CN111984216A - 一种对字符运维的图形审计方法及系统 - Google Patents

Abstract

本发明提出了一种对字符运维的图形审计方法及系统，通过将所有运维工具集中部署到windows工作桌面中，且将图形审计数据和运维协议审计数据进行聚合，实现了所有运维员只需要有windows自带的rdp客户端或其他第三方rdp客户端就可以连接不同类型的终端服务器的同时，审计还具备录像和运维操作事件数据，并且操作事件可以关联到对应录像的操作时间点，且对于运维员的任意操作也能进行审计。

Description

一种对字符运维的图形审计方法及系统

技术领域

本发明属于运维审计技术领域，具体地说，涉及一种对字符运维的图形审计方法及系统。

背景技术

在现有的运维审计系统中字符协议、数据库协议、文件传输协议会话只记录了对应字符命令/SQL命令/文件操作协议数据，审计效果单一并无法和实际操作关联起来，并且对一些协议事件数据的审计还需要具备基础知识。

同时在现有的运维审计系统中字符协议、数据库协议、文件传输协议只能基于协议自身数据进行审计和分析，无法审计到运维员一些未产生协议数据的客户端操作，如一些客户端配置操作，以及未点击确认的操作。

除此以外，每个运维员运维在连接不同的终端服务器时，需要安装终端服务器类型所对应的客户端工具；在一些大的企业中，这种运维方案有着很高的管理人员的运维部署和管理成本。

发明内容

本发明针对现有技术的上述缺点，提出了一种对字符运维的图形审计方法及系统，通过将所有运维工具集中部署到windows工作桌面中，且将图形审计数据和运维协议审计数据进行聚合，实现了所有运维员只需要有windows自带的rdp客户端或其他第三方rdp客户端就可以连接不同类型的终端服务器的同时，审计还具备录像和运维操作事件数据，并且操作事件可以关联到对应录像的操作时间点，且对于运维员的任意操作也能进行审计。

本发明具体实现内容如下：

本发明提出了一种对字符运维的图形审计方法，具体包括以下步骤：

步骤1：使用图形协议代理单元连接RDP图形客户端，通过认证获取windows工作桌面信息和会话组信息，所述会话组信息包括会话组ID，并将图形协议代理单元与windows工作桌面的工具加载器连接，通过工具加载器单元启动windows工作桌面的运维客户端；

步骤2：使用运维协议代理单元连接运维客户端，通过认证获取运维终端服务器信息和会话组信息，所述会话组信息包括会话组ID，然后将运维协议代理单元与运维终端服务器进行登录连接；

步骤3：通过图形协议代理单元和运维协议代理单元分别入库图形审计数据和运维协议审计数据到审计存储模块，并将图形审计数据和运维协议审计数据聚合后发送到审计展示模块；

步骤4：在审计展示模块生成视频录像审计数据和运维操作指令事件并发送到WEB端展示模块，在审计展示模块根据时间戳关联视频录像审计和运维操作指令事件，并进行展示。

为了更好地实现本发明，进一步地，所述步骤3具体包括以下步骤：

步骤3.1：设置会话组ID；在图形协议代理单元连接目标后，创建一个图形审计存储实例recorder来入库审计所需的图形审计数据；使用图形审计存储实例recorder根据会话组ID和运维终端服务器信息采用Hash算法生成一个图形审计唯一标识，并以图形审计唯一标识在本地地址上进行监听，然后将所述图形审计存储实例recorder设置为图形主recorder；

步骤3.2：在运维协议代理单元连接目标后，创建一个运维审计存储实例recorder，同样根据会话组ID和运维终端服务器信息采用Hash算法生成一个运维审计唯一标识，并连接运维审计唯一标识所在地址，若连接成功，则将运维审计存储实例recorder设置为运维从recorder；若未连接成功，则将运维审计存储实例recorder设置为运维主recorder在本地地址上进行监听；

