CN105991306A - 两级架构业务系统安全检查方法及装置 - Google Patents

Abstract

本申请实施例公开了一种两级架构业务系统安全检查方法及装置。所述方法包括：总部监控系统获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令，根据所述安全检查指令创建安全检查任务消息，并向所述分部业务系统发送所述安全检查任务消息；所述分部业务系统根据所述安全检查任务消息执行对应的安全检查脚本，并将执行结果发送至所述总部监控系统；所述总部监控系统接收所述执行结果，并分析所述执行结果。从而替代由总部下达指令，分部人工进行安全检查后再将安全检查结果汇报至总部的方式，使得分部业务系统的安全检查自动化，具有更高的效率、实时性和准确性。

Description

两级架构业务系统安全检查方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种两级架构业务系统安全检查方法及装置。

背景技术

业务系统为企业业务平台的软硬件支撑系统，例如企业的短信平台业务系统、网络投诉业务系统、话务网管业务系统等等。对于大型企业而言，由于其业务范围遍及各地，为便于业务的展开，会在各地分部部署分部业务系统，同时为了便于业务的集中管理、调度、优化与监控，在总部部署总部监控系统，用于对各个分部业务系统的业务数据和资源进行汇总分析和管控。

总部监控系统和分部业务系统之间通常需满足下列互联原则：(1)总部集中原则，即所有分部业务系统的业务变化需上报给总部监控系统，由总部监控系统审核后再由分部业务系统执行；(2)独立性原则，即总部监控系统和分部业务系统各自独立地保存各种工单数据、业务数据和相关信息，分部业务系统的具体实施则由分部业务系统内部负责完成；(3)信息一致性原则，总部监控系统和分部业务系统互联所涉及的业务数据和信息在两级系统中应一致。其中，总部监控系统和分部业务系统之间一般通过部省接口进行互联，通过部省接口实现总部系统和分部业务系统之间的数据请求、应答消息的传递和数据文件的传送等。

网络的快速发展和对业务安全要求的日益严格，使得对业务系统的安全管控要求也不断提高。由于总部监控系统和分部业务系统的架构复杂且相互独立，对业务系统的安全检查通常在各分部业务系统独立进行。具体的，由总部安排专员依次通过同步帐号登录到分部业务系统创建检查任务，再由分部人员执行检查，再将检查结果统一上报给总部。但这种人工安全检查方式存在诸多缺点，主要问题在于：1)总部无法及时掌握各地分部业务系统的安全现状以及安全报表明细情况；2)检查周期长，特别是分部多，且各分部下又有不同子分部时，不便于实时查看，导致工作效率低下，使安全检查无法常态化；3)人员的自身能力以及人力资源等因素，影响预期的检查效果。

发明内容

为克服相关技术中两级架构业务系统安全检查效率低的问题，本申请提供一种两级架构业务系统安全检查方法及装置。

根据本申请实施例的第一方面，提供一种两级架构业务系统安全检查方法，包括：

总部监控系统获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令，根据所述安全检查指令创建安全检查任务消息，并向所述分部业务系统发送所述安全检查任务消息；

所述分部业务系统根据所述安全检查任务消息执行对应的安全检查脚本，并将执行结果发送至所述总部监控系统；

所述总部监控系统接收所述执行结果，并分析所述执行结果。

可选的，所述两级架构业务系统安全检查方法中，所述分部业务系统根据所述安全检查任务消息执行对应的安全检查脚本，并将执行结果发送至所述总部监控系统，包括：

根据所述安全检查任务消息判断自身是否属于被检查的分部业务系统；

当自身属于被检查的分部业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类，并执行对应的安全检查脚本；

将执行结果发送至所述总部监控系统。

可选的，所述的两级架构业务系统安全检查方法中，所述分部业务系统根据所述安全检查任务消息判断是否自身属于被检查的分部业务系统，包括：

获取所述安全检查任务消息中包含的分部业务系统编码；

根据所述分部业务系统编码查询分部业务系统中的映射表，得到被检查的分部业务系统的ID集；

判断自身的ID是否属于被检查的分部业务系统的ID集，如果自身的ID属于被检查的分部业务系统的ID集，则自身属于被检查的分部业务系统。

可选的，所述的两级架构业务系统安全检查方法中，所述分部业务系统当自身属于被检查的分部业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类，并执行对应的安全检查脚本，包括：

