CN1567851A - 一种在网络管理系统中监控用户行为的方法 - Google Patents

Abstract

本发明公开了一种在网络管理系统中监控用户行为的方法，该方法为：业务模块根据用户命令完成操作后将业务信息上报日志模块；日志模块从安全管理模块获取所述用户的用户信息；将所述业务信息和用户信息组成日志信息并保存。

Description

一种在网络管理系统中监控用户行为的方法

技术领域

本发明涉及网络中的监控技术，尤其涉及一种在网络管理系统中监控用户行为的方法。

背景技术

现有的网管系统只记录服务器端的系统日志，记录内容单一且通常只记录失败信息，一般只能用于开发人员定位重大网上问题，如图1所示。其形式一般为：模块名称+错误信息。如：“告警模块：增加远程通知属性失败。”单从这些记录中，能获得的信息很少。如哪个网管用户、在什么终端上、什么时间、在操作什么设备的属性时失败了等信息无法从日志中得到。系统日志一般以文本形式记录，且这些信息网管用户不能查看，因而对于用户行为的监控是一个很大的缺陷。

总之，现有的系统日志存在以下缺点：

1、不能有效监控用户的操作行为，特别是具有危险性操作的行为；

2、日志信息对网管用户不透明；

3、在系统日志过大时，无有效转储保存方式，从而造成系统异常；

4、无法有效利用日志数据，无有效且灵活的查询手段，日志可读性很差等缺点。

发明内容

本发明的目的在于一种在网络管理系统中监控用户行为的方法，以解决现有技术中不能有效监控用户的操作行为的问题。

为了解决上述问题，本发明提供如下技术方案：

一种在网络管理系统中监控用户行为的方法，所述用户通过网络管理系统的集成应用管理平台下发命令，由集成应用管理平台中的业务模块完成对网络中各级设备的操作；所述方法包括步骤：

A、业务模块根据用户命令完成操作后将该操作产生的业务信息上报日志模块；

B、日志模块从安全管理模块获取所述用户的用户信息；

C、将所述业务信息和用户信息组成日志信息并保存。

根据上述技术方案：

所业务模块仅在执行对系统具有一定危险性的操作后才将该操作的业务信息上报日志模块。

所述业务信息包括：用户标识、操作对象、日志类型、操作标识和操作结果。

所述用户信息包括：用户名称、用户类型、终端名称和终端名称。

步骤A中，业务模块在发送业务信息包前，通过检测本模块的配置信息来判断该日志类型的记录状态，如果该类型允许记录则上报业务信息；否则不上报业务信息，即不记录业务模块的该操作。

步骤C之前还包括步骤：操作日志模块通过系统控制管理模块查询所述业务信息中包含的该日志类型的记录状态；如果该日志类型允许记录则进行步骤C，否则丢弃该业务信息，即不记录业务模块的该次操作。

操作日志模块通过系统控制管理模块查询日志类型的记录状态包括步骤：

操作日志模块向系统控制管理模块发送包含业务模块标识和日志类型信息的查询请求；

系统控制管理模块从所述业务模块的配置文件中查询该日志类型的记录状态；以及

将查询结果返回给操作日志管理模块。

所述业务模块的日志类型和该类型的记录状态预先注册到该业务模块的配置文件中。

通过命令行方式对所述日志类型的记录状态进行修改。

日志模块将所述日志信息以监控字段格式存入数据库中。

日志模块根据业务信息中的操作标识，从安全管理模块得到用于提供给用户的操作名称。

通过所述日志模块提供的操作界面对日志信息进行查询和统计。

由日志模块按日志信息的累计数量或周期性自动转储日志信息。

用户通过日志模块提供的操作界面，按时间或数量手工转储日志信息。

业务模块的操作名称预先注册到安全管理模块。

本发明在业务模块进行完成操作后，将该操作产生的业务信息上报日志模块并保存，因而能对网管系统内不同客户端的不同用户进行有效监控，防止由于误操作、恶意操作而引起的不必要问题和损失。同时，本发明根据网管自身特点，采用有效的、用户关心的信息输出方式，以一种全透明、全方位的方式提供给用户。用户不但可以查询日志、互为监控各自行为，还可以对现有的日志进行灵活统计、转储，使系统资源得到充分的利用。