步骤3.3：在连接运维审计唯一标识所在地址成功后，使用图形协议代理单元调用图形主recorder将图形审计数据入库进审计存储模块；使用运维协议代理模块调用运维从recorder将运维协议审计数据发送到图形主recorder，然后由图形主recorder将运维协议审计数据入库到审计存储模块，并将图形审计数据和运维协议审计数据聚合后生成聚合审计数据发送到审计展示模块。

为了更好地实现本发明，进一步地，所述步骤3.3中，对于图形审计数据和运维协议审计数据根据数据类型的不同，进行分表存储，并对每条存储的数据都以毫秒级时间戳进行记录。

为了更好地实现本发明，进一步地，所述步骤1具体包括以下步骤：

步骤1.1：启动RDP图形客户端，在RDP图形客户端设置访问凭据以及remoteapp通道属性，然后连接到图形协议代理单元；

步骤1.2：使用图形协议代理单元向认证模块请求认证，在认证通过后，获取windows工作桌面信息，所述windows工作桌面信息包括windows工作桌面目标信息、运维工具启动参数；

步骤1.3：将图形协议代理单元与windows工作桌面连接，并通过remoteapp通道将工具加载器启动，然后将需要启动的运维客户端和运维客户端的参数传递给工具加载器，通过工具加载器启动运维客户端。

为了更好地实现本发明，进一步地，所述步骤2具体包括以下步骤：

步骤2.1：在工具加载器启动运维客户端后，设置运维客户端参数和访问凭据，然后将运维客户端与运维协议代理单元连接；

步骤2.2：使用运维协议代理单元向认证模块请求认证，在认证通过后获取运维终端服务器信息和会话组信息，然后将运维协议代理单元与运维终端服务器连接；

步骤2.3：通过指定的协议在运维终端服务器与windows工作桌面中的运维客户端之间传输运维操作；使用RDP图形协议在remoteapp服务和RDP图形客户端之间传输运维操作数据。

为了更好地实现本发明，进一步地，所述步骤4具体包括以下步骤：

步骤4.1：使用审计展示模块从审计存储模块调用聚合后的聚合审计数据，根据聚合审计数据中的图形审计数据进行渲染生成录像播放的视频录像审计数据；根据运维协议审计数据分析提纯生成运维操作指令事件；

步骤4.2：以视频录像审计数据作为主视图，运维操作指令事件作为索引辅助视图，根据运维事件的时间戳在审计展示模块跳转对应的审计时间，将视频录像审计数据和运维操作指令事件关联起来进行展示。

本发明还提出了一种对字符运维的图形审计系统，用于上述运维审计方法，包括以下模块：

RDP图形客户端、运维终端服务器、代理模块、windows工作桌面、审计存储模块、审计展示模块、认证模块；

所述代理模块包括图形协议代理单元、运维协议代理单元；所述windows工作桌面包括工具加载器和运维客户端；

所述图形协议代理单元分别与图形客户端、审计存储模块、工具加载器、认证模块连接；

所述工具加载器与运维客户端连接；

所述运维协议代理单元分别与运维客户端、运维终端服务器、审计存储模块、认证模块连接；

所述审计存储模块还与审计展示模块连接。

本发明与现有技术相比具有以下优点及有益效果：

（1）审计时具备录像和运维操作事件数据，并且操作事件可以关联到对应录像的操作时间点；在运维过程中对运维员的专业要求素养更低，且运维展示的效果更佳直观清晰；

（2）实现了所有运维员只需要有windows自带的rdp客户端或其他第三方rdp客户端就可以连接不同类型的终端服务器，降低了管理成本和维护成本等；

（3）对于运维员的任意操作也能进行审计。

附图说明

图1为本发明系统不包括认证模块的系统组成连接示意图；

图2为本发明步骤1和步骤2的在各模块之间的具体操作流程示意图；

图3为本发明步骤3和步骤4在各模块之间的具体操作流程示意图；

图4为本发明在聚合时生成图形主recorder和运维从recorder进行数据入库的示意图；

图5为本发明在审计展示模块的展示实例图一；

图6为本发明在审计展示模块的展示实例图二。

具体实施方式

为了更清楚地说明本发明实施例的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，应当理解，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例，因此不应被看作是对保护范围的限定。基于本发明中的实施例，本领域普通技术工作人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“设置”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；也可以是直接相连，也可以是通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。