如果需要执行的安全检查种类为弱口令检查，则执行对应的口令获取脚本，获取所述分部业务系统中设备的帐号及口令；

将所述设备的帐号及口令作为执行结果发送至所述总部监控系统，所述总部监控系统对所述设备的帐号及口令进行弱口令分析。

可选的，所述的两级架构业务系统安全检查方法中，所述分部业务系统将执行结果发送至所述总部监控系统，包括：在执行结果文件中插入文件完整校验码，并将执行结果文件进行拆分和压缩，将拆分和压缩后的执行结果文件发送至所述总部监控系统，所述总部监控系统对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，并校验执行结果文件的完整性，当执行结果文件不完整时，向所述分部业务系统请求重新发送。

相应于本申请实施例的第一方面，根据本申请实施例的第二方面，提供一种两级架构业务系统安全检查装置，包括：

在总部监控系统一侧，包括：

安全检查指令获取单元，用于获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令；

安全检查任务创建单元，用于根据所述安全检查指令创建安全检查任务消息；

安全检查任务发送单元，用于向所述分部业务系统发送所述安全检查任务消息；

执行结果接收单元，用于接收分布业务系统发送的安全检查的执行结果；

处理单元，用于分析所述执行结果；

在分部业务系统一侧，包括：

安全检查单元，用于根据所述安全检查任务消息执行对应的安全检查脚本；

执行结果发送单元，用于将执行结果发送至所述总部监控系统。

可选的，所述安全检查单元，包括：

判断子单元，用于根据所述安全检查任务消息判断自身是否属于被检查的分部业务系统；

查询子单元，用于当自身属于被检查的分部业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类；

执行子单元，用于并执行与所述安全检查种类对应的安全检查脚本。

可选的，所述判断子单元，包括：

编码获取模块，用于获取所述安全检查任务消息中包含的分部业务系统编码；

ID查询模块，用于根据所述分部业务系统编码查询分部业务系统中的映射表，得到被检查的业务系统的ID集；

从属判断模块，用于判断自身的ID是否属于被检查的分部业务系统的ID集，如果自身的ID属于被检查的分部业务系统的ID集，则自身属于被检查的分部业务系统。

可选的，所述的两级架构业务系统安全检查装置中，所述安全检查单元的查询子单元得到的需要执行的安全检查种类为弱口令检查，则所述执行子单元执行对应的口令获取脚本，获取所述分部业务系统中设备的帐号及口令；

所述执行结果发送单元将所述设备的帐号及口令作为执行结果发送至所述总部监控系统；

所述总部监控系统的处理单元对所述设备的帐号及口令进行弱口令分析。

可选的，所述执行结果发送单元，包括：

校验码插入子单元，用于在执行结果文件中插入文件完整校验码；

拆分压缩子单元，用于将执行结果文件进行拆分和压缩；

发送子单元，用于将拆分和压缩后的执行结果文件发送至所述总部监控系统；

所述总部监控系统的执行结果接收单元对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，并校验执行结果文件的完整性，当执行结果文件不完整时，向所述分部业务系统请求重新发送。

本申请实施例提供的技术方案可以包括以下有益效果：由总部监控系统获取安全指令后，通过与分部业务系统进行通信连接的部省接口，向分部业务系统下发安全检查任务消息，由分部业务系统接收到安全检查任务消息后，自动调用执行对应的安全检查脚本，再将执行结果通过部省接口返回至总部监控系统，由总部监控系统对执行结果进行分析，得到最终的安全检查结果。从而替代由总部下达指令，分部人工进行安全检查后再将安全检查结果汇报至总部的方式，使得分部业务系统的安全检查自动化，具有更高的效率、实时性和准确性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请一示例性实施例示出的一种两级架构业务系统安全检查方法的流程示意图。

图2为本申请一示例性实施例示出的一种两级架构业务系统安全检查装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

为了全面理解本申请，在以下详细描述中提到了众多具体的细节，但是本领域技术人员应该理解，本申请可以无需这些具体细节而实现。在其他实施例中，不详细描述公知的方法、过程、组件和电路，以免不必要地导致实施例模糊。

