[發明專利]一種遠程運維智能審計的方法

有效

• 申請號: 201410396109.1
• 申請日: 2014-08-12
• 公開（公告）號: CN104156439B
• 公開（公告）日: 2017-06-09
• 發明（設計）人: 吳克河;崔文超;陳飛;安延文
• 申請（專利權）人: 華北電力大學
• 主分類號: G06F17/30
• 分類號: G06F17/30;G06Q50/00
• 代理公司: 南京蘇高專利商標事務所(普通合伙)32204
• 代理人: 王云

1.一種遠程運維智能審計的方法，在客戶端與服務器之間架設堡壘機，客戶端對服務器的運維通過堡壘機轉發進行，堡壘機收集運維數據并對運維數據進行審計，其特征在于，該方法包括形成規則庫的學習階段，以及通過匹配規則庫審計運維數據是否正常的檢測階段；

所述學習階段包括如下步驟：

通過對樣本數據中的操作字符命令進行詞法和語法分析生成字符命令的語法樹并根據語法樹的結構特征計算特征值，以字符命令的特征值建立操作命令規則庫；具體步驟包括：

步驟101：對字符命令i進行詞法和語法分析，生成語法樹，i為樣本數據中的字符命令的編號；

步驟102：對語法樹中的用戶輸入內容進行統一的字符替換生成規范語法樹；

步驟103：對規范語法樹進行特征提取，得到字符命令規范語法樹的結構特征Si=(S1 ,S2 ,S3 ,S4,S5)，S1為操作類型、S2為子樹的個數、S3為樹的高度、S4為節點的個數、S5為第一棵子樹節點的個數；

步驟104：利用HASH算法對(S1 ,S2 ,S3 ,S4,S5)組成的字符串進行HASH計算從而得到字符命令的特征值Vi；

步驟105：將字符命令的特征值Vi存入操作命令規則庫；

循環步驟101至105直至將所有樣本數據學習完畢；

通過對樣本數據中的操作行為進行聚類分析，利用Apriori算法對聚類結果進行關聯規則挖掘，以關聯規則建立操作行為規則庫；

所述檢測階段包括如下步驟：

對審計數據中的操作字符命令進行詞法和語法分析生成字符命令的語法樹并根據語法樹的結構特征計算特征值，根據特征值與操作命令規則庫的匹配情況來判斷審計數據中的操作字符命令是否正常；具體步驟包括：

步驟201：按照所述步驟101-104的方法得到審計數據中的字符命令對應的特征值；

步驟202：將步驟201中得到的特征值與操作命令規則庫中的特征值進行匹配，如果匹配成功則視為正常數據，結束；如果匹配失敗則至步驟203；

步驟203：提交到待人工審計數據列表，由審計人員進行人工審計，若判斷為正常數據則將該特征值添加至操作命令規則庫中，結束；若判斷為異常數據則進行告警處理；

提取審計數據中的操作行為特征，根據行為特征與操作行為規則庫的匹配情況來判斷審計數據中的操作行為是否正常。

2.根據權利要求1所述的遠程運維智能審計的方法，其特征在于，

所述通過對樣本數據中的操作行為進行聚類分析，利用Apriori算法對聚類結果進行關聯規則挖掘，以關聯規則建立操作行為規則庫的具體步驟包括：

步驟401：根據預先定義的操作行為相關元素，提取樣本數據中的關鍵元素并進行聚類分析；

步驟402：利用Apriori算法對聚類結果進行分析，設定最小支持度和最小可信度，計算出符合最小支持度和最小可信度的強關聯規則；

步驟403：將關聯規則存入操作行為規則庫；

所述提取審計數據中的操作行為特征，根據行為特征與操作行為規則庫的匹配情況來判斷審計數據中的操作行為是否正常的具體步驟包括：

步驟501：根據預先定義的操作行為相關元素，提取審計數據中的關鍵元素，得到其關聯關系；

步驟502：將步驟501得到的關聯關系與操作行為規則庫中關聯規則進行匹配，如果匹配成功則視為正常數據，結束；如果匹配失敗則至步驟503；

步驟503：提交到待人工審計數據列表，由審計人員進行人工審計，若判斷為正常數據則將該關聯關系添加至操作行為規則庫中，結束；若判斷為異常數據則進行告警處理。

3.根據權利要求1所述的遠程運維智能審計的方法，其特征在于，步驟101中利用UNIX系統所提供的詞法分析工具LEX和語法分析工具YACC分別對進行字符命令進行詞法和語法分析。

4.根據權利要求2所述的遠程運維智能審計的方法，其特征在于，所述預先定義的操作行為相關元素包括數據庫用戶名、操作對象表名、數據庫操作類型、服務器地址、服務器登錄名和操作命令類型。