CN105139139A - 用于运维审计的数据处理方法和装置及系统 - Google Patents

Abstract

本发明公开了一种用于运维审计的数据处理方法和装置及系统。其中，该用于运维审计的数据处理方法包括：接收外部输入账号；然后获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址；根据外部输入账号从预设入口地址登录运维审计系统；在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为；再监控运维行为，得到监控结果；最后获取对监控结果执行审计处理后得到的审计结果。通过本发明，提高了运维管理的安全性和可靠性。

Description

用于运维审计的数据处理方法和装置及系统

技术领域

本发明涉及通信领域，具体而言，涉及一种用于运维审计的数据处理方法和装置及系统。

背景技术

审计作为一种独立、客观的活动，通过系统化和规范化的方法，评价和监控企业的风险管理、控制和治理过程，其目的在于通过促进企业建立完善的内部控制与全面的风险管理体系为企业增加价值和提高企业的运作效率，确保企业的运营安全。信息系统作为企业实现其经营目标的重要设施，应该考虑运维管理与操作监控机制以预防、发现错误或违规事件，从而对互联网技术(InformationTechnology，简称为IT)风险进行事前防范、事中控制、事后监督和纠正的组合控制。对IT系统进行审计，是控制内部风险的一个重要手段。如果信息系统自身没有安全审计功能，则需要配置专门的安全审计设备，对信息系统进行安全审计。

目前，IT系统口令对IT系统的安全性具有重要作用。随着IT系统数量的增多，IT系统的账号口令管理工作量越来越大，复杂度也越来越高。为了满足IT系统安全管理要求，IT系统的账号口令需定期修改，这大大增加了账号口令管理的工作量。另一方面，运维人员对审计工作的维护也很不方便，维护人员经常将账号口令记录在记事本上，容易造成账号口令泄露。在实际操作中，账号口令被设置得很有规律性，这样很容易知道其他系统的账号口令，由于部分系统是由外包厂商提供运维服务，也容易造成账号口令泄露。有些单位没有账号口令管理策略，从而使账号口令管理制度不严格，潜伏安全隐患。

随着IT系统构成的复杂性，在运维过程中可以通过多种入口对IT系统进行维护，这使得对IT系统无法进行统一管理、统一设置安全策略等，从而引起各种安全隐患。

在IT系统运维过程中，存在多种管理角色，对于同一个角色也同样存在多个管理人员。这些管理人员在进行维护时，可能使用IT系统的同一个帐号，这样一旦在运维过程中出现问题，就很难定位具体某个人的操作。

在面对拥有特权的用户，由于不能控制其操作，不能保证只有可信的用户才能访问其拥有权限的资源，无法避免越权或违规操作的现象。

系统日志不独立，无法防止被篡改，管理人员做了违规操作后可能会删除日志，造成无法追查、无法定位违规操作。并且，系统日志记录信息不全面，记录的信息相对简单，不便于检索。

目前，所有的运维安全审计设备，对所有运维过程进行完全一样的在线监控、离线回放、分析、统计，不能根据目标运维设备的敏感程度，进行有针对性和区别性的审计操作。当运维会话并发数很高时，运维安全审计设备会影响运维操作的响应速度，降低运维管理的可靠性。

随着IT系统的重要性和对业务系统影响越来越大，相关的法律法规对其安全性、可持续性工作、IT操作风险以及企业内控等都有明确的要求。目前面对这些合规性检查，只能是制度上的检查，没有有效的数据和技术来说明这些制度是如何落实的，不能满足合规性检查的需要，导致运维管理的安全性能降低。

在运维管理过程中，对运维管理过程存在的问题无法有定量或定性的分析数据，只能简单从安全事件方面进行描述，不能发现潜在风险，从而进一步辅助企业改进IT系统的安全建设。

针对相关技术中由于没有全方位的运维审计方法导致运维管理的安全性和可靠性低的问题，目前尚未提出有效的解决方案。

发明内容

本发明的主要目的在于提供一种用于运维审计的数据处理方法和装置及系统，以至少解决运维管理的安全性和可靠性低的问题。

为了实现上述目的，根据本发明的一个方面，提供了一种用于运维审计的数据处理方法。该方法包括：接收外部输入账号；获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址；根据外部输入账号从预设入口地址登录运维审计系统；在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为；监控运维行为，得到监控结果；以及获取对监控结果执行审计处理后得到的审计结果。

进一步地，确定外部输入账号所属运维权限对应的运维行为包括：确定外部输入账号对应的角色；以及根据外部输入账号和外部输入账号对应的角色对外部输入账号授权，得到运维权限。

进一步地，该用于运维审计的数据处理方法中的监控运维行为包括：实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量，判断目标运维设备的敏感程度；如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大且判断出目标运维设备的敏感程度低时，切换目标运维设备的审计模式为免检审计模式；以及如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小且判断出目标运维设备的敏感程度高时，切换目标运维设备的审计模式为全检审计模式。

进一步地，该用于运维审计的数据处理方法中的监控运维行为包括：实时监测目标运维设备的运行状态，其中，运行状态包括审计系统和目标运维设备之间的运维协议和运维会话的进程状态和线程状态；根据运行状态记录运维行为，得到运维记录；将运维记录转化为图形化界面。

进一步地，监控结果包括对运维行为的操作过程，将运维记录和对运维行为的操作过程记录在不同类型的日志，获取对监控结果执行审计处理后得到的审计结果包括：从不同类型的日志中检索运维记录和对运维行为的操作过程，得到检索结果；对检索结果进行查询，或者归档，得到查询结果，或者归档结果。

