CN108011925A - 一种业务审计系统及方法 - Google Patents

Abstract

本发明实施例提供一种业务审计系统及方法，用于解决在业务审计过程中对业务操作的审计的错误率较高的技术问题。该系统中的数据分析器包括：业务配置模块，用于配置系统中至少一个业务的业务配置信息；业务规则模块，与业务配置模块连接，用于根据业务配置信息生成业务树，业务树用于表征至少一个业务中每个业务对应的业务操作的操作流程；数据匹配模块，用于获取用户针对至少一个业务进行当前业务操作对应的日志信息，并将日志信息与业务配置信息进行特征匹配；其中，当定日志信息与业务配置信息匹配成功时，确定当前业务操作对应的当前操作标识在业务树中所处的节点位置，并根据节点位置确定当前业务操作是否符合操作流程。

Description

一种业务审计系统及方法

技术领域

本发明涉及网络安全领域，特别涉及一种业务审计系统及方法。

背景技术

审计是一种监督机制和活动，原指财务审计，是对财政、财务收支及经济管理等内容和活动的审查和监督。随着科学技术的不断发展，信息量呈爆炸式增长，信息安全也面临日益严峻的挑战。因此，审计已不再是狭义的财务审计了，而有了更为广阔的含义，涉及到业务活动的方方面面。

目前，各企业对IT系统的依赖程度较高，IT系统中各类业务系统也变得日益复杂，为了对业务系统的信息安全进行治理，业务审计系统应运而生。

现有的业务审计系统中，通常是将业务数据进行格式化，形成规则节点，进而产生规则簇，流程，指标等数据。其中，规则节点用于描述数据信息的特征，规则簇是数据特征信息的集合，表示一个业务操作所包含的一个或多个按一定的顺序组合的规则节点；流程是指审计的流程，由多个规则簇按照一定顺序组成；指标是由多个流程组成，用于定义待审计内容是否符合标准的判定方法，以进行流程及其数据的审计分析，从而达到比对、预警等目的。

但在将已与规则节点匹配的规格化数据匹配至对应的规则簇时，由于一个规则节点可能属于多个规则簇，若是匹配上属于多个规则簇的规则节点时，就不能明确需要将哪个规则簇加入缓存，若加入错误的规则簇则可能会产生告警误报。

因此，现有技术中在业务审计过程中对业务操作的审计的错误率较高。

发明内容

本发明实施例提供一种业务审计的系统及方法，用于解决在业务审计过程中对业务操作的审计的错误率较高的技术问题。

第一方面，本发明实施例提供一种业务审计的系统，包括以下步骤：

业务配置模块，用于配置系统中至少一个业务的业务配置信息，所述业务配置信息用于指示所述至少一个业务中每个业务所对应的业务操作的操作特征及各业务操作的操作标识，所述操作标识用于指示同一业务下的业务操作之间的操作次序；

业务规则模块，与所述业务配置模块连接，用于根据所述业务配置信息生成业务树，所述业务树用于表征所述至少一个业务中每个业务对应的业务操作的操作流程，且所述业务树的每个节点对应于一个操作标识；

数据匹配模块，用于获取用户针对至少一个业务进行当前业务操作对应的日志信息，并将所述日志信息与所述业务配置信息进行特征匹配，所述日志信息用于指示所述当前业务操作的至少一个操作特征；

其中，当所述数据匹配模块确定所述日志信息与所述业务配置信息匹配成功时，确定所述业务配置信息所指示的操作指标中与所述当前业务操作对应的当前操作标识，并将所述当前操作标识发送到所述业务规则模块，所述业务规则模块根据所述当前操作标识在所述业务树中所处的节点位置，并根据所述节点位置确定所述当前业务操作是否符合操作流程。

可选的，所述数据分析器还包括：

用户信息模块，与所述数据匹配模块相连，用于根据所述日志信息确定所述当前业务操作对应的用户标识，并根据所述用户标识确定所述用户的用户信息，所述用户信息指示了所述用户的上次业务操作对应的历史操作标识；

所述业务规则模块，还用于确定所述业务树中，所述当前操作标识对应的第一节点与所述历史操作标识对应的第二节点是否为对应于同一业务的相同或相邻的节点，并在确定是时，确定所述当前业务操作符合操作流程，否则，确定所述当前业务操作不符合操作流程。

可选的，所述业务配置模块，还用于配置与所述至少一个业务的告警规则信息，所述告警规则信息用于指示针对所述至少一个业务中每个业务的业务告警规则，和/或，所述每个业务对应的业务操作的操作告警规则；

所述业务规则模块，还用于加载所述告警规则信息，并确定所述当前业务操作是否符合相应的操作告警规则，和/或确定所述当前业务操作对应的业务是否符合相应的业务告警规则；其中，若确定所述当前业务操作符合相应的所述操作告警规则，和/或，所述业务符合相应的所述业务告警规则，则进行告警。

可选的，所述业务规则模块还用于：

在确定所述第一节点和所述第二节点为所述业务树中对应于同一业务的相同或相邻的节点时，若确定所述第一节点为终止节点，则生成业务日志信息，所述业务日志信息用于指示一个业务对应的所有业务操作执行完成。