根据本申请实施例的第一方面，提供一种两级架构业务系统安全检查方法。图1为本申请一示例性实施例示出的一种两级架构业务系统安全检查方法的流程示意图，如图1所示，所述方法包括：

步骤S101，总部监控系统获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令，根据所述安全检查指令创建安全检查任务消息，并向所述分部业务系统发送所述安全检查任务消息。

其中，在总部监控系统设置供用户进行配置的安全检查界面，用户可以通过安全检查界面配置安全检查指令，例如，用户通过安全检查界面配置安全检查的名称、进行何种安全检查(弱口令检查或合规检查，或者弱口令检查和合规检查等)、安全检查开始时间、分部业务系统是否返回检查结果，分部业务系统返回检查结果的最晚时间、被检查的分部业务系统列表等，其中如果进行的安全检查种类包括弱口令检查，则用户还通过安全检查界面配置进行弱口令分析的字典和规则版本、是否开启弱口令规则(比如弱口令字典存在密码：abc，实际密码是abc123，如果开启弱口令规则，则实际密码会判断为弱口令，否则不判断为弱口令)，以及弱口令分析地点选择(在总部监控系统进行或者在分部业务系统进行)等。所述安全检查指令即总部监控系统获取的用户通过安全检查界面配置的信息。进行安全检查的种类包括弱口令检查和合规检查，相应的，在安全检查指令中包括弱口令检查指令或合规检查指令，或者同时包括弱口令检查指令和合规检查指令，其中，弱口令检查指令包括用户在界面中配置的与弱口令分析相关的信息。

总部监控系统获取用户通过安全检查界面配置的信息后，即获取安全检查指令后，根据所述安全检查指令创建安全检查任务消息。所述安全检查任务消息由总部监控系统按照一定的格式将安全检查指令组合为消息，其中，所述一定的格式依据总部监控系统和分部业务系统之间进行通讯的要求确定。

安全检查任务消息创建后，总部监控系统将所述安全检查任务消息发送至分部业务系统。需要说明的是，在安全检查指令中包含被检查的分部业务系统列表信息，所述安全检查任务消息中也包含被检查的分部业务系统列表信息的内容，总部监控系统可以将所述安全检查任务消息发送给所有的分部业务系统，也可以根据被检查的分部业务系统列表信息只发送给被检查的分部业务系统。但由于在总部，总部监控系统对业务系统通常是按业务种类进行分级记录和管理，例如，网管系统下再分话务网管系统、数据网管系统、传输网管系统等，但在分部中，对业务系统可能是按照分部的部门或者硬件种类进行记录和管理的，因此分部业务系统的ID和总部监控系统中记录的分部业务系统的编码不一定可以直接对应，总部监控系统根据被检查的分部业务系统列表信息可以得到被检查的分部业务系统的编码，但可能无法直接根据被检查的分部业务系统的编码确定发送安全检查任务消息的目标。故而总部监控系统根据被检查的分部业务系统列表信息将安全检查任务消息只发送给被检查的分部业务系统，如果要实施，需在总部监控系统中设置映射表，所述映射表将分部业务系统的实际ID和总部监控系统中记录的分部业务系统的编码进行映射，从而使总部监控系统可以根据被检查的分部业务系统的编码查找到对应的实际的分部业务系统，然而，分部业务系统的增加、减少、变更的频率通常较高，每当一个分部业务系统发生变化，总部监控系统就要更新映射表，这将是非常繁琐和浪费系统资源的，因此，优选的实施方式是，总部监控系统可以将所述安全检查任务消息发送给所有的分部业务系统，由分部业务系统在接收到安全检查任务消息后，自己判断自身是否为被检查的分部业务系统，从而减轻总部监控系统的负担。

步骤S102，所述分部业务系统根据所述安全检查任务消息执行对应的安全检查脚本，并将执行结果发送至所述总部监控系统。

其中，分部业务系统接收到所述安全检查任务消息后，解析所安全检查任务消息中包含的安全检查相关的信息。如果总部监控系统是有针对性的将安全检查任务消息发送给被检查的分部业务系统，则只有被检查的分部业务系统收到安全检查任务消息，这种情况下，分部业务系统直接根据解析得到的安全检查相关的信息执行对应的安全检查脚本，对自身进行安全检查。如果总部监控系统是将安全检查任务消息发送给所有分部业务系统，则步骤S102可以包括：