实施例1：

本实施例提出了一种对字符运维的图形审计方法，如图2、图3所示，具体包括以下步骤：

步骤1：使用图形协议代理单元连接RDP图形客户端，通过认证获取windows工作桌面信息和会话组信息，所述会话组信息包括会话组ID，并将图形协议代理单元与windows工作桌面的工具加载器连接，通过工具加载器单元启动windows工作桌面的运维客户端；

步骤2：使用运维协议代理单元连接运维客户端，通过认证获取运维终端服务器信息和会话组信息，所述会话组信息包括会话组ID，然后将运维协议代理单元与运维终端服务器进行登录连接；

步骤3：通过图形协议代理单元和运维协议代理单元分别入库图形审计数据和运维协议审计数据到审计存储模块，并将图形审计数据和运维协议审计数据聚合后发送到审计展示模块；

步骤4：在审计展示模块生成视频录像审计数据和运维操作指令事件并发送到WEB端展示模块，在审计展示模块根据时间戳关联视频录像审计和运维操作指令事件，并进行展示。

工作原理：本发明实现了字符/数据库/文件协议运维可进行录像审计和字符命令/SQL命令/文件操作的审计；在使用体验保持不变的前提下使得审计体验更丰富，不仅有直观的视频审计效果，同时也兼具了字符命令/SQL命令/文件操作行为关联到具体的视频录像。

实施例2：

本实施例在上述实施例1的基础上，如图2所示，为了更好地实现本发明，进一步地，所述步骤1具体包括以下步骤：

步骤1.1：启动RDP图形客户端，在RDP图形客户端设置访问凭据以及remoteapp通道属性，然后连接到图形协议代理单元；

步骤1.2：使用图形协议代理单元向认证模块请求认证，在认证通过后，获取windows工作桌面信息，所述windows工作桌面信息包括windows工作桌面目标信息、运维工具启动参数；

步骤1.3：将图形协议代理单元与windows工作桌面连接，并通过remoteapp通道将工具加载器启动，然后将需要启动的运维客户端和运维客户端的参数传递给工具加载器，通过工具加载器启动运维客户端。

所述步骤2具体包括以下步骤：

步骤2.1：在工具加载器启动运维客户端后，设置运维客户端参数和访问凭据，然后将运维客户端与运维协议代理单元连接；

步骤2.2：使用运维协议代理单元向认证模块请求认证，在认证通过后获取运维终端服务器信息和会话组信息，然后将运维协议代理单元与运维终端服务器连接；

步骤2.3：通过指定的协议在运维终端服务器与windows工作桌面中的运维客户端之间传输运维操作；使用RDP图形协议在remoteapp服务和RDP图形客户端之间传输运维操作数据。

工作原理：在现有技术中，每个运维员运维在连接不同的终端服务器时，需要安装终端服务器类型所对应的客户端工具；在使用此方案进行运维后，只需要将所有的运维工具集中部署到windows工作桌面中，所有运维员只需要有windows自带的rdp客户端或其他第三方rdp客户端就可以连接不同类型的终端服务器；在一些大的企业中，此运维方案可以很大的减轻了管理人员的运维部署和管理成本。

本实施例的其他部分与上述实施例1相同，故不再赘述。

实施例3：

本实施例在上述实施例1-2任一项的基础上，为了更好地实现本发明，进一步地，如图3、图4所示，所述步骤3具体包括以下步骤：

步骤3.1：设置会话组ID；在图形协议代理单元连接目标后，创建一个图形审计存储实例recorder来入库审计所需的图形审计数据；使用图形审计存储实例recorder根据会话组ID和运维终端服务器信息采用Hash算法生成一个图形审计唯一标识，并以图形审计唯一标识在本地地址上进行监听，然后将所述图形审计存储实例recorder设置为图形主recorder；

