CN109547483A - 用于公共场所ap设备的审计系统及方法 - Google Patents

Abstract

本发明公开了用于公共场所AP设备的审计系统，包括核心交换机、AC控制器、多个AP设备和审计设备，核心交换机通过端口镜像将来自多个AP设备的流量数据转发至审计设备；AC控制器对多个AP设备进行配置和管理，将上网终端与AP设备的对应关系发送至审计设备；审计设备对流量数据进行分析，生成审计日志，并根据上网终端与AP设备的对应关系，将审计日志与对应的AP设备进行关联。通过在现有网络结构中并接一台审计设备，将用户上网流量镜向到审计设备上，同时利用AC控制器将上网终端与AP对应关系发送到审计设备上，由审计设备完成数据关联及组装，从原始数据解析、数据处理、日志上报一体化的功能，满足公安平台AP点位落地需求。

Description

用于公共场所AP设备的审计系统及方法

技术领域

本发明涉及网络安全技术领域，特别地，涉及一种用于公共场所AP设备的审计系统及方法。

背景技术

针对公共场所已安装的AP(Access Point，访问接入点)设备，需要满足公共区域Wi-Fi上网审计监管要求，实现上网用户与真实AP审计日志落地需求。国内的一些安全审计厂商定制开发了专有的带安全审计功能的AP设备，也可以通过在AP设备中嵌入安审插件以满足需求。但上述方法在设备硬件资源消耗、运维成本及研发对接成本、用户上网体验等方面均存在不足。

发明内容

本发明的目的在于提供一种用于公共场所AP设备的审计系统及方法。

本发明解决其技术问题采用的技术方案是：提供一种用于公共场所AP设备的审计系统，包括核心交换机、AC控制器、多个AP设备和审计设备，所述审计设备通过所述核心交换机与所述AC控制器和所述多个AP设备相连，其中，

所述核心交换机用于通过端口镜像将来自所述多个AP设备的流量数据转发至所述审计设备；

所述AC控制器用于对所述多个AP设备进行配置和管理，将上网终端与AP设备的对应关系发送至所述审计设备；

所述审计设备用于对所述流量数据进行分析，生成审计日志，并根据所述上网终端与AP设备的对应关系，将所述审计日志与对应的AP设备进行关联。

在本发明提供的用于公共场所AP设备的审计系统中，所述审计设备包括流量审计模块和数据分析模块，其中，

所述流量审计模块，用于在所述流量数据的网络TCP/IP的5层结构的数据链路层抓取网络数据包，捕获指定网络接口的网络数据包，根据网络数据包的协议类型，生成对应的审计日志，并将审计日志保存至REDIS内存数据库中；

所述数据分析模块，用于接收所述AC控制器发送的所述上网终端与AP设备的对应关系，根据AP设备的部署模式，将AP设备的MAC地址和上网终端的MAC地址存储至REDIS内存数据库中，实现所述审计日志与对应的AP设备的关联。

在本发明提供的用于公共场所AP设备的审计系统中，AP设备的部署模式为桥模式时，所述数据分析模块通过解析所述流量数据来获取上网终端的MAC地址，与所述审计日志中的终端MAC地址进行关联，通过所述AC控制器提供的上网终端与AP设备的对应关系，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，实现所述审计日志与对应的AP设备的关联；

AP设备的部署模式为路由模式时，所述数据分析模块通过所述AC控制器提供的上网终端与AP设备的对应关系，将AP设备的MAC地址与所述审计日志中的源MAC地址进行关联，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，将所述审计日志中的源MAC地址替换成上网终端的MAC地址，实现所述审计日志与对应的AP设备的关联。

在本发明提供的用于公共场所AP设备的审计系统中，所述数据分析模块用于根据网监平台的要求，通过将上网终端的MAC地址和AP设备的MAC地址做为KEY值，将关联后的审计日志根据KEY值缓存到REDIS内存数据库中。

