CN115664866B

CN115664866B - 访问账号识别方法、装置、计算机设备及存储介质

Info

Publication number: CN115664866B
Application number: CN202211681330.2A
Authority: CN
Inventors: 肖茂林; 刘新凯
Original assignee: Shenzhen Hongtu Technology Co ltd
Current assignee: Shenzhen Hongtu Technology Co ltd
Priority date: 2022-12-27
Filing date: 2022-12-27
Publication date: 2023-03-31
Anticipated expiration: 2042-12-27
Also published as: CN115664866A

Abstract

本发明实施例公开了访问账号识别方法、装置、计算机设备及存储介质。方法包括：获取多源网络流量；对所述多源网络流量进行解析，以得到解析结果；根据所述解析结果判断所述应用系统是否是本地认证方式；若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息；获取所述用户访问账号信息对应的用户访问令牌；通过应用系统接口出参信息获取应用系统中的用户访问令牌；判断用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；若用户访问令牌与所述用户访问账号信息对应的用户访问令牌匹配，则输出所述用户访问账号信息。通过实施本发明实施例的方法可实现直接识别访问账号。

Description

访问账号识别方法、装置、计算机设备及存储介质

技术领域

本发明涉及数据安全，更具体地说是指访问账号识别方法、装置、计算机设备及存储介质。

背景技术

随着信息化技术的飞速发展，各企业和机构均已进入体系化信息安全建设阶段。在此过程中，基于网络内容进行的信息审计技术因为其无侵入、无感知、便于部署等特点得到了大量应用。在流量重组后进行特征分析、攻击检测、威胁检测等操作，其记录的访问主体大多基于IP地址、MAC地址，无法直接获取大部分的用户访问账号。如果实现与用户的访问账号关联，一般需要将IP地址/MAC地址等信息与具体应用系统、第三方审计系统等操作日志结合分析。从而实现具体行为、操作痕迹与用户关联。

但这种方式除核心设备及应用外IP地址多为动态IP，特别是用户访问测，不同的访问设备、不同的网络接入手段，均会造成IP地址变化，这对审计管理造成了相当大的困难；各个应用系统自身、第三方审计系统对登录账号的定义和约束存在差异，容易导致账号信息互不相认，多源数据无法关联为梳理访问信息和审计溯源带来挑战。

