CN102088377A - 一种用于资产管理的人机对应方法及装置 - Google Patents

Abstract

本发明涉及互联网技术中的资产管理领域，公开了一种用于资产管理的人机对应方法及装置。本发明所提供的用于资产管理的人机对应方法及装置，由于采用了启动网络嗅探程序，监听所有网络通信消息，获取http协议消息中包含的IP地址和账号信息，并解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对；以及获取在线主机的IP地址、MAC地址和主机名；并将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，实现人机对应；其部署简单、实现方便、减少了工作量、资产属性获取全面且准确率高。

Description

一种用于资产管理的人机对应方法及装置

技术领域

本发明涉及互联网技术中的资产管理领域，尤其涉及的是一种用于资产管理的人机对应方法及装置。

背景技术

现在很多安全服务的软件，在安全事件爆发后要进行跟踪是哪台电脑爆发的，甚至需要直接追踪到人来进行安全事件处理，即提供追踪计算机的行为或事件的责任人定位服务，这就涉及到资产模块。市场上流行的资产管理软件，虽然可以自动发现PC资产，但不能自动和人绑定，一些资产管理软件人机绑定几乎都是通过手工来做的，这样对于***管理员来讲，工作量大且不说，由于IP动态变化原因，也很难做到IP所对应的是那个人。

现有技术中虽然出现了一些人机自动关联方法，方法比较复杂，而且资产收集的也不全，并存在以下缺点：

1．如果人工来实现工作量很大，且由于IP动态变化，维护起来极难，所以执行起来不大可能；

2. 从人机自动关联方法来说，收集的信息量大，处理起来比较复杂，部署和实施都很麻烦；

3．从一些安全事件或者网络行为收集的信息来看，收集到的资产信息属性不全，如isa 只能收集到帐号和IP，而且数据量极大，对于一些大的企业来说，一天可能就是几G的数据，这样海量级的数据处理起来需要很好的硬件来支持；

4．如果只有IP和账号信息,从安全事件追踪到人地角度讲，大部分安全事件都带有 MAC地址或者主机名 ，如果用MAC地址或者主机名来关联更准确些也简单，如果以IP来关联，由于IP动态变化缘故，必须把时间段切割成足够短才能关联准确，这样处理起来比较复杂；并且有的安全事件提供的不及时或时间有误差，也会导致算不准确。

因此，现有技术还有待于改进和发展。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种用于资产管理的人机对应方法及装置，其部署简单、实现方便、减少了工作量、资产属性获取全面且准确率高。

本发明解决技术问题所采用的技术方案如下：

一种用于资产管理的人机对应方法，其中，包括步骤：

A1、启动网络嗅探程序，监听所有网络通信消息，并进入步骤A2；

A2、判断是否监听到http协议消息，当是时，进入步骤A3；否则将其它非http协议消息丢弃；

A3、判断该http协议消息中的目的地址是否是需账号登陆的服务器的IP地址，当是时进入步骤A4，否则丢弃该http协议消息；

A4、判断该http协议消息中是否包含账号信息，当是时，解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对，否则丢弃该http协议消息。

所述用于资产管理的人机对应方法，其中，其还包括步骤：

B1、启动扫描程序扫描在线主机；

B2、获取在线主机的IP地址、MAC地址和主机名。

所述用于资产管理的人机对应方法，其中，其还包括步骤：

D、将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，实现人机对应。

所述用于资产管理的人机对应方法，其中，所述完整的人机对应信息包括：账号信息、IP地址、MAC地址和主机名。

所述用于资产管理的人机对应方法，其中，所述步骤B1还包括：设置防火墙允许Netbios报文访问，以及设置将用户侧的三层交换机的snmp访问允许打开。

一种用于资产管理的人机对应装置，其中，包括：

监听模块，用于启动网络嗅探程序，监听所有网络通信消息；

第一判断模块，用于判断是否监听到http协议消息；

第二判断模块，用于当监听到http协议消息时，判断该http协议消息中的目的地址是否是需账号登陆的服务器的IP地址；

第三判断模块，用于当判断http协议消息中的目的地址是需账号登陆的服务器的IP地址时，判断该http协议消息中是否包含账号信息；

解析模块，用于当判断该http协议消息中包含账号信息时，解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对。