(1)根据所述安全检查任务判断自身是否属于被检查的业务系统。

其中，步骤(1)可以包括：

(a1)获取所述安全检查任务中包含的分部业务系统编码；

(a2)根据所述分部业务系统编码查询分部业务系统中的映射表，得到被检查的业务系统的ID集；

(a3)判断自身的ID是否属于被检查的分部业务系统的ID集，如果自身的ID属于被检查的分部业务系统的ID集，则自身属于被检查的分部业务系统。

其中，分部业务系统解析所述安全检查任务消息，获取到其中的分部业务系统列表信息，即被检查的分部业务列表信息，并获取到相应的分部业务系统编码，即被检查的分部业务系统的编码，根据所述被检查的分部业务系统的编码，以及预先存储于分部业务系统中的映射表，查找到与所述被检查的分部业务系统的编码相映射的被检查的分部业务系统的ID集，如果分部业务系统本身的ID属于所述被检查的分部业务系统的ID集，则该分部业务系统自身属于被检查的分部业务系统。其中，所述映射表为总部监控系统记录的分部业务系统编码与实际的分部业务系统ID的映射表，预先编制并存储在分部业务系统中，所述映射表可以只包含分部业务系统所在的分部所包括的分部业务系统ID集的部分，当该分部的分部业务系统发生变化时，对映射表也只需更新该分部所包括的分部业务系统部分，更新工作量小，效率高，也有利于维护映射表的正确性。

(2)当自身属于被检查的业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类，并执行对应的安全检查脚本。

当分部业务系统判断自身属于被检查的业务系统时，再根据解析所述安全检查任务消息中得到的安全检查相关的信息，在所述信息中查询其需要执行的安全检查种类，并根据所述安全检查种类，找到对应的安全检查脚本，并执行对应的安全检查脚本，例如，如果安全检查种类为弱口令检查，则执行弱口令检查脚本，如果安全检查种类为合规检查，则执行合规检查脚本，如果安全检查种类为弱口令检查和合规检查，则执行弱口令检查脚本和合规检查脚本。安全检查脚本，例如弱口令检查脚本和合规检查脚本，预先配置于分部业务系统中。

(3)将执行结果发送至所述总部监控系统。

其中，当安全检查种类包括弱口令检查，分部业务系统需要执行弱口令检查脚本的进行弱口令分析的情况下，可以有两种实施弱口令检查的方式。在第一种实施方式中，分部业务系统执行完整的弱口令检查脚本，获取分部业务系统中各个设备的账号及口令，并对获取的各个设备的账号及口令进行弱口令分析，所述弱口令分析可以使用预先配置于分部业务系统的用于进行弱口令分析的字典和规则，也可以使用从总部监控系统接收到的安全检查任务消息中解析得到的用于进行弱口令分析的字典和规则，在弱口令分析完毕后，将弱口令分析结果，即执行弱口令检查脚本的执行结果发送至总部监控系统。

但由于弱口令分析非常耗费资源和存储空间，通常分部业务系统是难以负荷的，因此在第二种实施方式中，分部业务系统只执行弱口令分析相关的口令获取脚本，获取分部业务系统中设备的账号及口令，并将获取的账号和口令作为执行结果发送至总部监控系统，总部监控系统在收到所述账号和口令后，对所述账号和口令进行弱口令分析，得到对应的分部业务系统的弱口令分析结果，由于总部监控系统的软硬件配置高，将分部业务系统的弱口令分析部分转移至总部监控系统上进行，可以减小分部业务系统的负荷，更有效的完成对分部业务系统的弱口令检查。

其中，如果安全检查种类为合规检查，由于完整的合规检查脚本执行时占用的资源和空间都比较小，因此可以在分部业务系统执行完整的合规检查脚本，获取设备的相关性能数据，对获取的设备的性能数据进行合规分析，例如判断相关的性能数据是否等于基准值或规定的符号，如果是，则设备合规。分部业务系统将合规检查结果，即执行合规检查脚本的执行结果发送至总部监控系统。

