CN107911500B - 基于态势感知定位用户的方法、设备、装置及存储介质 - Google Patents

Abstract

本发明实施例公开了基于态势感知定位用户的方法、设备、装置及存储介质，用于实现安全事件的用户定位。本发明实施例方法包括：配置设备的认证装置及态势感知装置；通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；若验证通过，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

Description

基于态势感知定位用户的方法、设备、装置及存储介质

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种基于态势感知定位用户的方法、设备、装置及存储介质。

背景技术

目前的态势感知产品大多为在企业内网的核心汇聚地或其他重要区域的交换机上旁路部署探针等采集流量的设备，来监听全网的安全状态，或将全网流量导入云端进行威胁检测和流量清洗。

而目前的态势感知产品在发生安全事件时，因其内网主机是通过DHCP、域控或认证的方式进行上网的，而这些主机在每次上网时IP地址都可能是不同的，故在内网主机发生安全事件时，难以排查或定位到具体的主机或用户，也就无法做进一步的处理，也无法直接通过防火墙拦截IP的方式进行联动。

针对上述问题，现有技术可以通过以下两种方式进行解决：

1、获取主机的MAC地址；

2、获取主机名称；

针对获取MAC地址的方式，如果数据包经过三层交换机，则源MAC地址会改变为交换机端口的MAC地址，这时候态势感知产品采集到的并非是真正用户主机的MAC地址。同时基于这个原理，也会导致最后记录的大量用户的主机MAC地址一样(都是交换机的MAC地址)。

针对获取主机名，大部分企业的用户主机装机都是用GHOST盘等快速、批量生成的，如果没有去更改主机名，则大家都是一样的，也就无法定位是谁的主机。

故现有技术在内网主机发生安全事件时，无法有效准确的定位到具体的主机或用户信息。

发明内容

本发明实施例提供了基于态势感知定位用户的方法、设备、装置、及存储介质，用于通过将设备的认证装置与态势感知装置进行联动，从而使得态势感知装置根据认证装置中的用户信息，获取与该用户信息相关联的用户设备认证信息，并在态势感知装置检测到安全事件时，可以进一步通过用户设备认证信息定位到与该设备认证信息相关联的用户信息，进而定位到用户。

本发明第一方面提供了一种基于态势感知定位用户的方法，包括：

配置设备的认证装置及态势感知装置；

通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

若验证通过，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

优选的，用户的设备认证信息包括：

设备的IP地址、认证成功时间及认证有效期；

和/或，

设备的MAC地址、主机名及操作系统。

优选的，在根据用户的设备认证信息定位用户之后，该方法还包括：

通过态势感知装置建立用户信息表，用户信息表包括用户信息及用户的设备认证信息；

通过态势感知装置从用户角度对安全事件进行可视化展示。

优选的，通过态势感知装置从用户角度对安全事件进行可视化展示，包括：

通过态势感知装置从安全事件中提取出设备信息，设备信息包括：设备的IP地址、设备的主机名或设备的MAC地址；

通过态势感知装置读取用户信息表；

根据用户信息表，确定与设备信息相对应的用户信息，从用户角度对安全事件进行可视化展示。

优选的，建立态势感知装置与认证装置之间的通信连接，包括：

态势感知装置对认证装置进行校验；

若校验通过，则建立通信连接；

若校验不通过，则拒绝通信连接。

优选的，通过态势感知装置实时获取用户信息，包括：

当用户信息或设备的IP地址发生更新时，或设备的认证有效期截止时，通过态势感知装置实时获取用户信息。

优选的，在根据用户信息，建立用户的设备认证信息之后，并对用户信息及用户的设备认证信息进行关联存储之前，方法还包括：

对用户信息和用户的设备认证信息进行加密；

在并根据用户信息，获取用户的设备认证信息之后，方法还包括：

对用户信息和用户的设备认证信息进行解密。

本发明第二方面提供了一种基于态势感知定位用户的设备，包括：

配置单元，用于配置设备的认证装置及态势感知装置；

验证单元，用于通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

第一建立单元，用于在用户信息验证通过时，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

获取单元，用于建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

检测定位单元，用于当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

优选的，设备还包括：

第二建立单元，用于通过态势感知装置建立用户信息表，用户信息表包括用户信息及用户的设备认证信息；

展示单元，用于通过态势感知装置从用户角度对安全事件进行可视化展示。

优选的，展示单元，包括：

提取模块，用于通过态势感知装置从安全事件中提取出设备信息，设备信息包括：设备的IP地址、设备的主机名或设备的MAC地址；

读取模块，用于通过态势感知装置读取用户信息表；

展示模块，用于根据用户信息表，确定与设备信息相对应的用户信息，从用户角度对安全事件进行可视化展示。

优选的，获取单元，包括：

第一获取模块，用于当态势感知装置与认证装置通信连接时，且在用户信息或设备的IP地址发生更新时，或设备的认证有效期截止时，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息。

