[发明专利]审计特征的检测方法及用户行为审计系统

权利要求书

1.一种审计特征的检测方法，其特征在于，包括：创建审计数据库以及在所述审计数据库中查找审计特征，其中，所述审计数据库是报文协议与所述审计特征的对应关系的集合，且每个所述报文协议对应一组所述审计特征，每个所述审计特征对应一个所述报文协议。

2.根据权利要求1所述的方法，其特征在于，所述审计数据库包括至少一个特征检测引擎，所述特征检测引擎由所述每个报文协议及其对应的一组所述审计特征构成。

3.根据权利要求2所述的方法，其特征在于，在所述审计数据库中查找所述审计特征之前，所述方法还包括：通过端口接收并识别所述报文；以及在应用识别引擎中查找所述报文对应的所述报文协议。

4.根据权利要求3所述的方法，其特征在于，所述创建审计数据库的步骤包括：定义所述审计特征的标识符；以及通过所述标识符获取所述报文协议与所述审计特征的对应关系。

5.根据权利要求4所述的方法，其特征在于，所述审计特征的ID作为所述标识符，通过所述ID获取所述报文协议对应的所述审计特征。

6.根据权利要求1-5中任一项所述的方法，其特征在于，在审计数据库中查找所述审计特征之后，还包括对具有所述审计特征的报文进行日志处理；以及将所述日志处理结果保存至本地或发送至远程主机。

7.一种用户行为审计系统，包括：

会话管理模块，用于对接收到的报文协议进行分类管理；

策略管理模块，根据所述报文协议及其对应的审计特征下发审计处理策略；

用户行为审计处理模块，用于响应所述报文协议及所述审计特征的参数，对所述报文协议进行处理生成审计日志；以及

日志处理模块，用于将所述审计日志存储到数据库或发送至远程主机；

所述系统的特征在于包括识别检测模块，用于接收并识别来自所述会话管理模块的所述报文协议并检测与所述报文协议对应的所述审计特征，每个所述报文协议对应多个所述审计特征，每个所述审计特征对应一个所述报文协议。

8.根据权利要求7所述的系统，其特征在于所述识别检测模块包括：

应用识别模块，用于识别所述报文协议；

特征检测模块，用于响应所述报文协议并查找与所述报文协议对应的所述审计特征；以及

审计数据库，用于存储所述报文协议和所述审计特征的对应关系。