步骤S103，所述总部监控系统接收所述执行结果，并分析所述执行结果。

其中，在弱口令分析转移至总部监控系统上进行的情况下，总部监控系统接收分部业务系统发送的设备的账号和口令(即执行结果)，对接收的设备的账号和口令进行弱口令分析，得到对应的分部业务系统的弱口令检查结果。在弱口令分析是在分部业务系统进行的情况下，总部监控系统直接接收分部业务系统发送的弱口令检查结果(即执行结果)。总部监控系统在得到业务系统的弱口令检查结果，或者总部监控系统在接收到分部业务系统发送的执行结果例如弱口令检查结果、合规检查结果，或者弱口令检查结果和合规检查结果后，对以上检查结果进行分析，例如，根据检查结果分析所有分部业务系统的整体安全性、各个分部业务系统本身的安全性、各个分部业务系统下各个设备的安全性等，以及各个分部业务系统的安全性排名、整体安全性随时间变化的趋势、分部业务系统安全性随时间变化的趋势，以及对各个分部业务系统的弱口令比率、合规比率等进行统计。总部监控系统分析所述执行结果后，可以将分析的结果进行展示，例如进行分部业务系统整体安全性分析→分部业务系统安全性分析→分部业务系统从属的业务系统安全性分析的逐层展示，还可以进一步跟进检查结果得到分部业务系统各个设备的信息，随设备类型等信息进行展示。

其中，步骤S102中将执行结果发送至所述总部监控系统的步骤，为了保证总部监控系统接收到的执行结果的完整性，在第一种可能的实施方式中，所述分部业在执行结果文件中插入文件完整校验码，例如MD5(Message-Digest Algorithm 5，信息-摘要算法5)校验码，总部监控系统在收到执行结果文件后，解析出执行结果文件中的MD5检验码，将执行结果文件中的MD5检验码和预先存储的分部业务系统的MD5校验码进行比较，如果相同则校验通过，如果不同，则执行结果文件不完整时，总部系统可以向所述分部业务系统请求重新发送执行结果文件。另外，由于执行结果文件通常体积大，为了便于传送，在第二种可能的实施方式中，可以将执行结果文件进行拆分和压缩，将拆分和压缩后的执行结果文件发送至所述总部监控系统，所述总部监控系统对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，得到分部业务系统的执行结果文件。第一种可能的实施方式和第二种可能的实施方式可以同时实施，即在执行结果文件中插入完整校验码后，进行拆分和压缩，将拆分和压缩后的执行结果文件发送至所述总部监控系统，所述总部监控系统对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，得到执行结果文件后，对执行结果文件进行完整性校验。

其中，本申请实施例所提供的两级架构业务系统安全检查方法，总部监控系统和分部业务系统之间的通信接口可以采用消息/文件方式。其中，消息接口可以采用Manager/Agent参考模型，一方面支持总部监控系统下发安全检查任务消息，一方面也支持分部业务系统主动返回安全检查结果，并可以自定义消息类别、消息格式和消息流程来实现信息交互，传递总部监控系统和分部业务系统之间的数据请求和实时消息，具体的，消息接口可以采用基于分布式应用的消息中间件，例如ActiveMQ，以确保分布式计算网络环境下可靠的信息传输和数据交换，消息中间件可以使用SSL协议进行连接，及使用证书进行认证，以保证消息中间件的连接认证安全及消息的发送/接收过程中信息的安全性。其中，当总部监控系统和分部业务系统之间传送大数据量的安全检查结果等数据时，采用文件接口进行传输，文件接口可以采用Client/Server参考模型，使用FTP(File Transfer Protocol，文件传输协议)传输。另外，总部监控系统和分布业务系统之间采用XML Schema来规范递的消息和文件的内容和格式。

本申请实施例所提供的两级架构业务系统安全检查方法，由总部监控系统获取安全指令后，生成安全检查任务消息，并分部业务系统下发安全检查任务消息，由分部业务系统接收到安全检查任务消息后，自动调用执行对应的预先配置的安全检查脚本，再将执行结果返回至总部监控系统，由总部监控系统对执行结果进行分析，得到最终的安全检查结果。本申请实施例提供的两级架构业务系统安全检查方法，只要在总部监控系统和分部业务系统进行相关的配置，通过通信连接，便可以实现分部业务系统安全检查的自动化，从而替代由总部下达指令，分部人工进行安全检查后再将安全检查结果汇报至总部的方式，具有更高的效率、实时性和准确性。

