[发明专利]访问路径的分析方法、装置、设备及介质

说明书

本发明实施例公开了一种访问路径的分析方法、访问路径的分析装置、计算机设备和计算机可读存储介质。其中，访问路径的分析方法包括：从日志库中获取登录日志；采用决策树算法对登录日志进行关联分析，构建日志决策树模型；根据日志决策树模型中登录日志的日志类型的关联，补充访问路径，以获取全部访问路径；采用聚类算法K‑means对全部访问路径进行聚类分析；根据聚类分析结果输出异常访问路径和访问路径基线。本发明使用决策树算法、聚类算法K‑means，实现了访问路径分析以及更有效的发现异常访问路径，提高了异常发现的准确性，挖掘出隐秘访问通道，进而实现异常行为的审计，提高了访问溯源的准确性。

技术领域

本发明涉及信息安全管理技术领域，尤其涉及一种访问路径的分析方法、访问路径的分析装置、计算机设备及计算机可读存储介质。

背景技术

为了保护企业内部生产数据的安全，企业通过建立完整的日志审计系统，从技术上保证操作及行为的合规性，以减小审计管理员的压力，消除生产数据的安全风险。审计系统通过采集和处理各种主机、网络设备、安全设备、数据库、中间件以及应用系统的日志信息，对各业务系统维护过程中的必要行为进行审计，实现操作行为的可查、可控。

企业依据法律法规及安全管理办法，进行IT信息系统安全建设，规范企业员工的操作行为，日志审计系统依据上述规则规范，通过行为分析，从技术角度进行企业员工的操作行为审计。通常，审计系统建立5W1H(WHO何人、WHEN何时、WHERE何地、WHAT何事、WHY何因、HOW何法)模型，从WHO、WHEN、WHERE、WHAT、WHY、HOW几个方面，通过规则、特征、关键字匹配及统计分析来进行审计。

作为审计里面的重要要素，WHERE，操作地点，从哪里来到哪里去，也就是整个操作访问路径的审计，至关重要。可以通过访问路径补全、溯源和分析，审计发现来自非常用地点、非安全专区、非授权IP(Internet Protocol，网络之间互联协议)的用户访问以及通过多级跳转规避源IP的违规操作，还可以挖掘出网络策略未覆盖到的隐秘安全通道。

现有的访问路径分析，主要基于资源和系统的登录日志，通过解析日志中的源地址和目的地址，依据事先制定的访问规则字典，通过关键字匹配、统计对比来进行审计，而这些审计方法依赖的审计规则、审计策略和样本数据，主要依靠审计人员的判断、过往的经验来制定或者设定，在准确性和灵活性方面大打折扣，无法应对手段丰富的恶意访问，产生大量的漏审和误审，远远无法满足审计要求，普遍存在如下缺点：

1)溯源能力不够：

对于多级跳转的访问，获取不到准确的源地址，因而无法准地通过源地址进行审计。

2)审计发现异常路径的准确性不够：

生产环境情况复杂，很多时候也并不是非黑即白，所以目前主流的基于源IP地址的黑白名单的分析，其判断依据的准确性直接影响到分析结果，由于分析依据主要靠人工依靠经验来设定，所以可靠性并没有那么高。

3)无法挖掘隐秘安全通道：

实际生产中，网络环境复杂，有时候一条网络策略的改变会影响很多网络通道，会造成一些安全隐患，有些隐秘通道被恶意打通或者已经被利用，由于现有审计分析无法实现访问路径溯源补全，因而也无法获取完整的访问路径，实现不了隐秘安全通道的挖掘。

发明内容

本发明实施例提供了一种访问路径的分析方法、访问路径的分析装置、计算机设备和计算机可读存储介质。

第一方面，本发明实施例提供了一种访问路径的分析方法，方法包括：从日志库中获取登录日志；采用决策树算法对登录日志进行关联分析，构建日志决策树模型；根据日志决策树模型中登录日志的日志类型的关联，补充访问路径，以获取全部访问路径；采用聚类算法K-means(K均值)对全部访问路径进行聚类分析；根据聚类分析结果输出异常访问路径和访问路径基线。