第二方面，本发明实施例提供一种业务审计系统，包括：

数据采集过滤器，用于采集用户针对系统进行所述用户业务操作时的原始业务数据，对所述原始业务数据进行过滤处理，获得所述原始业务数据中具有预设协议类型的业务数据，并对所述业务数据进行归一化处理，生成待审计的日志信息；

第一方面中的数据分析器，与所述数据采集过滤器相连；

其中，在所述数据分析器根据所述日志信息确定所述当前业务操作不符合操作流程时，所述业务审计系统输出待审计内容不符合标准的审计结果。

第三方面，本发明实施例提供一种数据分析方法，包括：

获取用户针对至少一个业务进行当前业务操作对应的日志信息，所述日志信息用于指示所述当前业务操作的至少一个操作特征；

将所述日志信息与系统配置的业务配置信息进行特征匹配，所述业务配置信息用于指示所述至少一个业务中每个业务所对应的业务操作的操作特征及所述业务操作的操作标识，所述操作标识用于指示同一业务下的业务操作之间的操作次序；

在确定所述日志信息与所述业务配置信息匹配成功时，根据所述业务配置信息确定所述当前业务操作对应的当前操作标识，及所述当前操作标识在业务树中所处的节点位置，并根据所述节点位置确定所述当前业务操作是否符合操作流程；其中，所述业务树为根据所述业务配置信息生成的，用于表征所述至少一个业务中每个业务对应的业务操作的操作流程，且所述业务树的每个节点对应于一个操作标识。

可选的，在确定所述日志信息与所述业务配置信息匹配成功之后，所述方法还包括：

根据所述日志信息确定所述当前业务操作对应的用户标识，并获取所述用户标识所指示的所述用户的用户信息，所述用户信息包括所述用户的上次业务操作对应的历史操作标识；

所述根据所述节点位置确定所述当前业务操作是否符合操作流程，包括：

根据所述用户信息，确定所述业务树中，所述当前操作标识对应的第一节点与所述历史操作标识的第二节点是否为对应于同一业务的相同或相邻的节点；

其中，若确定所述第一节点和所述第二节点为所述业务树中对应于同一业务的相同或相邻的节点时，则确定所述当前业务操作符合操作流程；否则，确定所述当前业务操作不符合操作流程。

可选的，在根据所述用户信息，确定所述业务树中，所述当前操作标识对应的第一节点与所述上次操作标识的第二节点是否为对应于同一业务的相同或相邻的节点之后，所述方法还包括：

若确定所述第一节点和所述第二节点为所述业务树中对应于同一业务的相同或相邻的节点，判断所述第一节点是否为终止节点；

若确定所述第一节点为终止节点，生成业务日志信息，所述业务日志信息用于指示一个业务对应的所有业务操作执行完成。

可选的，所述业务配置信息包括告警规则信息，所述告警规则信息用于指示针对所述至少一个业务中每个业务的业务告警规则，和/或，所述每个业务对应的业务操作的操作告警规则，则在将所述日志信息与系统配置的业务配置信息进行特征匹配的同时或之后，所述方法还包括：

加载所述告警规则信息，确定所述当前业务操作是否符合相应的操作告警规则，和/或所述当前业务操作对应的业务是否符合相应的业务告警规则；

若确定所述当前业务操作符合相应的所述操作告警规则，和/或，所述业务符合相应的所述业务告警规则，则进行告警。

第四方面，本发明实施例提供一种业务审计方法，包括：

采集用户针对系统进行所述用户业务操作时的原始业务数据，对所述原始业务数据进行过滤处理，获得所述原始业务数据中具有预设协议类型的业务数据；

对所述业务数据进行归一化处理，生成待审计的日志信息，所述日志信息用于指示所述当前业务操作的至少一个操作特征；

根据所述待审计的日志信息确定所述当前业务操作是否符合操作流程；其中，所述操作流程用于表征系统中至少一个业务中每个业务对应的业务操作的操作次序；

在确定所述当前业务操作不符合所述操作流程时，确定并输出所述待审计的日志信息不符合标准的审计结果。

第五方面，本发明实施例提供一种计算机装置，所述计算机装置包括处理器，所述处理器用于执行存储器中存储的计算机程序时实现如如第三方面和第四方面所述方法。

第六方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，当所述指令在计算机上运行时，使得计算机执行如第三方面和第四方面所述的方法。

本发明实施例中，由于业务审计系统中的数据分析器中包括业务配置模块、业务规则模块和数据匹配模块，且业务规则模块可以根据业务配置模块配置的业务配置信息生产相应的有业务树，该业务树可表征每个业务对应的业务操作的操作流程，因此，通过数据匹配模块将获取的日志信息与业务配置信息进行匹配，并在确定匹配成功时，可以根据当前业务操作对应的业务操作标识在业务树中的节点位置来，来确定用户的当前业务操作是否符合操作流程，即利用业务树来对各业务的每个业务操作进行审计，确保业务的业务操作操作次序的准确性，提高业务的准确度。

