CN105791308B - 一种主动识别域用户登录事件信息的方法、装置和系统 - Google Patents

Abstract

本发明实施例公开了一种主动识别域用户登录事件信息的方法，包括：获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；接收域用户登录事件信息；本发明实施例还公开了一种主动识别域用户登录事件信息的装置和系统。

Description

一种主动识别域用户登录事件信息的方法、装置和系统

技术领域

本发明涉及网络用户管理技术，尤其涉及一种主动识别域用户登录事件信息的方法、装置和系统。

背景技术

在一个网络域中，用户需要通过域用户名进行登录操作，只有登录成功的用户才能根据该域用户的相关控制策略使用网络，访问授权的内网资源或访问被允许的外网资源。

在网络用户管理中，通常需要了解监控每一个用户使用网络资源的情况；网络环境中的用户可能会使用不同的终端设备登录网络进行网络访问，如活动目录(ActiveDirectory，AD)域用户；在这种情况下，域用户名是进行网络访问的唯一标识；这里，AD是面向Windows Standard Server、Windows Enterprise Server以及WindowsDatacenterServer的目录服务，AD存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息，AD使用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织；在实际应用中，Microsoft Active Directory服务是Windows平台的核心组件，它为用户管理网络环境各个组成要素的标识和关系提供了一种有力的手段。

对于用户使用域用户名进行登录的应用场景，监控审计设备或工具需要在用户登录域的时候，可以识别域用户使用的登录设备IP(Internet Protocol)等动态信息，从而监控该用户使用该设备进行的网络活动。

在日常工作中，办公环境一般是在一个局域网，技术人员可根据公司的组织结构将不同的人设置在不同的工作组中，并为每一个员工设置域账户。员工使用域账户登录终端设备后，可实现其访问域内共享资源，获得其对应的外网访问权限。

从企业管理，信息安全等角度出发，企业或政府往往还需要相应的审计设备，对员工的日常工作行为进行采集和监控，对员工的工作起到监控管理的作用，在出现问题时可以实现追查，同时根据每天的监控数据可提前预知一些风险，避免损失。

图1为现有技术中在使用域用户名访问网络的系统结构示意图，如图1所示，用户终端在需要使用域用户名访问网络时，将认证请求发送至认证服务器；认证服务器用于对认证请求进行登录认证，在认证成功后，授权用户终端访问相应的网络资源；图1中，监控设备/工具用于主动识别使用域用户名进行登录的登录事件信息。

对于图1所示的应用场景，用户终端使用域用户名访问网络的流程包括：用户在用户终端如笔记本电脑上使用域用户名和密码进行登录，将认证请求信息发送至认证服务器，已进行登录认证；认证请求信息包括登录使用的域用户名和密码；在认证成功后，认证服务器向用户终端返回认证成功信息，此时说明用户终端登录域成功，用户可访问域内共享资源、以及授权的互联网资源。

在用户端使用域用户名访问网络的过程中，监控设备/工具需要实时发现域用户登录行为，采集已登录域用户的网络活动，并根据设定策略将域用户网络行为生成相关报表、图标、日志等信息。

目前，对于审计设备或工具，如果要准确识别域用户登录事件，必须将其部署在用户终端与认证服务器之间，这样，监控设备/工具才可以截取用户终端与认证服务器的交互信息，用户的认证请求信息、认证服务器的认证成功信息、认证服务器的认证成功信息必须经过监控设备/工具才可能被识别和查询；可以看出，监控设备/工具很可能成为网络瓶颈，对用户正常使用网络资源造成影响。

发明内容

为解决上述技术问题，本发明实施例期望提供一种主动识别域用户登录事件信息的方法、装置和系统，能够在确保用户终端与认证服务器正常交互的同时，实现对域用户登录事件信息的主动识别和查询。

本发明的技术方案是这样实现的：

第一方面，本发明实施例提供了一种主动识别域用户登录事件信息的方法，所述方法包括：

认证服务器在域用户登录时，获取域用户登录事件信息；

监测设备获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；

认证服务器在接收到所述请求后，将所述登录事件ID对应的域用户登录事件信息发送至监测设备；

监测设备接收所述域用户登录事件信息；

其中，所述认证服务器与所述监测 设备直接进行数据交换；

所述监测设备获取登录事件ID，包括：监测设备根据认证服务器的操作系统版本，确定登录事件 ID。

在上述方案中，所述向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求包括：

按照固定时间间隔，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求。

在上述方案中，所述域用户登录事件信息包括以下信息：域用户登录用户名和域用户登录时使用的用户终端的IP地址。

第二方面，本发明实施例提供了一种主动识别域用户登录事件信息的系统，所述系统包括认证服务器和监测设备；其中，

认证服务器，用于在域用户登录时，获取域用户登录事件信息；在接收到查询所述登录事件ID对应的域用户登录事件信息的请求后，将所述登录事件ID对应的域用户登录事件信息发送至监测设备；

