[发明专利]基于堡垒机的用户行为监控方法、系统、设备及介质

说明书

本发明属于数据安全审计技术领域，特别适用于日志管理的可视化监控。针对运维、DBA等特权人员访问系统只有历史记录，审计需要人员定期登录并查看而导致异常报警不及时、运维困难不灵活、人力消耗过多等缺陷，提供了基于堡垒机的用户行为监控方法、系统、设备及介质，旨在解决如何基于部署的堡垒机实时数据流的支持，通过结合用户行为习惯的预设判断规则而对监控的用户行为进行是否异常的分析预测的技术问题，以便及时发现敏感操作、减少人力投入进而避免误报，能灵活多变地实现规则和数据分析结合。

技术领域

本发明属于数据安全审计技术领域，特别适用于日志管理的可视化监控，更具体的是涉及基于堡垒机的用户行为监控方法、系统、设备及介质。

背景技术

现有技术中，运维、DBA等特权人员访问系统只有历史记录，审计往往需要人员定期登录并查看。而随着数据安全审计的需求、越来越多的海量数据的处理分析需求等等，现有的方式已经不能满足有效发现处理安全问题，无法实时监控发现有问题的用户行为从而无法及时避免线上数据安全隐患导致的线上包括但不限于经济损失、隐私信息泄漏等危害和事故。

因而，需要改进现有的监控方式，构建特定的能够结合自身需求又能及时发现在线安全隐患的监控技术。

发明内容

(一)要解决的技术问题

本发明旨在解决了如何结合工作习惯与运维堡垒机系统，规则化定制监控管理的技术问题；进一步，解决了如何基于部署的堡垒机实时数据流的支持，通过结合用户日常行为习惯与堡垒机日志管理相结合，预设判断规则而对监控的用户行为进行是否异常的分析预测的技术问题，以更准确及时发现敏感操作和安全隐患、及时报警避免安全危害和损失、并减少人力投入以及避免误报，从而能灵活多变地实现规则和数据分析结合而相互辅助。

(二)技术方案

为解决上述技术问题，本发明的一方面提出一种基于堡垒机的用户行为监控方法，包括：预设判断用户行为是否异常的规则；根据所述规则对基于堡垒机日志监控的当前用户行为进行分析，预测所述用户行为是否异常。

根据本发明的优选实施方式，预设判断用户行为是否异常的规则，具体包括：结合用户在应用场景下的行为习惯预设所述规则；其中，所述行为习惯包括用户的行为所在时间段、和/或行为中的操作频次。

根据本发明的优选实施方式，预设判断用户行为是否异常的规则，具体包括：设置敏感操作；所述敏感操作包括存在下列一个条件或多个条件的组合：处于敏感时间段、用户行为的时间长度超过一预设时间阈值、业务操作频次符合一预设条件、业务操作的历史记录状态发生变化、敏感指令、工作状态发生变化、业务操作设备与业务人员不匹配、特定脚本被执行；如果用户行为存在一个或多个所述敏感操作，则预测所述用户行为异常、和/或所述用户行为对应的用户为敏感用户。

根据本发明的优选实施方式，根据所述规则对基于堡垒机日志监控的当前用户行为进行分析，预测所述用户行为是否异常，具体包括：通过部署的所述堡垒机进行扫描或侦听，以监控用户行为；根据所述堡垒机提供的实时数据流中的日志，获取当前用户行为；根据所述规则分析当前所述用户行为中是否存在敏感操作。

根据本发明的优选实施方式，根据所述规则分析当前所述用户行为中是否存在敏感操作，具体包括：结合用户在应用场景下的行为习惯，通过有监督学习和/或无监督学习方式，根据所述规则对当前所述用户行为中是否存在敏感操作进行分析，以预测当前所述用户行为是否异常。

根据本发明的优选实施方式，所述有监督学习采用逻辑回归算法，所述无监督学习采用聚类算法；先通过有监督学习进行分析后再通过无监督学习进行分析；分析结果反馈到所述堡垒机。

根据本发明的优选实施方式，还包括：当预测当前用户行为异常时，进行报警处理。