在本发明提供的用于公共场所AP设备的审计系统中，所述流量审计模块还用于根据所述网络数据包的协议类型和对应的封堵策略，对所述网络数据包进行匹配，并对匹配所述封堵策略的所述网络数据包进行封堵操作。

在本发明提供的用于公共场所AP设备的审计系统中，所述数据分析模块还用于对从REDIS内存数据库中获取的网监平台所需的审计字段进行拼接，所述审计设备还包括数据上报模块，用于拼接结果对所述审计日志进行格式化封装，并将所述审计日志上报至所述网监平台。

相应地，本发明还提供一种用于公共场所AP设备的审计方法，包括以下步骤：

S1、核心交换机通过端口镜像将来自多个AP设备的流量数据转发至审计设备；

S2、AC控制器将上网终端与AP设备的对应关系发送至所述审计设备；

S3、所述审计设备对所述流量数据进行分析，生成审计日志，并根据所述上网终端与AP设备的对应关系，将所述审计日志与对应的AP设备进行关联。

在本发明提供的用于公共场所AP设备的审计方法中，所述步骤S3包括：

由所述审计设备的流量审计模块在所述流量数据的网络TCP/IP的5层结构的数据链路层抓取网络数据包，捕获指定网络接口的网络数据包，根据网络数据包的协议类型，生成对应的审计日志，并将审计日志保存至REDIS内存数据库中；

由所述审计设备的数据分析模块接收所述AC控制器发送的所述上网终端与AP设备的对应关系，根据AP设备的部署模式，将AP设备的MAC地址和上网终端的MAC地址存储至REDIS内存数据库中，实现所述审计日志与对应的AP设备的关联。

在本发明提供的用于公共场所AP设备的审计方法中，AP设备的部署模式为桥模式时，所述数据分析模块通过解析所述流量数据来获取上网终端的MAC地址，与所述审计日志中的终端MAC地址进行关联，通过所述AC控制器提供的上网终端与AP设备的对应关系，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，实现所述审计日志与对应的AP设备的关联；

AP设备的部署模式为路由模式时，所述数据分析模块通过所述AC控制器提供的上网终端与AP设备的对应关系，将AP设备的MAC地址与所述审计日志中的源MAC地址进行关联，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，将所述审计日志中的源MAC地址替换成上网终端的MAC地址，实现所述审计日志与对应的AP设备的关联。

在本发明提供的用于公共场所AP设备的审计方法中，还包括：

对所述审计日志进行格式化封装，并将所述审计日志上报至网监平台。

本发明的用于公共场所AP设备的审计系统和方法具有以下有益效果：本发明提供的用于公共场所AP设备的审计系统和方法，通过在现有网络结构中并接一台审计设备，对原有网络部署结构不发生任何改动，将用户上网流量镜向到审计设备上，同时利用AC控制器将上网终端与AP对应关系发送到审计设备上，由审计设备完成数据关联及组装，从原始数据解析、数据处理、日志上报一体化的功能，满足公安平台AP点位落地需求。

附图说明

图1为本发明一实施例提供的用于公共场所AP设备的审计系统的示意图；

图2是图1所示的审计设备的原理图；

图3为本发明一实施例提供的用于公共场所AP设备的审计方法的流程示意图。

具体实施方式

为了使本技术领域的技术人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”和“第四”等是用于区别不同对象，而不是用于描述特定顺序。此外，术语“包括”和“具有”以及它们任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。

图1为本发明一实施例提供的用于公共场所AP设备的审计系统的示意图。如图1所示，本发明提供的用于公共场所AP设备的审计系统包括包括核心交换机10、AC控制器20、多个AP设备30和审计设备40。所述审计设备40通过所述核心交换机10与所述AC控制器20和所述多个AP设备30相连，其中，所述核心交换机10用于通过端口镜像将来自所述多个AP设备30的流量数据转发至所述审计设备40；所述AC控制器20用于对所述多个AP设备30进行配置和管理，将上网终端与AP设备的对应关系发送至所述审计设备40；所述审计设备40用于对所述流量数据进行分析，生成审计日志，并根据所述上网终端与AP设备的对应关系，将所述审计日志与对应的AP设备进行关联。