优选的，第一建立单元，包括：

建立模块，用于在用户信息验证通过时，根据用户信息，建立用户的设备认证信息；

加密模块，用于对用户信息和用户的设备认证信息进行加密；

关联存储模块，用于对用户信息及用户的设备认证信息进行关联存储；

获取单元，还包括：

解密模块，用于对用户信息和用户的设备认证信息进行解密。

本发明还提供了一种计算机装置，包括处理器，该处理器处理存储于存储器上的计算机程序时，用于实现如下步骤：

配置设备的认证装置及态势感知装置；

通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

若验证通过，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

本发明还提供了一种可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时，用于实现如下的步骤：

配置设备的认证装置及态势感知装置；

通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

若验证通过，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明中，首先通过设备中的认证装置对用户的信息进行认证，并在认证通过时，建立与该用户信息对应的用户设备认证信息，并对该用户信息及该用户设备认证信息进行关联存储；其次，建立设备中态势感知装置与认证装置之间的通信连接，通过态势感知装置实时从认证装置中获取用户信息，并根据该用户信息，进一步获取用户设备信息，并在态势感知装置监测到安全事件时，可以通过定位用户设备认证信息，进而定位到用户。因为用户信息与用户设备认证信息一一对应，故态势感知装置在监测到发生安全事件的设备信息时，即可通过查找用户设备认证信息，进而定位到发生安全事件的用户，实现了对安全事件用户的准确查找及定位。

附图说明

图1为本发明实施例中一种基于态势感知定位用户的方法的一个实施例示意图；

图2为本发明实施例中一种基于态势感知定位用户的方法的另一个实施例示意图；

图3为本发明实施例中一种基于态势感知定位用户的设备的一个实施例示意图；

图4为本发明实施例中一种基于态势感知定位用户的设备的另一个实施例示意图。

具体实施方式

本发明实施例提供了一种基于态势感知定位用户的方法，用于通过将设备的认证装置与态势感知装置进行联动，从而使得态势感知装置根据认证装置中的用户信息，获取与该用户信息相关联的设备认证信息，并在态势感知装置检测到安全事件时，可以进一步通过用户设备认证信息定位到与该设备认证信息相关联的用户信息，进而定位到用户。

为方便描述，先对文中的专业词汇解释如下：

态势感知：态势感知是一种基于环境的、动态、整体地洞悉安全风险的能力，是以安全大数据为基础，从全局视角提升对安全威胁的发现识别、理解分析、响应处置能力的一种方式，最终是为了决策与行动，是安全能力的落地。现指带感知能力的安全防护设备。

AC(上网行为管理)：是指帮助互联网用户控制和管理对互联网的使用的设备。其包括用户认证、对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析等。一般放在出口，对需要上网的内网用户做认证和访问行为管控。

MAC地址：MAC(Media Access Control或者Medium Access Control)地址，意译为媒体访问控制，或称为物理地址、硬件地址，用来定义网络设备的位置。在OSI模型中，第三层网络层负责IP地址，第二层数据链路层则负责MAC地址。因此一个主机会有一个MAC地址，而每个网络位置会有一个专属于它的IP地址

主机名：主机名就是计算机的名字(计算机名)，网上邻居就是根据主机名来识别的，这个名字可以随时更改，从我的电脑属性的计算机名就可更改。

基于目前现有技术中通过MAC地址和/或主机名，无法准确定位到安全事件中具体用户的问题，本发明提供了基于态势感知定位用户的方法、设备、装置、及存储介质。

为便于理解，下面来描述本发明实施例中一种基于态势感知定位用户的方法，请参阅图1，本发明实施例中一种基于态势感知定位用户的方法的一个实施例，包括：

101、配置设备的认证装置及态势感知装置；

在网络通信中，为了确保网络安全，通常存在AC上网行为管理、准入控制等上网认证装置，当主机需要访问或上网时，需要先与AC上网行为管理或准入控制产品进行用户账号认证，认证成功后才能访问，且访问信息等会带上合格的账号信息以便实时验证和监控。