附图说明

图1为现有技术的系统日志示意图；

图2为本发明的操作日志示意图；

图3为本发明的网络结构示意图；

图4为本发明业务模块的操作名称注册示意图；

图5A、图5B为本发明的流程图；

图6为本发明日志记录示意图；

图7为对操作日志信息进行转储、查询和统计的示意图。

具体实施方式

参阅图2所示，本发明是在系统服务器上运行操作日志模块，该操作日志模块对用户的操作行为进行记录，该记录供网管(网络)用户查询。

参阅图3所示，在服务端上运行有网络管理系统的集成应用管理平台(简称iMAP)，用户通过该集成应用管理平台管理网路通讯中的各级设备。在集成应用管理平台中包含很多业务模块，如安全管理模块(简称SM模块)、告警管理模块(简称FM模块)、拓扑管理模块(简称TM模块)和系统控制管理模块(SAC模块，图中未示出。)等。操作日志模块也作为一个模块运行在集成应用管理平台其中。用户通过友好的可视化界面对集成应用管理平台进行操作，集成应用管理平台将从用户端得到的命令传送到相应的业务模块，由业务模块对设备下达相应指令以完成操作。

用户在登录网管系统时(服务端)时，安全管理模块获取用户信息并记录。用户信息包括：用户名称、用户类型、终端名称和终端名称。也可进一步包括更多相关的用户信息。

业务模块根据用户命令完成操作后，将产生相应的业务信息。其中业务信息包括：用户标识、操作对象、日志类型、操作标识和操作结果等。对于用户而言，并非对所有的操作都关心，而仅关注在执行后具有一定危险性的操作。如：删除、添加和更改某实体属性等。因此，业务模块仅在执这些具有一定危险性的操作后才将业务信息上报到操作日志模块，由操作日志模块来组织并保存操作日志信息。

参阅图4，由于业务模块上报的操作标识对用户来说是不直观的，因此，业务模块将操作标识和对应的直观的操作名称预先注册到安全管理模块(SM模块)，通常这些操作动作都是用户较为关心的。例如：某用户删除了某个网元、某用户在其他终端切断了设备链路、某用户已经退出等。一般操作的粒度依据后台接口粒度确定。操作日志模块在组织操作日志信息时将操作标识转换为操作名称。操作名称根据本地化的原则，采用不同语言以满足用户需求。

每一个业务模块具有一个或多个日志类型，这些类型预先配置在该业务模块的配置文件中，如：FM模块，日志类型为A。可根据需要为每一种日志类型设置记录状态，即禁止记录或允许记录，当状态为禁止时，操作日志模块不记录业务模块上报的这种类型的操作日志信息，当状态为允许记录时才进行记录。

参阅图5A和图6所示，本发明的具体处理过程如下：

步骤10：业务模块根据用户命令完成操作后将该操作的业务信息上报日志模块。

步骤20：操作日志模块从安全管理模块获取所述用户的用户信息。

步骤30：通过系统控制管理模块查询所述业务信息中包含的该日志类型是否允许记录；如果是则进行步骤40，否则丢弃该业务信息。

步骤40：操作日志模块将业务信息和用户信息组成操作日志信息保存到数据库中。

对于步骤30中查询日志类型是否允许记录(即记录状态)可在步骤10中进行，即业务模块在发送业务信息包前，通过检测本模块的配置信息来判断，如果记录被禁止(即不允许记录)则不向操作日志模块上报业务信息，如果允许记录才上报业务信息。