附图说明

图1为本发明实施例中业务树的数据结构示意图；

图2为本发明实施例中业务审计系统的结构示意图；

图3为本发明实施例中数据分析器的分析流程示意图；

图4为本发明实施例中业务审计方法的流程图；

图5为本发明实施例中业务审计过程中数据分析方法的流程图；

图6为本发明实施例中计算机装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

本发明实施例中，数据分析器可以是具有对数据进行分析处理能力的设备，例如通过对业务操作的操作数据对应的日志信息的分析，确定业务操作的操作过程。

在实际应用中，数据分析器可以结合与其它设备形成相应的系统。例如可以与数据采集器、存储器等构成业务审计系统，业务审计系统可以管理对待审计的内容进行审计，以确定待审计的内容是否符合

首先，对本发明实施例中的部分用语进行解释说明，以便于本领域技术人员理解。

1)业务树，可以用于表征一个业务系统中所有的业务，该业务树的每一个节点可以表示一个业务操作，节点的值表示操作的编号，即业务操作标识。每一个叶子节点表示一个业务操作结束，同时叶子节点中包含业务ID的信息，产生业务。

本发明实施例中，业务审计系统中所存在的一种业务树的结构如图1所示，该业务树中包括5个业务，每个业务包括的业务操作对应于树的节点，业务操作之间的次序对应于节点的编号，图1中根节点的值为-1，用于连接所有的业务，每个业务及该业务相应的业务操作的操作序列分别为：业务1(①②③)，业务2(④⑤⑥)，业务3(⑦⑧⑨)，业务4(⑦⑧⑩)和业务5(⑦⑧)。

需要说明的是，本发明实施例示意的业务树所表征的业务操作的操作流程仅是示意，在实际应用中，业务树中相应的业务和业务操作可以依据实际情况而定，本发明实施例不作具体限制。

2)本发明实施例中，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，字符“/”，如无特殊说明，一般表示前后关联对象是一种“或”的关系。

下面结合说明书附图对本发明实施例作进一步详细描述。

实施例一

如图2所示，本发明实施例提供一种业务审计系统，该业务审计系统可以包括数据采集过滤器10和数据分析器20，其中数据分析器可以包括业务配置模块21、业务规则模块22和数据匹配模块23。

在实际应用中，业务审计系统还可以包括数据存储器30，数据分析器20还可以包括用户信息模块24，在图2中以虚线框一并示出。数据存储器30其可以用于存储业务审计系统中相应的数据，如业务数据等。

具体来说，业务审计系统中的数据采集过滤器10可以用于采集用户针对系统进行用户业务操作时所产生的原始业务数据，这些原始业务数据可以是来自网卡接口的原始的数据包，不同的数据包中可能对应相同或不同的业务，数据包中可以包含业务数据的互联网协议地址(Internet Protocol Address，IP地址)，例如源IP或目的IP等，以及还可以包括相应的协议类型信息，例如超文本传输协议(Hyper Text Transport Protocol，HTTP)、传输控制协议/因特网互联协议(Transmission Control Protocol/Internet Protocol，TCP/IP)等。

数据采集过滤器10获得原始业务数据后，可以对原始业务数据进行过滤处理，以获得原始业务数据中具有预设协议类型的业务数据，其中，预设协议类型可以是系统指定的与某业务相关的协议类型，例如与访问业务相关的HTTP协议等。

例如，数据采集过滤器10可以过滤出原始业务数据中业务的协议类型为HTTP的数据，同时还可以进一步对该业务的HTTP数据进行过滤，过滤掉HTTP数据中的css文件(用于控制web界面的样式)、js文件(用于响应html页面元素)、图片等相关数据，以筛选出HTTP数据的回复头为html类型的数据请求，从而减少无关数据所造成的干扰。

数据采集过滤器10在对原始业务数据过滤后，还可以对业务数据进行归一化处理，生成待审计的日志信息，该日志信息中可以包括多个不同的日志字段，不同的日志字段可以具有各自指定的格式。

本发明实施例中，业务审计系统通过使用数据采集器过滤出指定业务的HTTP协议的操作请求，极大地减少了数据量，有助于减小数据分析器20的负担。

进一步，数据采集过滤器10可将产生的日志信息发送给业务审计系统中的数据存储器30进行存储。

本发明实施例中，数据存储器30可以与数据采集过滤器10连接，数据存储器30中可以包括一数据解析模块(图2中未示出)，在数据存储器30接收从数据过采集滤器发来的日志后，可以通过数据解析模块将日志信息解析为入库到相应数据库(例如hive数据库)所需要的格式，然后再将日志信息存储到hive数据库中，该hive数据库为用于存储大数据的数据库。

本发明实施例中，业务审计系统中的数据分析器20的各功能模块及相关功能如下：

业务配置模块21可以用于配置系统中至少一个业务的业务配置信息，该业务配置信息用于指示至少一个业务中每个业务所对应的业务操作的操作特征及各业务操作的操作标识，该操作标识可以用于指示同一业务下的业务操作之间的操作次序。

在实际应用中，业务配置模块21配置的业务配置信息可以是指示配置的web界面的业务系统、业务、业务操作等。其中，配置的业务操作可以指示业务对应请求的统一资源定位符(Uniform Resource Locator，URL)路径，同时，可以配置操作属性，在操作属性中可能会包含用户信息。一个或多个有序的业务操作可以构成业务，多个业务即可组成业务系统，业务可以表征操作人员在业务系统中做的事情。

