[發明專利]一種基于云日志分析的云上用戶行為審計系統及方法

在審

• 申請號: 201811301888.7
• 申請日: 2018-11-02
• 公開（公告）號: CN109471846A
• 公開（公告）日: 2019-03-15
• 發明（設計）人: 齊偉鋼;王紅偉;劉恕濤;熊丹;樓恒越;郭小華
• 申請（專利權）人: 中國電子科技網絡信息安全有限公司
• 主分類號: G06F16/18
• 分類號: G06F16/18;G06F16/182
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于云日志分析的云上用于行為審計系統，其特征在于，所述基于云日志分析的云上用于行為審計系統包括從云平臺獲取原始日志并將原始日志寫入大數據平臺的分布式文件系統中的數據采集模塊、從原始日志中提取具體操作對應的日志模型并具有實時審計功能的日志預處理模塊、提供數據存儲并確保存儲的數據不會被篡改的數據存儲模塊、利用日志預處理模塊的結果進行數據層面的分析和處理的審計分析模塊、根據審計分析模塊的分析結果并結合云平臺用戶的組織架構關系給不同用戶提供不同業務展示的審計業務模塊。

2.根據權利要求1所述的一種基于云日志分析的云上用戶行為審計系統，其特征在于，所述數據采集模塊包括對云平臺的日志進行收集和進行格式化處理并將數據直接發送到消息隊列中的日志采集服務模塊、收集云平臺平臺內關于用戶和資源以及流量的平臺內基礎信息的第三方數據收集模塊、將收集的日志信息進行真不后分別存入到對應的分布式存儲系統和全文搜索引擎服務中以便檢索的數據存儲模塊。

3.根據權利要求1所述的一種基于云日志分析的云上用戶行為審計系統，其特征在于，所述日志預處理模塊包括對日志進行分類計算信息熵值并過濾低熵值部分而保留有效日志信息的日志過濾模塊、根據日志過濾模塊輸出的日志信息進行處理生成對應的日志向量作為日志行為的標識的日志行為提取模塊、根據日志行為提取模塊輸出的日志行為標識進行分類并進行識別的日志行為識別模塊、將不同層級的日志整合成完整日志存入操作事件庫以便分析展示的歸一化模塊、為日志預處理模塊內各模塊間提供實時通訊渠道的消息中間件系統、實時處理消息中間件系統中的消息并根據預置的規則實時判斷分析日志信息提供實時告警的實時審計模塊。

4.根據權利要求1所述的一種基于云日志分析的云上用戶行為審計系統，其特征在于，所述數據存儲模塊包括存儲常規的基礎數據和已經經過格式化預處理后的日志數據的格式化數據倉庫、存儲最原始的日志文件信息提供數據保全功能的分布式文件系統、在原始數據基礎上構建分布式索引以方便實時獲取相關原始日志信息的日志索引系統、單獨存儲非格式化數據方便上層分析整合應用的非格式化數據倉庫、同步各個數據倉庫中的數據保證各個數據最終一致性的同步服務模塊。

5.根據權利要求1所述的一種基于云日志分析的云上用戶行為審計系統，其特征在于，所述審計分析模塊包括根據規則判斷用戶操作是否符合規則的規則分析模塊、結合虛擬機安全部分的數據判斷云平臺內部的網絡合規性的流量分析模塊、根據用戶的緯度提供該用戶操作的行為日志記錄統計以及對該用戶行為的審計的行為分析模塊、對云數據中心的物理資源和虛擬資源進行數理統計的資源分析模塊、在用戶行為分析之上針對部分場景增加網絡流量和其他關聯資源的運行狀況的場景還原模塊、為其他分析模塊提供基礎支撐性分析數據的日志追溯模塊。

6.根據權利要求5所述的一種基于云日志分析的云上用戶行為審計系統，所述規則分析模塊包括根據默認規則和用戶自定義規則判斷云平臺上的數據以及操作行為和網絡通信數據是否符合規則的靜態規則分析模塊、根據系統用戶的操作習慣進行規則自學習并根據規則自學習模型自動生成新的動態規則識別新的審計漏洞的動態規則分析模塊。

7.根據權利要求1所述的一種基于云日志分析的云上用戶行為審計系統，其特征在于，所述審計業務模塊包括提供滿足不同需求的各類統計分析報表并確保有效性的報表管理模塊、為業務展示提供相關數據和各個資源間的基礎關聯數據信息的支撐數據模塊、提供審計規則的日常管理與運維的規則管理模塊、提供審計結果的報警信息管理與處置的報警管理模塊、將分析的數據進行可視化展示并以圖表方式直觀展示相關的統計分析信息的數據可視化模塊。

8.一種基于云日志分析的云上用戶行為審計方法，其特征在于，包括如下步驟：

s1、通過基于云日志分析的云上用戶行為審計系統中的數據采集模塊，采用日志代理或者API方式從云平臺獲取用戶原始日志，將用戶原始日志數據寫入大數據平臺的分布式文件系統中；

s2、通過基于云日志分析的云上用戶行為審計系統中的日志預處理模塊實時消費原始日志信息或者離線讀取大批量日志信息，通過日志過濾、日志解交織、操作行為識別模型操作，將識別過程及結果輸出到對應的數據倉庫；同時，實時處理消息中間件系統中的消息，根據預置的規則實時判斷分析日志信息，并提供實時告警；

s3、根據步驟s2中輸出的結果，進行數據層面的分析和處理，包括規則分析、流量分析、關聯分析、行為分析、場景還原、日志追溯和資源分析，并將分析的結果直接輸出到分析結構庫中，提供前端業務層所需要的也無需求相關數據；

s4、根據步驟s3中的分析結果，按照相關的政策法規和用戶的組織架構關系，實現相關的業務邏輯，提供給不同用戶不同的展示界面、數據內容、保報表內容。