CN111683107A - 面向互联网的安全审计方法和系统 - Google Patents

Abstract

本发明提供了一种面向互联网的安全审计方法，包括以下步骤：S100在互联网的虚拟集群上构建安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块；S200所述访问过滤模块设有预审策略，根据预审策略对客户端的网络访问请求进行初步判断，对确定符合设定要求的访问请求授权通过，剩余的访问请求传输至安全审计模块；S300所述安全审计模块设置安全审计规则，采用安全审计规则对接收到的访问请求进行审计，经审计符合安全审计规则的访问请求授权通过，不符合的访问请求执行S400；S400对不符合安全审计规则的访问请求，由安全审计中心发出拦截指令。还提供了相应的安全审计系统。该方法通过初步判断缩减了安全审计的数据处理规模，提高安全审计效率。

Description

面向互联网的安全审计方法和系统

技术领域

本发明涉及互联网安全技术领域，特别涉及一种面向互联网的安全审计方法和系统。

背景技术

互联网（internet），又称国际网络，指的是网络与网络之间所串连成的庞大网络，这些网络以一组通用的协议相连，形成逻辑上的单一巨大国际网络。中国互联网已经形成规模，互联网应用走向多元化。截至2018年6月，中国网民规模达 8.02亿，普及率为57.7%。随着宽带的发展，以及全球化程度的不断加深，中国互联网的业务应用同国际主流的业务应用发展基本一致。互联网已经深入到社会、经济与生活的各个方面，越来越深刻地改变着人们的学习、工作以及生活方式，甚至影响着整个社会进程。但是伴随互联网发展的是一直存在的网络安全问题。

网络安全审计是IT审计的一部分内容，是对计划、执行、维护等各个层面上的风险进行识别和检查的一种方法和措施。而且网络安全审计作为传统的网络安全防护手段一种补充，是网络安全体系中不可缺少的措施之一，同时也是收集、评估证据的重要方式；用以决定网络与信息系统是否能够有效、合理地保护资产、维护信息的完整性和可用性，防止有意或无意的人为错误，防范和发现计算机网络犯罪活动。

要实现网络安全审计，保障计算机信息系统中信息的机密性、完整性、可控性、可用性和不可否认性(抗抵赖)，我们需要对网络系统中的所有资源(包括数据库、主机、操作系统、网络设备、安全设备等)进行安全审计，记录所有发生的事件，提供给系统管理员作为系统维护以及安全防范的依据。

互联网的安全审计数据处理量大，安全审计中要对海量流量进行识别与审计，需要占用较多的网络资源与时间。

发明内容

为了解决上述技术问题，本发明提供了一种面向互联网的安全审计方法，包括以下步骤：

S100在互联网的虚拟集群上构建安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块；

S200 所述访问过滤模块设有预审策略，根据预审策略对客户端的网络访问请求进行初步判断，对确定符合设定要求的访问请求授权通过，剩余的访问请求传输至安全审计模块；

S300所述安全审计模块设置安全审计规则，采用安全审计规则对接收到的访问请求进行审计，经审计符合安全审计规则的访问请求授权通过，不符合的访问请求执行S400；

S400对不符合安全审计规则的访问请求，由安全审计中心发出拦截指令。

可选的，所述访问过滤模块的初步判断过程如下：

S210从客户端的网络访问请求中提取关键词；

S220所述预审策略设置存储敏感词的风险库，将关键词与风险库中的敏感词进行匹配；

S230如果匹配成功则把该客户端的网络访问请求转到所述安全审计模块。

可选的，所述安全审计中心设有重点监测对象库，所述重点监测对象库存储重点监测对象的身份信息，所述身份信息包括IP地址、网站登入认证用户名及密码、邮箱及QQ号，当监测到互联网使用者的访问请求涉及重点监测对象库中的身份信息时，则所述访问过滤模块对使用者本次上网的所有访问请求及网络操作不进行初步判断，直接转由所述安全审计模块进行安全审计。