但认证装置没有安全检测能力，故无法检测到潜在的威胁，而态势感知产品作为全网的安全检测产品，是一种开放式的大数据集中分析平台，其数据来源除了自身的探针采集器，还可以与其他各类产品实现对接，相互联动。

因此，可以通过给设备(其中设备可以为一个或多个PC端、也可以为一个或多个服务器)同时配置认证装置与态势感知装置，并通过态势感知装置与认证装置的联动，将认证装置作为态势感知的采集数据的探针采集器，实时提供认证信息，供态势感知产品结合到发现的安全事件中，定位真实的用户。同时，认证装置所发现的异常用户行为、异常流量、具体应用使用信息亦可作为态势感知产品的分析数据，结合分析定位异常用户。

需要说明的是，本实施例中的认证装置为实现对用户身份进行识别、认证的装置，包括但不限于AC上网行为管理、准入控制产品，也可以为AD域控类产品，但要求域控产品能对具体主机设定唯一的信息(如工号、姓名等)，即通过读取域控信息等能定位到真实用户。

102、通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应，若验证通过，执行步骤103；

设备配置了认证装置及态势感知装置以后，设备通过认证装置对需要接入网络的用户进行严格的身份认证，以对该用户的网络行为进行监控。

可以理解的是，为了保证该网络行为与用户身份的一一对应，则必须保证用户信息与用户的一一对应。即若一个用户信息同时被多个用户使用时，则与该用户信息向对应的网络行为，就可能与多个用户对应。

所以，则本步骤中通过认证装置接收并验证的用户信息，必须与用户之间的一一对应。具体的，本实施例中的用户信息可以为用户的身份证信息、用户的工号、用户的楼层等可以实现与该用户一一对应的信息。

103、根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

设备通过认证装置对用户的身份验证通过后，可以根据该用户信息，建立与该用户信息相对应的设备认证信息，并对该用户信息及该用户的设备认证信息进行关联存储。

具体的，用户的设备认证信息可以包括：用户设备登陆网络时的IP地址，认证装置记录的该用户设备认证成功的时间，认证过期时间，或者是认证装置赋予设备的认证有效期，进一步，为了更详细的记录设备信息，用户的设备认证信息还可以包括设备的MAC地址、设备的主机名称或设备的操作系统等。为了将该用户信息与用户的设备认证信息对应起来，可以将用户信息与用户的设备认证信息进行关联存储至服务器。

104、态势感知装置与认证装置通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

设备将用户信息及用户的设备认证信息进行关联存储后，为了防止安全事件发生，可以通过设备配置的态势感知装置对用户的网络行为进行监控，并且建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并且根据用户信息，从服务器获取到与该用户信息相关联的用户设备认证信息。

这样，当态势感知监测到安全事件时，即可通过用户设备认证信息中的IP地址，对应到与该IP地址相关联的用户信息，进而定位到用户。

105、当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

可以理解的是，在态势感知装置对用户的网络行为进行监控时，若发生安全事件，可以首先确定该安全事件发生设备的IP地址，并读取用户的设备认证信息，从用户的设备认证信息中查找并确认该IP地址，并进一步通过该IP地址，确认与该IP地址关联的用户信息，从而定位该用户。

本发明中，首先通过设备中的认证装置对用户的信息进行认证，并在认证通过时，建立与该用户信息对应的用户设备认证信息，并对该用户信息及该用户设备认证信息进行关联存储；其次，建立设备中态势感知装置与认证装置之间的通信连接，通过态势感知装置实时从认证装置中获取用户信息，并根据该用户信息，进一步获取用户设备信息，并在态势感知装置监测到安全事件时，可以通过定位用户设备认证信息，进而定位到用户。因为用户信息与用户设备认证信息一一对应，故态势感知装置在定位到发生安全事件的设备信息时，即可通过查找用户设备认证信息，进而定位到发生安全事件的用户，实现了对安全事件用户的准确查找及定位。

