[发明专利]一种基于多Agent的云数据安全审计方法

摘要

本发明公开了基于多Agent的动态可扩展云审计方法，每台主机上都加载运行Agent事件收集子系统和Agent事件分析子系统，在受监视云审计系统中作为后台进程运行审计信息的收集和分析，并将数据传递给中央管理者服务器；GUI客户端用于查看各个主机的状态；中央管理服务器和数据库用于接收来自主机的数据和报告，控制整个云审计系统的通信信息，对接收到的安全审计事件进行分析、存储；Windows Agent子系统底层调用系统的应用程序编程接口api直接获取windows的事件内容标准化为系统日志syslog事件发送给agent事件分析子系统；Linux Agent系统最底层采用事件收集模块收集数据。

主权项

一种基于多Agent的动态可扩展云审计方法，其特征在于，设置一个云审计系统，云审计系统包括GUI客户端、中央管理服务器和数据库、一台以上部署Linux Agent系统的主机，以及一台以上部署Windows Agent系统的主机；每台主机上都加载运行Agent事件收集子系统和Agent事件分析子系统，在受监视云审计系统中作为后台进程运行审计信息的收集和分析，并将数据分析处理后传递给中央管理者服务器；GUI客户端用于查看各个主机的状态，并能进行数据的展示；中央管理服务器和数据库用于接收来自主机的数据和报告，控制整个云审计系统的通信信息，对接收到的安全审计事件进行分析、存储；Windows Agent子系统底层调用系统的应用程序编程接口api直接获取windows的事件内容，获取事件内容后，由日志采集模块对事件进行标准化，标准化为系统日志syslog事件，再发送给agent事件分析子系统；Linux Agent系统最底层采用事件收集模块收集数据，由事件收集子系统处理为标准事件；所述云审计系统运行以下交互流程完成云审计：事件收集子系统采集原始事件，并将原始事件发送到Agent事件解析子系统；Agent事件解析子系统解析并加载Linux Agent系统或者Windows Agent系统对应的分析规则文件，并根据分析规则文件中的分析规则对收集的原始事件进行标准化，并以SSL协议发送给中央管理服务器；在交互流程中，分别加载云审计系统的正则表达式子系统、底层通信子系统和状态监测子系统：正则表达式子系统对boost库中的正则表达式regex库的进行封装并简化，提供正则表达式的完全匹配、部分匹配和替换接口，并提供对匹配后子串的获取与操作功能；底层通信子系统提供云审计系统后台的通信的功能，包括SSL协议的TCP通信以及UDP通信；状态监测子系统提供与状态监控服务器进行交互并且发送状态监测子系统所在的组件的心跳包UDP协议到中央管理服务器。