当然，业务配置模块21还可以配置至少一个业务相关的告警规则信息，该告警规则中包含操作告警规则和业务告警规则。例如，告警规则信息可以指示需要审计的业务系统，或业务操作过多时的阈值等信息。

业务规则模块22可以首先从业务配置模块21中读取业务配置信息，确定配置的业务系统，业务和业务操作等信息，然后构造成业务树，业务树的结构请参考图1所示。

在业务树中，同一个业务操作可以同时属于多个业务，即该业务操作对应的节点编号可能出现在不同的业务中，且在每个业务中与其它节点编号之间具有相应的排列顺序，该排列顺序即为相应业务操作之间的操作次序。

例如，在图1中，业务4(⑦⑧⑩)和业务5(⑦⑧)包括两个共同的业务操作，即业务操作⑦和业务操作⑧，且操作次序均为先进行⑦，再进行⑧，再根据业务需求进行后续其它业务操作，例如进行业务4中的⑩，或进行业务5中的

进一步，业务规则模块22还可以加载配置的web界面的告警规则信息，确定各业务及各业务操作的告警规则。本文中，可将针对业务的告警规则称为业务告警规则，及将针对业务操作的告警规则可以称为操作告警规则。也就是说，告警规则信息可以用于指示针对至少一个业务中每个业务的业务告警规则，和/或，每个业务对应的业务操作的操作告警规则。

因此，在业务树中产生一个节点后，可以确定该节点对应的业务操作是否符合配置的操作告警规则，也就是判定业务操作是否能够通过操作告警规则，本文中可将该判定过程称为：过操作告警规则。

过操作告警规则可以确定业务操作中的一些属性值是否在指定的规则范围内。例如，确定同一业务操作的操作次数是否达到阈值等，若达到则进行告警，若未达到，则表明通过操作告警规则。

本发明实施例中，在业务树中产生一个完整的业务时，可以确定该业务是否符合配置的业务告警规则，即判定业务操作是否能够通过业务告警规则，本文中可将该判定过程称为：过业务告警规则。

因此，本发明实施例中，业务审计系统通过使用树的数据结构来表示业务系统，业务及业务操作，使得数据结构简洁，没有冗余节点，提高了业务审计和异常告警的准确度，且通过配置相应的告警规则信息，可以对业务操作及相关业务相关的属性值可以进行监控，有助于提高业务及业务操作的准确性。

数据分析器20中的用户信息模块24可以用于存储所有的用户信息，用户信息模块24可以使用字典的结构，例如按照用户标识(如用户ID)，源IP及浏览器的user-agent信息对用户进行分组，其中，user-agent信息可以用于浏览器请求中标识浏览器类型及版本的信息，通过将这三种字符串的组合经过一定的算法可以生成一个key。

例如，如果用户标识为“xcl”，业务操作对应的源IP为“119.6.6.6”，用户使用的浏览器的user-agent信息为:“Mozilla/5.0(Windows NT 6.1；WOW64)Chrome/58.0.3029.81Safari/537.36”，那么，在用户信息模块24中生成的key可以是“key＝md5(“xcl”+”119.6.6.6”+“Mozilla/5.0(Windows NT 6.1；WOW64)Chrome/58.0.3029.81Safari/537.36”)＝4cbd7d4e53a77b7c920491d90995a1b5”。

此外，用户信息模块24还可将用户的上次业务操作对应的历史操作节点，经历的操作ID列表，最近一次命中时间以及对应的业务ID等信息作为value进行存储，以供数据分析器20中的其它模块调用。

数据匹配模块23可以用于获取用户针对至少一个业务进行当前业务操作对应的日志信息，例如从数据存储器30中获取待审计的日志信息，该日志信息用于指示当前业务操作的至少一个操作特征，例如指示业务操作的操作时间或操作所请求的业务类型等。

进而，数据匹配模块23可将日志信息与业务配置信息进行特征匹配，例如将获取的日志信息与配置的业务操作进行匹配。若匹配成功，则确定当前业务操作为实现某个业务所进行的操作。

本发明实施例中，在数据匹配模块23确定日志信息与业务配置信息匹配成功后，数据分析器20可以集合业务树进一步确定当前业务操作是否符合操作流程。

具体的，数据分析器20可以通过用户信息模块24数确定当前业务操作对应的用户标识，并根据该用户标识确定用户的用户信息，该用户信息指示了用户的上次业务操作对应的历史操作标识，上次业务操作即为用户进行的距离当前业务操作最近的一次业务操作。

则业务规则模块22可以根据当前业务操作的当前操作标识确定业务树中对应的第一节点，及根据上次业务操作的历史操作标识确定在业务树中对应的第二节点，进而基于第一节点和第二节点的节点位置/编号，即可确定两个节点是否为业务树中对应同一业务的多个节点中的相邻或相同的节点，也就是看第一节点和第二节点是否可达。