可选的，所述重点监测对象库存储的重点监测对象包括：

访问请求存在不符合安全审计规则情况的上网次数超过设定次数的互联网使用者；或者根据设定时间内的上网情况被评估为风险人员的互联网使用者；

所述风险人员的评估过程如下：

首先，获取互联网使用者在设定时间内的所有互联网访问信息，建立访问数据集；

其次，设置评语集，以评语集对访问数据集进行模糊综合评判得到综合评判集P，对综合评判集P进行等级赋值得到集合A={A₁，A₂，…，A_n}；

然后，采用以下公式进行风险量化计算：

上式中，

表示风险指数；

表示综合评判集P中的因素数量；

表示因素的等级对 应赋值；

表示权重系数；

最后，若计算出的风险指数达到或者超过设定风险阈值，则评估为风险人员。

可选的，所述安全审计模块按照设定周期对安全审计规则进行更新必要性检测，具体过程如下：

第一，搜查前一次更新之后出现的与安全审计规则有关的准目标信息；

第二，判断准目标信息是否可能对安全审计规则存在影响，若有影响则标记为目标信息；

第三，从目标信息中提炼出安全规则项，把安全规则项加入到安全审计规则中实现更新。

可选的，所述安全规则项的提炼方式为：先从目标信息中筛选出关键字，再采用设定规则语法对关键字进行重组形成信息项，然后对信息项进行逻辑调整与修饰即得到安全规则项。

可选的，所述安全审计模块的审计方法如下：

S310利用安全审计规则构建并训练出一个深度卷积神经网络模型；

S320采用低秩分解的策略，对深度卷积神经网络模型的卷积层进行逐层分解训练；

S330在经S320步骤处理后，采用网络剪枝的策略，去除所述深度卷积神经网络模型的卷积层以及全连接层的冗余连接；

S340采用经S330步骤处理后的深度卷积神经网络模型，对经初步判断未被授权通过的访问请求进行安全识别。

可选的，所述安全审计中心对网络访问请求进行优先级排序，具体为：

识别网络访问请求的对象属性，由对象属性确定属性元，从属性元中选择出变量元，所有变量元构成变量元集；

根据属性元进行功能结构分解得到实体元；再根据不同实体元的关系确定相关元，所有相关元构成相关元集；

然后，采用以下设定公式计算优先级指数：

上式中，

表示网络访问请求j的优先级指数；

表示变量元；

表示变量元集；

表 示相关元；

表示相关元集；

以优先级指数由高到低对网络访问请求进行排序，即网络访问请求的优先级指数越大，优先级越高，按照排序对网络访问请求进行初步判断和安全审计。

本发明还提供了一种面向互联网的安全审计系统，包括虚拟集群及运行在虚拟集群上的安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块，所述访问过滤模块和安全审计模块连接，所述访问过滤模块对客户端的网络访问请求进行初步判断，所述安全审计模块设置安全审计规则。

可选的，所述安全审计中心设置更新管理模块和存储单元，所述更新管理模块用于对网络安全审计规则进行补充与更新；所述存储单元用于存储安全审计过程及结果数据。

本发明在对互联网的安全审计前增设了初审步骤，通过访问过滤模块快速进行初步判断，放行占比较高的安全访问请求所涉及的数据，只对经初步判断可能存在安全风险的数据进行审计，大大缩减了安全审计的数据处理规模，可以有效加快安全审计进程，节省对网络资源的占用，提高安全审计效率，降低安全审计成本。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明实施例中一种面向互联网的安全审计方法流程图；

图2为本发明实施例中一种面向互联网的安全审计方法中采用访问过滤模块进行初步判断的流程图；

图3为本发明实施例中一种面向互联网的安全审计方法中采用安全审计模块的审计方法流程图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

如图1所示，本发明实施例提供了一种面向互联网的安全审计方法，包括以下步骤：

S100在互联网的虚拟集群上构建安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块；

S200 所述访问过滤模块设有预审策略，根据预审策略对客户端的网络访问请求进行初步判断，对确定符合设定要求的访问请求授权通过，剩余的访问请求传输至安全审计模块；

S300所述安全审计模块设置安全审计规则，采用安全审计规则对接收到的访问请求进行审计，经审计符合安全审计规则的访问请求授权通过，不符合的访问请求执行S400；

S400对不符合安全审计规则的访问请求，由安全审计中心发出拦截指令。

上述技术方案的工作原理和有益效果为：互联网每时每刻都存在海量的数据处理，其中没有安全问题的数据占比较高，如果直接对海量的数据全部进行安全审计，将浪费较多的网络资源与处理时间；本发明在对互联网的安全审计前增设了初审步骤，通过访问过滤模块快速进行初步判断，放行占比较高的安全访问请求所涉及的数据，只对经初步判断可能存在安全风险的数据进行审计，大大缩减了安全审计的数据处理规模，可以有效加快安全审计进程，节省对网络资源的占用，提高安全审计效率，降低安全审计成本。