本发明提供的用于公共场所AP设备的审计系统，通过在现有网络结构中并接一台审计设备，对原有网络部署结构不发生任何改动，将用户上网流量镜向到审计设备上，同时利用AC控制器将上网终端与AP对应关系发送到审计设备上，由审计设备完成数据关联及组装，从原始数据解析、数据处理、日志上报一体化的功能，满足公安平台AP点位落地需求。

图2是图1所示的审计设备的原理图。如图2所示，审计设备40包括流量审计模块410、数据分析模块420和数据上报模块430。

具体地，在本发明一实施例中，所述流量审计模块410用于在所述流量数据的网络TCP/IP的5层结构的数据链路层抓取网络数据包，捕获指定网络接口的网络数据包，根据网络数据包的协议类型，生成对应的审计日志，并将审计日志保存至REDIS内存数据库中。流量审计模块410在进行抓包操作时需将网卡设置为混杂模式，根据审计设备操作系统的不同采用pcap、mmap、pfring、dpdk等捕包方式，捕获指定网络接口的数据包；之后，对数据包进行识别，识别后将对应的数据流标记为该协议类型，协议类型包括代理协议、HTTP协议和FTP协议；根据所述网络数据包的协议类型和对应的封堵策略，对所述网络数据包进行匹配，并对匹配所述封堵策略的所述网络数据包进行封堵操作，未命中的根据协议规则识别成对应的日志，并将日志保证至REDIS内存数据库中。

具体地，在本发明一实施例中，数据分析模块420用于接收所述AC控制器发送的所述上网终端与AP设备的对应关系，根据AP设备的部署模式，将AP设备的MAC地址和上网终端的MAC地址存储至REDIS内存数据库中，实现所述审计日志与对应的AP设备的关联。AP设备的部署模式为桥模式时，所述数据分析模块通过解析所述流量数据来获取上网终端的MAC地址，与所述审计日志中的终端MAC地址进行关联，通过所述AC控制器提供的上网终端与AP设备的对应关系，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，实现所述审计日志与对应的AP设备的关联；AP设备的部署模式为路由模式时，所述数据分析模块通过所述AC控制器提供的上网终端与AP设备的对应关系，将AP设备的MAC地址与所述审计日志中的源MAC地址进行关联，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，将所述审计日志中的源MAC地址替换成上网终端的MAC地址，实现所述审计日志与对应的AP设备的关联。

进一步地，在本发明一实施例中，所述数据分析模块420还用于对从REDIS内存数据库中获取的网监平台所需的审计字段进行拼接，根据网监平台的要求，通过将上网终端的MAC地址和AP设备MAC地址做为KEY值通过对上网终端的MAC地址进行哈希运算，将关联后的审计日志分成多个队列进行缓存到REDIS内存数据库中。数据分析模块从REDIS中获取网监平台所需的审计字段进行拼接，并根据MAC哈希到REDIS队列集群缓存，利用Nutcrakers代理实现高速REDIS缓存集群服务；将数据按网监平台要求类分，每类数据分多个队列进行缓存，将审计日志以轮询的方式，均匀分布在redis集群中，实现的一个高速分布式缓存系统。

具体地，在本发明一实施例中，数据上报模块430用于拼接结果对所述审计日志进行格式化封装，并将所述审计日志上报至所述网监平台。数据上报模块根据当地公安机关网监平台要求，对用户上网行为还原的字段进行格式化封装，完成审计日志的上报，实现公安平台审计日志上报要求。