在业务树中，节点之间是否可达的规则可以是：相邻的两个节点或相同的两个节点可达，相间的两个节点间不可达。

其中，若节点间可达，则表明用户正常操作业务。例如，若是相邻的两个节点，则用户可能正常执行下一步或上一步业务操作，或者，若是相同的节点，可能是用户信息输入失败，需要继续验证，这几种情况，均可以认为是用户的正常操作，例如图1所示的业务树中①→②,②→①，②→②都是可达的，

若节点间不可达，则表明用户的操作步骤不正常，即不符合操作流程。若是出现相间的两个节点，则认为用户跳过了业务中的一些操作步骤。例如图1中①→③,③→①都是不可达的。若业务树中不可达的情况，则认为业务操作步骤不合符操作流程。

本发明实施例中，若在确定第一节点和所述第二节点为业务树中对应于同一业务的相同或相邻的节点时，若确定第一节点为终止节点(即叶子节点)，则生成业务日志信息，该业务日志信息可以用于指示一个业务对应的所有业务操作执行完成。

当然，在实际应用中，若进行当前业务操作的用户为新用户，则用户信息模块24中可能没有该用户相关的信息，此时则可以根据日志信息确定用户的用户标识(如登录账号)、源IP、浏览器的user-agent等信息，进而将这些信息进行存储，形成与该新用户对应的用户信息，同时还可以将该用户进行的当前业务操作及相应的操作标识进行记录，以便该用户再进行其它业务操作时，可以确定前后两次业务操作是否为按照规范进行的同一业务的操作。

此外，若当前业务操作为新业务的业务操作，例如根据用户信息确定用户的上次操作节点为空，则可在业务树的根节点下添加相应的子节点，并将用户信息中历史操作标识更新为当前业务操作的操作标识。

下面，结合附图具体来说明数据分析器20对数据的分析过程。

数据分析器20对日志信息进行分析过程如图3所示。

首先，数据分析器20中的数据匹配模块23从数据存储中的hive数据库中读取日志信息，并将读取的日志信息同加载的配置操作进行匹配，若日志匹配操作未成功，则继续从hive中读取；若匹配操作成功，则根据日志信息确定操作信息，即将日志转化为操作信息，该操作信息包含操作ID，用户ID，源IP和浏览器的user-agent等信息；

然后，用户信息模块24使用数据格式化模块传递过来的操作信息，按照用户，源IP及浏览器的user-agent信息进行计算得出key。

进而，用户信息模块24从用户信息字典中查找用户信息，若查找到，说明该用户在之前已经执行过操作，此时可以判断是否能从用户上次操作节点(即历史操作节点)到当前操作节点，且根据不同的情况可以有不同的分析结果：

情况一：若从上次操作节点到当前操作节点可达，则可以更新用户信息中历史操作节点为当前操作节点，并判断当前操作节点是否为终止节点(即叶子节点)。

例如，在图1中，若用户上次业务操作的操作节点ID(即业务操作在业务树中对应的节点编号)是1，当前业务操作的操作节点ID是2，则说明可以从用户上次的操作节点到达当前的操作节点，此时，可以更新用户的上次操作节点为操作2，例如在用户的操作列表尾部追加操作节点ID为2。

进一步，业务规则模块22可以加载配置的告警规则信息，此时可将当前业务操作过操作告警规则，同时还可判断当前操作业务对应的当前操作节点2是否为叶子节点，请仍参见图3中相关流程。

其中，在过操作告警规则时，若当前业务操作满足规则，则产生操作告警，否则，认为当前业务操作通过操作告警规则。在过业务告警规则时，若确定当前操作节点2为业务树中的叶子节点，即完成一个业务，产生业务，此时，可将该业务过业务告警规则，若命中业务告警规则，则产生业务告警的日志。

情况二：若是从上一次节点到当前节点不可达，则获取从当前操作节点到上次操作节点之间的操作序列。

比如用户当前操作节点是3，而上次的操作节点是1，操作步骤跳过了2，则认为操作步骤不合符规则，此时可进行操作告警；若用户上一次节点1，当前的操作节点是4，此时无需获取到跳过的操作节点，这种情况可以默认为是用户没有进行完一个业务转而进行其他的业务，这种情况可以不告警，删除之前的用户操作的信息，并更新用户信息的上次操作节点为操作ID4。

在实际应用中，若用户信息模块24中没有查找到当前用户相关的用户信息，则表明用户是首次进行该业务操作。即在业务树中，用户的上次操作节点为空，则肯需要将当前操作节点添加为根节点的子节点。若不能添加为根节点的子节点，则获取从该节点到根节点之间的节点信息，认为操作步骤跳过了节点的信息，然后产生操作告警。

或者，若当前节点能添加为根节点的子节点，则更新用户的上次操作节点为该节点。

进而，可将当前业务操作过操作告警规则，若命中(即符合)操作告警规则，则产生操作告警的日志。同时，还可判断当前业务操作的操作节点是否为叶子节点，若为叶子节点则认为该业务的操作结束，可产生业务日志，然后过业务告警规则。若命中业务告警规则，则产生业务日志的告警。