在一个实施例中，如图2所示，所述访问过滤模块的初步判断过程如下：

S210从客户端的网络访问请求中提取关键词；

S220所述预审策略设置存储敏感词的风险库，将关键词与风险库中的敏感词进行匹配；

S230如果匹配成功则把该客户端的网络访问请求转到所述安全审计模块。

上述技术方案的工作原理和有益效果为：通过设置风险库，采用简单比对匹配方式，快速对网络访问请求进行初步判断，一方面，大量无风险访问请求可以提前并及时得到相应的授权处理，安全审计不影响网络访问的效率，另一方面，大大减少了后续安全审计的数据处理量，提高的审计效率。

在一个实施例中，所述安全审计中心设有重点监测对象库，所述重点监测对象库存储重点监测对象的身份信息，所述身份信息包括IP地址、网站登入认证用户名及密码、邮箱及QQ号，当监测到互联网使用者的访问请求涉及重点监测对象库中的身份信息时，则所述访问过滤模块对使用者本次上网的所有访问请求及网络操作不进行初步判断，直接转由所述安全审计模块进行安全审计。

上述技术方案的工作原理和有益效果为：通过建立重点监测对象库，把具有风险的可能性较大的一些互联网使用者纳入重点监测对象库，对这部分库内人员的访问网络行为不进行初步判断，全部归入需要进行安全审计的对象，可以减少访问过滤模块的初步判断所需要处理的数据量，又能够尽可能地防范网络安全风险，效率和效果同时得到兼顾。

在一个实施例中，所述重点监测对象库存储的重点监测对象包括：

访问请求存在不符合安全审计规则情况的上网次数超过设定次数的互联网使用者；或者根据设定时间内的上网情况被评估为风险人员的互联网使用者；

所述风险人员的评估过程如下：

首先，获取互联网使用者在设定时间内的所有互联网访问信息，建立访问数据集；

其次，设置评语集，以评语集对访问数据集进行模糊综合评判得到综合评判集P，对综合评判集P进行等级赋值得到集合A={A₁，A₂，…，A_n}；

然后，采用以下公式进行风险量化计算：

上式中，

表示风险指数；

表示综合评判集P中的因素数量；

表示因素的等级对 应赋值；

表示权重系数；

最后，若计算出的风险指数达到或者超过设定风险阈值，则评估为风险人员。

上述技术方案的工作原理和有益效果为：本方案界定了应当纳入重点监测对象库的范围，采用了两种评判方式，一种是以曾经的网络行为存在被确定为不符合安全审计规则的情况且达到一定的次数，这种情况下认为该网络使用者的网络行为有安全风险的几率较大应当重点关注；另一种是虽然不存在前一情况，但根据预设的风险量化算法对其以前的网络行为的总体评估认为风险指数较高，因此也应当纳入重点监控，对第二种人员的识别所采用的算法原理简单，容易操作。

在一个实施例中，所述安全审计模块按照设定周期对安全审计规则进行更新必要性检测，具体过程如下：

第一，搜查前一次更新之后出现的与安全审计规则有关的准目标信息；

第二，判断准目标信息是否可能对安全审计规则存在影响，若有影响则标记为目标信息；

第三，从目标信息中提炼出安全规则项，把安全规则项加入到安全审计规则中实现更新。

上述技术方案的工作原理和有益效果为：本方案通过周期性地对安全审计模块的安全审计规则进行补充与更新，让安全审计模块所采用的安全审计规则能够根据情况自行进行调整，以保证安全审计的有效性和及时性，避免由于安全审计规则的滞后导致漏过不安全因素或者影响审计结果的可信度。

在一个实施例中，所述安全规则项的提炼方式为：先从目标信息中筛选出关键字，再采用设定规则语法对关键字进行重组形成信息项，然后对信息项进行逻辑调整与修饰即得到安全规则项。

上述技术方案的工作原理和有益效果为：本方案就安全审计规则更新的安全规则项的提炼方式进行了设计，以目标信息中的关键字腰身设定规则语法重组方式形成信息项，再进行逻辑调整与修饰得到安全规则项，提炼方式简单、实用、高效，更新速度快，不会对网络的安全审计产生不利影响。