步骤3.2：在运维协议代理单元连接目标后，创建一个运维审计存储实例recorder，同样根据会话组ID和运维终端服务器信息采用Hash算法生成一个运维审计唯一标识，并连接运维审计唯一标识所在地址，若连接成功，则将运维审计存储实例recorder设置为运维从recorder；若未连接成功，则将运维审计存储实例recorder设置为运维主recorder在本地地址上进行监听；

步骤3.3：在连接运维审计唯一标识所在地址成功后，使用图形协议代理单元调用图形主recorder将图形审计数据入库进审计存储模块；使用运维协议代理模块调用运维从recorder将运维协议审计数据发送到图形主recorder，然后由图形主recorder将运维协议审计数据入库到审计存储模块，并将图形审计数据和运维协议审计数据聚合后生成聚合审计数据发送到审计展示模块；对于图形审计数据和运维协议审计数据根据数据类型的不同，进行分表存储，并对每条存储的数据都以毫秒级时间戳进行记录。

所述步骤4具体包括以下步骤：

步骤4.1：使用审计展示模块从审计存储模块调用聚合后的聚合审计数据，根据聚合审计数据中的图形审计数据进行渲染生成录像播放的视频录像审计数据；根据运维协议审计数据分析提纯生成运维操作指令事件；

步骤4.2：以视频录像审计数据作为主视图，运维操作指令事件作为索引辅助视图，根据运维事件的时间戳在审计展示模块跳转对应的审计时间，将视频录像审计数据和运维操作指令事件关联起来进行展示。

工作原理：在使用Hash算法生成唯一标识的操作时，rdp运维连接和运维协议连接在认证通过后获取到的会话信息包括：组信息、运维人身份信息、运维目标信息。Rdp连接的组ID以及运维人身份信息和运维连接的组ID以及运维人身份信息肯定是一致的，我们根据组ID和运维用户名做一个HASH生成一个唯一标识，故当连接运维审计唯一标识所在地址成功时，图形协议代理的审计与运维协议审计的唯一标识是一致的；

此时图形主recorder即Master recorder和运维从recorder即Slave recorder连接建立的身份确认就依赖于这个唯一标识；

在数据入库时，采用了图形主recorder即Master recorder和运维从recorder即Slaverecorder进行入库，其示意图如图4所示，审计存储模块主要有两个功能：

（1）多会话的审计数据聚合方案：先建立的图形连接作为Master，并且Master可以接收Slave的数据，最终Master作为集中写入的入库点；Master要负责各个连接的维护，包括Slave的连入和退出，并且Master作为集中写入点需要在所有连接都断开以后才能进行释放；

（2）数据入库引擎：根据数据类型进行入库，将用于录像播放的数据和用于索引的协议数据进行分表存储。利用数据库来存储审计数据，在存储方案中设计了两张表：i表用于存储index运维事件数据；d表用于存储图形渲染data数据。每条数据都会将毫秒时间戳记录下来，用于做视频回放时间进度维护，事件数据的时间戳用来关联视频的操作。审计展示模块设计了两条通道，一条通道用于获取图形数据渲染成视频并完成视频的跳转、倍速等功能；另一条通道提供数据的查询接口。

聚合从两个方面体现，运维聚合和审计聚合：

运维聚合：运维数据库/文件/字符协议的资产时，只需要使用对应协议提供的客户端就可以；此方案是在非图形协议的运维外再包裹了一层图形协议。运维聚合完成了将图形运维通道和非图形运维通道关联打通，通过图形通道将非图形协议的客户端启动起来，并且通过图形通道传参让非图形协议客户端连接上对应的协议代理。