考虑到可能会有很多用户并未执行完一个完整的业务就中断了，没有再继续执行后面的操作，因此，数据分析器20的用户信息模块24中(例如用户信息字典中)可能会存在很多过期用户，那么，在为用户更新上次操作节点的同时，还可以更新用户的最近一次命中的操作时间，若当前时间与用户最近一次命中时间之前的时间间隔大于一预设时间间隔(预设时间间隔T可以取5分钟或10分钟等)，则认为是过期用户。进一步，数据分析器20还可以对用户信息模块24中的过期用户清理，例如每隔S分钟遍历一次用户信息字典来清理过期用户，其中，S可以取20分钟或30分钟等。

因此，本发明实施例中，数据分析器20通过定期清理过期用户信息，可提高进程的稳定性。

在业务审计系统中，通过数据分析器20对日志信息的分析，可以输出当前业务操作是否符合操作流程的分析结果，业务审计系统根据数据分析器20的分析结果，即可确定待审计的日志信息是否符合标准，进而输出相应的审计结果。

实施例二

如图4所示，本发明实施例提供一种业务审计方法，可以应用于具有图2所示的系统结构的业务审计系统中，该方法可以描述如下：

S11：采集用户针对系统进行用户业务操作时的原始业务数据，对原始业务数据进行过滤处理，获得原始业务数据中具有预设协议类型的业务数据；

S12：对业务数据进行归一化处理，生成待审计的日志信息，日志信息用于指示当前业务操作的至少一个操作特征；

S13：根据待审计的日志信息确定当前业务操作是否符合操作流程；其中，操作流程用于表征系统中至少一个业务中每个业务对应的业务操作的操作次序；

S14：在确定当前业务操作不符合操作流程时，确定并输出待审计的日志信息不符合标准的审计结果。

本发明实施例中，在S11中，业务审计系统采集的原始业务数据可以是通过网卡接口接收的原始的数据包，不同的数据包中可能对应相同或不同的业务，数据包中可以包含业务数据的IP地址及相应的协议类型等信息。

业务审计系统可以根据预设协议类型对原始业务数据进行筛选，例如筛选出对应于某一系统业务的业务数据，并对其进行归一化处理，从而生成具有指定格式的日志信息进行存储，例如存储到hive数据库中。

在S13中，业务审计系统在确定当前业务操作是否符合操作流程时，可以通过图2所示的业务审计系统中的数据分析器20来执行，其分析过程可以如图5所示，包括以下步骤：

S301：获取用户针对至少一个业务进行当前业务操作对应的日志信息，日志信息用于指示当前业务操作的至少一个操作特征；

S302：将日志信息与系统配置的业务配置信息进行特征匹配，业务配置信息用于指示至少一个业务中每个业务所对应的业务操作的操作特征及业务操作的操作标识，操作标识用于指示同一业务下的业务操作之间的操作次序；

S303：在确定日志信息与业务配置信息匹配成功时，根据业务配置信息确定当前业务操作对应的当前操作标识，及当前操作标识在业务树中所处的节点位置，并根据节点位置确定当前业务操作是否符合操作流程；其中，业务树为根据业务配置信息生成的，用于表征至少一个业务中每个业务对应的业务操作的操作流程，且业务树的每个节点对应于一个操作标识。

具体来说，业务审计系统可以根据审计标准从hive数据库中读取相应的待审计的日志信息。

进而，在S302中，业务审计系统通过将待审计的日志信息与系统中匹配的业务配置信息进行特征匹配，例如对业务操作对应的URL路径的匹配。

如果业务审计系统确定日志信息与业务配置信息匹配成功，则可以认为当前业务操作为实现业务系统中某一业务所对应的业务操作。此时，业务审计系统可以根据日志信息确定当前业务操作对应的用户标识，并获取用户标识所指示的用户的用户信息，该用户信息包括用户的上次业务操作对应的历史操作标识。

那么，S303中，业务审计系统在根据节点位置确定当前业务操作是否符合操作流程时，具体可以是根据用户信息，确定业务树中当前操作标识对应的第一节点与历史操作标识的第二节点是否为对应于同一业务的相同或相邻的节点，若确定第一节点和第二节点为业务树中对应于同一业务的相同或相邻的节点时，则确定当前业务操作符合操作流程；否则，确定当前业务操作不符合操作流程。

在实际应用中，业务审计系统可以根据当前操作节点及业务树来判断当前业务操作是否操作规范。即业务审计系统可以根据当前业务操作对应的操作标记来在业务树中的节点位置(即节点标识)，来确定是否当前操作节点与上次业务操作对应的历史操作节点之间是否可达，如果可达，则认为当前业务操作符合操作流程，否则，则认为用户可能跳过了业务中的一些业务操作，操作不规范。

具体的关于业务树的数据结构，以及结合业务树对当前业务操作进行处理的流程请参见图1及前述相关描述内容，此处不再赘述。

本发明实施例中，若业务配置信息包括告警规则信息，该告警规则信息用于指示针对至少一个业务中每个业务的业务告警规则，和/或，每个业务对应的业务操作的操作告警规则，则在S302的同时或之后，业务审计系统还可以加载告警规则信息，并确定当前业务操作是否符合相应的操作告警规则，和/或当前业务操作对应的业务是否符合相应的业务告警规则。