进一步地，在获取对监控结果执行审计处理后得到的审计结果之后，该用于运维审计的数据处理方法还包括：备份不同类型的日志，备份审计结果，其中，审计结果包括检索结果，查询结果和归档结果，定期自动修改目标运维设备的账号口令。

为了实现上述目的，根据本发明的另一方面，还提供了一种用于运维审计的数据处理装置。该用于运维审计的数据处理装置包括：接收单元，用于接收外部输入账号；第一获取单元，用于获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址；登录单元，用于根据外部输入账号从预设入口地址登录运维审计系统；确定单元，用于在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为；监控单元，用于监控运维行为，得到监控结果；以及第二获取单元，用于获取对监控结果执行审计处理后得到的审计结果。

进一步地，该用于运维审计的数据处理装置还包括：确定模块，用于确定外部输入账号对应的角色；以及授权模块，用于根据外部输入账号和外部输入账号对应的角色对外部输入账号授权，得到运维权限。

进一步地，该用于运维审计的数据处理装置的监控单元包括：检测模块，用于实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量；判断模块，用于判断目标运维设备的敏感程度；第一切换模块，用于当目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大且判断出目标运维设备的敏感程度低时，切换目标运维设备的审计模式为免检审计模式；以及第二切换模块，用于当如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小且判断出目标运维设备的敏感程度高时，切换目标运维设备的审计模式为全检审计模式。

为了实现上述目的，根据本发明的另一方面，还提供了一种用于运维审计的数据处理系统。该用于运维审计的数据处理系统包括：防火墙；交换机；服务器；以及运维审计系统，用于接收外部输入账号；获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址；根据外部输入账号从预设入口地址登录运维审计系统；在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为；监控运维行为，得到监控结果；以及获取对监控结果执行审计处理后得到的审计结果。

通过本发明，采用接收外部输入账号；然后获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址，实现了对入口地址进行统一管理，降低了运维管理的安全隐患。再根据外部输入账号从预设入口地址登录运维审计系统；在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为，实现了只有可靠的用户才能访问数据资源；再监控运维行为，得到监控结果，提高了目标运维设备的运行安全；最后获取对监控结果执行审计处理后得到的审计结果，解决了由于没有全方位的运维审计方法导致运维管理的安全性和可靠性低的问题，进而达到了提高了运维管理的安全性和可靠性。

附图说明

构成本申请的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明第一实施例的用于运维审计的数据处理系统的示意图；

图2是根据本发明第二实施例的用于运维审计的数据处理系统的示意图；

图3是根据本发明实施例的用于运维审计的数据处理方法的流程图；以及

图4是根据本发明实施例的用于运维审计的数据处理装置的示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本发明提供了一种用于运维审计的数据处理系统。

图1是根据本发明第一实施例的用于运维审计的数据处理系统的示意图。如图1所示，该用于运维审计的数据处理系统包括：防火墙10，交换机20，服务器30和运维审计系统40。

防火墙10，用于对目标运维设备的运维审计进行控制，具体而言，能根据具体运维管理制定的安全策略来允许、拒绝或者监测出入网络的信息流，可以禁止客户端直接登录服务器进而登录到目标运维设备，避免客户端对目标运维设备直接进行管理。可选地，通过口令认证的方式对用户的身份进行识别，从而提高了审计系统的使用安全性。

运维审计，可以为用户提供丰富的统计分析，帮助用户及时发现目标运维设备的安全隐患，同时优化对网络资源的使用和管理。通过防火墙10可以避免客户端对目标运维设备直接进行管理。其中，对目标运维设备进行管理包括对在运维过程中的事前准备阶段、事中监控阶段和事后分析阶段中的操作进行控制。可选地，在运维过程中的事前准备阶段中的操作包括对目标运维设备的登录账号进行管理，对运维人员的角色进行管理、对运维行为的权限进行控制以及对运维敏感命令的操作进行控制等；在事中监控阶段中的操作包括对运维命令进行监控、对在线会话进行监控以及对运维工作状态进行实时监控等；在事后分析阶段中的操作包括对用户输入的命令进行检索和查询、对系统返回的信息进行检索和查询、通过多条件组合对审计信息进行检索和查询以及对运维操作过程进行回放等。

交换机20，用于对运维过程中的运维信息进行重新生成，完成审计系统和服务器之间的运维信息交换和运维信息转发，可以为带宽占用量较大的服务器提供附加带宽。优选地，交换机20为三层交换机，从而加快了局域网内部的运维信息数据交换。

服务器30，根据目标运维设备的不同，服务器30可以是基于Linux操作系统的Linux服务器，基于UNIX操作系统的UNIX服务器，也可以是基于Windows操作系统的Window服务器，还可以是数据库服务器。

运维审计系统40，用于接收外部输入账号；获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址；根据外部输入账号从预设入口地址登录运维审计系统；在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为；监控运维行为，得到监控结果；以及获取对监控结果执行审计处理后得到的审计结果。