图3为本发明一实施例提供的用于公共场所AP设备的审计方法的流程示意图。如图3所示，本发明提供的用于公共场所AP设备的审计方法，包括以下步骤：

S1、核心交换机通过端口镜像将来自多个AP设备的流量数据转发至审计设备；

S2、AC控制器将上网终端与AP设备的对应关系发送至所述审计设备；

S3、所述审计设备对所述流量数据进行分析，生成审计日志，并根据所述上网终端与AP设备的对应关系，将所述审计日志与对应的AP设备进行关联。

具体地，在本发明一实施例中，所述步骤S3包括：

由所述审计设备的流量审计模块在所述流量数据的网络TCP/IP的5层结构的数据链路层抓取网络数据包，捕获指定网络接口的网络数据包，根据网络数据包的协议类型，生成对应的审计日志，并将审计日志保存至REDIS内存数据库中；

由所述审计设备的数据分析模块接收所述AC控制器发送的所述上网终端与AP设备的对应关系，根据AP设备的部署模式，将AP设备的MAC地址和上网终端的MAC地址存储至REDIS内存数据库中，实现所述审计日志与对应的AP设备的关联。

进一步地，AP设备的部署模式为桥模式时，所述数据分析模块通过解析所述流量数据来获取上网终端的MAC地址，与所述审计日志中的终端MAC地址进行关联，通过所述AC控制器提供的上网终端与AP设备的对应关系，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，实现所述审计日志与对应的AP设备的关联；

AP设备的部署模式为路由模式时，所述数据分析模块通过所述AC控制器提供的上网终端与AP设备的对应关系，将AP设备的MAC地址与所述审计日志中的源MAC地址进行关联，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，将所述审计日志中的源MAC地址替换成上网终端的MAC地址，实现所述审计日志与对应的AP设备的关联。

具体地，在本发明一实施例中，还包括：

对所述审计日志进行格式化封装，并将所述审计日志上报至网监平台。

本发明提供的用于公共场所AP设备的审计系统和方法，具有以下优点：

1、不受AP部署模式限制，将上网用户上网日志对应到真实的AP上，满足当地公安机关审计数据落地需求；

2、原有网络部署结构不发生任何改动，且不影响用户上网体验；

3、审计设备完成流量审计、数据分析、审计数据上报一体化的功能，满足公安要求数据不出省需求，无需搭建格外的服务器资源，节省服务器及带宽资源消耗。

需要说明的是：上述实施例提供系统在实现方法时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的系统和方法实施例属于同一构思，其具体实现过程详见方法实施例的描述，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中。上面所提到的控制或者实现的切换功能都是通过控制器实现，控制器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific IntegratedCircuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。上面所提到的存储器可以是终端内置的存储设备，例如硬盘或内存。本发明系统还包括了存储器，存储器也可以是系统的外部存储设备，插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。存储器还可以既包括系统的内部存储单元，也包括外部存储设备，用于存储计算机程序以及所需的其他程序和信息。存储器还可以用于暂时地存储已经输出或者将要输出的信息。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种用于公共场所AP设备的审计系统，其特征在于，包括核心交换机、AC控制器、多个AP设备和审计设备，所述审计设备通过所述核心交换机与所述AC控制器和所述多个AP设备相连，其中，

所述核心交换机用于通过端口镜像将来自所述多个AP设备的流量数据转发至所述审计设备；

所述AC控制器用于对所述多个AP设备进行配置和管理，将上网终端与AP设备的对应关系发送至所述审计设备；

所述审计设备用于对所述流量数据进行分析，生成审计日志，并根据所述上网终端与AP设备的对应关系，将所述审计日志与对应的AP设备进行关联。

2.根据权利要求1所述的用于公共场所AP设备的审计系统，其特征在于，所述审计设备包括流量审计模块和数据分析模块，其中，

所述流量审计模块，用于在所述流量数据的网络TCP/IP的5层结构的数据链路层抓取网络数据包，捕获指定网络接口的网络数据包，根据网络数据包的协议类型，生成对应的审计日志，并将审计日志保存至REDIS内存数据库中；

