[發(fā)明專利]一種Unix類主機(jī)用戶操作指令審計的方法和系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201310665424.5
• 申請日: 2013-12-10
• 公開（公告）號: CN104700024B
• 公開（公告）日: 2018-05-04
• 發(fā)明（設(shè)計）人: 宋剛;李偉東;姜月;王燦義;孫芳杰;沈冰;關(guān)奇;李海明;白楊;劉莉;朱先德
• 申請（專利權(quán)）人: 中國移動通信集團(tuán)黑龍江有限公司
• 主分類號: G06F21/50
• 分類號: G06F21/50;G06F11/34
• 代理公司: 北京中譽(yù)威圣知識產(chǎn)權(quán)代理有限公司11279
• 代理人: 郭振興,查芷琦

1.一種Unix類主機(jī)用戶操作指令審計的方法，包括：

采集當(dāng)前登錄用戶在主機(jī)上的操作指令和/或屏幕顯示內(nèi)容，并將所述用戶操作指令和/或屏幕顯示內(nèi)容發(fā)送到一準(zhǔn)實(shí)時日志中；

對所述準(zhǔn)實(shí)時日志進(jìn)行篩選，并根據(jù)關(guān)聯(lián)規(guī)則進(jìn)行關(guān)聯(lián)，形成帶有賬號的操作日志；

對所述操作日志進(jìn)行定期展示或者按照告警提醒規(guī)則對所述操作日志進(jìn)行逐一匹配，并在發(fā)現(xiàn)高危操作指令時通知給用戶；

對所述準(zhǔn)實(shí)時日志進(jìn)行篩選，并根據(jù)關(guān)聯(lián)規(guī)則進(jìn)行關(guān)聯(lián)，形成帶有賬號的操作日志，包括：

基于操作日志特征和賬號特征對所述準(zhǔn)實(shí)時日志進(jìn)行篩選，將所有符合賬號日志特征和操作日志特征的日志篩選出來；

以登錄賬號為關(guān)聯(lián)主鍵，對所述篩選出來的賬號日志和操作日志進(jìn)行關(guān)聯(lián)以建立起帶有賬號的操作日志；

所述以登錄賬號為關(guān)聯(lián)主鍵，對所述篩選出來的賬號日志和操作日志進(jìn)行關(guān)聯(lián)以建立起帶有賬號的操作日志包括：

對于每一個用戶賬號登錄日志建立一個以賬號為關(guān)鍵字的動態(tài)隊列。

2.根據(jù)權(quán)利要求1所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，基于history指令實(shí)時采集當(dāng)前登錄用戶在主機(jī)上的操作指令；和/或，基于screen指令采集當(dāng)前登錄用戶在主機(jī)上的屏幕顯示內(nèi)容。

3.根據(jù)權(quán)利要求2所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，基于Syslog的方式將所述用戶操作指令和/或屏幕顯示內(nèi)容準(zhǔn)實(shí)時地發(fā)送到所述準(zhǔn)實(shí)時日志中。

4.根據(jù)權(quán)利要求2所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，基于history指令采集當(dāng)前登錄用戶在主機(jī)上的操作指令，包括：

基于history指令實(shí)時采集用戶最新的操作指令，將其存儲于本地日志中，同時以Syslog方式將所述操作指令發(fā)送到所述準(zhǔn)實(shí)時日志中。

5.根據(jù)權(quán)利要求4所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，基于history指令實(shí)時采集用戶最新的操作指令后，還包括：

獲取所述最新的操作指令的時間信息，將所述時間信息與所述最新的操作指令進(jìn)行聚合生成操作日志信息，將所述操作日志信息存儲于本地日志中，同時以Syslog方式發(fā)送到所述準(zhǔn)實(shí)時日志中。

6.根據(jù)權(quán)利要求4所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，基于screen指令采集登錄用戶在主機(jī)上的屏幕顯示內(nèi)容，包括：

基于screen指令采集用戶執(zhí)行操作指令后回顯的所有屏幕顯示內(nèi)容，并生成本地日志信息，以Syslog方式發(fā)送到所述準(zhǔn)實(shí)時日志中。

7.根據(jù)權(quán)利要求6所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，進(jìn)一步包括：

獲取用戶當(dāng)前屏幕顯示對應(yīng)的操作指令和時間信息；

對所述操作指令、時間信息和屏幕顯示內(nèi)容進(jìn)行聚合以形成主機(jī)操作日志信息，以Syslog方式發(fā)送到所述準(zhǔn)實(shí)時日志中。

8.根據(jù)權(quán)利要求7所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，基于管道重定向的方式從包含操作日志信息中的本地存儲日志中獲取到所述操作指令和時間信息。

9.根據(jù)權(quán)利要求1所述的Unix類主機(jī)用戶操作指令審計的方法，其特征在于，對所述準(zhǔn)實(shí)時日志進(jìn)行篩選之前還包括：對所述準(zhǔn)實(shí)時日志按照預(yù)設(shè)的規(guī)則進(jìn)行標(biāo)準(zhǔn)化，形成標(biāo)準(zhǔn)化的準(zhǔn)實(shí)時日志。