审计聚合：审计聚合主要目的是将多个会话的数据集中存储到一个会话中，并设计了图形数据和事件类数据共存的审计方案。图形数据用于视频通道渲染视频录像，事件索引数据用于查询和关联定位图象的操作。

聚合带来的好处有两个方面：

1、审计力度更精细，体验更好

2、各种协议的运维工具可以集中部署，运维人员只需要有RDP客户端（windows自带）就能运维，如果使用运维审计系统提供的浏览器客户端；那么运维人员只需要有一个浏览器就可以在任意平台上运维任意资产。

在完成运维聚合后，RDP图形协议代理和运维协议代理的数据在时间上是同步的，运维协议代理的数据在时间上会比图形数据要慢 但也是毫秒级别的。在审计播放时，双击选中一条索引数据，此时会根据这条索引数据的时间戳 在图形数据表中查询小于此时间戳最近的一条图形数据，查询到数据后审计展示模块的视频播放逻辑会跳转到这一条图形数据去。

如图5、如6所示，普通的运维审计直接使用Oracle的plsqldev客户端通过Oracle协议代理运维时，审计就只有SQL命令。而本发明通过rdp图形通道启动Oracle的plsqldev客户端最终运维数据库服务器：

如图5所示，在审计展示模块左边的索引栏的数据是根据Oracle协议解析出来的SQL请求语句，右边是根据RDP协议生成的录像视频，审计时可以搜索SQL语句并双击跳转到对应的操作时间点；

如图6所示，在进行plsqldev客户端操作时是不会有Oracle协议数据的，比如：SQL语句查询出来大量的数据，运维人员在运维是有一个动作是将其中一个密码数据给复制保存到本地文件，这个是客户端操作行为在oracle协议上是不知道的，但是过了一层RDP图形协议可以将运维员操作windows工作桌面应用的所有行为记录下来。

本实施例的其他部分与上述实施例1-2任一项相同，故不再赘述。

实施例4：

本实施例提出了一种对字符运维的图形审计系统，用于上述运维审计方法，如图1所示，包括以下模块：

RDP图形客户端、运维终端服务器、代理模块、windows工作桌面、审计存储模块、审计展示模块、认证模块；

所述代理模块包括图形协议代理单元、运维协议代理单元；所述windows工作桌面包括工具加载器和运维客户端；

所述图形协议代理单元分别与图形客户端、审计存储模块、工具加载器、认证模块连接；

所述工具加载器与运维客户端连接；

所述运维协议代理单元分别与运维客户端、运维终端服务器、审计存储模块、认证模块连接；

所述审计存储模块还与审计展示模块连接。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。

Claims (7)

1.一种对字符运维的图形审计方法，其特征在于，具体包括以下步骤：

步骤1：使用图形协议代理单元连接RDP图形客户端，通过认证获取windows工作桌面信息和会话组信息，所述会话组信息包括会话组ID，并将图形协议代理单元与windows工作桌面的工具加载器连接，通过工具加载器单元启动windows工作桌面的运维客户端；

步骤2：使用运维协议代理单元连接运维客户端，通过认证获取运维终端服务器信息和会话组信息，所述会话组信息包括会话组ID，然后将运维协议代理单元与运维终端服务器进行登录连接；

步骤3：通过图形协议代理单元和运维协议代理单元分别入库图形审计数据和运维协议审计数据到审计存储模块，并将图形审计数据和运维协议审计数据聚合后发送到审计展示模块；

步骤4：在审计展示模块生成视频录像审计数据和运维操作指令事件并发送到WEB端展示模块，在审计展示模块根据时间戳关联视频录像审计和运维操作指令事件，并进行展示。

2.如权利要求1所述的一种对字符运维的图形审计方法，其特征在于，所述步骤3具体包括以下步骤：

步骤3.1：设置会话组ID；在图形协议代理单元连接windows工作桌面后，创建一个图形审计存储实例recorder来入库审计所需的图形审计数据；使用图形审计存储实例recorder根据会话组ID和运维终端服务器信息采用Hash算法生成一个图形审计唯一标识，并以图形审计唯一标识在本地地址上进行监听，然后将所述图形审计存储实例recorder设置为图形主recorder；