基于图1所述的实施例，下面详细描述本发明实施例中基于态势感知定位用户的方法，请参阅图2，本发明实施例中基于态势感知定位用户的方法的另一个实施例，包括：

201、配置设备的认证装置及态势感知装置；

202、通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应，若验证通过，执行步骤203；

需要说明的是，本实施例中的步骤201至202与图1所述实施例中的步骤101至102类似，此处不再赘述。

203、根据用户信息，建立用户的设备认证信息，对用户信息和用户的设备认证信息进行加密，并对用户信息及用户的设备认证信息进行关联存储；

设备通过认证装置对用户的身份验证通过后，可以根据该用户信息，建立与该用户信息相对应的设备认证信息，对用户信息和用户的设备认证信息进行加密，并对该用户信息及该用户的设备认证信息进行关联存储。

具体的，用户的设备认证信息可以包括：用户设备登陆网络时的IP地址，认证装置记录的该用户设备认证成功的时间，认证过期时间，或者是认证装置赋予设备的认证有效期，进一步，为了更详细的记录设备信息，用户的设备认证信息还可以包括设备的MAC地址、设备的主机名称或设备的操作系统等。为了将该用户信息与用户的设备认证信息对应起来，可以将用户信息与用户的设备认证信息进行关联存储至服务器。

而为了保证存储在服务器中的用户信息及用户的设备认证信息不被篡改，设备可以进一步提高安全级别，即认证装置可以在将用户信息及用户的设备认证信息关联存储之前，对用户信息及用户的设备认证信息进行加密，具体的加密算法可以是对称加密，非对称加密，也可以是加密算法如CRC校验算法、MD5校验算法或哈希校验算法，此处对加密的方式不做具体限制。

204、态势感知装置对认证装置进行校验，若校验通过，则建立通信连接，并执行步骤205，若校验不通过，则拒绝建立通信连接；

设备中的认证装置在用户信息认证通过时，允许该用户设备登陆网络，同时通过态势感知装置对用户的网络行为进行监测，并建立态势感知装置与认证装置之间的通信连接，但为了安全起见，态势感知装置需要对与其建立连接的装置进行权限验证，以验证设备类型、是否是授权设备(如指定KEY)，避免伪造数据来源混淆态势感知的检测结果，也能根据接入设备类型选择对应的分析模型和数据对接方式。

因此，认证装置在与态势感知建立连接前，态势感知装置可以对认证装置进行校验，用于告知态势感知产品，当前接入的类型为认证装置、且具备要求的授权KEY、满足与当前态势感知通信的标准等。

若认证装置的校验通过，则态势感知装置建立与认证装置之间的通信通道，并进行通信，若校验不通过，则态势感知装置拒绝建立通信连接，还可以进一步对该次通信连接失败的行为进行报警，或警示处置。

具体的，根据安全级别的需求，态势感知装置与认证装置之间建立的通信通道可以为加密通信通道，同时态势感知装置与认证装置之间可以相互进行安全验证，且不限定相互之间通信连接的发送方与接收方，即可以是态势感知装置向认证装置发送连接请求，并同时进行相互验证，也可以是认证装置向态势感知装置发送连接请求，并同时相互验证。此处对通信连接的建立方式及安全验证方式，不做具体限制。

需要说明的是，步骤204是为了提高安全级别而设置的实施步骤，但实际应用中，也可以根据安全级别，跳过步骤204，直接执行步骤205。

205、态势感知装置与认证装置通信连接，且当用户信息或设备的IP地址发生更新时，或设备的认证有效期截止时，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息，对用户信息和用户的设备认证信息进行解密；

当设备中的态势感知装置与认证装置建立通信连接后，为了保证态势感知装置监测到的设备信息与用户信息之间一一对应，态势感知装置需要实时获取最新的用户信息，及与该用户信息对应的用户设备认证信息，所以在用户信息更新、设备的IP地址更新或者设备的认证有效期截止时，态势感知装置需要重新获取新的用户信息，并根据新的用户信息，获取新的用户设备认证信息。

如：假设认证装置规定的认证有效期为1个小时，当用户在设备上登陆网络超过1小时时，认证装置会对该用户强制下线，并让该用户重新进行认证；或者用户在1个小时内自动下线了，当有新的用户重新登陆时，则认证装置会对该新用户的用户信息进行重新认证；或者在用户上网的过程中，该设备因断电等异常情况重启后，该设备的IP地址发生更新时，态势感知装置需要从认证装置重新获取用户信息，及与该用户信息相对应的用户设备认证信息(如该设备新的IP地址等)，即态势感知装置需要保证监测到的安全事件的设备信息(设备IP地址)与登陆该IP地址的用户信息之间的一一对应。