通过以上的方法实施例的描述，所属领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，并存储在一个存储介质中，包括若干指令用以使得一台智能设备执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：只读存储器(ROM)、随机存取存储器(RAM)、磁碟或者光盘等各种可以存储数据和程序代码的介质。

相应于本申请实施例的第一方面，根据本申请实施例的第二方面，提供一种两级架构业务系统安全检查装置。图2为本申请一示例性实施例示出的一种两级架构业务系统安全检查装置的结构示意图。如图2所示，所述装置包括：

在总部监控系统一侧，包括：

安全检查指令获取单元U201，用于获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令；

安全检查任务创建单元U202，用于根据所述安全检查指令创建安全检查任务消息；

安全检查任务发送单元U203，用于向所述分部业务系统发送所述安全检查任务消息；

执行结果接收单元U204，用于接收分布业务系统发送的安全检查的执行结果；

处理单元U205，用于分析所述执行结果。

在分部业务系统一侧，包括：

安全检查单元U210，用于根据所述安全检查任务消息执行对应的安全检查脚本；

执行结果发送单元U220，用于将执行结果发送至所述总部监控系统。

图2中，虚线表示网络连接。

其中，所述安全检查单元U210，在一种可能的实施方式中，可以包括：

判断子单元，用于根据所述安全检查任务消息判断自身是否属于被检查的业务系统；

查询子单元，用于当自身属于被检查的业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类；

执行子单元，用于并执行与所述安全检查种类对应的安全检查脚本。

其中，所述判断子单元，包括：

编码获取模块，用于获取所述安全检查任务消息中包含的分部业务系统编码；

ID查询模块，用于根据所述分部业务系统编码查询分部业务系统中的映射表，得到被检查的业务系统的ID集；

从属判断模块，用于判断自身的ID是否属于被检查的业务系统的ID集，如果自身的ID属于被检查的业务系统的ID集，则自身属于被检查的业务系统。

其中，在一种可能的实施方式中，如果所述安全检查单元U210的查询子单元得到的需要执行的安全检查种类包括弱口令检查，则所述执行子单元执行对应的口令获取脚本，获取所述分部业务系统中设备的帐号及口令；所述执行结果发送单元U220将所述设备的帐号及口令作为执行结果发送至所述总部监控系统；所述总部监控系统的处理单元U205对所述设备的帐号及口令进行弱口令分析。

其中，所述执行结果发送单元U220，在一种可能的实施方式中，可以包括：

校验码插入子单元，用于在执行结果文件中插入文件完整校验码；

拆分压缩子单元，用于将执行结果文件进行拆分和压缩；

发送子单元，用于将拆分和压缩后的执行结果文件发送至所述总部监控系统；

所述总部监控系统的执行结果接收单元U204对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，并校验执行结果文件的完整性，当执行结果文件不完整时，向所述分部业务系统请求重新发送。

其中，所述执行结果发送单元U202也可以只包括拆分压缩子单元与发送子单元，或者只包括校验码插入子单元和发送子单元，这种情况下发送子单元将插入文件完整校验码后的执行结果文件发送至所述总部监控系统。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者逆序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅是本申请的具体实施方式，使本领域技术人员能够理解或实现本申请。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种两级架构业务系统安全检查方法，其特征在于，包括：

总部监控系统获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令，根据所述安全检查指令创建安全检查任务消息，并向所述分部业务系统发送所述安全检查任务消息；

所述分部业务系统根据所述安全检查任务消息执行对应的安全检查脚本，并将执行结果发送至所述总部监控系统；

所述总部监控系统接收所述执行结果，并分析所述执行结果。

2.如权利要求1所述的两级架构业务系统安全检查方法，其特征在于，所述分部业务系统根据所述安全检查任务消息执行对应的安全检查脚本，并将执行结果发送至所述总部监控系统，包括：

