[发明专利]智慧天网行为审计分析系统

权利要求书

1.智慧天网行为审计分析系统，其特征在于：它包括多个客户端和天网审计中心，所述的客户端设有审计数据采集系统，对客户端的每条日志数据进行审计分析处理，然后将审计过的日志数据和分析结果通过网络发送到天网审计中心；天网审计中心对接收的日志数据进行查询、分析、生成并输出审计结果报表，它包括审计服务模块和审计分析模块：

审计服务模块：负责接收从客户端传送过来的日志数据和分析结果，并对接收到的日志数据进行预处理，包括数据抽取、数据转换和数据装载；

审计分析模块：负责对日志数据进行实时分析和阶段性统计分析，从大量数据中发现用户异常行为数据，并且对历史日志数据进行统计分析，得出网络安全状况数据，发现某时间段潜在的安全威胁。

2.根据权利要求1所述的智慧天网行为审计分析系统，其特征在于：所述的审计服务模块包括以下子模块：

服务管理子模块：通过控制台命令天网审计中心的运行情况，包括启动、停止、刷新服务和参数的配置；

消息队列子模块：任何接收到的审计数据都会先被送入消息队列等候处理、分析和存储，起到缓冲的作用，防止数据量过大造成丢失或阻塞；

数据过滤子模块：根据过滤规则文件中的定义，筛选符合过滤规则的日志，即对数据进行抽取；

数据转换子模块：消除从客户端接收到的日志信息之间在内容、格式和质量上的差异；

数据装载子模块：将转换后的数据载入数据仓库进行存储，数据仓库包括文件或者据库；

日志浏览子模块：根据不同管理权限对审计日志进行查询浏览，以及根据数据集生成相应的报表。

3.根据权利要求1所述的智慧天网行为审计分析系统，其特征在于：所述的审计分析模块包括以下子模块：

动态规则库子模块：建立、撤销动态规则库，实现对规则库的各种操作，包括规则添加、修改和删除，当规则库或规则发生变化，进行实时更新动态规则库；

日志解析子模块：提取日志的关键信息，供分析使用，所述的关键信息包括主机名、用户名、主体信息和客体信息这些包括了行为基本特征的信息；

事务过程验证子模块：使用已建立的事务处理过程模型，检测日志数据是否存在内部不一致性、不完整性或者其它的错误；

异常报警子模块：发现异常或可疑数据时，发出警报，报警的方式包括输出到界面上进行界面提示、发送邮件提醒审计管理员或发信号给权限控制系统，报警信息包括事件名称、发生时间、主体、客体和报警内容；

统计分析子模块：利用统计分析方法对历史审计日志数据进行分析和统计，发现其中潜在的安全威胁和漏洞。