该用于运维审计的数据处理系统采用单臂旁路模式部署，也即，采用物理旁路和逻辑网关的部署方式部署。采用单臂旁路模式不用重新对网络进行配置，不用改变网络的拓扑结构，并且不用在服务器30和客户端上安装任何自主活动的软件或者硬件。在运维审计系统40的网络协议(InternetProtocol，简称为IP)地址与目标运维设备的IP地址可达，并且运维审计系统40与目标运维设备间的协议可访问的情况下，实现对目标运维设备的账号进行集中管理，用户登录一次就可以访问所有可信的应用系统的单点登录，从而对运维过程进行实时控制、实时审计，并且审计信息不能随意修改、杜撰，进而达到了对运维管理操作风险的最小化控制的目的。

图2是根据本发明第二实施例的用于运维审计的数据处理系统的示意图。如图2所示，该系统包括防火墙10，交换机20，交换机201，交换机202，交换机203，服务器301，服务器302和服务器303，运维审计系统40，客户端501和客户端502。

该实施例的用于运维审计的数据处理系统采用物理旁路，逻辑网关的部署方式。客户端进行运维审计时，通过交换机20，交换机201，交换机202和交换机203将运维审计系统40在运维过程中的运维信息进行重新生成，完成运维审计系统40和服务器301，服务器302和服务器303的运维信息交换和运维信息转发，可选地，交换机201与服务器301的连接，交换机202与服务器302的连接，交换机203与服务器303的连接，可以通过网线或者光纤进行连接。

服务器301，服务器302和服务器303可以为基于Linux操作系统的Linux服务器，基于UNIX操作系统的UNIX服务器，基于Windows操作系统的Window服务器以及数据库服务器中的服务器中的任一种。各个服务器上设定管理目标运维设备的IP地址，运维审计系统的IP地址与目标运维设备的IP地址可达。预设入口地址为进行审计操作的唯一入口地址，获取预设入口地址，优选地，通过运维审计系统40这个唯一登录入口地址登录与服务器进行通讯，实现了对运维登录入口地址进行统一管理、设置统一安全策略的目的。

可选地，客户端501通过防火墙10避免直接在交换机20的作用下登录到服务器301，服务器302和服务器303。客户端502也可以直接在交换机20的作用下登录到服务器301，服务器302和服务器303。

在运维审计的事情准备阶段，接收外部输入账号，根据外部输入账号从预设入口地址登陆运维审计系统，用户可以通过入口Portal统一登录，并兼容客户端和服务器(Client/Server，简称为C/S)的连接设备。其中，外部输入账号，可选地，为用户账号，用户登录运维审计系统40是通过用户账号进行登录的。该用户账号是代表用户登录身份的唯一标识，用户可以为运维人员或者审计人员。预设入口地址为运维审计系统进行审计操作的唯一入口地址。在用户登录运维审计系统40成功之后，可选地，通过运维审计系统40向目标运维设备输入目标运维设备的账号口令，然后登录目标运维设备进行运维审计的操作，从而使用户在进行操作时不再需要知道目标运维设备的账号口令，而是通过运维审计系统40来输入目标运维设备的账号口令。此外，运维审计系统40可以对目标运维设备的账号口令进行统一管理，定期自动修改。各个运维协议对应的账号口令不同，对各个运维协议的账号口令采用使用一次，加密一次，加强了协议会话认证的安全性，从而增强了对目标运维设备的账号口令的管理和提高了目标运维设备的账号口令强度。外部输入账号在登录运维审计系统40之后根据所属运维权限对应不同的运维行为，运维人员登录运维审计系统40，运维审计系统40会根据授权关系表对运维人员进行授权，具体而言，运维审计系统40通过提供基于运维人员账号、运维人员角色管理、运维目标设备、运维目标设备组、运维时间段等进行组合授权，从而实现运维审计系统40对运维行为的控制。可选地，运维人员可以通过许可电子文件向与运维审计系统40对应的授权系统申请运维权限，通过说明运维情况，提供运维审计系统40的硬件特征码、申请时间之后，授权系统经过确认，向运维人员提供许可文件，运维人员将许可文件上传至运维审计系统40即可完成权限申请。在运维人员获得运维权限之后，才能正常登录目标运维设备进行运维管理。

在运维审计的事中监控阶段，也即，在运维人员登录运维审计系统40并且获得对应的运维权限之后，运维审计系统40可以监控运维行为，具体而言，实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量，判断目标运维设备的敏感程度。优选地，目标运维设备具有免检审计模式和全检审计模式。如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大，并且判断出目标运维设备的敏感程度低时，则目标运维设备不适合进行审计，切换目标运维设备的审计模式为免检审计模式。如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小，并且判断出目标运维设备的敏感程度高时，则目标运维设备可以进行审计，切换目标运维设备的审计模式为全检审计模式，从而通过根据目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量以及目标运维设备的敏感程度，实现运维审计系统40的多级审计的智能切换，实现细粒度多级审计控制，提高了运维审计过程的可靠性。

在运维审计的事中监控过程中，运维审计系统40还遵循黑名单机制，对禁止的运维命令和运维命令集进行控制。在对在线的运维会话进行实时监控的过程中，当运维审计系统40检测出违规命令时，便立即向管理人员报警，强化了风险控制力度。同时，运维审计系统40还可以进行实时会话阻断，在监控到危险的运维操作时立即阻断运维审计系统40与运维人员之间的操作连接，防止发生不安全事故。另一方面，运维审计系统40能够记录运维人员在整个运维过程的运维操作，对与运维行为有关的字符进行分析，包括对命令行操作的命令以及回显信息和非字符型操作时的信息进行分析，比如，分析运维人员对键盘或者鼠标的敲击信息，进一步对键盘或者鼠标的敲击信息进行记录。

