文档的描述信息。

然而，上述方案包括过多复杂的规则配置及应用，从配置到应用都带来了很大的麻烦，而且经常导致数据的混乱，不便于在实际中应用。因此，亟需一种简洁高效的基于业务的指标化信息安全审计预警技术来保障网络信息的安全。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种基于业务的指标化信息安全审计预警系统及方法，将需要审计的批量的业务数据和用户的评判标准有条理的一一对应起来，以形成了日常业务中需要审计的指标，每个指标都有相对应的不同级别的预警功能，从而实现了指标化的预警技术，提升了用户体验。

为实现上述目的及其他相关目的，本发明提供一种基于业务的指标化信息安全审计预警系统包括规则节点生成模块、规则簇匹配模块、流程生成模块和预警指标生成模块；所述规则节点生成模块用于将业务操作的每一条操作数据生成一个规则节点；所述规则簇匹配模块用于针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇；所述流程生成模块用于将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程；所述预警指标生成模块用于根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。

于本发明的一实施例中，所述规则节点匹配模块通过规则节点的遍历、节点参数的遍历以及子节点表达式的遍历实现规则节点的匹配。

于本发明的一实施例中，规则节点的属性包括规则节点ID、匹配规则、数据提取规则、查询条件规则和会话管理规则。

于本发明的一实施例中，所述规则簇的属性包括规则簇ID、规则节点数目、规则节点ID列表和结尾规则节点ID。

于本发明的一实施例中，所述指标的属性包括指标ID、流程数目、流程列表、流程关系和指标算法。

同时，本发明还提供一种基于业务的指标化信息安全审计预警方法，包括以下步骤：

步骤S1、将业务操作的每一条操作数据生成一个规则节点；

步骤S2、针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇；

步骤S3、将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程；

步骤S4、根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。

于本发明的一实施例中，所述规则节点匹配模块通过规则节点的遍历、节点参数的遍历以及子节点表达式的遍历实现规则节点的匹配。

于本发明的一实施例中，规则节点的属性包括规则节点ID、匹配规则、数据提取规则、查询条件规则和会话管理规则。

于本发明的一实施例中，所述规则簇的属性包括规则簇ID、规则节点数目、规则节点ID列表和结尾规则节点ID。

于本发明的一实施例中，所述指标的属性包括指标ID、流程数目、流程列表、流程关系和指标算法。

如上所述，本发明的基于业务的指标化信息安全审计预警系统及方法，具有以下有益效果：

(1)将业务要求和指标相对应，使得规则条理清晰；

(2)除了由配置人员去配置底层的规则，用户不需要再去了解和配置复杂的规则，并为用户提供了可以辨识的输入、输出结果集；

(3)提高了从规则节点到流程不同级别的数据复用，可以随意组合不同级别的所有对象；

(4)提升了数据使用效率，提高了用户体验。

附图说明

图1显示为现有技术中数字处理子系统的结构示意图；

图2显示为本发明的基于业务的指标化信息安全审计预警系统的结构示意图；

图3显示为本发明的规则节点匹配过程的一个优选实施例的示意图；

图4显示为本发明的规则簇匹配过程的一个优选实施例的示意图；

图5显示为本发明中由规则节点到规则簇的一个优选实施例的示意图；

图6显示为本发明中由规则簇到流程集的一个优选实施例的示意图；

图7显示为本发明中由流程集到指标集的一个优选实施例的示意图；

图8显示为本发明中指标集的结构示意图；

图9显示为本发明的基于业务的指标化信息安全审计预警方法的流程图。

元件标号说明

1规则节点生成模块

2规则簇匹配模块

3流程生成模块

4预警指标生成模块

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

本发明的基于业务的指标化信息安全审计预警系统及方法应用在安全审计产品的数据处理子系统中。图1所示即为数字处理子系统的逻辑结构示意图。作为整个产品的数据处理核心，数据处理子系统为整个业务审计数据流程的第二个环节，在获取所有网络数据包后需完成整个TCP重组、协议解析、会话关联、业务匹配、数据提取以及json输出，从而为相关平台和业务层提供数据依据。本发明的基于业务的指标化信息安全审计预警系统及方法可以有效的支持此数字处理子系统相关功能的实现。