而对应于步骤203中的加密操作，态势感知装置在获取到加密的用户信息及用户的设备认证信息后，需要对其进行解密，对应于203步骤中的加密方式，态势感知装置可以通过对称解密、非对称解密或CRC验证算法、MD5验证算法或哈希验证算法对加密内容进行解密验证，以保证获取到的用户信息及用户的设备认证信息没有被恶意篡改。

206、当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户；

可以理解的是，在态势感知装置对用户的网络行为进行监控时，若发生安全事件，可以首先确定该安全事件发生设备的IP地址，并读取用户的设备认证信息，从用户的设备认证信息中查找并确认该IP地址，并进一步通过该IP地址，确认与该IP地址关联的用户信息，从而定位该用户。

207、通过态势感知装置建立用户信息表，所述用户信息表包括所述用户信息及所述用户的设备认证信息；

而为了更方便快捷的显示安全事件与用户之间的对应关系，态势感知装置可以建立用户信息表，该用户信息表包括用户信息及用户的设备认证信息(设备的IP地址、设备的MAC地址、设备的主机名及设备的操作系统)，从而方便态势感知装置从用户信息表中将用户信息与设备的IP地址对应起来，从而在态势感知监测到安全事件时，能快速的从用户信息中查找发生安全事件的IP地址及与该IP地址对应的用户信息。

208、通过态势感知装置从用户角度对安全事件进行可视化展示；

在态势感知装置建立用户信息表后，若态势感知监测到网络中发生的安全事件，即可以通过该用户信息表快速定位到发生安全事件的用户信息，并从用户角度对安全事件进行可视化展示，从而跳过设备信息，更直观的显示发生安全事件的用户。

具体的，步骤208可以通过以下几个步骤来实现：

步骤一：通过态势感知装置从安全事件中提取出设备信息，设备信息包括：设备的IP地址、设备的主机名和/或设备的MAC地址；

当态势感知装置监测到安全事件时，可以从安全事件中提取出具体的设备信息，如发生异常网络数据的设备IP地址，设备的主机名和/或设备的MAC地址。

步骤二：通过态势感知装置读取用户信息表；

当态势感知装置提取出发生安全事件的设备信息后，可以读取用户信息表，并在用户信息表中查找该设备信息，并进一步通过用户信息表确认与设备信息相对应的用户信息。

如：态势感知装置提取出发生安全事件的设备IP地址后，可以读取用户信息表，并从用户信息表中查找该设备IP地址，并进一步通过用户信息表确认与该设备IP对应的用户信息。

步骤三：根据用户信息表，确定与设备信息相对应的用户信息，从用户角度对所述安全事件进行可视化展示。

态势感知装置在提取出发生安全事件的设备信息，并读取用户信息表后，即可从用户信息表中查找发生安全事件的IP地址，并进一步通过用户信息表中用户信息与设备IP地址之间的对应关系，确定发生安全事件的用户信息，同时用户设备信息中的设备主机名或设备的MAC地址也可以进一步提供安全事件发生的证据信息，进而在可视化展示安全事件时，可以从用户的角度对安全事件进行直观展示。

本发明中，首先通过设备中的认证装置对用户的信息进行认证，并在认证通过时，建立与该用户信息对应的用户设备认证信息，并对该用户信息及该用户设备认证信息进行关联存储；其次，建立设备中态势感知装置与认证装置之间的通信连接，通过态势感知装置实时从认证装置中获取用户信息，并根据该用户信息，进一步获取用户设备信息，并在态势感知装置监测到安全事件时，可以通过定位用户设备认证信息，进而定位到用户。因为用户信息与用户设备认证信息一一对应，故态势感知装置在定位到发生安全事件的设备信息时，即可通过查找用户设备认证信息，进而定位到发生安全事件的用户，实现了对安全事件用户的准确查找及定位。

再次，设备中的态势感知装置定位到安全事件时，可以直观的从用户角度对安全事件进行直观的展示，提高了定位安全事件的快捷度，提高了用户的使用体验。

上面描述了本发明实施例中基于态势感知定位用户的方法，下面来描述本发明实施例中基于态势感知定位用户的设备，请参阅图3，本发明实施例中基于态势感知定位用户的设备，包括：

