[发明专利]服务器访问风险监测方法及装置

说明书

本申请实施例提供一种服务器访问风险监测方法及装置，可用于信息安全技术领域，方法包括：根据预设的访问风险数据特征在设有堡垒机的服务器系统当前的新增日志组合中获取存在绕行堡垒机行为的目标登陆数据记录，确定存在关联关系的应用节点，并提取每两个关联的应用节点之间的新增访问数据；对目标登陆数据记录中的每两个关联的应用节点之间的新增访问数据进行聚类以剔除目标登陆数据记录中的误报数据，若剔除误报数据后的目标登陆数据记录中还存在数据记录，则将该数据记录确定为服务器访问风险数据。本申请能够实现对绕行堡垒机事件的自动监测，能够提高堡垒机绕行事件的检测效率及检测全面性，降低堡垒机绕行事件报警的误报率。

技术领域

本申请涉及数据处理技术领域，特别涉及信息安全技术领域，具体涉及服务器访问风险监测方法及装置。

背景技术

数据中心往往拥有大量的服务器，如何安全并高效的管理这些服务器便成为运维人员的必要工作。比较常见的解决方案就是搭建一套或多套堡垒机环境作为线上服务器的入口，所有服务器只能先通过堡垒机进行登陆再访问，同时堡垒机可以对用户访问权限进行管理，对用户高风险命令进行拦截，并记录所有的运维操作。

由于应急的需要，一般情况下不能封禁非堡垒机登陆的网络防火墙策略，因此可能存在非授权绕过堡垒机进行访问的行为，使堡垒机的安全控制失效，难以对用户操作进行追溯和审计，然而，当前并没有针对搭建有堡垒机环境的服务器系统进行堡垒机绕行行为监测的方式，因此极大的增加了服务器访问风险，无法保证服务器系统的运行安全性及稳定性。

发明内容

针对现有技术中的问题，本申请提供一种服务器访问风险监测方法及装置，能够有效实现对绕行堡垒机行为的目标登陆数据记录的自动监测，并能够提高堡垒机绕行事件的检测效率及检测全面性，能够有效降低堡垒机绕行事件报警的误报率，提高堡垒机绕行事件的识别准确性及可靠性。

为解决上述技术问题，本申请提供以下技术方案：

第一方面，本申请提供一种服务器访问风险监测方法，包括：

根据预设的访问风险数据特征，在设有堡垒机的服务器系统当前的新增日志组合中获取存在绕行堡垒机行为的目标登陆数据记录；

自所述目标登陆数据记录中确定存在关联关系的应用节点，并提取每两个关联的应用节点之间的新增访问数据；

基于预设的聚类方式对所述目标登陆数据记录中的每两个关联的应用节点之间的新增访问数据进行聚类以剔除所述目标登陆数据记录中的误报数据，若剔除误报数据后的所述目标登陆数据记录中还存在数据记录，则将该数据记录确定为服务器访问风险数据。

进一步地，在所述根据预设的访问风险数据特征，在设有堡垒机的服务器系统当前的新增日志组合中获取存在绕行堡垒机行为的目标登陆数据记录之前，还包括：

实时或以预设的时间间隔周期性采集设有堡垒机的服务器系统的当前的新增日志组合，其中，所述新增日志组合中的数据类型包括：服务器系统日志、操作终端系统日志、堡垒机日志、变更申请单和配置管理应用节点信息和AD域控服务器日志；

对所述新增日志组合进行数据清洗及标准格式化处理，得到所述新增日志组合对应的目标日志清单，其中，该目标日志清单用于存储各个所述数据类型和关键字段之间的对应关系。

进一步地，所述根据预设的访问风险数据特征，在设有堡垒机的服务器系统当前的新增日志组合中获取存在绕行堡垒机行为的目标登陆数据记录，包括：

获取预存储的访问风险数据特征表，其中，该访问风险数据特征表用于存储服务器系统日志、特征字段、特征值和特征描述之间的对应关系；

将所述目标日志清单中数据类型为所述服务器系统日志所对应的关键字段与所述访问风险数据特征表进行匹配，识别得到所述服务器系统日志对应的关键字段中存在绕行堡垒机行为的初始登陆数据记录；