所述用于资产管理的人机对应装置，其中，其还包括：

扫描模块，用于启动扫描程序扫描在线主机；

获取模块，用于获取在线主机的IP地址、MAC地址和主机名。

所述用于资产管理的人机对应装置，其中，其还包括：

关联模块，用于将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息。

所述用于资产管理的人机对应装置，其中，所述完整的人机对应信息包括：账号信息、IP地址、MAC地址和主机名。

所述用于资产管理的人机对应装置，其中，其还包括：

设置模块，用于设置防火墙允许Netbios报文访问，以及设置将用户侧的三层交换机的snmp访问允许打开。

本发明所提供的用于资产管理的人机对应方法及装置，由于采用了启动网络嗅探程序，监听所有网络通信消息，获取http协议消息中包含的IP地址和账号信息，并解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对；以及获取在线主机的IP地址、MAC地址和主机名；并将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，实现人机对应；具有如下优点：

1）、部署简单、实现方便

2）、相对原来的人机匹配方法，本发明的方法更简单，在嗅探过滤时直接过滤出来IP地址和帐号；而原来的匹配方法要借助于更多的安全事件数据或上网行为数据，如isa(Microsoft Internet Security and Acceleration 即微软的一款安全上网管理软件)数据和域的日志信息，且这些数据量特大；在当有1万多台电脑，isa一天产生的数据量就达8个G，要直接从isa服务器提取这些数据做处理,数据量大不用说，且对isa服务器性能造成一定的影响,同样域的日志量也很大，且用程序提取域的日志信息也需要花很长的时间.新的方法不用去考虑处理isa那样大量数据时所采用的技术.；

3）、资产属性提供的较全，包括了一个四元组的序列<账号、IP地址、MAC地址、主机名>，而原来的自动匹配方法有时只能拿到IP和账号，这样本发明的方法为安全事件追踪到责任人更简单，更准确，是因为IP的动态变化，我们可以只根据主机名或者MAC地址找到资产责任人；

4）、资产扫描的实时性，匹配数据更准确，而且处理速度快；

5）、旧的人机匹配方法依赖于多种网络资源完成资产方法，而网络嗅探人机对应方法只要依赖用户常登陆的一种应用服务***即可。

附图说明

图1是本发明实施例的用于资产管理的人机对应方法流程图。

图2是本发明实施例的用于资产管理的人机对应方法中网络嗅探监听http协议消息结构示意图。

图3是本发明实施例的用于资产管理的人机对应方法扫描示意图。

图4中本发明第一实施例的用于资产管理的人机对应装置原理框图。

图5是本发明第二实施例的用于资产管理的人机对应装置原理框图。

具体实施方式

本发明所提供的一种用于资产管理的人机对应方法及装置，为使本发明的目的、技术方案及优点更加清楚、明确，以下参照附图并举实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例提供的一种用于资产管理的人机对应方法，如图1所示，主要包括以下步骤：

A1、启动网络嗅探程序、监听网络通信消息。

譬如、通过网络嗅探程序把网络设备器置于混杂模式实现监听网络通信消息，所谓混杂模式即一台机器能够接收所有经过它的数据流，而不论其目的地址是否是它本身，这样就可以监听网络中其它计算机通信信息，这里主要监听http协议信息。

网络嗅探程序，它可以用来窃听计算机在网络上所产生的众多的信息，可以窃听计算机程序在网络上发送和接收到的数据，用来接收在网络上传输的信息。

很多计算机网络采用的是“共享媒体"。也就是说，不必中断他的通讯，并且配置特别的线路，再安装网络嗅探程序，几乎可以在任何连接着的网络上直接窃听到同一掩码范围内的计算机网络数据。这种窃听方式为“基于混杂模式的嗅探”。

以太网的数据传输是基于“共享”原理的：所有的同一本地网范围内的计算机共同接收到相同的数据包。这意味着计算机直接的通讯都是透明可见的。正是因为这样的原因，以太网卡都构造了硬件的“过滤器”，这个过滤器将忽略掉一切和自己无关的网络信息。事实上是忽略掉了与自身MAC地址不符合的信息。嗅探程序正是利用了这个特点，它把网卡设置为“混杂模式”。因此，嗅探程序就能够接收到整个以太网内的网络数据信息了。 

A2、判断是否监听到http协议消息，当是时，进入步骤A3；否则将其它非http协议消息丢弃。其中，http（HyperTextTransferProtocol）是超文本传输协议的缩写。http协议采用了请求/响应模型。客户端向服务器发送一个请求，请求头包含请求的方法、URI、协议版本、以及包含请求修饰符、客户信息和内容的类似于MIME（Multipurpose Internet Mail Extensions" 多功能Internet 邮件扩充服务，是一种多用途网际邮件扩充协议）的消息结构。服务器以一个状态行作为响应，相应的内容包括消息协议的版本，成功或者错误编码加上包含服务器信息、实体元信息以及可能的实体内容。通常http消息包括客户机向服务器的请求消息和服务器向客户机的响应消息)。