在运维审计的事中监控过程中，运维审计系统40实时监测目标运维设备的运行状态，其中，运行状态包括运维审计系统40和目标运维设备之间的运维协议和运维会话的进程状态和线程状态；根据运行状态记录运维行为，得到运维记录；将运维记录转化为图形化界面。具体而言，运维审计系统40不仅提供硬件资源、网络状态、操作系统进程状态的信息监测，而且细粒度地监测每种运维协议和运维会话的进程状态和线程状态。其中，进程状态包括：进程标识号(Identification，简称为ID)、缓冲区大小、监听端口、工作模式、会话数等；线程状态包括：运维客户端IP、端口、目标运维设备IP、会话缓冲区大小、工作模式等。通过对运行状态的记录，得到运维记录，可以精确地掌握目标运维设备的运行状况，及时发现异常，最大限度地提高运维审计系统40的可靠性。运维审计系统40还采用分析运维协议，基于数据包的还原以及虚拟化技术，将运维记录转化为图形化界面，进一步将所有的运维操作转化为图形化界面予以展现，实现了对运维操作界面的模拟，从而准确地掌握运维人员所有的运维操作，达到对关于运维行为的操作信息不丢失的目的，便于在运维的事后分析阶段进行取证。

监控运维行为，得到监控结果。运维行为的监控结果包括对运维行为的操作过程，具体包括管理人员、安全人员、审计人员对运维行为的操作过程。将运维记录和对运维行为的操作过程记录在不同类型的日志，比如，记录在系统日志、系统管理员日志、安全管理员日志、安全审计员日志和运维人员日志等。通过不同类型的日志详细记录运维审计系统40的运行过程和各类人员对对目标运维设备的操作过程。审计人员可以登录运维审计系统对监控结果进行审计，通过系统化或者规范化的方法，评价和监控风险管理和治理效果等，得到审计结果。然后获取对监控结果执行审计处理后得到的审计结果。获取对监控结果执行审计处理后得到的审计结果包括：从不同类型的日志中检索运维记录和对运维行为的操作过程，得到检索结果；对检索结果进行查询，或者归档，得到查询结果，或者归档结果，从而保证运维记录和关于运维行为的操作信息不丢失。

在获取对监控结果执行审计处理后得到的审计结果之后，审计系统40可以备份不同类型的日志，备份审计结果，其中，审计结果包括从不同类型的日志中检索运维记录和对运维行为的操作过程得到的检索结果，以及对检索结果的查询结果和归档结果。举例而言，备份已经记录着运维记录和对运维行为的操作过程的系统日志、系统管理员日志、安全管理员日志、安全审计员日志和运维人员日志等，以及对不同日志的检索结果和对检索结果的查询结果和归档结果。备份机制可以为双机热备份模式或者异地互备模式，满足业务的连续性要求；可以进行审计结果的数据备份转储，提供手动或者自动地对审计结果的数据进行定期备份，满足审计结果的数据存储要求；可以是日志数据备份转储，提供手动或者自动地对审计日志进行定期备份，满足审计日志的存储要求；还可以是对系统的配置数据进行备份转储，提供手动或者自动地对系统的配置数据进行定期备份。

可选地，该用于运维审计的数据处理系统的软件和硬件采用动态按需加载的模块化设计方法，提高了系统的稳定性，并且易于后期扩展。该系统不但能够通过浏览器和服务器(Browser/Server，简称为B/S)完成基本的配置要求，还可以与现有运维流程管理，或者现有管理平台，或者监控平台实现整合，实现更细粒度的运维管理。该系统支持单臂、串接部署模式，不影响业务正常运行，并且支持基于B/S的系统管理和操作配置，整个操作配置过程简单，可以在短时间内实现基本功能的配置，从而达到上线要求。

该用于运维审计的数据处理系统的实施例通过防火墙10使客户端501避免直接在交换机20的作用下登录到服务器301，服务器302和服务器303。客户端502也可以直接在交换机20的作用下登录到服务器301，服务器302和服务器303。通过交换机20，交换机201，交换机202和交换机203将运维审计系统40在运维过程中的运维信息进行重新生成，完成运维审计系统40和服务器301，服务器302和服务器303的运维信息交换和运维信息转发。运维审计设备40用于获取预设入口地址，其中，预设入口地址为进行审计操作的唯一入口地址；获取预设账号；根据外部输入账号从预设入口地址进行登陆，其中，外部输入账号在登录之后根据所属运维权限对应不同的运维行为；监控运维行为，得到监控结果；以及对监控结果进行审计，得到审计结果，提高了运维管理的安全性和可靠性。

本发明实施例还提供了一种用于运维审计的数据处理方法。

图3是根据本发明实施例的用于运维审计的数据处理方法的流程图，需要说明的是，该用于运维审计的数据处理方法可用于执行用于运维审计的数据处理系统。如图3所示，该方法包括以下步骤：

步骤S302，接收外部输入账号。

在运维过程的事前准备阶段，接收外部收入账号。外部输入账号，可选地，为用户账号，用户登录运维审计系统是通过用户账号进行登录的，该用户账号是具体用户在用户体系中相对唯一的编码，代表用户登录身份的唯一标识，可以为用户的身份证号、用户工号、计算机网址或者其他与用户一一对应的账号，使用户在运维过程中的操作行为与用户账号绑定起来，进而与用户关联起来。其中，用户可以为运维人员或者审计人员。接收外部输入账号，也即，接收用户账号。