若确定当前业务操作符合相应的操作告警规则，和/或，业务符合相应的业务告警规则，则进行告警。

在实际应用中，若业务审计系统确定第一节点和第二节点为业务树中对应于同一业务的相同或相邻的节点，则可将当前操作过操作告警规则，同时还可以判断第一节点是否为终止节点(即业务树中的叶子节点)。

如果确定第一节点为终止节点，则生成业务日志信息，该业务日志信息可以用于指示一个业务对应的所有业务操作执行完成，即生成一个业务及该业务对应的业务ID，进而可过业务告警规则。具体的过操作/业务告警规则的流程可参考图3及前述相关描述，此处不再赘述。

进而，在S14中，业务审计系统可以根据数据分析器20的分析结果，确定相应的审计结果。例如，在确定当前业务操作不符合操作流程时，可以确定并输出待审计的日志信息不符合标准的审计结果。

本发明实施例中，业务审计系统通过对待审计的日志信息的分析，可以确定当前业务操作是否符合操作流程，并在确定当前业务操作不符合操作流程时，确定待审计的日志信息是否符合标准，进而输出审计失败的结果，从而提高业务审计过程中业务操作的操作流程的完整及准确性，避免出现业务错乱的情况。

实施例三

本发明实施例中还提供一种计算机装置，其结构如图6所示，该计算机装置包括处理器31和存储器32，其中，处理器31用于执行存储器32中存储的计算机程序时实现本发明实施例二中提供的业务审计方法的步骤。

可选的，处理器31具体可以是中央处理器、特定应用集成电路(ApplicationSpecific Integrated Circuit，ASIC)，可以是一个或多个用于控制程序执行的集成电路，可以是使用现场可编程门阵列(Field Programmable Gate Array，FPGA)开发的硬件电路，可以是基带处理器。

可选的，处理器31可以包括至少一个处理核。

可选的，电子设备还包括存储器32，存储器32可以包括只读存储器(Read OnlyMemory，ROM)、随机存取存储器(Random Access Memory，RAM)和磁盘存储器。存储器32用于存储处理器31运行时所需的数据。存储器32的数量为一个或多个。

实施例四

本发明实施例中还提供一种计算机可读存储介质，该计算机可读存储介质存储有计算机指令，当计算机指令指令在计算机上运行时可以实现如本发明实施二例提供的业务审计方法的步骤。

在本发明实施例中，应该理解到，所揭露业务审计系统及方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性或其它的形式。

在本发明实施例中的各功能单元可以集成在一个处理单元中，或者各个单元也可以均是独立的物理模块。

集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备，例如可以是个人计算机，服务器，或者网络设备等，或处理器(Processor)执行本发明各个实施例的方法的全部或部分步骤。而前述的存储介质包括：通用串行总线闪存盘(Universal Serial Bus flash drive，USB)、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上实施例仅用于对本发明的技术方案进行了详细介绍，但以上实施例的说明只是用于帮助理解本发明实施例的方法，不应理解为对本发明实施例的限制。本技术领域的技术人员可轻易想到的变化或替换，都应涵盖在本发明实施例的保护范围之内。

Claims (12)

1.一种数据分析器，其特征在于，包括：

业务配置模块，用于配置系统中至少一个业务的业务配置信息，所述业务配置信息用于指示所述至少一个业务中每个业务所对应的业务操作的操作特征及各业务操作的操作标识，所述操作标识用于指示同一业务下的业务操作之间的操作次序；

业务规则模块，与所述业务配置模块连接，用于根据所述业务配置信息生成业务树，所述业务树用于表征所述至少一个业务中每个业务对应的业务操作的操作流程，且所述业务树的每个节点对应于一个操作标识；

数据匹配模块，用于获取用户针对至少一个业务进行当前业务操作对应的日志信息，并将所述日志信息与所述业务配置信息进行特征匹配，所述日志信息用于指示所述当前业务操作的至少一个操作特征；

其中，当所述数据匹配模块确定所述日志信息与所述业务配置信息匹配成功时，确定所述业务配置信息所指示的操作指标中与所述当前业务操作对应的当前操作标识，并将所述当前操作标识发送到所述业务规则模块，所述业务规则模块根据所述当前操作标识在所述业务树中所处的节点位置，并根据所述节点位置确定所述当前业务操作是否符合操作流程。

2.如权利要求1所述的数据分析器，其特征在于，所述数据分析器还包括：

用户信息模块，与所述数据匹配模块相连，用于根据所述日志信息确定所述当前业务操作对应的用户标识，并根据所述用户标识确定所述用户的用户信息，所述用户信息指示了所述用户的上次业务操作对应的历史操作标识；

所述业务规则模块，还用于确定所述业务树中，所述当前操作标识对应的第一节点与所述历史操作标识对应的第二节点是否为对应于同一业务的相同或相邻的节点，并在确定是时，确定所述当前业务操作符合操作流程，否则，确定所述当前业务操作不符合操作流程。

3.如权利要求2所述的数据分析器，其特征在于，

所述业务配置模块，还用于配置与所述至少一个业务的告警规则信息，所述告警规则信息用于指示针对所述至少一个业务中每个业务的业务告警规则，和/或，所述每个业务对应的业务操作的操作告警规则；