A3、判断该http协议消息中的目的地址是否是需账号登陆的服务器的IP地址，当是时进入步骤A4，否则进入步骤A5；

A4、判断该http协议消息中是否包含账号信息，当是时进入步骤A6，否则进入步骤A5；

A5、丢弃该http协议消息，并结束；

A6、解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对。

即在需要账号登陆的常用应用***服务器（如邮件服务器，或者OA服务器）的局域网内部署网络嗅探程序进行http协议监听，当监听到http协议消息时进入步骤A3，当监听到是的非http协议消息则自动丢弃。通过监听抓包找到账号（登陆）信息，把远程IP地址和账号解析出来，这样，就有了账号和IP地址的序列对。

同时，本发明实施例的用于资产管理的人机对应方法，如图1所示，其还包括步骤：

步骤B1、启动扫描程序扫描在线主机；

步骤B2、获取在线主机的IP地址、MAC地址和主机名。

譬如，利用快速扫描技术，把当前在线的主机扫描出来，获取IP地址，MAC地址和主机名，其中获取主机名时，需要设置防火墙允许Netbios报文访问，跨网段扫描需要在最靠近用户一侧的三层交换机上，把snmp访问允许打开。

其中，Netbios是一个协议， Netbios协议的主要作用是为了给局域网提供网络以及其他特殊功能，NETBIOS报文携带了主机名即Netbios名,再根据Netbios名解析为相应IP地址，实现信息通讯。

而snmp (Simple Network Management Protocol,简单网络管理协议)的前身是简单网关监控协议(SGMP)，用来对通信线路进行管理。

步骤D、将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，实现人机对应。所述完整的人机对应信息包括：账号信息、IP地址、MAC地址和主机名。利用IP关联 得到四元序列组< 账号、IP地址、MAC地址、主机名>就是本发明所要的数据，从而实现了本发明的人机对应方法。然后结束。

以下将通过一具体的应用实施例对本发明做进一步详细说明：

第一步、通过网络嗅探抓程序把登陆账号的信息解析出来，如图2所示，中找出 账号szelink\lvys 对应的IP为10.0.0.148；

第二步、如图3所示，通过扫描技术可以获取IP为 10.0.0.148 对应的主机名和MAC地址，如10.0.0.148 对应的MAC地址为： 00-24-21-72-46-EF ，对应的主机名为：WIN-MAC3B7YQTZ8V。

第三步、将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，如根据第一步和第二步，获取账号lvys 对应的四元组

即<账号、IP地址、MAC地址、主机名>序列输出为：

<lvys ，10.0.0.148、00-24-21-72-46-EF  ，WIN-MAC3B7YQTZ8V〉

以实现人机对应。

由上可见，本发明实施例的一种用于资产管理的人机对应方法，其部署简单、实现方便、减少了工作量、资产属性获取全面且准确率高。

基于上述实施例的一种用于资产管理的人机对应方法，本发明实施例还提供了一种用于资产管理的人机对应装置，如图4所示，第一实施例的用于资产管理的人机对应装置包括：

监听模块410，用于启动网络嗅探程序，监听所有网络通信消息；

第一判断模块420，用于判断是否监听到http协议消息；

第二判断模块430，用于当监听到http协议消息时，判断该http协议消息中的目的地址是否是需账号登陆的服务器的IP地址；

第三判断模块440，用于当判断http协议消息中的目的地址是需账号登陆的服务器的IP地址时，判断该http协议消息中是否包含账号信息；

解析模块450，用于当判断该http协议消息中包含账号信息时，解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对。

扫描模块460，用于启动扫描程序扫描在线主机；

获取模块470，用于获取在线主机的IP地址、MAC地址和主机名。

关联模块480，用于将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息。其中，所述完整的人机对应信息包括：账号信息、IP地址、MAC地址和主机名。

第二实施例的用于资产管理的人机对应装置，如图5所示，其与第一实施例的用于资产管理的人机对应装置结构原理基本相同，所谓不同的是第二实施例的用于资产管理的人机对应装置其还包括：

