[发明专利]一种基于机器学习的增强型运维审计方法

说明书

本发明涉及一种基于机器学习的增强型运维审计方法，包括：步骤1，基于统一的运维操作入口，采集运维特征，并计入运维特征数据集；运维特征包括运维终端及应用系统服务器MAC地址、运维终端及应用系统服务器IP地址、运维人员账号权限、运维人员操作行为中的一种或多种；步骤2，将运维特征数据集作为机器学习模型的输入层，通过机器学习模型预测运维安全风险等级，获得运维安全风险等级预测结果；步骤3，将运维安全风险等级预测结果与预设的运维安全风险等级进行匹配，按照运维安全风险等级预测结果执行相应的风险控制行为。本发明可对系统运维过程中的违规操作行为进行有效防范，实现对信息系统运维的有效管控，为构建安全的运维环境奠定坚实的基础。

技术领域

本发明属于网络信息安全技术领域，尤其涉及一种基于机器学习的增强型运维审计方法。

背景技术

随着计算机应用技术的飞速发展，企业在生产经营活动中越来越依赖IT技术。IT技术现已成为诸多企业的神经中枢，而它在为企业带来价值的同时也带来了风险。随着各企业信息系统的不断发展，网络规模和设备数量的迅速扩大，日趋复杂的信息系统与不同背景运维人员的操作行为给信息系统的安全带来较大风险。因此，企业需要通过有效的技术手段来降低运维风险、规范运维操作。

目前，为提高企业IT内控的合规性，主要采用在内网网络设备与服务器前部署运维堡垒机。堡垒机的主要作用是将需要保护的信息系统资源与安全威胁来源进行隔离，它综合了核心系统运维和安全审计管控两大功能，通过采用协议代理的方式切断终端计算机对网络和服务器资源的直接访问，以避免非法访问和恶意攻击。然而，现有的堡垒机在功能上更多关注于事后的审计追踪，对后台风险操作的管控力度无法做到有效的事前预防，对运维人员运用已分配的合规账号和权限的违规操作行为无法做到有效的防范。

发明内容

本发明的目的是提供一种基于机器学习的增强型运维审计方法，可用于将网络环境中需要保护的信息系统资源与运维终端进行隔离，运维操作人员通过统一的入口，对系统账号、认证、授权、审计等进行统一管理，并对系统运维过程中的违规操作行为进行有效防范，确保运维操作管控的事前预防及事后追踪，实现对信息系统运维的有效管控。

本发明提供了一种基于机器学习的增强型运维审计方法，包括如下步骤：

步骤1，基于统一的运维操作入口，采集运维特征，并计入运维特征数据集；其中，所述运维特征包括运维终端及应用系统服务器MAC地址、运维终端及应用系统服务器IP地址、运维人员账号权限、运维人员操作行为中的一种或多种；

步骤2，将所述运维特征数据集作为机器学习模型的输入层，通过所述机器学习模型预测运维安全风险等级，获得运维安全风险等级预测结果；

步骤3，将所述运维安全风险等级预测结果与预设的运维安全风险等级进行匹配，按照所述运维安全风险等级预测结果执行相应的风险控制行为。

进一步地，所述步骤1包括：

在应用系统服务器和运维终端之间部署运维代理及审计系统主机，从物理层面统一运维操作入口。

进一步地，步骤2中，所述机器学习模型采用人工神经网络算法，对运维安全风险等级进行预测。

进一步地，所述步骤2包括：

采集输入信号，将运维特征数据集输入机器学习模型；

计算设备信息激活值，判断是否存在硬件设备信息异常；

计算操作权限激活值，判断是否存在运维操作权限异常；

计算操作行为激活值，判断是否存在运维操作行为异常；

计算得到运维安全风险等级预测函数值；

采集风险控制行为执行反馈，并作为下一次计算输入信号。