参照图2，本发明的基于业务的指标化信息安全审计预警系统包括规则节点生成模块1、规则簇匹配模块2、流程生成模块3和预警指标生成模块4。

规则节点生成模块1用于将业务操作的每一条操作数据生成一个规则节点。

其中，业务审计都是通过系统的业务操作数据来审计。业务系统每天都会产生大量的操作数据。具体地，针对多个用户，会生成多个操作的信息。用户每笔业务操作都会产生一条或多条操作数据。因此，每一条操作数据就能产生一个规则节点。通过规则节点匹配可以将操作数据根据特征进行分类。如图3所示，在一个优选实施例中，在规则节点匹配过程中，依次通过规则节点的遍历、节点参数的遍历以及子节点表达式的遍历实现规则节点的匹配。

规则簇匹配模块2用于针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇。

具体地，用户的一笔业务操作涉及到具有多个特征的操作数据，包含同一特征的操作数据也可能存在多个。对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点的过程就是规则簇匹配。如图4所示，在一个优选实施例中，在规则簇匹配的过程中，通过初始化流程、簇匹配流程、存储流程以及清空流程来实现规则簇的匹配过程。图5所示即为由规则节点到规则簇的一个优选实施例的示意图。其中，每个规则节点的属性包括规则节点ID、匹配规则、数据提取规则、查询条件规则和会话管理规则等等。若干个规则节点根据特征匹配组成了若干个规则簇。

流程生成模块3用于将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程。

其中，规则簇匹配模块针对用户的一笔业务操作进行了筛选。相应地，用户的一系列的单笔业务操作通过规则簇匹配流程即可产生一个业务流程。这样一来即使没有用户的业务系统，只需要拿到操作数据，即可完全复现客户对业务系统的每一次操作，每一次业务流程的过程，从而具有了对客户业务操作进行审计的可能。图6所示即为由规则簇到流程集的一个优选实施例的示意图。由图可知，规则簇的属性包括有规则簇ID、规则节点数目、规则节点ID列表、结尾规则节点ID等等。一系列单笔业务操作的规则簇通过匹配流程组成了一个业务流程。

预警指标生成模块4用于根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。

通常，在实际应用中一个业务流程很难满足审计需求，往往需要对多个业务流程的多个业务操作进行综合评判，才能分析出是否需要进行预警等处理。因此，将可以用来判定是否进行预警的条件称作指标。图7所示即为由流程集到指标集的一个优选实施例的示意图。由图可知，业务流程的属性包括业务流程ID、规则簇数目、规则簇ID列表以及结尾规则簇ID等等。若干个业务流程通过综合评判生成了一个指标。如图8所示，指标的属性包括指标ID、流程数目、流程列表、流程关系、指标算法等等。

从以上描述不难看出：从规则节点到指标，是逐级向上包含的，一个指标可以包含一个或者多个业务流程，一个业务流程又可以包含一个或者多个规则簇，一个规则簇又可以包含一个或者多个规则节点。这样一来，将需要审计的批量的业务数据和用户的评判标准有条理的一一对应起来。由此就形成了日常业务中需要审计的指标，每个指标都有相对应的不同级别的预警功能，从而就实现了指标化的预警技术，提升了用户体验。

参照图9，本发明的基于业务的指标化信息安全审计预警方法包括以下步骤：

步骤S1、将业务操作的每一条操作数据生成一个规则节点。

其中，业务审计都是通过系统的业务操作数据来审计。业务系统每天都会产生大量的操作数据。具体地，针对多个用户，会生成多个操作的信息。用户每笔业务操作都会产生一条或多条操作数据。因此，每一条操作数据就能产生一个规则节点。通过规则节点匹配可以将操作数据根据特征进行分类。如图3所示，在一个优选实施例中，在规则节点匹配过程中，依次通过规则节点的遍历、节点参数的遍历以及子节点表达式的遍历实现规则节点的匹配。

步骤S2、针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇。

具体地，用户的一笔业务操作涉及到具有多个特征的操作数据，包含同一特征的操作数据也可能存在多个。对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点的过程就是规则簇匹配。如图4所示，在一个优选实施例中，在规则簇匹配的过程中，通过初始化流程、簇匹配流程、存储流程以及清空流程来实现规则簇的匹配过程。图5所示即为由规则节点到规则簇的流程示意图。其中，每个规则节点的属性包括规则节点ID、匹配规则、数据提取规则、查询条件规则和会话管理规则等等。若干个规则节点根据特征匹配组成了若干个规则簇。