步骤S304，获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址。

运维审计系统的IP地址与目标运维设备的IP地址可达。预设入口地址为进行审计操作的唯一入口地址，获取预设入口地址，优选地，获取运维审计系统这个唯一登录入口的IP地址。

步骤S306，根据外部输入账号从预设入口地址登录运维审计系统。

根据外部输入账号从预设入口地址登录运维审计系统，也即，根据用户账号与和运维审计系统的IP地址登录运维审计系统，从而实现了对运维登录入口地址进行统一管理、设置统一安全策略的目的。可选地，运维人员只需在登录时输入外部输入账号和与外部输入账号对应的密码即可登录运维审计系统，运维审计系统替运维人员代填目标运维设备的账号口令，然后登录目标运维设备进行运维审计的操作，从而使用户在进行操作时不再需要知道目标运维设备的账号口令。可选地，运维人员可以通过许可电子文件向与运维审计系统对应的授权系统申请运维权限，通过说明运维情况，提供运维审计系统的硬件特征码，申请时间，然后经授权系统确认，向运维人员提供许可文件，运维人员将许可文件上传至运维审计系统即可完成权限申请。在运维人员获得运维行为的权限之后，才能正常登录目标运维设备进行操作。

步骤S308，在登录运维审计系统之后，确定外部输入账号所属运维权限对应的运维行为。

在用户登录运维审计系统之后，根据运维过程的安全策略和运维人员的工作职责，对运维人员进行权限分配，确定运维人员可以访问哪些目标运维设备，对目标运维设备进行哪些操作。确定外部输入账号对应的角色，具体而言，可以通过运维审计系统对用户进行定义，通过口令，或者认证码，或者双因子认证等方式对用户进行角色认证，比如，认证用户的角色为运维人员，或者审计人员，或者管理人员，或者安全人员等，从而根据不同的角色对用户进行管理。根据外部输入账号和外部输入账号对应的角色对外部输入账号授权，得到运维权限，使运维人员只能进行被授权的运维行为。对于运维人员的越权或者违规操作，可以发出警告，以便于安全人员能对此类操作进行分析，进一步通过管理人员对越权或违规操作进行制止，避免已经出现严重后果的情况下才发现。可选地，根据运维人员账号，运维人员的角色，运维目标设备，运维目标设备组，运维时间段等进行组合授权，得到运维人员所述运维权限对应的运维行为，保证运维人员只能操作属于工作职责范围内的目标运维设备和开展运维行为。并且对运维人员的操作进行命令级别的规范和限制，防止由于误操作或者恶意操作可能带来的无法预料的结果。对超级管理员、系统管理员、安全管理员、安全审计员也可以进一步细化管理权限，确保运维审计系统的安全性和可靠性，从而提高了运维管理的安全性和可靠性。

步骤S310，监控运维行为，得到监控结果。

在确定外部输入账号所属运维权限对应的运维行为之后，在运维过程的事中阶段，实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量，判断目标运维设备的敏感程度。优选地，目标运维设备具有免检审计模式和全检审计模式。如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大，并且判断出目标运维设备的敏感程度低时，则目标运维设备不适合进行审计，切换目标运维设备的审计模式为免检审计模式。如果目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小，并且判断出目标运维设备的敏感程度高时，则目标运维设备可以进行审计，切换目标运维设备的审计模式为全检审计模式，从而通过根据目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量以及目标运维设备的敏感程度，实现多级审计的智能切换和细粒度多级审计控制，提高了运维审计过程的可靠性。

在运维审计的事中监控过程中，遵循黑名单机制，可以对禁止的运维命令和运维命令集进行控制，以及时控制违规事件。在对在线的运维会话进行实时监控的过程中，当检测出违规命令时，立即进行报警，以使管理人员及时了解到有违规命令，从而制止违规运维操作，强化了风险控制力度，进而消除风险。同时，在监控到危险的运维操作时立即阻断运维人员的操作，实现实时会话阻断，防止不安全事故的发生。另一方面，记录运维人员在整个运维过程的运维操作，对与运维行为有关的字符进行分析，包括对命令行操作的命令以及回显信息和非字符型操作时的信息进行分析，比如，分析运维人员对键盘或者鼠标的敲击信息，进一步对键盘或者鼠标的敲击信息进行记录。可选地，运维人员在整个运维过程的运维操作记录在运维人员日志中，从而可以准确掌握运维人员的所有运维操作，与系统日志独立开，防止在做了违规操作之后对运维操作记录进行篡改，造成无法定位操作的详细信息，包括操作人员、操作时间、操作行为等信息，进而无法追查责任。