因此，有必要设计一种新的方法，实现直接识别访问账号。

发明内容

本发明的目的在于克服现有技术的缺陷，提供访问账号识别方法、装置、计算机设备及存储介质。

为实现上述目的，本发明采用以下技术方案：访问账号识别方法，包括：

获取多源网络流量；

对所述多源网络流量进行解析，以得到解析结果；

根据所述解析结果判断应用系统是否是本地认证方式；

若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息；

获取所述用户访问账号信息对应的用户访问令牌；

通过应用系统接口出参信息获取应用系统中的用户访问令牌；

判断应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；

若应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌匹配，则输出所述用户访问账号信息。

其进一步技术方案为：所述根据所述解析结果判断应用系统是否是本地认证方式之后，还包括：

若所述应用系统是本地认证方式，则对所述解析结果中的接口参数信息获取用户访问账号信息，并执行所述输出所述用户访问账号信息。

其进一步技术方案为：所述用户访问账号信息包括账号密码字段信息。

其进一步技术方案为：所述获取所述用户访问账号信息对应的用户访问令牌之后，还包括：

将所述用户访问账号信息以及用户访问令牌存储在用户认证缓存池。

其进一步技术方案为：所述对所述多源网络流量进行解析，以得到解析结果，包括：

对所述多源网络流量进行解析，以获取原始访问信息；

丢弃所述原始访问信息中的加密流量，以得到解析结果。

本发明还提供了访问账号识别装置，包括：

流量获取单元，用于获取多源网络流量；

流量解析单元，用于对所述多源网络流量进行解析，以得到解析结果；

方式判断单元，用于根据所述解析结果判断应用系统是否是本地认证方式；

信息获取单元，用于若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息；

令牌获取单元，用于获取所述用户访问账号信息对应的用户访问令牌；

出参获取单元，用于通过应用系统接口出参信息获取应用系统中的用户访问令牌；

匹配判断单元，用于判断应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；

输出单元，用于若用户访问令牌与所述用户访问账号信息对应的用户访问令牌，则输出所述用户访问账号信息。

其进一步技术方案为：还包括：

本地认证单元，用于若所述应用系统是本地认证方式，则对所述解析结果中的接口参数信息获取用户访问账号信息，并执行所述输出所述用户访问账号信息。

其进一步技术方案为：还包括：

存储单元，用于将所述用户访问账号信息以及用户访问令牌存储在用户认证缓存池。

本发明还提供了一种计算机设备，所述计算机设备包括存储器及处理器，所述存储器上存储有计算机程序，所述处理器执行所述计算机程序时实现上述的方法。

本发明还提供了一种存储介质，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时可实现上述的方法。

本发明与现有技术相比的有益效果是：本发明通过采集多源网络流量，并对该流量进行解析还原，形成解析结果，利用解析结果确定应用系统的认证方式，对于非本地认证方式，通过应用系统接口出参信息获取应用系统中的用户访问令牌，利用该令牌与账户信息绑定的令牌确定用户访问账号，实现对用户访问账号的直接识别。

下面结合附图和具体实施例对本发明作进一步描述。

附图说明

为了更清楚地说明本发明实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的访问账号识别方法的应用场景示意图；

图2为本发明实施例提供的访问账号识别方法的流程示意图；

图3为本发明实施例提供的访问账号识别方法的子流程示意图；

图4为本发明另一实施例提供的访问账号识别方法的流程示意图；

图5为本发明实施例提供的访问账号识别装置的示意性框图；

图6为本发明实施例提供的访问账号识别装置的流量解析单元的示意性框图；

图7为本发明另一实施例提供的访问账号识别装置的示意性框图；

图8为本发明实施例提供的计算机设备的示意性框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和 “包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。

还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目的而并不意在限制本发明。如在本发明说明书和所附权利要求书中所使用的那样，除非上下文清楚地指明其它情况，否则单数形式的“一”、“一个”及“该”意在包括复数形式。

还应当进一步理解，在本发明说明书和所附权利要求书中使用的术语“和/ 或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。

请参阅图1和图2，图1为本发明实施例提供的访问账号识别方法的应用场景示意图。图2为本发明实施例提供的访问账号识别方法的示意性流程图。该访问账号识别方法应用于服务器中。该服务器与应用系统以及认证服务器进行数据交互，基于流量还原技术，采用直接获取访问账号或者访问会话与认证token关联的方式间接获取用户访问账号，能够自动适应多种认证体系并存的复杂应用架构，准确获取用户访问账号，提升用户异常行为识别能力，降低管理和运营成本。

图2是本发明实施例提供的访问账号识别方法的流程示意图。如图2所示，该方法包括以下步骤S110至S150。

S110、获取多源网络流量。

在本实施例中，多源网络流量包括镜像交换机流量、agent采集流量、网关流量。

具体地，通过应用系统所在的客户端安装agent进行流量数据采集，当然，也可以通过其他手段进行流量采集。

S120、对所述多源网络流量进行解析，以得到解析结果。

在本实施例中，解析结果包括用户登录认证方式等内容。

在一实施例中，请参阅图2，上述的步骤S120可包括步骤S121~S122。

S121、对所述多源网络流量进行解析，以获取原始访问信息。

在本实施例中，原始访问信息包括用户登录认证方式、加密流量等内容。

S122、丢弃所述原始访问信息中的加密流量，以得到解析结果。

对流量进行解析还原，获取原始访问信息，其中，Https等加密流量无法还原，可直接丢弃，避免增加后续的计算量。

S130、根据所述解析结果判断所述应用系统是否是本地认证方式。

在本实施例中，基于用户登录认证信息判断应用系统是否为本地认证，具体是利用用户登录认证信息中的认证方式确定应用系统是否是本地认证方式。

S140、若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息。

在本实施例中，用户访问账号信息是指用户访问账号和密码信息等。

如果应用系统不是本地认证，而是集中认证，那么需要进一步对接口信息进行识别，通过识别接口对认证服务器的交互参数判断认证及工作方式；不同的接口会产生不同的交互参数判断认证及工作方式，通过这些内容便可确定应用系统的认证方式。