步骤3.2：在运维协议代理单元连接运维终端服务器后，创建一个运维审计存储实例recorder，同样根据会话组ID和运维终端服务器信息采用Hash算法生成一个运维审计唯一标识，并连接运维审计唯一标识所在地址，若连接成功，则将运维审计存储实例recorder设置为运维从recorder；若未连接成功，则将运维审计存储实例recorder设置为运维主recorder在本地地址上进行监听；

步骤3.3：在连接运维审计唯一标识所在地址成功后，使用图形协议代理单元调用图形主recorder将图形审计数据入库进审计存储模块；使用运维协议代理模块调用运维从recorder将运维协议审计数据发送到图形主recorder，然后由图形主recorder将运维协议审计数据入库到审计存储模块，并将图形审计数据和运维协议审计数据聚合后生成聚合审计数据发送到审计展示模块。

3.如权利要求2所述的一种对字符运维的图形审计方法，其特征在于，所述步骤3.3中，对于图形审计数据和运维协议审计数据根据数据类型的不同，进行分表存储，并对每条存储的数据都以毫秒级时间戳进行记录。

4.如权利要求1所述的一种对字符运维的图形审计方法，其特征在于，所述步骤1具体包括以下步骤：

步骤1.1：启动RDP图形客户端，在RDP图形客户端设置访问凭据以及remoteapp通道属性，然后连接到图形协议代理单元；

步骤1.2：使用图形协议代理单元向认证模块请求认证，在认证通过后，获取windows工作桌面信息，所述windows工作桌面信息包括windows工作桌面目标信息、运维工具启动参数；

步骤1.3：将图形协议代理单元与windows工作桌面连接，并通过remoteapp通道将工具加载器启动，然后将需要启动的运维客户端和运维客户端的参数传递给工具加载器，通过工具加载器启动运维客户端。

5.如权利要求4所述的一种对字符运维的图形审计方法，其特征在于，所述步骤2具体包括以下步骤：

步骤2.1：在工具加载器启动运维客户端后，设置运维客户端参数和访问凭据，然后将运维客户端与运维协议代理单元连接；

步骤2.2：使用运维协议代理单元向认证模块请求认证，在认证通过后获取运维终端服务器信息和会话组信息，然后将运维协议代理单元与运维终端服务器连接；

步骤2.3：通过指定的协议在运维终端服务器与windows工作桌面中的运维客户端之间传输运维操作；使用RDP图形协议在remoteapp服务和RDP图形客户端之间传输运维操作数据。

6.如权利要求1所述的一种对字符运维的图形审计方法，其特征在于，所述步骤4具体包括以下步骤：

步骤4.1：使用审计展示模块从审计存储模块调用聚合后的聚合审计数据，根据聚合审计数据中的图形审计数据进行渲染生成录像播放的视频录像审计数据；根据运维协议审计数据分析提纯生成运维操作指令事件；

步骤4.2：以视频录像审计数据作为主视图，运维操作指令事件作为索引辅助视图，根据运维事件的时间戳在审计展示模块跳转对应的审计时间，将视频录像审计数据和运维操作指令事件关联起来进行展示。

7.一种对字符运维的图形审计系统，用于上述图形审计方法，其特征在于，包括以下模块：

RDP图形客户端、运维终端服务器、代理模块、windows工作桌面、审计存储模块、审计展示模块、认证模块；

所述代理模块包括图形协议代理单元、运维协议代理单元；所述windows工作桌面包括工具加载器和运维客户端；

所述图形协议代理单元分别与图形客户端、审计存储模块、工具加载器、认证模块连接；

所述工具加载器与运维客户端连接；

所述运维协议代理单元分别与运维客户端、运维终端服务器、审计存储模块、认证模块连接；

所述审计存储模块还与审计展示模块连接。

Images