步骤S3、将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程。

其中，规则簇匹配模块针对用户的一笔业务操作进行了筛选。相应地，用户的一系列的单笔业务操作通过规则簇匹配流程即可产生一个业务流程。这样一来即使没有用户的业务系统，只需要拿到操作数据，即可完全复现客户对业务系统的每一次操作，每一次业务流程的过程，从而具有了对客户业务操作进行审计的可能。图6所示即为由规则簇到流程集的示意图。由图可知，规则簇的属性包括有规则簇ID、规则节点数目、规则节点ID列表、结尾规则节点ID等等。一系列单笔业务操作的规则簇通过匹配流程组成了一个业务流程。

步骤S4、根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。

通常，在实际应用中一个业务流程很难满足审计需求，往往需要对多个业务流程的多个业务操作进行综合评判，才能分析出是否需要进行预警等处理。因此，将可以用来判定是否进行预警的条件称作指标。图7所示即为由流程集到指标集的示意图。由图可知，业务流程的属性包括业务流程ID、规则簇数目、规则簇ID列表以及结尾规则簇ID等等。若干个业务流程通过综合评判生成了一个指标。如图8所示，指标的属性包括指标ID、流程数目、流程列表、流程关系、指标算法等等。

综上所述，本发明的基于业务的指标化信息安全审计预警系统及方法将业务要求和指标相对应，使得规则条理清晰；除了由配置人员去配置底层的规则，用户不需要再去了解和配置复杂的规则，并为用户提供了可以辨识的输入、输出结果集；提高了从规则节点到流程不同级别的数据复用，可以随意组合不同级别的所有对象；提升了数据使用效率，提高了用户体验。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (10)

1.一种基于业务的指标化信息安全审计预警系统，其特征在于：包括规则节点生成模块、规则簇匹配模块、流程生成模块和预警指标生成模块；

所述规则节点生成模块用于将业务操作的每一条操作数据生成一个规则节点；

所述规则簇匹配模块用于针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇；

所述流程生成模块用于将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程；

所述预警指标生成模块用于根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。

2.根据权利要求1所述的基于业务的指标化信息安全审计预警系统，其特征在于：所述规则节点匹配模块通过规则节点的遍历、节点参数的遍历以及子节点表达式的遍历实现规则节点的匹配。

3.根据权利要求1所述的基于业务的指标化信息安全审计预警系统，其特征在于：规则节点的属性包括规则节点ID、匹配规则、数据提取规则、查询条件规则和会话管理规则。

4.根据权利要求1所述的基于业务的指标化信息安全审计预警系统，其特征在于：所述规则簇的属性包括规则簇ID、规则节点数目、规则节点ID列表和结尾规则节点ID。

5.根据权利要求1所述的基于业务的指标化信息安全审计预警系统，其特征在于：所述指标的属性包括指标ID、流程数目、流程列表、流程关系和指标算法。

6.一种基于业务的指标化信息安全审计预警方法，其特征在于：包括以下步骤：

步骤S1、将业务操作的每一条操作数据生成一个规则节点；

步骤S2、针对用户的一笔业务操作的所有规则节点进行筛选，筛选出具有同一特征的规则节点作为一个规则簇；

步骤S3、将用户的一系列单笔业务操作通过规则簇匹配生成一个业务流程；

步骤S4、根据对若干个业务流程的综合评判，生成用于判定是否进行预警的指标。

7.根据权利要求6所述的基于业务的指标化信息安全审计预警方法，其特征在于：所述规则节点匹配模块通过规则节点的遍历、节点参数的遍历以及子节点表达式的遍历实现规则节点的匹配。

8.根据权利要求6所述的基于业务的指标化信息安全审计预警方法，其特征在于：规则节点的属性包括规则节点ID、匹配规则、数据提取规则、查询条件规则和会话管理规则。

9.根据权利要求6所述的基于业务的指标化信息安全审计预警方法，其特征在于：所述规则簇的属性包括规则簇ID、规则节点数目、规则节点ID列表和结尾规则节点ID。

10.根据权利要求6所述的基于业务的指标化信息安全审计预警方法，其特征在于：所述指标的属性包括指标ID、流程数目、流程列表、流程关系和指标算法。