参阅图5B：在步骤30中，操作日志模块通过系统控制管理模块查询所述业务信息中包含的日志类型是否允许记录包括步骤：

步骤301：日志模块向系统控制管理模块发送包含业务模块标识和日志类型的查询请求；

步骤302：系统控制管理模块从所述业务模块的配置文件中查询该日志类型的记录状态；

步骤303：系统控制管理模块将查询结果返回给日志管理模块。

例如：TM模块新产生了某个网元设备a，在操作完成后TM模块从本模块的配置信息中查询日志类型的记录状态，如果记录被禁止则不上报业务信息，即不需要记录该次操作；如果允许记录，则将业务信息传给日志模块，业务信息中包括操：作对象—设备a、日志类型—“拓扑”、操作是否成功、用户标识等。日志模块用用户标识到SM模块获取用户基本信息；然后将业务信息和用户信息组成操作日志信息存入数据库中。

又如：FM模块修改了某设备b的告警属性，在操作完成后将业务信息传给日志模块，业务信息中包括：操作对象——设备b、日志类型—“告警”、操作是否成功、用户标识等。日志模块用用户标识到SM模块获取用户基本信息；然后通过系统管理控制模块检测该日志类型是否允许记录，如果允许记录，则将业务信息和用户信息组成操作日志信息存入数据库中；如果不允许记录，则丢弃FM模块上报的业务信息，即不记录FM模块的该次操作。

为了使操作日志信息完整和易读，按下表的监控字段格式存储操作日志信息：

日志流水号

日志标识

域名

用户类型

用户名称

终端类型

终端名称

日志类型

操作名称

操作对象

操作开始时间

操作结束时间

附加信息

其中：

(1)日志流水号：用于精确、快速排序所有日志记录，属于不暴露给用户的内部字段，由日志模块在写日志时自行加入。

(2)日志标识：用于唯一标识日志记录，由服务器(server)名称+进程号组成，属于不暴露给用户的内部字段，由日志模块在写日志时自行加入。

(3)域名：在iMAP中存在的特殊概念。各域之间相互独利、彼此互不可视。

(4)用户类型：外部(北向)用户或内部用户。

(5)用户名称：做某操作的用户名称。

(6)终端类型：普通终端。

(7)终端名称：用户的ip地址形式标识。

(8)日志类型：用以区分不同模块的操作，如：“拓扑”、“告警”。

(9)操作名称：各个模块根据各自的操作特性，定义出合理粒度的操作名称。这些操作在执行后具有一定的操作危险性(如删除、添加、更改某实体属性等；对于无危险性的操作可以不做定义无须监控)。

(10)操作对象：用户在这个操作中的操作对象。如：某设备名称等。

(11)操作结果：操作是否成功，可为成功、失败或部分成功。

(12)操作开始时间：执行该操作的开始时间，取服务器端当前系统时间，并由日志模块在写日志时自行加入。

(13)操作结束时间：执行该操作的结束时间，由日志模块在写日志时自行加入。当用户在操作结束前更新了某些业务信息，以更新结束时服务器端当前的系统时间作操作结束时间。如果信息没有更新，开始时间和结束时间点相同。

(14)附加信息：用于记录某些特殊操作在上述字段中无法表述且较为关键的信息。

利用这种监控字段，用户可以获得完整的监控信息。例如：内部A用户在某时间点在终端B上进行了C操作，该操作改变了D设备的属性，操作成功。其他终端上的用户通过这条信息可以清楚的知道用户A的特性、在哪个终端上有那些行为、操作了哪些设备或对象。这个操作是否对本域和当前工作会造成影响等。

本发明还为用户提供灵活的查询和统计操作日志信息的功能，查询和统计功能将静态日志信息更立体化呈现给用户。使单纯的记录变成有价值的数字信息，参阅图7。

查询功能：在用户面对完整但庞大的记录时，提供的快捷获取所关注信息的方法。

A、在用户不选择过滤条件时，查询功能将帮助用户获取当前数据库中存在的所有日志记录信息。

B、用户选择过滤条件，查询关心的数据过滤条件：日志界面在展开界面同时，调用后台接口，获取每个字段的非重复信息。现有的过滤条件为：时间跨度、用户、终端、操作、操作对象、操作结果。以用户为例：后台在数据库中查询非重复的用户名称。后台有100条记录，而这100条记录中非重复的用户只有三个：x、y、z。后台将这三个用于返回前提显示给用户。以此类推，前台显示给用户非重复的终端、操作名称、操作对象、操作结果作为待选项。用户可以通过组合以上过滤项，选择自己需要的信息进行查询。这样做不仅大大节省了用户的时间，而且使我们的日志查询更灵活、更具有人性化。