在一个实施例中，如图3所示，所述安全审计模块的审计方法如下：

S310利用安全审计规则构建并训练出一个深度卷积神经网络模型；

S320采用低秩分解的策略，对深度卷积神经网络模型的卷积层进行逐层分解训练；

S330在经S320步骤处理后，采用网络剪枝的策略，去除所述深度卷积神经网络模型的卷积层以及全连接层的冗余连接；

S340采用经S330步骤处理后的深度卷积神经网络模型，对经初步判断未被授权通过的访问请求进行安全识别。

上述技术方案的工作原理和有益效果为：本方案采用构建深度卷积神经网络模型来对经初步判断未被授权通过的访问请求进行安全识别，对于构建的深度卷积神经网络模型先后进行低秩分解和网络剪枝的策略处理，使得深度卷积神经网络模型更为凝练，因此，将经初步判断未被授权通过的访问请求作为输入数据，由深度卷积神经网络模型进行处理识别，可以大大提高安全识别的效率，实时识别出应当被拦截的访问请求。

在一个实施例中，所述安全审计中心对网络访问请求进行优先级排序，具体为：

识别网络访问请求的对象属性，由对象属性确定属性元，从属性元中选择出变量元，所有变量元构成变量元集；

根据属性元进行功能结构分解得到实体元；再根据不同实体元的关系确定相关元，所有相关元构成相关元集；

然后，采用以下设定公式计算优先级指数：

上式中，

表示网络访问请求j的优先级指数；

表示变量元；

表示变量元集；

表示相关元；

表示相关元集；

以优先级指数由高到低对网络访问请求进行排序，即网络访问请求的优先级指数越大，优先级越高，按照排序对网络访问请求进行初步判断和安全审计。

上述技术方案的工作原理和有益效果为：本方案通过上述优先级指数计算公式对网络访问请求进行优先级量化评估，并以计算结果为依据对网络访问请求进行优先级排序，公式参数中隐含有重要度因素与紧急度因素，然后按照排序对网络访问请求进行初步判断和安全审计，通过这种设计，可以让安全审计在面对海量数据时能够高效有序地进行处理。

本发明实施例提供了一种面向互联网的安全审计系统，包括虚拟集群及运行在虚拟集群上的安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块，所述访问过滤模块和安全审计模块连接，所述访问过滤模块对客户端的网络访问请求进行初步判断，所述安全审计模块设置安全审计规则。

上述技术方案的工作原理和有益效果为：本发明的安全审计系统，通过设置访问过滤模块，对海量的数据快速进行初步判断，放行占比较高的安全访问请求所涉及的数据，只有经初步判断可能存在安全风险的数据才由安全审计模块进行审计处理，大大缩减了安全审计的数据处理规模，可以有效加快安全审计进程，节省对网络资源的占用，提高安全审计效率，降低安全审计成本。

在一个实施例中，所述安全审计中心设置更新管理模块和存储单元，所述更新管理模块用于对网络安全审计规则进行补充与更新；所述存储单元用于存储安全审计过程及结果数据。

上述技术方案的工作原理和有益效果为：通过在安全审计中心设置更新管理模块，可设置对安全审计模块的安全审计规则周期性地进行补充与更新，让安全审计模块所采用的安全审计规则能够根据情况自行进行调整，以保证安全审计的有效性和及时性，避免由于安全审计规则的滞后导致漏过不安全因素或者影响审计结果的可信度；通过设置存储单元来存储安全审计过程及结果数据，可以完整保留安全审计的痕迹备查。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种面向互联网的安全审计方法，其特征在于，包括以下步骤：

