一種運維操作審計方法和裝置的制造方法
【技術領域】
[0001]本發(fā)明涉及互聯(lián)網云監(jiān)控領域，具體涉及一種運維操作審計方法和裝置。
【背景技術】
[0002]一個系統(tǒng)的正常運轉依賴于大量運維人員對該系統(tǒng)的運營維護，運營維護的完善程度決定了該系統(tǒng)的各方面性能，如果系統(tǒng)被入侵或者系統(tǒng)的運維人員中存在違規(guī)人員，入侵者或違規(guī)人員對系統(tǒng)所實施的不合理運維操作行為，將導致系統(tǒng)運轉出現異常，給系統(tǒng)的使用者和系統(tǒng)的管理者帶來不便和損失。
[0003]因此，如何高效準確地對指定系統(tǒng)內部的運維操作進行審計，及時有效地發(fā)現系統(tǒng)中存在的入侵情況和違規(guī)運維操作情況，對于系統(tǒng)的使用者和系統(tǒng)的管理者來說，都具有重要的意義。

【發(fā)明內容】

[0004]鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決上述問題的一種運維操作審計方法和裝置。
[0005]依據本發(fā)明的一個方面，提供了一種運維操作審計方法，該方法包括:
[0006]將第一類風險規(guī)則預存在第一風險規(guī)則數據庫中；
[0007]實時獲取指定系統(tǒng)產生的操作日志，將實時獲取的操作日志與第一風險規(guī)則數據庫中的第一類風險規(guī)則進行匹配，如果存在匹配項，則確定存在系統(tǒng)被入侵情況或違規(guī)運維操作的情況；
[0008]將獲取的操作日志存入日志數據庫中；
[0009]對日志數據庫中的操作日志進行離線分析，判斷是否存在系統(tǒng)被入侵情況和違規(guī)運維操作的情況。
[0010]可選地，該方法進一步包括:將第二類風險規(guī)則預存在第二風險規(guī)則數據庫中；[0011 ] 所述對日志數據庫中的操作日志進行離線分析，判斷是否存在系統(tǒng)被入侵情況和違規(guī)運維操作的情況包括:分析日志數據庫中的操作日志，判斷是否存在與第二風險規(guī)則數據庫中的第二類風險規(guī)則匹配的情況，是則確定存在系統(tǒng)被入侵情況和違規(guī)運維操作的情況。
[0012]可選地，所述第一風險規(guī)則數據庫中對應保存有第一類風險規(guī)則和風險名稱；所述第二風險規(guī)則數據庫中對應保存有第二類風險規(guī)則和風險名稱；
[0013]風險名稱為:系統(tǒng)被入侵的各種情況的描述名稱，或各類違規(guī)運維操作的名稱。
[0014]可選地，所述第一風險規(guī)則包括如下中的一項或多項:
[0015]在異常地點進行登錄操作；
[0016]修改指定文件的操作；
[0017]所述第二風險規(guī)則包括如下中的一項或多項:
[0018]在預設長度的時間內，在不同地點進行登錄操作；
[0019]在預設長度時間內，進行了互斥的兩種或以上操作。
[0020]可選地，該方法進一步包括:
[0021]當判斷存在違規(guī)運維操作的情況時，根據日志數據庫確定該違規(guī)運維操作的操作者，以及進一步根據日志數據庫回溯該操作者的運維操作記錄，進行進一步的違規(guī)操作判斷。
[0022]可選地，所述進一步根據日志數據庫回溯該操作者的運維操作記錄，進行進一步的違規(guī)操作判斷包括:
[0023]根據第一風險規(guī)則數據庫和/或第二風險規(guī)則數據庫中的風險規(guī)則，判斷回溯到的該操作者的運維操作記錄中是否存在違規(guī)操作。
[0024]可選地，該方法進一步包括:
[0025]對判斷出的系統(tǒng)被入侵情況和違規(guī)運維操作的情況進行統(tǒng)計分析，學習關于系統(tǒng)被入侵和違規(guī)運維操作的規(guī)律；
[0026]根據學習到的所述規(guī)律，確定應對策略。
[0027]可選地，所述學習關于系統(tǒng)被入侵和違規(guī)運維操作的規(guī)律包括如下中的一種或多種:
[0028]哪些系統(tǒng)被入侵情況頻繁發(fā)生；
[0029]哪些違規(guī)運維操作頻繁發(fā)生；
[0030]系統(tǒng)被入侵情況的高發(fā)時間段；
[0031]運維違規(guī)操作的高發(fā)時間段。
[0032]可選地，根據學習到的所述規(guī)律，確定應對策略包括如下中的一種或多種:
[0033]針對頻繁發(fā)生的系統(tǒng)入侵情況，針對性地設置的攔截操作或者提高驗證力度；
[0034]針對頻繁發(fā)生的違規(guī)運維操作，提高運維操作權限門檻或者禁封頻繁出現違規(guī)運維操作的操作者的操作賬戶；
[0035]在系統(tǒng)被入侵情況的高發(fā)時間段，針對性地設置攔截操作和提高驗證力度；
[0036]在運維違規(guī)操作的高發(fā)時間段，提高運維操作權限門檻或者禁封頻繁出現違規(guī)運維操作的操作者的操作賬戶。
[0037]依據本發(fā)明的另一個方面，提供了一種運維操作審計裝置，該裝置包括:
[0038]獲取單元，適于實時獲取指定系統(tǒng)產生的操作日志發(fā)送給實時審計單元和存儲單元;
[0039]所述實時審計單元，適于將實時獲取的操作日志與第一風險規(guī)則數據庫中的第一類風險規(guī)則進行匹配，如果存在匹配項，則確定存在系統(tǒng)被入侵情況或違規(guī)運維操作的情況；
[0040]所述存儲單元，適于存儲第一風險規(guī)則數據庫，所述第一風險規(guī)則數據庫用于保存第一類風險規(guī)則，以及適于存儲日志數據庫，所述日志數據庫用于保存操作日志；
[0041 ] 離線審計單元，適于對日志數據庫中的操作日志進行離線分析，判斷是否存在系統(tǒng)被入侵情況和違規(guī)運維操作的情況。
[0042]可選地，所述存儲單元，進一步適于存儲第二風險規(guī)則數據庫，所述第二風險規(guī)則數據庫用于保存第二類風險規(guī)則；
[0043]所述離線審計單元，適于分析日志數據庫中的操作日志，判斷是否存在與第二風險規(guī)則數據庫中的第二類風險規(guī)則匹配的情況，是則確定存在系統(tǒng)被入侵情況和違規(guī)運維操作的情況。
[0044]可選地，所述第一風險規(guī)則數據庫中對應保存有第一類風險規(guī)則和風險名稱；所述第二風險規(guī)則數據庫中對應保存有第二類風險規(guī)則和風險名稱；
[0045]風險名稱為:系統(tǒng)被入侵的各種情況的描述名稱，或各類違規(guī)運維操作的名稱。
[0046]可選地，所述第一風險規(guī)則包括如下中的一項或多項:
[0047]在異常地點進行登錄操作；
[0048]修改指定文件的操作；
[0049]所述第二風險規(guī)則包括如下中的一項或多項:
[0050]在預設長度的時間內，在不同地點進行登錄操作；
[0051 ] 在預設長度時間內，進行了互斥的兩種或以上操作。
[0052]可選地，該裝置進一步包括:
[0053]違規(guī)回溯單元，適于當存在違規(guī)運維操作的情況時，根據日志數據庫確定該違規(guī)運維操作的操作者，以及適于進一步根據日志數據庫回溯該操作者的運維操作記錄，進行進一步的違規(guī)操作判斷。
[0054]可選地，所述違規(guī)回溯單元，適于根據第一風險規(guī)則數據庫和/或第二風險規(guī)則數據庫中的風險規(guī)則，判斷回溯到的該操作者的運維操作記錄中是否存在違規(guī)操作。
[0055]可選地，該裝置進一步包括:
[0056]學習單元，適于對判斷出的系統(tǒng)被入侵情況和違規(guī)運維操作的情況進行統(tǒng)計分析，學習關于系統(tǒng)被入侵和違規(guī)運維操作的規(guī)律；
[0057]應對單元，適于根據學習到的所述規(guī)律，確定應對策略。
[0058]可選地，所述學習單元，適于學習關于系統(tǒng)被入侵和違規(guī)運維操作的如下規(guī)律中的一種或多種:
[0059]哪些系統(tǒng)被入侵情況頻繁發(fā)生；
[0060]哪些違規(guī)運維操作頻繁發(fā)生；
[0061]系統(tǒng)被入侵情況的高發(fā)時間段；
[0062]運維違規(guī)操作的高發(fā)時間段。
[0063]可選地，所述應對單元確定的應對策略包括如下中的一種或多種:
[0064]針對頻繁發(fā)生的系統(tǒng)入侵情況，針對性地設置的攔截操作或者提高驗證力度；
[0065]針對頻繁發(fā)生的違規(guī)運維操作，提高運維操作權限門檻或者禁封頻繁出現違規(guī)運維操作的操作者的操作賬戶；
[0066]在系統(tǒng)被入侵情況的高發(fā)時間段，針對性地設置的攔截操作和提高驗證力度；
[0067]在運維違規(guī)操作的高發(fā)時間段，提高運維操作權限門檻或者禁封頻繁出現違規(guī)運維操作的操作者的操作賬戶。
[0068]由上述可知，本發(fā)明提供