在运维审计的事中监控过程中，实时监测目标运维设备的运行状态。其中，目标运维设备的运行状态包括运维审计系统和目标运维设备之间的运维协议和运维会话的进程状态和线程状态；根据运行状态记录运维行为，得到运维记录；将运维记录转化为图形化界面。具体而言，运维审计系统不仅提供硬件资源、网络状态、操作系统进程状态的信息监测，而且细粒度地监测每种运维协议和运维会话的进程状态和线程状态。可选地，进程状态包括：进程ID、缓冲区大小、监听端口、工作模式、会话数等；线程状态包括：运维客户端IP、目标运维设备IP、端口、会话缓冲区大小、工作模式等。这样可以精确地掌握目标运维设备的运行状况，及时发现异常，最大限度地提高运维审计系统的可靠性。运维审计系统采用分析运维协议，可选地，运维协议包括：终端命令操作中的远程终端协议Telnet、安全外壳协议(SecureShell，简称为SSH)，Windows图像中的远程桌面协议(RemoteDesktopProtocol，简称为RDP)。运维审计系统还支持虚拟网络计算机(VirtualNetworkComputer，简称为VNC)、远程控制软件pcAnywhere、远程控制软件DameWare，Unix/Linux图形中的VNC，文件上传和下载中的文件传输协议(FileTransferProtocol，简称为FTP)、安全文件传输协议(SecureFileTransferProtocol，简称为SFTP)，基于B/S操作中的超文本传输协议(HyperTextTransferProtocol，简称为HTTP)、安全套接字层超文本传输协议(HyperTextTransferProtocoloverSecureSocketLayer，简称为HTTPS)。运维审计系统支持的工具包括数据库管理工具中的SOLPlus命令等所有工具。此外，Telnet、FTP、SFTP、SSH、RDP、VNC运维协议可以提供完整的记录、分析、审计，并能提供基于图形的操作回放。Telnet、FTP、SFTP、SSH、RDP、VNC、HTTP、HTTPS协议以及图形用户接口XWindows协议可以进行完整地透明转发。同时，运维审计系统基于数据包的还原以及虚拟化技术，将运维记录转化为图形化界面，将所有的运维操作转化为图形化界面予以展现，实现了对运维操作界面的模拟，进而准确地掌握运维人员所有的运维操作，达到关于运维行为的操作信息不丢失的目的，便于在运维的事后分析阶段进行取证。

运维行为的监控结果包括对运维行为的操作过程，也即，包括管理人员、安全人员、审计人员对运维行为的操作过程，将运维记录和对运维行为的操作过程记录在不同类型的日志，比如，记录在系统日志、系统管理员日志、安全管理员日志、安全审计员日志和运维人员日志等，能够详细独立地记录运维审计系统本身的运行过程和各类人员对目标运维设备的操作过程，防止日志记录被无关人员篡改，造成无法定位操作的详细信息，包括操作人员、操作时间、操作行为等信息，进而无法追查责任。

步骤S312，获取对监控结果执行审计处理后得到的审计结果。

在监控运维行为，得到监控结果之后，在运维过程的事后分析阶段，审计人员可以登录运维审计系统对监控结果进行审计，通过系统化或者规范化的方法，评价和监控风险管理和治理效果等，得到审计结果。获取对监控结果执行审计处理后得到的审计结果包括：从不同类型的日志中检索运维记录和对运维行为的操作过程，得到检索结果；对检索结果进行查询，或者归档，得到查询结果，或者归档结果，同时，审计人员还可以对运维记录进行图形化回放，从而保证运维记录和关于运维行为的操作信息不丢失。

在获取对监控结果执行审计处理后得到的审计结果之后，备份不同类型的日志，备份审计结果，其中，审计结果包括从不同类型的日志中检索运维记录和对运维行为的操作过程得到的检索结果，以及对检索结果的查询结果和归档结果。举例而言，备份已经记录着运维记录和对运维行为的操作过程的系统日志、系统管理员日志、安全管理员日志、安全审计员日志和运维人员日志等，以及对不同日志的检索结果和对检索结果的查询结果和归档结果。备份机制可以为双机热备份模式或者异地互备模式，满足业务的连续性要求；可以进行审计结果的数据备份转储，提供手动或者自动地对审计结果的数据进行定期备份，满足审计结果的数据存储要求；可以是日志数据备份转储，提供手动或者自动地对审计日志进行定期备份，满足审计日志的存储要求；还可以是对系统的配置数据进行备份转储，提供手动或者自动地对系统的配置数据进行定期备份。

优选地，在获取对监控结果执行审计处理后得到的审计结果之后，运维审计系统对目标运维设备定期自动修改目标运维设备的账号口令，可选地，根据各个运维协议，目标设备的账号口令可以是使用一次，加密一次，增强目标运维设备的账号口令的安全强度，并且对各类目标运维设备的运维账号统一管理，降低了账号口令管理的工作量。修改后的目标运维设备的账号口令可以通过运维审计系统代填入目标运维设备中，也可以是运维人员通过运维审计系统获取之后手动填入目标运维设备中。

该用于运维审计的数据处理方法的实施例采用接收外部输入账号，获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址，然后根据外部输入账号从预设入口地址登录审计系统，在登录审计系统之后，确定外部输入账号所属运维权限对应的运维行为，监控运维行为，得到监控结果，最后获取对监控结果执行审计处理后得到的审计结果，提高了运维管理的安全性和可靠性。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本发明还提供了一种用于运维审计的数据处理装置，需要说明的是，该装置可用于执行用于运维审计的数据处理方法。图4是根据本发明实施例的用于运维审计的数据处理装置的示意图，如图4所示，该装置包括：接收单元50，第一获取单元60，登录单元70，确定单元80，监控单元90和第二获取单元100。

接收单元50，用于接收外部输入账号。在运维过程的事前准备阶段，接收单元50接收外部收入账号。外部输入账号，可选地，为用户账号，用户登录运维审计系统是通过用户账号进行登录的，该用户账号是具体用户在用户体系中相对唯一的编码，代表用户登录身份的唯一标识，可以为用户的身份证号、用户工号、计算机网址或者其他与用户一一对应的账号，使用户在运维过程中的操作行为与用户账号绑定起来，进而与用户关联起来。其中，用户可以为运维人员或者审计人员。接收单元50接收外部输入账号，也即，接收单元50接收用户账号。