S150、获取与所述用户访问账号信息对应的用户访问令牌。

在本实施例中，用户在向认证服务器发起认证时，需要提交账号密码，因此通过认证服务器接口入参获取用户访问账号信息；认证服务器在完成用户认证后，会向用户发放一个用户访问令牌，用户访问令牌代表用户身份的一串字符串，用户可以在Cookie或者Header中携带，通过监测认证服务器接口出参信息，获取用户访问令牌。

S160、通过应用系统接口出参信息获取应用系统中的用户访问令牌。

在本实施例中，所述出参信息包括应用系统中的用户访问令牌。

具体地，因为用户提交认证后，应用系统会将该用户访问令牌信息转发给认证服务器进行核验，判断用户是否可以通过认证，此时根据应用系统接口出参信息可以获取应用系统中用户访问令牌。

S170、判断应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；

S180、若应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌匹配，则输出所述用户访问账号信息。

在本实施例中，将应用系统用户访问Token与用户认证信息缓存池的Token信息进行匹配，如果匹配一致，输出相应的用户访问账号。

若所述出参结果与所述用户访问令牌不匹配，则执行结束步骤。

S190、若所述应用系统是本地认证方式，则对所述解析结果中的接口参数信息获取用户访问账号信息，并执行所述输出所述用户访问账号信息，并执行所述步骤S180。

在本实施例中，基于流量还原技术，采用直接获取访问账号或者访问会话与认证token关联的方式间接获取用户访问账号。能够自动适应多种认证体系并存的复杂应用架构，准确获取用户访问账号，提升用户异常行为识别能力，降低管理和运营成本。泛化能力强。无论是单一认证体系还是多种认证体系共存，只要认证信息在流量数据内均可适应、有效兼容。识别精度高。相比传统识别手段，本实施例的方法利用会话信息与token缓存后自动匹配识别，可提升用户账号识别的精确性，可操作性强。相比传统识别手段，本技术采用的实现手段均交由计算机处理，极大地减少了人工参与带来的风险和不足，极大地提高了识别效率。为审计事件主体由机器信息向具体访问账号即人转移，提供了技术基础。

上述的访问账号识别方法，通过采集多源网络流量，并对该流量进行解析还原，形成解析结果，利用解析结果确定应用系统的认证方式，对于非本地认证方式，通过应用系统接口出参信息获取应用系统中的用户访问令牌，利用该令牌与账户信息绑定的令牌确定用户访问账号，实现对用户访问账号的直接识别。

图4是本发明另一实施例提供的一种访问账号识别方法的流程示意图。如图4所示，本实施例的访问账号识别方法包括步骤S210-S300。其中步骤S210-S250与上述实施例中的步骤S110-S150类似，步骤S270-S290与上述实施例中的步骤S170-S190类似，在此不再赘述。下面详细说明本实施例中所增加的步骤S260。

S260、将所述用户访问账号信息以及用户访问令牌存储在用户认证缓存池。

用户访问账号和用户访问令牌暂存到用户认证缓存池，用户访问令牌失效时，用户访问账号和用户访问令牌自动删除。

图5是本发明实施例提供的一种访问账号自动识别装置300的示意性框图。如图5所示，对应于以上访问账号识别方法，本发明还提供一种访问账号自动识别装置300。该访问账号自动识别装置300包括用于执行上述访问账号识别方法的单元，该装置可以被配置于服务器中。具体地，请参阅图4，该访问账号自动识别装置300包括流量获取单元301、流量解析单元302、方式判断单元303、信息获取单元304、令牌获取单元305、出参获取单元307、匹配判断单元308以及输出单元309。