监测设备，用于获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；接收所述域用户登录事件信息；

其中，所述认证服务器与所述监测 设备直接进行数据交换；

所述监测设备，具体用于根据认证服务器的操作系统版本，确定登录事件ID。

本发明实施例提供的一种主动识别域用户登录事件信息的方法、装置和系统中，获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；接收域用户登录事件信息；如此，能够在确保用户终端与认证服务器正常交互的同时，实现对域用户登录事件信息的主动识别和查询。

附图说明

图1为现有技术中在使用域用户名访问网络的系统结构示意图；

图2为本发明主动识别域用户登录事件信息的方法的第一实施例的流程图；

图3为本发明主动识别域用户登录事件信息的方法的第二实施例中在认证服务器上配置允许登录的域用户名的一个示例图；

图4为本发明主动识别域用户登录事件信息的方法的第二实施例中用户终端与认证服务器的交互流程示意图；

图5为本发明主动识别域用户登录事件信息的方法的第二实施例中事件ID的一个示例图；

图6为本发明主动识别域用户登录事件信息的方法的第二实施例中登录事件信息的第一示例图；

图7为本发明主动识别域用户登录事件信息的方法的第二实施例中登录事件信息的第二示例图；

图8为本发明主动识别域用户登录事件信息的方法的第二实施例中在监测设备上设置认证服务器的可读取权限的一个示例图；

图9为本发明主动识别域用户登录事件信息的方法的第二实施例中认证服务器与监测设备的交互流程图；

图10为本发明主动识别域用户登录事件信息的方法的第二实施例中域用户详细信息的一个示例图；

图11为本发明实施例主动识别域用户登录事件信息的装置的组成结构示意图；

图12为本发明实施例主动识别域用户登录事件信息的系统的组成结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

第一实施例

图2为本发明主动识别域用户登录事件信息的方法的第一实施例的流程图，如图2所示，该流程包括：

步骤200：获取登录事件身份标识号(IDentity，ID)，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求。

这里，认证服务器可以用于进行域用户的登录认证，例如，认证服务器为用于进行AD 域用户登录认证的AD服务器。

本步骤可以在监测设备上实现，在实际应用中，监测设备按照固定时间间隔，主动向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；因此，监测设备不需要设置在用户终端与认证服务器之间的主干网络上，也就是说，可以旁路部署监测设备。

这里，所述域用户登录事件信息包括以下信息：域用户登录用户名和域用户登录时使用的用户终端的IP地址。

步骤201：接收域用户登录事件信息。

应用本发明主动识别域用户登录事件信息的方法的第一实施例，能够在确保用户终端与认证服务器正常交互的同时，实现对域用户登录事件信息的主动识别和查询。

本发明主动识别域用户登录事件信息的方法的第一实施例可以在监测设备上实现，在这种情况下，监测设备不需要设置在用户终端与认证服务器之间的主干网络上，也就是说，可以旁路部署监测设备，无论监测设备部署在网络的哪个位置，只要监测设备与认证服务器能够进行数据交互，则监测都可以主动地识别和查询域用户登录事件信息，从而为准确监控每位用户上网行为提供溯源数据。

本发明主动识别域用户登录事件信息的方法的第一实施例，能够在不改变网络环境及不断网的情况下，实现监测设备的旁路部署，并基于WINSERVER安全日志，通过主动探测的方式实时识别域用户登录事件信息，为审计设备后续关联用户行为提供溯源数据。达到对于用户网络活动的监管目的。

第二实施例

为了能更加体现本发明的目的，在本发明第一实施例的基础上，进行进一步的举例说明。

本发明第二实施例提供了一种主动识别域用户登录事件信息的方法，在本发明第二实施例中，认证服务器可以用AD服务器实现，认证服务器可以在用户终端使用域用户名进行登录认证时，记录登录事件信息，登录事件信息可以是WINSERVER指定安全日志登录事件等；监测设备用于查询登录事件信息。

在本发明第二实施例中，可以预先在认证服务器上配置允许登录的域用户名，图3为本发明主动识别域用户登录事件信息的方法的第二实施例中在认证服务器上配置允许登录的域用户名的一个示例图，如图3所示，在认证服务器上配置一个允许登录的域用户名为111@ngfw.qa.com。