第一获取单元60，用于获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址。运维审计系统的IP地址与目标运维设备的IP地址可达。第一获取单元60获取预设入口地址，优选地，第一获取单元60获取运维审计系统这个唯一登录入口地址的IP地址。

登录单元70，用于根据外部输入账号从预设入口地址登录审计系统。登录单元70根据外部输入账号从预设入口地址登录运维审计系统，也即，登录单元70根据用户账号和运维审计系统的IP地址登录运维审计系统，从而实现了对运维登录入口地址进行统一管理、设置统一安全策略的目的。可选地，运维人员只需在登录时输入外部输入账号和与外部输入账号对应的密码即可通过登录单元70登录运维审计系统。可选地，运维审计系统替运维人员代填目标运维设备的账号口令，然后登录单元70登录目标运维设备进行运维审计的操作，从而使用户在进行操作时不再需要知道目标运维设备的账号口令，而是通过运维审计系统来输入目标运维设备的账号口令。

确定单元80，用于在登录审计系统之后，确定外部输入账号所属运维权限对应的运维行为。该确定单元80还包括确定模块，用于确定外部输入账号对应的角色，以及授权模块，用于根据外部输入账号和外部输入账号对应的角色对外部输入账号授权，得到运维权限。

通过登录单元70登录运维审计系统之后，确定模块确定外部输入账号对应的角色，具体而言，运维审计系统可以对用户进行定义，通过口令，或者认证码，或者双因子认证等方式对用户进行角色认证，比如，认证用户的角色为运维人员、审计人员、管理人员、安全人员等，从而根据不同的角色对用户进行管理。确定模块确定用户的角色，包括根据运维过程的安全策略和运维人员的工作职责，对运维人员进行权限分配，具体而言，确定运维人员可以访问哪些目标运维设备以及对目标运维设备进行哪些操作。授权模块根据外部输入账号和外部输入账号对应的角色对外部输入账号授权，得到运维权限，使运维人员只能进行被授权的运维行为。可选地，授权模块根据运维人员的账号，运维人员的角色，运维目标设备，运维目标设备组，运维时间段等进行组合授权，得到运维人员所述运维权限对应的运维行为，保证运维人员只能操作属于工作职责范围内的目标运维设备和运维操作。授权模块对超级管理员、系统管理员、安全管理员、安全审计员也可以进一步细化管理权限，确保运维审计系统的安全性和可靠性，从而提高了运维管理的安全性和可靠性。

监控单元90，用于监控运维行为，得到监控结果。该监控单元包括检测模块，判断模块，第一切换模块和第二切换模块。其中，检测模块用于实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量；判断模块，用于判断所述目标运维设备的敏感程度；第一切换模块，用于当所述目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大且判断出所述目标运维设备的敏感程度低时，切换所述目标运维设备的审计模式为免检审计模式；以及第二切换模块，用于当如果所述目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小且判断出所述目标运维设备的敏感程度高时，切换所述目标运维设备的审计模式为全检审计模式。

监控单元90还包括监测模块，记录模块和转化模块。其中，监测模块用于实时监测目标运维设备的运行状态，运行状态包括审计系统和目标运维设备之间的运维协议和运维会话的进程状态和线程状态；记录模块，用于根据运行状态记录运维行为，得到运维记录；转化模块，用于将运维记录转化为图形化界面。

第二获取单元100，用于获取对监控结果执行审计处理后得到的审计结果。

监控结果包括对运维行为的操作过程，将运维记录和对运维行为的操作过程记录在不同类型的日志，第二获取单元100包括检索模块和查询模块或者归档模块。其中，检索模块用于从不同类型的日志中检索运维记录和对运维行为的操作过程，得到检索结果；查询模块用于对检索结果进行查询，查询结果；归档模块用于对检索结果进行归档，得到归档结果。

在第二获取单元100获取对监控结果执行审计处理后得到的审计结果之后，该装置还包括第一备份单元，第二备份单元和修改单元。其中，第一备份单元，用于备份不同类型的日志；第二备份单元，用于备份审计结果，其中，审计结果包括检索结果，查询结果和归档结果；修改单元，用于定期自动修改目标运维设备的账号口令。

在获取对监控结果执行审计处理后得到的审计结果之后，第一备份单元备份不同类型的日志，第二备份单元备份审计结果，其中，审计结果包括从不同类型的日志中检索运维记录和对运维行为的操作过程得到的检索结果，以及对检索结果的查询结果和归档结果。举例而言，第一备份单元备份已经记录着运维记录和对运维行为的操作过程的系统日志、系统管理员日志、安全管理员日志、安全审计员日志和运维人员日志等，第二备份单元对不同日志的检索结果和对检索结果的查询结果和归档结果进行备份。备份机制可以为双机热备份模式或者异地互备模式，满足业务的连续性要求；可以进行审计结果的数据备份转储，提供手动或者自动地对审计结果的数据进行定期备份，满足审计结果的数据存储要求；可以是日志数据备份转储，提供手动或者自动地对审计日志进行定期备份，满足审计日志的存储要求；还可以是对系统的配置数据进行备份转储，提供手动或者自动地对系统的配置数据进行定期备份。