配置单元301，用于配置设备的认证装置及态势感知装置；

验证单元302，用于通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

第一建立单元303，用于在用户信息验证通过时，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

获取单元304，用于建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

检测定位单元305，用于当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

需要说明的是，本实施例中各单元的作用与图1所述实施例中设备的作用相同，此处不再赘述。

本发明中，首先通过验证单元302对用户的信息进行认证，并在认证通过时，通过第一建立单元303，建立与该用户信息对应的用户设备认证信息，并对该用户信息及该用户设备认证信息进行关联存储；其次，通过获取单元304，建立设备中态势感知装置与认证装置之间的通信连接，通过态势感知装置实时从认证装置中获取用户信息，并根据该用户信息，进一步获取用户设备信息，并在态势感知装置监测到安全事件时，可以通过定位用户设备认证信息，进而定位到用户。因为用户信息与用户设备认证信息一一对应，故态势感知装置在定位到发生安全事件的设备信息时，即可通过查找用户设备认证信息，进而定位到发生安全事件的用户，实现了对安全事件用户的准确查找及定位。

基于图3所述的实施例，下面详细描述本发明实施例中的基于态势感知定位用户的设备，请参阅图4，本发明实施例中基于态势感知定位用户的设备的另一个实施例，包括：

配置单元401，用于配置设备的认证装置及态势感知装置；

验证单元402，用于通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

第一建立单元403，用于在用户信息验证通过时，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

获取单元404，用于建立态势感知装置与认证装置之间的通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

检测定位单元405，用于当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

优选的，基于态势感知定位用户的设备，还可以包括：

第二建立单元406，用于通过态势感知装置建立用户信息表，用户信息表包括用户信息及用户的设备认证信息；

展示单元407，用于通过态势感知装置从用户角度对安全事件进行可视化展示。

优选的，展示单元407，包括：

提取模块4071，用于通过态势感知装置从所述安全事件中提取出设备信息，所述设备信息包括：设备的IP地址、设备的主机名或设备的MAC地址；

读取模块4072，用于通过态势感知装置读取所述用户信息表；

展示模块4073，用于根据所述用户信息表，确定与所述设备信息相对应的用户信息，从用户角度对所述安全事件进行可视化展示。

优选的，获取单元404，包括：

第一获取模块4041，用于当所述态势感知装置与所述认证装置通信连接时，且在所述用户信息或所述设备的IP地址发生更新时，或所述设备的认证有效期截止时，通过所述态势感知装置实时获取所述用户信息，并根据所述用户信息，获取所述用户的设备认证信息。

优选的，第一建立单元403，包括：

建立模块4031，用于在所述用户信息验证通过时，根据所述用户信息，建立所述用户的设备认证信息；

加密模块4032，用于对所述用户信息和所述用户的设备认证信息进行加密；

关联存储模块4033，用于对所述用户信息及所述用户的设备认证信息进行关联存储；

获取单元404，还包括：

解密模块4042，用于对所述用户信息和所述用户的设备认证信息进行解密。

需要说明的是，本实施例中各单元及各模块的作用与图2所述实施例中设备的作用类似，此处不再赘述。

本发明中，首先通过验证单元402对用户的信息进行认证，并在认证通过时，通过第一建立单元403，建立与该用户信息对应的用户设备认证信息，并对该用户信息及该用户设备认证信息进行关联存储；其次，通过获取单元404，建立设备中态势感知装置与认证装置之间的通信连接，通过态势感知装置实时从认证装置中获取用户信息，并根据该用户信息，进一步获取用户设备信息，并在态势感知装置监测到安全事件时，可以通过定位用户设备认证信息，进而定位到用户。因为用户信息与用户设备认证信息一一对应，故态势感知装置在定位到发生安全事件的设备信息时，即可通过查找用户设备认证信息，进而定位到发生安全事件的用户，实现了对安全事件用户的准确查找及定位。