这里，本发明第二实施例的主动识别域用户登录事件信息的方法的流程包括用户终端与认证服务器的交互流程、以及认证服务器与监测设备的交互流程。

图4为本发明主动识别域用户登录事件信息的方法的第二实施例中用户终端与认证服务器的交互流程示意图，如图4所示，该流程包括：

步骤401：用户在用户终端使用域账户登录网络时，向认证服务器发送认证请求信息；

这里，认证请求信息包括登录使用的域用户名和密码。

步骤402：认证服务器对认证请求信息进行认证，在认证成功时，执行步骤403；在认证失败时，执行步骤404；

步骤403：认证服务器向用户终端返回认证成功信息，并获取域用户登录事件信息。

这里，认证服务器在获取域用户登录事件信息后，记录并存储域用户登录事件信息。

具体地，认证服务器获取域用户登录事件信息包括：获取登录事件ID，基于所获取的登录事件的ID，获取域用户登录事件信息；

这里，域用户登录事件信息包括以下信息：域用户登录用户名和域用户登录时使用的用户终端的IP地址；

可以理解的是，在计算机事件中，一种事件类型对应一个事件ID，不同的事件类型对应的事件ID是不同的，例如登录事件和注销事件对应事件ID不同，图5为本发明主动识别域用户登录事件信息的方法的第二实施例中事件ID的一个示例图。

本发明第二实施例中，对于各种事件类型，可以获知登录事件ID；这里，需要说明的是，登录事件ID与认证服务器所采用的操作系统版本有关，例如，操作系统版本为win2003672和win2008/2012 4768的两个认证服务器对应的登录事件ID是不同的；因此，可以根据认证服务器所采用的操作系统版本，来获取登录事件ID。

图6为本发明主动识别域用户登录事件信息的方法的第二实施例中登录事件信息的第一示例图，图7为本发明主动识别域用户登录事件信息的方法的第二实施例中登录事件信息的第二示例图，如图6和7所示，在获取登录事件ID后，可以于所获取的登录事件的ID，获取域用户登录用户名、以及域用户登录时使用的用户终端的IP地址。

步骤404：认证服务器向用户终端返回认证失败信息。

本发明第二实施例中，为了实现认证服务器与监测设备的交互流程，可以预先在监测设备上设置认证服务器的可读取权限；图8为本发明主动识别域用户登录事件信息的方法的第二实施例中在监测设备上设置认证服务器的可读取权限的一个示例图，如图8 所示，在监测设备上添加认证服务器的IP地址、端口，并添加具有读取认证服务器权限的账户信息，这里，具有读取认证服务器权限的账户信息可以包括管理员用户名和密码。

图9为本发明主动识别域用户登录事件信息的方法的第二实施例中认证服务器与监测设备的交互流程图，如图9所示，该流程包括：

步骤901：监测设备获取认证服务器的操作系统版本；

具体地，监测设备根据设置的认证服务器的可读取权限，与相应的认证服务器建立通信连接，之后，获取认证服务器的操作系统版本；示例性地，监测设备向认证服务器发送获取操作系统版本的请求，认证服务器在接收到获取操作系统版本的请求后，向监测设备发送自身的操作系统版本，之后，监测设备接收到认证服务器的操作系统版本。

步骤902：监测设备根据认证服务器的操作系统版本，确定认证服务器对应的登录事件ID。

步骤903：监测设备向认证服务器发送查询所确定的登录事件ID对应的域用户登录事件信息的请求。

这里，监测设备可以按照固定时间间隔，主动向认证服务器发送请求；具体地，监测设备可以使用设置的具有读取认证服务器权限的账户信息，来向认证服务器发送请求。

显然，该查询所确定的登录事件ID对应的域用户登录事件信息的请求包含有所确定的登录事件ID。

步骤904：认证服务器在接收查询所确定的登录事件ID对应的域用户登录事件信息的请求后，判断是否有新用户登录，如果没有新用户登录，则跳至步骤905；如果有新用户登录，则跳至步骤906。

这里，对于认证服务器判断是否有新用户登录的实现方式，具体地说，认证服务器判断截止到当前时刻的设定时间段内是否有域用户登录，如果截止到当前时刻的设定时间段内有域用户登录，则确定有新用户登录；否则，确定没有新用户登录。