根据所述安全检查任务消息判断自身是否属于被检查的分部业务系统；

当自身属于被检查的分部业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类，并执行对应的安全检查脚本；

将执行结果发送至所述总部监控系统。

3.如权利要求2所述的两级架构业务系统安全检查方法，其特征在于，所述分部业务系统根据所述安全检查任务消息判断是否自身属于被检查的分部业务系统，包括：

获取所述安全检查任务消息中包含的分部业务系统编码；

根据所述分部业务系统编码查询分部业务系统中的映射表，得到被检查的分部业务系统的ID集；

判断自身的ID是否属于被检查的分部业务系统的ID集，如果自身的ID属于被检查的分部业务系统的ID集，则自身属于被检查的分部业务系统。

4.如权利要求2所述的两级架构业务系统安全检查方法，其特征在于，所述分部业务系统当自身属于被检查的分部业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类，并执行对应的安全检查脚本，包括：

如果需要执行的安全检查种类为弱口令检查，则执行对应的口令获取脚本，获取所述分部业务系统中设备的帐号及口令；

将所述设备的帐号及口令作为执行结果发送至所述总部监控系统，所述总部监控系统对所述设备的帐号及口令进行弱口令分析。

5.如权利要求1-4任一项所述的两级架构业务系统安全检查方法，其特征在于，所述分部业务系统将执行结果发送至所述总部监控系统，包括：在执行结果文件中插入文件完整校验码，并将执行结果文件进行拆分和压缩，将拆分和压缩后的执行结果文件发送至所述总部监控系统，所述总部监控系统对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，并校验执行结果文件的完整性，当执行结果文件不完整时，向所述分部业务系统请求重新发送。

6.一种两级架构业务系统安全检查装置，其特征在于，

在总部监控系统一侧，包括：

安全检查指令获取单元，用于获取安全检查指令，所述安全检查指令包括弱口令检查指令和/或合规检查指令；

安全检查任务创建单元，用于根据所述安全检查指令创建安全检查任务消息；

安全检查任务发送单元，用于向所述分部业务系统发送所述安全检查任务消息；

执行结果接收单元，用于接收分布业务系统发送的安全检查的执行结果；

处理单元，用于分析所述执行结果；

在分部业务系统一侧，包括：

安全检查单元，用于根据所述安全检查任务消息执行对应的安全检查脚本；

执行结果发送单元，用于将执行结果发送至所述总部监控系统。

7.如权利要求6所述的两级架构业务系统安全检查装置，其特征在于，所述安全检查单元，包括：

判断子单元，用于根据所述安全检查任务消息判断自身是否属于被检查的分部业务系统；

查询子单元，用于当自身属于被检查的分部业务系统时，根据所述安全检查任务消息查询需要执行的安全检查种类；

执行子单元，用于并执行与所述安全检查种类对应的安全检查脚本。

8.如权利要求7所述的两级架构业务系统安全检查装置，其特征在于，所述判断子单元，包括：

编码获取模块，用于获取所述安全检查任务消息中包含的分部业务系统编码；

ID查询模块，用于根据所述分部业务系统编码查询分部业务系统中的映射表，得到被检查的业务系统的ID集；

从属判断模块，用于判断自身的ID是否属于被检查的分部业务系统的ID集，如果自身的ID属于被检查的分部业务系统的ID集，则自身属于被检查的分部业务系统。

9.如权利要求7所述的两级架构业务系统安全检查装置，其特征在于，所述安全检查单元的查询子单元得到的需要执行的安全检查种类为弱口令检查，则所述执行子单元执行对应的口令获取脚本，获取所述分部业务系统中设备的帐号及口令；

所述执行结果发送单元将所述设备的帐号及口令作为执行结果发送至所述总部监控系统；

所述总部监控系统的处理单元对所述设备的帐号及口令进行弱口令分析。

10.如权利要求6-9任一项所述的两级架构业务系统安全检查装置，其特征在于，所述执行结果发送单元，包括：

校验码插入子单元，用于在执行结果文件中插入文件完整校验码；

拆分压缩子单元，用于将执行结果文件进行拆分和压缩；

发送子单元，用于将拆分和压缩后的执行结果文件发送至所述总部监控系统；

所述总部监控系统的执行结果接收单元对接收到的拆分和压缩后的执行结果文件进行解压缩及合并，并校验执行结果文件的完整性，当执行结果文件不完整时，向所述分部业务系统请求重新发送。