所述数据分析模块，用于接收所述AC控制器发送的所述上网终端与AP设备的对应关系，根据AP设备的部署模式，将AP设备的MAC地址和上网终端的MAC地址存储至REDIS内存数据库中，实现所述审计日志与对应的AP设备的关联。

3.根据权利要求2所述的用于公共场所AP设备的审计系统，其特征在于，AP设备的部署模式为桥模式时，所述数据分析模块通过解析所述流量数据来获取上网终端的MAC地址，与所述审计日志中的终端MAC地址进行关联，通过所述AC控制器提供的上网终端与AP设备的对应关系，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，实现所述审计日志与对应的AP设备的关联；

AP设备的部署模式为路由模式时，所述数据分析模块通过所述AC控制器提供的上网终端与AP设备的对应关系，将AP设备的MAC地址与所述审计日志中的源MAC地址进行关联，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，将所述审计日志中的源MAC地址替换成上网终端的MAC地址，实现所述审计日志与对应的AP设备的关联。

4.根据权利要求2所述的用于公共场所AP设备的审计系统，其特征在于，所述数据分析模块用于根据网监平台的要求，通过将上网终端的MAC地址和AP设备的MAC地址做为KEY值，将关联后的审计日志根据KEY值缓存到REDIS内存数据库中。

5.根据权利要求2所述的用于公共场所AP设备的审计系统，其特征在于，所述流量审计模块还用于根据所述网络数据包的协议类型和对应的封堵策略，对所述网络数据包进行匹配，并对匹配所述封堵策略的所述网络数据包进行封堵操作。

6.根据权利要求2所述的用于公共场所AP设备的审计系统，其特征在于，所述数据分析模块还用于对从REDIS内存数据库中获取的网监平台所需的审计字段进行拼接，所述审计设备还包括数据上报模块，用于拼接结果对所述审计日志进行格式化封装，并将所述审计日志上报至所述网监平台。

7.一种用于公共场所AP设备的审计方法，其特征在于，包括以下步骤：

S1、核心交换机通过端口镜像将来自多个AP设备的流量数据转发至审计设备；

S2、AC控制器将上网终端与AP设备的对应关系发送至所述审计设备；

S3、所述审计设备对所述流量数据进行分析，生成审计日志，并根据所述上网终端与AP设备的对应关系，将所述审计日志与对应的AP设备进行关联。

8.根据权利要求7所述的用于公共场所AP设备的审计方法，其特征在于，所述步骤S3包括：

由所述审计设备的流量审计模块在所述流量数据的网络TCP/IP的5层结构的数据链路层抓取网络数据包，捕获指定网络接口的网络数据包，根据网络数据包的协议类型，生成对应的审计日志，并将审计日志保存至REDIS内存数据库中；

由所述审计设备的数据分析模块接收所述AC控制器发送的所述上网终端与AP设备的对应关系，根据AP设备的部署模式，将AP设备的MAC地址和上网终端的MAC地址存储至REDIS内存数据库中，实现所述审计日志与对应的AP设备的关联。

9.根据权利要求8所述的用于公共场所AP设备的审计方法，其特征在于，AP设备的部署模式为桥模式时，所述数据分析模块通过解析所述流量数据来获取上网终端的MAC地址，与所述审计日志中的终端MAC地址进行关联，通过所述AC控制器提供的上网终端与AP设备的对应关系，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，实现所述审计日志与对应的AP设备的关联；

AP设备的部署模式为路由模式时，所述数据分析模块通过所述AC控制器提供的上网终端与AP设备的对应关系，将AP设备的MAC地址与所述审计日志中的源MAC地址进行关联，将所述审计日志中的审计设备MAC地址替换成对应的AP设备的MAC地址，将所述审计日志中的源MAC地址替换成上网终端的MAC地址，实现所述审计日志与对应的AP设备的关联。

10.根据权利要求7所述的用于公共场所AP设备的审计方法，其特征在于，还包括：

对所述审计日志进行格式化封装，并将所述审计日志上报至网监平台。