优选地，在第二获取单元获取对监控结果执行审计处理后得到的审计结果之后，修改单元定期自动修改目标运维设备的账号口令，可选地，根据各个运维协议，目标设备的账号口令可以是使用一次，加密一次，增强目标运维设备的账号口令的安全强度，并且对各类目标运维设备的运维账号统一管理，降低了账号口令管理的工作量。经过修改单元定期修改后的目标运维设备的账号口令可以通过运维审计系统代填入目标运维设备中，也可以是运维人员通过运维审计系统获取之后手动填入目标运维设备中。

该用于运维审计的数据处理方法的实施例通过接收单元接收外部输入账号，通过第一获取单元获取预设入口地址，其中，预设入口地址为运维审计系统进行审计操作的唯一入口地址，然后通过登录单元根据外部输入账号从预设入口地址登录审计系统，通过确定单元在登录审计系统之后，确定外部输入账号所属运维权限对应的运维行为，通过监控单元监控运维行为，得到监控结果，最后通过第二获取单元获取对监控结果执行审计处理后得到的审计结果，实现了全方位的运维审计，提高了运维管理的安全性和可靠性。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种用于运维审计的数据处理方法，其特征在于，包括：

接收外部输入账号；

获取预设入口地址，其中，所述预设入口地址为运维审计系统进行审计操作的唯一入口地址；

根据所述外部输入账号从所述预设入口地址登录所述运维审计系统；

在登录所述运维审计系统之后，确定所述外部输入账号所属运维权限对应的运维行为；

监控所述运维行为，得到监控结果；以及

获取对所述监控结果执行审计处理后得到的审计结果。

2.根据权利要求1所述的方法，其特征在于，确定所述外部输入账号所属运维权限对应的运维行为包括：

确定所述外部输入账号对应的角色；以及

根据所述外部输入账号和所述外部输入账号对应的角色对所述外部输入账号授权，得到所述运维权限。

3.根据权利要求1所述的方法，其特征在于，监控所述运维行为包括：

实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量，

判断所述目标运维设备的敏感程度；

如果所述目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大且判断出所述目标运维设备的敏感程度低时，切换所述目标运维设备的审计模式为免检审计模式；以及

如果所述目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小且判断出所述目标运维设备的敏感程度高时，切换所述目标运维设备的审计模式为全检审计模式。

4.根据权利要求3所述的方法，其特征在于，监控所述运维行为包括：

实时监测所述目标运维设备的运行状态，其中，所述运行状态包括所述运维审计系统和所述目标运维设备之间的运维协议和运维会话的进程状态和线程状态；

根据所述运行状态记录所述运维行为，得到运维记录；

将所述运维记录转化为图形化界面。

5.根据权利要求4所述的方法，其特征在于，所述监控结果包括对所述运维行为的操作过程，将所述运维记录和对所述运维行为的操作过程记录在不同类型的日志，获取对所述监控结果执行审计处理后得到的审计结果包括：

从所述不同类型的日志中检索所述运维记录和对所述运维行为的操作过程，得到检索结果；

对所述检索结果进行查询，或者归档，得到查询结果，或者归档结果。

6.根据权利要求5所述的方法，其特征在于，在获取对所述监控结果执行审计处理后得到的审计结果之后，所述方法还包括：

备份所述不同类型的日志，

备份所述审计结果，其中，所述审计结果包括所述检索结果，所述查询结果和所述归档结果，

定期自动修改所述目标运维设备的账号口令。

7.一种用于运维审计的数据处理装置，其特征在于，包括：

接收单元，用于接收外部输入账号；

第一获取单元，用于获取预设入口地址，其中，所述预设入口地址为运维审计系统进行审计操作的唯一入口地址；

登录单元，用于根据所述外部输入账号从所述预设入口地址登录所述运维审计系统；

确定单元，用于在登录所述运维审计系统之后，确定所述外部输入账号所属运维权限对应的运维行为；

监控单元，用于监控所述运维行为，得到监控结果；以及

第二获取单元，用于获取对所述监控结果执行审计处理后得到的审计结果。

8.根据权利要求7所述的装置，其特征在于，所述确定单元包括：

确定模块，用于确定所述外部输入账号对应的角色；以及

授权模块，用于根据所述外部输入账号和所述外部输入账号对应的角色对所述外部输入账号授权，得到所述运维权限。

9.根据权利要求8所述的装置，其特征在于，所述监控单元包括：

检测模块，用于实时监测目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量；

判断模块，用于判断所述目标运维设备的敏感程度；

第一切换模块，用于当所述目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量大且判断出所述目标运维设备的敏感程度低时，切换所述目标运维设备的审计模式为免检审计模式；以及

第二切换模块，用于当如果所述目标运维设备的中央处理器、内存缓冲器和网络带宽的承载量小且判断出所述目标运维设备的敏感程度高时，切换所述目标运维设备的审计模式为全检审计模式。

10.一种用于运维审计的数据处理系统，其特征在于，包括：

防火墙；

交换机；

服务器；以及

运维审计系统，用于接收外部输入账号；获取预设入口地址，其中，所述预设入口地址为运维审计系统进行审计操作的唯一入口地址；根据所述外部输入账号从所述预设入口地址登录所述运维审计系统；在登录所述运维审计系统之后，确定所述外部输入账号所属运维权限对应的运维行为；监控所述运维行为，得到监控结果；以及获取对所述监控结果执行审计处理后得到的审计结果。