设置模块490，用于设置防火墙允许Netbios报文访问，以及设置将用户侧的三层交换机的snmp访问允许打开。

综上所述，本发明所提供的用于资产管理的人机对应方法及装置，由于采用了启动网络嗅探程序，监听所有网络通信消息，获取http协议消息中包含的IP地址和账号信息，并解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对；以及获取在线主机的IP地址、MAC地址和主机名；并将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，实现人机对应；具有如下优点：

1）、部署简单、实现方便；

2）、相对原来的人机匹配方法，本发明的方法更简单，在嗅探过滤时直接过滤出来IP地址和帐号；而原来的匹配方法要借助于更多的安全事件数据或上网行为数据，如isa数据和域的日志信息，且这些数据量特大；在当有1万多台电脑，isa一天产生的数据量就达8个G，要直接从isa服务器提取这些数据做处理,数据量大不用说，且对isa服务器性能造成一定的影响,同样域的日志量也很大，且用程序提取域的日志信息也需要花很长的时间.新的方法不用去考虑处理isa那样大量数据时所采用的技术.；

3）、资产属性提供的较全，包括了一个四元组的序列<账号、IP地址、MAC地址、主机名>，而原来的自动匹配方法有时只能拿到IP和账号，这样本发明的方法为安全事件追踪到责任人更简单，更准确，是因为IP的动态变化，我们可以只根据主机名或者MAC地址找到资产责任人；

4）、资产扫描的实时性，匹配数据更准确，而且处理速度快；

5）、旧的人机匹配方法依赖于多种网络资源完成资产方法，而网络嗅探人机对应方法只要依赖用户常登陆的一种应用服务***即可。

应当理解的是，本发明的应用不限于上述的举例，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (10)

1.一种用于资产管理的人机对应方法，其特征在于，包括步骤：

A1、启动网络嗅探程序，监听所有网络通信消息，并进入步骤A2；

A2、判断是否监听到http协议消息，当是时，进入步骤A3；否则将其它非http协议消息丢弃；

A3、判断该http协议消息中的目的地址是否是需账号登陆的服务器的IP地址，当是时进入步骤A4，否则丢弃该http协议消息；

A4、判断该http协议消息中是否包含账号信息，当是时，解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对，否则丢弃该http协议消息。

2.根据权利要求1所述用于资产管理的人机对应方法，其特征在于，其还包括步骤：

B1、启动扫描程序扫描在线主机；

B2、获取在线主机的IP地址、MAC地址和主机名。

3.根据权利要求2所述用于资产管理的人机对应方法，其特征在于，其还包括步骤：

D、将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息，实现人机对应。

4.根据权利要求3所述用于资产管理的人机对应方法，其特征在于，所述完整的人机对应信息包括：账号信息、IP地址、MAC地址和主机名。

5.根据权利要求2所述用于资产管理的人机对应方法，其特征在于，所述步骤B1还包括：设置防火墙允许Netbios报文访问，以及设置将用户侧的三层交换机的snmp访问允许打开。

6.一种用于资产管理的人机对应装置，其特征在于，包括：

监听模块，用于启动网络嗅探程序，监听所有网络通信消息；

第一判断模块，用于判断是否监听到http协议消息；

第二判断模块，用于当监听到http协议消息时，判断该http协议消息中的目的地址是否是需账号登陆的服务器的IP地址；

第三判断模块，用于当判断http协议消息中的目的地址是需账号登陆的服务器的IP地址时，判断该http协议消息中是否包含账号信息；

解析模块，用于当判断该http协议消息中包含账号信息时，解析出账号信息和IP地址的对应关系，得到账号信息和IP地址的序列对。

7.根据权利要求6所述用于资产管理的人机对应装置，其特征在于，其还包括：

扫描模块，用于启动扫描程序扫描在线主机；

获取模块，用于获取在线主机的IP地址、MAC地址和主机名。

8.根据权利要求7所述用于资产管理的人机对应装置，其特征在于，其还包括：

关联模块，用于将上述解析出的账号信息和IP地址的对应关系，及获取的在线主机的IP地址、MAC地址和主机名，通过IP关联处理获取完整的人机对应信息。

9.根据权利要求8所述用于资产管理的人机对应装置，其特征在于，所述完整的人机对应信息包括：账号信息、IP地址、MAC地址和主机名。

10.根据权利要求7所述用于资产管理的人机对应装置，其特征在于，其还包括：

设置模块，用于设置防火墙允许Netbios报文访问，以及设置将用户侧的三层交换机的snmp访问允许打开。

Images