统计功能：从另一个侧面为用户提供的基于度量概念的数字信息。除了查看日志，用户还关心的可能是某些行为的出现频率。例如：正常情况下某操作的个数在一天内一般不超过10次。用户可以通过统计轻松获得此类信息。如果某些统计值出现异常，用户可以迅速做出反映。及时杜绝误操作和恶意侵犯行为。另外，用户也可以通过统计数据获知各种业务的运转情况及运转频率，对当前设备状况做到心中有数。

A、实现统计选项分为统计项、过滤项。用户可以通过统计项选择自己关心的字段信息、再通过过滤项更精确地定位自己所需要的信息。统计结果以坐标及树状结构的形式显示给用户。使用户对统计信息结果一目了然。

B、实现的步骤：

a、根据统计项及过滤条件，通过语句数据库操作“分类”语句(groupby)获取符合条件的数据组合。

b、过滤统计数值项。

c、过滤统计项值，将各个统计项非重复数值放入各自“容器”中。

d、根据统计项的个数，进行重排列。将统计数值放入正确的组合位置。对没有数值的统计位置做填零处理。

本发明还提供操作日志信息转储功能，当日志累计数量过多时，为保证资源的充分利用且有用数据不丢失，可通过自动和手动两种方式转储，以充分保证日志数据的安全可用性，参阅图7。

1、自动转储，包括溢出转储和周期转储(转储可精确单位：条)。

A溢出转储：系统自动启动的，以数据库容量为门限触发点的转储行为。触发参数可配置。用户可以通过设置“最大保留值”和“每次转储值”来设置溢出转储参数。当数据库中的日志条数超过“最大保留值”时，系统自动启动转储，根据“每次转储值”进行转储。转储的文件放入指定目录下。转储按日志流水号排序，将较早写入的日志转储出去。文件名字可由后台配置。

B、周期转储：系统自动启动的，以周期时间点为触发点的转储行为。触发参数可设置。

用户可以通过设置“周期转储路径”、“转储周期”、“周期转储起始时间”、“保留日志数目”、“转储文件名字”来指定转储行为。转储按日志流水号排序，将较早写入的日志转储出去。当所转储周期，如：1天到达时，系统自动启动周期转储。转储后数据库中只保存“保留日志数目”。转储文件及路径根据已配置参数执行。

两种转储均在系统启动时根据默认值自动启动。用户可以配置不同的数值来停止自动转储。

2、手工转储，包括按时间转储和按个数转储。

除了自动行为，系统提供手动的转储行为，使转储行为更加灵活。

A、手工按个数转储(转储可精确单位：条)

用户指定转储个数及转储文件名字，相应个数的日志将被转储到指定文件名字中(转储路径固定)。转储按日志流水号排序，将较早写入的日志转储出去。

B、手工按时间转储(转储可精确单位：秒)

用户指定转储的截至时间及转储文件名字。在该时间之前的所有日志将被转储到指定文件名字中(转储路径固定)。转储按日志流水号排序，将较早写入的日志转储出去。

实现转储的算法：

a、根据转储类型，将符合条件的日志写入转储文件中。

b、返回转储截至点的流水号信息。

c、根据流水号在数据库中删除已经转储的日志。

本发明还为用户提供命令行启动或停止某服务记录日志的功能。通常一个服务对应一个或几个日志类型(在系统的配置文件中指明)，日志类型一般用于过滤。如只想看“告警”类型的日志，就可以应用前述的查询过滤功能。有时为了节约系统资源或为了精确定位一些问题，用来屏蔽掉一些类型的日志。