再次，设备在检测到安全事件时，对安全事件从用户的角度进行展示，提高了展示安全事件的直观度。

上面从模块化功能实体的角度对本发明实施例中的基于态势感知定位用户的设备进行了描述，下面从硬件处理的角度对本发明实施例中的计算机装置进行描述：

该计算机装置用于实现基于态势感知定位用户的设备的功能，本发明实施例中计算机装置一个实施例包括：

处理器以及存储器；

存储器用于存储计算机程序，处理器用于执行存储器中存储的计算机程序时，可以实现如下步骤：

配置设备的认证装置及态势感知装置；

通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

若验证通过，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

态势感知装置与认证装置通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

在本发明的一些实施例中，处理器，还可以用于实现如下步骤：

通过态势感知装置建立用户信息表，用户信息表包括用户信息及用户的设备认证信息；

通过态势感知装置从用户角度对安全事件进行可视化展示。

在本发明的一些实施例中，处理器，还可以用于实现如下步骤：

通过态势感知装置从安全事件中提取出设备信息，设备信息包括：设备的IP地址、设备的主机名或设备的MAC地址；

通过态势感知装置读取用户信息表；

根据用户信息表，确定与设备信息相对应的用户信息，从用户角度对安全事件进行可视化展示。

在本发明的一些实施例中，处理器，还可以用于实现如下步骤：

当用户信息或设备的IP地址发生更新时，或设备的认证有效期截止时，通过态势感知装置实时获取用户信息。

在本发明的一些实施例中，处理器，还可以用于实现如下步骤：

对用户信息和用户的设备认证信息进行加密；

对用户信息和用户的设备认证信息进行解密。

可以理解的是，上述说明的计算机装置中的处理器执行所述计算机程序时，也可以实现上述对应的各装置实施例中各单元的功能，此处不再赘述。示例性的，所述计算机程序可以被分割成一个或多个模块/单元，所述一个或者多个模块/单元被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述基于态势感知定位用户的设备的执行过程。例如，所述计算机程序可以被分割成上述基于态势感知定位用户的设备中的各单元，各单元可以实现如上述相应基于态势感知定位用户的设备说明的具体功能。

所述计算机装置可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述计算机装置可包括但不仅限于处理器、存储器。本领域技术人员可以理解，处理器、存储器仅仅是计算机装置的示例，并不构成对计算机装置的限定，可以包括更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述计算机装置还可以包括输入输出设备、网络接入设备、总线等。

所述处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述计算机装置的控制中心，利用各种接口和线路连接整个计算机装置的各个部分。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述计算机装置的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序等；存储数据区可存储根据终端的使用所创建的数据等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(SecureDigital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

本发明还提供了一种计算机可读存储介质，该计算机可读存储介质用于实现基于态势感知定位用户的设备的功能，其上存储有计算机程序，计算机程序被处理器执行时，处理器，可以用于执行如下步骤：

配置设备的认证装置及态势感知装置；

通过认证装置接收并验证用户输入的用户信息，用户信息与用户一一对应；

若验证通过，根据用户信息，建立用户的设备认证信息，并对用户信息及用户的设备认证信息进行关联存储；

态势感知装置与认证装置通信连接，通过态势感知装置实时获取用户信息，并根据用户信息，获取用户的设备认证信息；

当态势感知装置检测到安全事件时，根据用户的设备认证信息定位用户。

在本发明的一些实施例中，计算机可读存储介质存储的计算机程序被处理器执行时，处理器，还可以用于执行如下步骤：

通过态势感知装置建立用户信息表，用户信息表包括用户信息及用户的设备认证信息；

通过态势感知装置从用户角度对安全事件进行可视化展示。

在本发明的一些实施例中，计算机可读存储介质存储的计算机程序被处理器执行时，处理器，还可以具体用于执行如下步骤：

通过态势感知装置从安全事件中提取出设备信息，设备信息包括：设备的IP地址、设备的主机名或设备的MAC地址；

通过态势感知装置读取用户信息表；

根据用户信息表，确定与设备信息相对应的用户信息，从用户角度对安全事件进行可视化展示。

在本发明的一些实施例中，计算机可读存储介质存储的计算机程序被处理器执行时，处理器，还可以用于执行如下步骤：

当用户信息或设备的IP地址发生更新时，或设备的认证有效期截止时，通过态势感知装置实时获取用户信息。

在本发明的一些实施例中，计算机可读存储介质存储的计算机程序被处理器执行时，处理器，还可以用于执行如下步骤：

对用户信息和用户的设备认证信息进行加密；

对用户信息和用户的设备认证信息进行解密。

可以理解的是，所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在相应的一个计算机可读取存储介质中。基于这样的理解，本发明实现上述相应的实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种基于态势感知定位用户的方法，其特征在于，包括：