流量获取单元301，用于获取多源网络流量；流量解析单元302，用于对所述多源网络流量进行解析，以得到解析结果；方式判断单元303，用于根据所述解析结果判断所述应用系统是否是本地认证方式；信息获取单元304，用于若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息；令牌获取单元305，用于获取所述用户访问账号信息对应的用户访问令牌；出参获取单元307，用于通过应用系统接口出参信息获取应用系统中的用户访问令牌；匹配判断单元308，用于判断应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；输出单元309，用于若用户访问令牌与所述用户访问账号信息对应的用户访问令牌，则输出所述用户访问账号信息。

在一实施例中，所述访问账号自动识别装置300还包括：

本地认证单元310，用于若所述应用系统是本地认证方式，则对所述解析结果中的接口参数信息获取用户访问账号信息，并执行所述输出所述用户访问账号信息。

在一实施例中，请参阅图6，所述流量解析单元302包括解析子单元3021以及丢弃子单元3022。

解析子单元3021，用于对所述多源网络流量进行解析，以获取原始访问信息；丢弃子单元3022，用于丢弃所述原始访问信息中的加密流量，以得到解析结果。

图7是本发明另一实施例提供的一种访问账号自动识别装置300的示意性框图。如图7所示，本实施例的访问账号自动识别装置300是上述实施例的基础上增加了存储单元306。

存储单元306，用于将所述用户访问账号信息以及用户访问令牌存储在用户认证缓存池。

需要说明的是，所属领域的技术人员可以清楚地了解到，上述访问账号自动识别装置300和各单元的具体实现过程，可以参考前述方法实施例中的相应描述，为了描述的方便和简洁，在此不再赘述。

上述访问账号自动识别装置300可以实现为一种计算机程序的形式，该计算机程序可以在如图8所示的计算机设备上运行。

请参阅图8，图8是本申请实施例提供的一种计算机设备的示意性框图。该计算机设备500可以是服务器，其中，服务器可以是独立的服务器，也可以是多个服务器组成的服务器集群。

参阅图8，该计算机设备500包括通过系统总线501连接的处理器502、存储器和网络接口505，其中，存储器可以包括非易失性存储介质503和内存储器504。

该非易失性存储介质503可存储操作系统5031和计算机程序5032。该计算机程序5032包括程序指令，该程序指令被执行时，可使得处理器502执行一种访问账号识别方法。

该处理器502用于提供计算和控制能力，以支撑整个计算机设备500的运行。

该内存储器504为非易失性存储介质503中的计算机程序5032的运行提供环境，该计算机程序5032被处理器502执行时，可使得处理器502执行一种访问账号识别方法。

该网络接口505用于与其它设备进行网络通信。本领域技术人员可以理解，图8中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备500的限定，具体的计算机设备500可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

其中，所述处理器502用于运行存储在存储器中的计算机程序5032，以实现如下步骤：

获取多源网络流量；对所述多源网络流量进行解析，以得到解析结果；根据所述解析结果判断所述应用系统是否是本地认证方式；若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息；获取所述用户访问账号信息对应的用户访问令牌；通过应用系统接口出参信息获取应用系统中的用户访问令牌；判断应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；若应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌匹配，则输出所述用户访问账号信息。

其中，所述用户访问账号信息包括账号密码字段信息。

在一实施例中，处理器502在实现所述根据所述入参信息判断所述应用系统是否是本地认证方式步骤之后，还实现如下步骤：

在一实施例中，处理器502在实现所述获取与所述用户访问账号信息对应的用户访问令牌步骤之后，还实现如下步骤：

将所述用户访问账号信息以及用户访问令牌存储在用户认证缓存池。在一实施例中，处理器502在实现所述对所述多源网络流量进行解析，以得到解析结果步骤时，具体实现如下步骤：