停止某些日志类型的日志记录：用命令行停止某服务记录日志功能。如：停止了“告警”类型的日志记录，则即使告警模块将业务信息发给操作日志模块，操作日志模块通过类型的检测，发现该类型已经被停止记录日志了，则日志信息也不会被存入数据库中。

启动某些日志类型的日志记录：与停止相对应，启动某服务记录日志功能。如，重新用命令行启动被停止的“告警”类型的操作日志，则告警类型记录操作日志恢复正常。

Claims (19)

1、一种在网络管理系统中监控用户行为的方法，所述用户通过网络管理系统的集成应用管理平台下发命令，由集成应用管理平台中的业务模块完成对网络中各级设备的操作；其特征在于所述方法包括步骤：

A、业务模块根据用户命令完成操作后将该操作产生的业务信息上报日志模块；

B、操作日志模块从安全管理模块获取所述用户的用户信息；

C、将所述业务信息和用户信息组成操作日志信息并保存。

2、如权利要求1所述的方法，其特征在于，所业务模块仅在执行对系统具有一定危险性的操作后才将该操作产生的业务信息上报操作日志模块。

3、如权利要求1所述的方法，其特征在于，所述业务信息包括：用户标识、操作对象、日志类型、操作标识和操作结果。

4、如权利要求1所述的方法，其特征在于，所述用户信息包括：用户名称、用户类型、终端名称和终端名称。

5、如权利要求1所述的方法，其特征在于，步骤A中，业务模块在发送业务信息包前，通过检测本模块的配置信息来判断该日志类型的记录状态，如果该类型允许记录则上报业务信息；否则不上报业务信息，即不记录业务模块的该操作。

6、如权利要求1所述的方法，其特征在于，步骤C之前还包括步骤：

操作日志模块通过系统控制管理模块查询所述业务信息中包含的该日志类型的记录状态；如果该日志类型允许记录则进行步骤C，否则丢弃该业务信息，即不记录业务模块的该次操作。

7、如权利要求6所述的方法，其特征在于，操作日志模块通过系统控制管理模块查询日志类型的记录状态包括步骤：

操作日志模块向系统控制管理模块发送包含业务模块标识和日志类型信息的查询请求；

系统控制管理模块从所述业务模块的配置文件中查询该日志类型的记录状态；以及

将查询结果返回给操作日志管理模块。

8、如权利要求5或6所述的方法，其特征在于，所述业务模块的日志类型和该类型的记录状态预先注册到该业务模块的配置文件中。

9、如权利要求8所述的方法，其特征在于，通过命令行方式对所述日志类型的记录状态进行修改。

10、如权利要求1所述的方法，其特征在于，操作日志模块将所述日志信息以监控字段格式存入数据库中。

11、如权利要求10所述的方法，其特征在于，所述的监控制字段包括：日志流水号、日志标识、域名、用户类型、用户名称、终端类型、终端名称、操作名称、操作对象、操作结果、操作开始时间、操作结束时间和附加信息。

12、如权利要求3所述的方法，其特征在于，操作日志模块根据业务信息中的操作标识，从安全管理模块得到用于提供给用户的操作名称。

13、如权利要求10所述的方法，其特征在于，通过所述操作日志模块提供的操作界面对操作日志信息进行查询和统计。

14、如权利要求13所述的方法，其特征在于，统计结果以坐标和树状结构的形式提供给用户。

15、如权利要求10所述的方法，其特征在于，操作日志模块按操作日志信息的累计数量或周期性自动转储操作日志信息。

16、如权利要求15所述的方法，其特征在于，用户通过操作日志模块提供的界面设置累计数量和周期性转储的参数。

17、如权利要求10所述的方法，其特征在于，用户通过操作日志模块提供的操作界面，按时间或数量手工转储操作日志信息。

18、如权利要求12所述的方法，其特征在于，业务模块的操作名称预先注册到安全管理模块。

19、如权利要求2所述的方法，其特征在于，所述操作包括：删除、增加和更改操作。

Images