配置设备的认证装置及态势感知装置，所述认证装置包括AC上网行为管理、准入控制产品、AD域控类产品；

通过所述认证装置接收并验证用户输入的用户信息，所述用户信息与所述用户一一对应；

若验证通过，根据所述用户信息，建立所述用户的设备认证信息，并对所述用户信息及所述用户的设备认证信息进行关联存储；

所述态势感知装置与所述认证装置之间通信连接，通过所述态势感知装置实时获取所述用户信息，并根据所述用户信息，获取所述用户的设备认证信息；

当所述态势感知装置检测到安全事件时，根据所述用户的设备认证信息定位所述用户；

通过态势感知装置建立用户信息表，所述用户信息表包括所述用户信息及所述用户的设备认证信息；

通过态势感知装置从所述安全事件中提取出设备信息，所述设备信息包括设备的IP地址、设备的主机名或设备的MAC地址；

通过态势感知装置读取所述用户信息表；

根据所述用户信息表，确定与所述设备信息相对应的用户信息，从用户角度对所述安全事件进行可视化展示。

2.根据权利要求1所述的方法，其特征在于，所述用户的设备认证信息包括：

所述设备的IP地址、认证成功时间及认证有效期；

和/或，

所述设备的MAC地址、主机名及操作系统。

3.根据权利要求2所述的方法，其特征在于，所述通过所述态势感知装置实时获取所述用户信息，包括：

当所述用户信息或所述设备的IP地址发生更新时，或所述设备的认证有效期截止时，通过所述态势感知装置实时获取所述用户信息。

4.根据权利要求1至3中任一项所述的方法，其特征在于，在所述根据所述用户信息，建立所述用户的设备认证信息之后，所述并对所述用户信息及所述用户的设备认证信息进行关联存储之前，所述方法还包括：

对所述用户信息和所述用户的设备认证信息进行加密；

在所述并根据所述用户信息，获取所述用户的设备认证信息之后，所述方法还包括：

对所述用户信息和所述用户的设备认证信息进行解密。

5.一种基于态势感知定位用户的设备，其特征在于，包括：

配置单元，用于配置设备的认证装置及态势感知装置，所述认证装置包括AC上网行为管理、准入控制产品、AD域控类产品；

验证单元，用于通过所述认证装置接收并验证用户输入的用户信息，所述用户信息与所述用户一一对应；

第一建立单元，用于在所述用户信息验证通过时，根据所述用户信息，建立所述用户的设备认证信息，并对所述用户信息及所述用户的设备认证信息进行关联存储；

获取单元，用于当所述态势感知装置与所述认证装置之间通信连接时，通过所述态势感知装置实时获取所述用户信息，并根据所述用户信息，获取所述用户的设备认证信息；

检测定位单元，用于当所述态势感知装置检测到安全事件时，根据所述用户的设备认证信息定位所述用户；

所述设备还包括：

第二建立单元，用于通过态势感知装置建立用户信息表，所述用户信息表包括所述用户信息及所述用户的设备认证信息；

展示单元，用于通过态势感知装置从用户角度对所述安全事件进行可视化展示；

所述展示单元，包括：提取模块，用于通过态势感知装置从所述安全事件中提取出设备信息，所述设备信息包括设备的IP地址、设备的主机名或设备的MAC地址；

读取模块，用于通过态势感知装置读取所述用户信息表；

展示模块，用于根据所述用户信息表，确定与所述设备信息相对应的用户信息，从用户角度对所述安全事件进行可视化展示。

6.根据权利要求5所述的设备，其特征在于，所述用户的设备认证信息包括：

所述设备的IP地址、认证成功时间及认证有效期；

和/或，

所述设备的MAC地址、主机名及操作系统。

7.根据权利要求5所述的设备，其特征在于，所述获取单元，包括：

第一获取模块，用于当所述态势感知装置与所述认证装置之间通信连接时，且在所述用户信息或所述设备的IP地址发生更新时，或所述设备的认证有效期截止时，通过所述态势感知装置实时获取所述用户信息，并根据所述用户信息，获取所述用户的设备认证信息。

8.根据权利要求5至7中任一项所述的设备，其特征在于，所述第一建立单元，包括：

建立模块，用于在所述用户信息验证通过时，根据所述用户信息，建立所述用户的设备认证信息；

加密模块，用于对所述用户信息和所述用户的设备认证信息进行加密；

关联存储模块，用于对所述用户信息及所述用户的设备认证信息进行关联存储；

所述获取单元，还包括：

解密模块，用于对所述用户信息和所述用户的设备认证信息进行解密。

9.一种计算机装置，包括处理器，其特征在于，所述处理器处理存储于存储器上的计算机程序时，用于实现如权利要求1至4中任一项所述基于态势感知定位用户的方法。

10.一种可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，用于实现如权利要求1至4中任一项所述基于态势感知定位用户的方法。

Images