S100在互联网的虚拟集群上构建安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块；

S200 所述访问过滤模块设有预审策略，根据预审策略对客户端的网络访问请求进行初步判断，对确定符合设定要求的访问请求授权通过，剩余的访问请求传输至安全审计模块；

S300所述安全审计模块设置安全审计规则，采用安全审计规则对接收到的访问请求进行审计，经审计符合安全审计规则的访问请求授权通过，不符合的访问请求执行S400；

S400对不符合安全审计规则的访问请求，由安全审计中心发出拦截指令。

2.根据权利要求1所述的面向互联网的安全审计方法，其特征在于，所述访问过滤模块的初步判断过程如下：

S210从客户端的网络访问请求中提取关键词；

S220所述预审策略设置存储敏感词的风险库，将关键词与风险库中的敏感词进行匹配；

S230如果匹配成功则把该客户端的网络访问请求转到所述安全审计模块。

3.根据权利要求1所述的面向互联网的安全审计方法，其特征在于，所述安全审计中心设有重点监测对象库，所述重点监测对象库存储重点监测对象的身份信息，所述身份信息包括IP地址、网站登入认证用户名及密码、邮箱及QQ号，当监测到互联网使用者的访问请求涉及重点监测对象库中的身份信息时，则所述访问过滤模块对使用者本次上网的所有访问请求及网络操作不进行初步判断，直接转由所述安全审计模块进行安全审计。

4.根据权利要求3所述的面向互联网的安全审计方法，其特征在于，所述重点监测对象库存储的重点监测对象包括：

访问请求存在不符合安全审计规则情况的上网次数超过设定次数的互联网使用者；或者根据设定时间内的上网情况被评估为风险人员的互联网使用者；

所述风险人员的评估过程如下：

首先，获取互联网使用者在设定时间内的所有互联网访问信息，建立访问数据集；

其次，设置评语集，以评语集对访问数据集进行模糊综合评判得到综合评判集P，对综合评判集P进行等级赋值得到集合A={A₁，A₂，…，A_n}；

然后，采用以下公式进行风险量化计算：

上式中，

表示风险指数；

表示综合评判集P中的因素数量；

表示因素的等级 对应赋值；

表示权重系数；

最后，若计算出的风险指数达到或者超过设定风险阈值，则评估为风险人员。

5.根据权利要求1所述的面向互联网的安全审计方法，其特征在于，所述安全审计模块按照设定周期对安全审计规则进行更新必要性检测，具体过程如下：

第一，搜查前一次更新之后出现的与安全审计规则有关的准目标信息；

第二，判断准目标信息是否可能对安全审计规则存在影响，若有影响则标记为目标信息；

第三，从目标信息中提炼出安全规则项，把安全规则项加入到安全审计规则中实现更新。

6.根据权利要求5所述的面向互联网的安全审计方法，其特征在于，所述安全规则项的提炼方式为：先从目标信息中筛选出关键字，再采用设定规则语法对关键字进行重组形成信息项，然后对信息项进行逻辑调整与修饰即得到安全规则项。

7.根据权利要求1所述的面向互联网的安全审计方法，其特征在于，所述安全审计模块的审计方法如下：

S310利用安全审计规则构建并训练出一个深度卷积神经网络模型；

S320采用低秩分解的策略，对深度卷积神经网络模型的卷积层进行逐层分解训练；

S330在经S320步骤处理后，采用网络剪枝的策略，去除所述深度卷积神经网络模型的卷积层以及全连接层的冗余连接；

S340采用经S330步骤处理后的深度卷积神经网络模型，对经初步判断未被授权通过的访问请求进行安全识别。

8.根据权利要求1所述的面向互联网的安全审计方法，其特征在于，所述安全审计中心对网络访问请求进行优先级排序，具体为：

识别网络访问请求的对象属性，由对象属性确定属性元，从属性元中选择出变量元，所有变量元构成变量元集；

根据属性元进行功能结构分解得到实体元；再根据不同实体元的关系确定相关元，所有相关元构成相关元集；

然后，采用以下设定公式计算优先级指数：

上式中，

表示网络访问请求j的优先级指数；

表示变量元；

表示变量元集；

表示相关元；

表示相关元集；

以优先级指数由高到低对网络访问请求进行排序，按照排序对网络访问请求进行初步判断和安全审计。

9.一种面向互联网的安全审计系统，其特征在于，包括虚拟集群及运行在虚拟集群上的安全审计中心，所述安全审计中心包含访问过滤模块和安全审计模块，所述访问过滤模块和安全审计模块连接，所述访问过滤模块对客户端的网络访问请求进行初步判断，所述安全审计模块设置安全审计规则。

10.根据权利要求9所述的面向互联网的安全审计系统，其特征在于，所述安全审计中心设置更新管理模块和存储单元，所述更新管理模块用于对网络安全审计规则进行补充与更新；所述存储单元用于存储安全审计过程及结果数据。

Images