优选地，设定时间段的长度与固定时间间隔的长度相等。

步骤905：认证服务器向监测设备发送结束查询提示信息，监测设备接收到结束查询提示信息后，结束本次查询。

步骤906：认证服务器根据所确定的登录事件ID，获取所确定的登录事件ID对应的域用户登录事件信息，并将获取的域用户登录事件信息发送至监测设备。

这里，域用户登录事件信息包括域用户登录用户名、域用户登录时使用的用户终端的IP地址。

步骤907：监测设备在接收到域用户登录事件信息后，再次向认证服务器发送查询域用户详细信息的请求；这里，域用户详细信息与所获取的域用户登录用户名相对应。

步骤908：认证服务器在收到查询域用户详细信息的请求后，向监测设备发送域用户详细信息；图10为本发明查询域用户登录事件信息的方法的第二实施例中域用户详细信息的一个示例图。

步骤909：监测设备在收到域用户详细信息，将获取的信息保存至本地，之后，结束流程。

这里，监测设备保存至本地的信息可以包括以下信息：域用户登录事件信息和域用户详细信息；监测设备将获取的信息以列表或其他形式保存至本地；表1示例性地表示监测设备保存在本地的信息。

表1

在步骤909之后，对于域用户登录时使用的用户终端的IP地址，其后续相关网络访问行为均可以与相应的域用户名形成对应关系，达到获取详细审计数据的目的。

应用本发明主动识别域用户登录事件信息的方法的第二实施例，能够在确保用户终端与认证服务器正常交互的同时，实现对域用户登录事件信息的主动识别和查询；监测设备不需要设置在用户终端与认证服务器之间的主干网络上，也就是说，可以旁路部署监测设备，无论监测设备部署在网络的哪个位置，只要监测设备与认证服务器能够进行数据交互，则监测都可以主动地识别和查询域用户登录事件信息，从而为准确监控每位用户上网行为提供溯源数据。

第三实施例

针对本发明主动识别域用户登录事件信息的方法的第一实施例，本发明第三实施例提供了主动识别域用户登录事件信息的装置。

图11为本发明实施例主动识别域用户登录事件信息的装置的组成结构示意图，如图11所示，该装置包括：获取模块1100、发送模块1101和接收模块1102；其中，

获取模块1100，用于获取登录事件ID；

发送模块1101，用于向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；

接收模块1102，用于接收域用户登录事件信息。

具体地，所述发送模块1101，用于按照固定时间间隔，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求。

在实际应用中，所述获取模块1100、发送模块1101和接收模块1102均可由位于监测设备中的中央处理器(Central Processing Unit，CPU)、微处理器(Micro ProcessorUnit，MPU)、数字信号处理器(Digital Signal Processor，DSP)、或现场可编程门阵列(Field Programmable Gate Array，FPGA)等实现。

第四实施例

针对本发明主动识别域用户登录事件信息的方法的第二实施例，本发明第四实施例提供了主动识别域用户登录事件信息的系统。

图12为本发明实施例主动识别域用户登录事件信息的系统的组成结构示意图，如图12所示，该系统包括认证服务器1200和监测设备1201；其中，

认证服务器1200，用于在域用户登录时，获取域用户登录事件信息；在接收到查询所述登录事件 ID对应的域用户登录事件信息的请求后，将所述登录事件ID对应的域用户登录事件信息发送至监测设备；

监测设备1201，用于获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；接收所述域用户登录事件信息。

具体地，所述监测设备1201，用于根据认证服务器的操作系统版本，确定登录事件ID。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (4)

1.一种主动识别域用户登录事件信息的方法，其特征在于，所述方法包括：

认证服务器在域用户登录时，获取域用户登录事件信息；

监测 设备获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；

认证服务器在接收到所述请求后，将所述登录事件ID对应的域用户登录事件信息发送至监测设备；

监测 设备接收域用户登录事件信息；

其中，所述认证服务器与所述监测 设备直接进行数据交换；

所述监测设备获取登录事件ID，包括：监测设备根据认证服务器的操作系统版本，确定登录事件ID。

2.根据权利要求1所述的方法，其特征在于，所述向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求包括：

按照固定时间间隔，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求。

3.根据权利要求1或2所述的方法，其特征在于，所述域用户登录事件信息包括以下信息：域用户登录用户名和域用户登录时使用的用户终端的IP地址。

4.一种主动识别域用户登录事件信息的系统，其特征在于，

所述系统包括认证服务器和监测设备；其中，

认证服务器，用于在域用户登录时，获取域用户登录事件信息；

在接收到查询所述登录事件ID对应的域用户登录事件信息的请求后，将所述登录事件ID对应的域用户登录事件信息发送至监测设备；

监测设备，用于获取登录事件ID，向认证服务器发送查询所述登录事件ID对应的域用户登录事件信息的请求；接收所述域用户登录事件信息；

其中，所述认证服务器与所述监测 设备直接进行数据交换；

所述监测设备，具体用于根据认证服务器的操作系统版本，确定登录事件ID。