所述业务规则模块，还用于加载所述告警规则信息，并确定所述当前业务操作是否符合相应的操作告警规则，和/或确定所述当前业务操作对应的业务是否符合相应的业务告警规则；其中，若确定所述当前业务操作符合相应的所述操作告警规则，和/或，所述业务符合相应的所述业务告警规则，则进行告警。

4.如权利要求3所述的数据分析器，其特征在于，所述业务规则模块还用于：

在确定所述第一节点和所述第二节点为所述业务树中对应于同一业务的相同或相邻的节点时，若确定所述第一节点为终止节点，则生成业务日志信息，所述业务日志信息用于指示一个业务对应的所有业务操作执行完成。

5.一种业务审计系统，其特征在于，包括：

数据采集过滤器，用于采集用户针对系统进行所述用户业务操作时的原始业务数据，对所述原始业务数据进行过滤处理，获得所述原始业务数据中具有预设协议类型的业务数据，并对所述业务数据进行归一化处理，生成待审计的日志信息；

如权要求1-4任一权项所述的数据分析器，与所述数据采集过滤器相连；

其中，在所述数据分析器根据所述日志信息确定所述当前业务操作不符合操作流程时，所述业务审计系统输出待审计内容不符合标准的审计结果。

6.一种数据分析方法，其特征在于，包括：

获取用户针对至少一个业务进行当前业务操作对应的日志信息，所述日志信息用于指示所述当前业务操作的至少一个操作特征；

将所述日志信息与系统配置的业务配置信息进行特征匹配，所述业务配置信息用于指示所述至少一个业务中每个业务所对应的业务操作的操作特征及所述业务操作的操作标识，所述操作标识用于指示同一业务下的业务操作之间的操作次序；

在确定所述日志信息与所述业务配置信息匹配成功时，根据所述业务配置信息确定所述当前业务操作对应的当前操作标识，及所述当前操作标识在业务树中所处的节点位置，并根据所述节点位置确定所述当前业务操作是否符合操作流程；其中，所述业务树为根据所述业务配置信息生成的，用于表征所述至少一个业务中每个业务对应的业务操作的操作流程，且所述业务树的每个节点对应于一个操作标识。

7.如权利要求6所述的方法，其特征在于，在确定所述日志信息与所述业务配置信息匹配成功之后，所述方法还包括：

根据所述日志信息确定所述当前业务操作对应的用户标识，并获取所述用户标识所指示的所述用户的用户信息，所述用户信息包括所述用户的上次业务操作对应的历史操作标识；

所述根据所述节点位置确定所述当前业务操作是否符合操作流程，包括：

根据所述用户信息，确定所述业务树中，所述当前操作标识对应的第一节点与所述历史操作标识的第二节点是否为对应于同一业务的相同或相邻的节点；

其中，若确定所述第一节点和所述第二节点为所述业务树中对应于同一业务的相同或相邻的节点时，则确定所述当前业务操作符合操作流程；否则，确定所述当前业务操作不符合操作流程。

8.如权利要求7所述的方法，其特征在于，在根据所述用户信息，确定所述业务树中，所述当前操作标识对应的第一节点与所述上次操作标识的第二节点是否为对应于同一业务的相同或相邻的节点之后，所述方法还包括：

若确定所述第一节点和所述第二节点为所述业务树中对应于同一业务的相同或相邻的节点，判断所述第一节点是否为终止节点；

若确定所述第一节点为终止节点，生成业务日志信息，所述业务日志信息用于指示一个业务对应的所有业务操作执行完成。

9.如权利要求8所述方法，其特征在于，所述业务配置信息包括告警规则信息，所述告警规则信息用于指示针对所述至少一个业务中每个业务的业务告警规则，和/或，所述每个业务对应的业务操作的操作告警规则，

在将所述日志信息与系统配置的业务配置信息进行特征匹配的同时或之后，所述方法还包括：

加载所述告警规则信息，确定所述当前业务操作是否符合相应的操作告警规则，和/或所述当前业务操作对应的业务是否符合相应的业务告警规则；

若确定所述当前业务操作符合相应的所述操作告警规则，和/或，所述业务符合相应的所述业务告警规则，则进行告警。

10.一种业务审计方法，其特征在于，包括：

采集用户针对系统进行所述用户业务操作时的原始业务数据，对所述原始业务数据进行过滤处理，获得所述原始业务数据中具有预设协议类型的业务数据；

对所述业务数据进行归一化处理，生成待审计的日志信息，所述日志信息用于指示所述当前业务操作的至少一个操作特征；

根据所述待审计的日志信息确定所述当前业务操作是否符合操作流程；其中，所述操作流程用于表征系统中至少一个业务中每个业务对应的业务操作的操作次序；

在确定所述当前业务操作不符合所述操作流程时，确定并输出所述待审计的日志信息不符合标准的审计结果。

11.一种计算机装置，其特征在于，所述计算机装置包括处理器，所述处理器用于执行存储器中存储的计算机程序时实现如权利要求6-10中任一权项所述方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，当所述指令在计算机上运行时，使得计算机执行如权利要求6-10中任一权项所述的方法。