对所述多源网络流量进行解析，以获取原始访问信息；丢弃所述原始访问信息中的加密流量，以得到解析结果。

应当理解，在本申请实施例中，处理器502可以是中央处理单元 (CentralProcessing Unit，CPU)，该处理器502还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路 (Application Specific IntegratedCircuit，ASIC)、现成可编程门阵列 (Field-Programmable Gate Array，FPGA) 或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。其中，通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

本领域普通技术人员可以理解的是实现上述实施例的方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成。该计算机程序包括程序指令，计算机程序可存储于一存储介质中，该存储介质为计算机可读存储介质。该程序指令被该计算机系统中的至少一个处理器执行，以实现上述方法的实施例的流程步骤。

因此，本发明还提供一种存储介质。该存储介质可以为计算机可读存储介质。该存储介质存储有计算机程序，其中该计算机程序被处理器执行时使处理器执行如下步骤：

获取多源网络流量；对所述多源网络流量进行解析，以得到解析结果；根据所述解析结果判断所述应用系统是否是本地认证方式；若所述应用系统不是本地认证方式，则通过认证服务器的接口入参信息获取用户访问账号信息；获取所述用户访问账号信息对应的用户访问令牌；通过应用系统接口出参信息获取应用系统中的用户访问令牌；判断应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌是否匹配；若应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌匹配，则输出所述用户访问账号信息。其中，所述用户访问账号信息包括账号密码字段信息。

在一实施例中，所述处理器在执行所述计算机程序而实现所述根据所述入参信息判断所述应用系统是否是本地认证方式步骤之后，还实现如下步骤：

在一实施例中，所述处理器在执行所述计算机程序而实现所述获取与所述用户访问账号信息对应的用户访问令牌步骤之后，还实现如下步骤：

在一实施例中，所述处理器在执行所述计算机程序而实现所述对所述多源网络流量进行解析，以得到解析结果步骤时，具体实现如下步骤：

对所述多源网络流量进行解析，以获取原始访问信息；丢弃所述原始访问信息中的加密流量，以得到解析结果。所述存储介质可以是U盘、移动硬盘、只读存储器（Read-OnlyMemory，ROM）、磁碟或者光盘等各种可以存储程序代码的计算机可读存储介质。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的。例如，各个单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。

本发明实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。本发明实施例装置中的单元可以根据实际需要进行合并、划分和删减。另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。

该集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，终端，或者网络设备等）执行本发明各个实施例所述方法的全部或部分步骤。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims

1.访问账号识别方法，其特征在于，包括：

获取多源网络流量；

对所述多源网络流量进行解析，以得到解析结果；

根据所述解析结果判断应用系统是否是本地认证方式；

获取所述用户访问账号信息对应的用户访问令牌；

2.根据权利要求1所述的访问账号识别方法，其特征在于，所述根据所述解析结果判断应用系统是否是本地认证方式之后，还包括：

3.根据权利要求1所述的访问账号识别方法，其特征在于，所述用户访问账号信息包括账号密码字段信息。

4.根据权利要求1所述的访问账号识别方法，其特征在于，所述获取所述用户访问账号信息对应的用户访问令牌之后，还包括：

5.根据权利要求1所述的访问账号识别方法，其特征在于，所述对所述多源网络流量进行解析，以得到解析结果，包括：

对所述多源网络流量进行解析，以获取原始访问信息；

丢弃所述原始访问信息中的加密流量，以得到解析结果。

6.访问账号识别装置，其特征在于，包括：

流量获取单元，用于获取多源网络流量；

输出单元，用于若应用系统中的用户访问令牌与所述用户访问账号信息对应的用户访问令牌，则输出所述用户访问账号信息。

7.根据权利要求6所述的访问账号识别装置，其特征在于，还包括：

8.根据权利要求6所述的访问账号识别装置，其特征在于，还包括：

9.一种计算机设备，其特征在于，所述计算机设备包括存储器及处理器，所述存储器上存储有计算机程序，所述处理器执行所述计算机程序时实现如权利要求1至5中任一项所述的方法。

10.一种存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时可实现如权利要求1至5中任一项所述的方法。