CN104796280A - 一种业务权限检测方法及装置 - Google Patents

Abstract

本发明公开了一种业务权限检测方法，包括：在当前采集周期内，采集用户的业务访问信息，并依据所采集的业务访问信息，建立访问业务的用户账号与访问页面URL之间的对应关系；依据预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；依据所建立的当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，并将用户账号及用户账号的权限上报以供权限审计；同时，本发明还公开了一种业务权限检测装置。利用本发明可实现权限的细粒度检测。

Description

一种业务权限检测方法及装置

技术领域

本发明涉及业务支撑技术，具体涉及到一种业务权限检测方法及装置。

背景技术

通常，电信运营商如移动运营商将自主研发的账号（Account）、授权（Authorization）、认证管理（Authentication）及安全审计（Audit）统一管理4A***作为用户业务审计的主***，将采集到用户访问业务数据的***如移动业务支撑网运营管理BOMC***作为审计的从***。在***的单点登录模式下，主***可与从***同步该从***在一段时间内记录的访问数据如在所述时间内访问该从***的所有用户的用户账号、访问页面及权限等用户信息，并对用户信息进行审计管理如变更用户权限、判断用户访问的合法性等。

现举例说明，假设用户A的权限为权限1可登录四个页面，当其想要查询当月的通信费，通过从***登录移动网上营业厅平台（第一个页面），在该平台下，登录自己的账号（第二个页面），查找话单查询项，并在进入话单查询项页面（第三个页面）之后，点击流量费查询子项页面（第四个页面）并查看相应的费用。这里，如果将流量费查询子项页面（最小元素页面）作为页面层数据，那么称话单查询项页面为菜单层数据，页面层数据是菜单层数据的进一步细化。而目前主、从***对访问页面数据的监控仅是停留在菜单层数据，无法监控到页面层数据，由此导致了以下问题：

实际上，短信费查询子项页面（最小元素页面）、通话费查询子项页面（最小元素页面）是与流量费查询子项页面处于并列位置的页面，用户A也能够访问短信费查询子项页面、通话费查询子项页面，则用户A的实际访问页面的权限不仅仅是可登录四个页面，无法将用户权限进行及时变更，进而不利于对访问安全性的审计。

发明内容

为解决现有存在的技术问题，本发明实施例提供一种业务权限检测方法及装置，实现了用户访问数据的细粒度记录对页面层数据的记录，进而实现对用户权限及时的变更，从而加强了审计安全性。

本发明实施例的技术方案是这样实现的：

本发明实施例提供了一种业务权限检测方法，所述方法包括：

在当前采集周期内，采集用户的业务访问信息，并依据所采集的业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系；

依据预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；

依据所建立的当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，并将所述用户账号及所述用户账号的权限上报以供权限审计。

上述方案中，所述建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系，包括：

依据页面URL的命名规则，为用户访问的所有页面URL建立相应的URL模型；通过将采集到每一用户的所有页面URL归类到相应的URL模型中而建立访问业务的用户账号与访问页面URL之间的对应关系。

上述方案中，所述建立用户账号、权限、访问页面URL之间的对应关系，包括：

通过对预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系进行组合而形成用户账号、权限、访问页面URL之间的对应关系。

上述方案中，所述确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，包括：

比较当前采集周期内采集到的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，记录该用户账号。

本发明实施例还提供了一种业务权限检测装置，所述装置包括：采集单元、第一建立单元、第二建立单元、确定单元、上报单元；其中，

所述采集单元，用于在当前采集周期内，采集用户的业务访问信息；

所述第一建立单元，用于依据所述业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系；

所述第二建立单元，用于依据预先建立的用户账号与权限之间的对应关系、以及所述用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；

所述确定单元，用于依据当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号；

所述上报单元，用于将所述用户账号及所述用户账号的权限上报以供权限审计。

上述方案中，所述第一建立单元包括：第一建立子单元、归类子单元；其中，

所述第一建立子单元，用于依据页面URL的命名规则，为用户访问的所有页面URL建立相应的URL模型；

所述归类子单元，用于将每一用户的所有页面URL归类到相应的URL模型中。

上述方案中，所述第二建立单元，还用于通过对预先建立的用户账号与权限之间的对应关系、以及所述用户账户与访问页面URL之间的对应关系进行组合而形成用户账号、权限、访问页面URL之间的对应关系。

上述方案中，所述确定单元包括：比较子单元、记录子单元；其中，

所述比较子单元，用于比较当前采集周期内的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，触发所述记录子单元；

所述记录子单元，用于记录该用户账号。

本发明实施例提供的业务权限检测方法及装置，在当前采集周期内，采集用户的业务访问信息，并依据所采集的业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系；依据预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；依据所建立的当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，并将所述用户账号及所述用户账号的权限上报以供权限审计。本发明实施例实现了对用户访问数据的细粒度记录如对URL的记录，实现了对用户权限的及时变更，加强了审计安全性。

附图说明

图1为本发明实施例业务权限检测方法的实现流程图；

图2为本发明实施例的业务权限检测方法的一具体实现流程图；

图3为本发明实施例的业务权限检测装置的组成结构示意图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

本发明实施例提供了一种业务权限检测方法，图1为本发明实施例业务权限检测方法的实现流程图，如图1所示，所述方法包括：

步骤11：在当前采集周期内，采集用户的业务访问信息，并依据所采集的业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符（URL，Uniform Resource Locator）之间的对应关系。

这里，用户通过路由器对某个或某些页面如网上营业厅平台进行访问，采集该用户的用户账号与其所访问的页面URL等访问业务信息，并将所采集到的访问业务信息记录为用户账号与其所访问的URL之间的对应关系。

步骤12：依据预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系。

这里，在用户进行用户账号注册时，为每个用户账号配置了相应的权限，并建立用户账号与其权限两者之间的对应关系；在建立起用户账号与访问页面URL两者之间的对应关系后，这两个对应关系中均具有用户账号这一相同元素，由此就可以将这两个对应关系组合为用户账号、权限、访问页面URL三者之间的对应关系。

步骤13：依据所建立的当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，并将所述用户账号及所述用户账号的权限上报以供权限审计。

这里，比较当前采集周期内采集到的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，将比较结果、用户账号及该用户账号的权限等信息上报至审计***，以供审计***审计。

由此可见，本发明实施例通过建立用户账号与访问页面URL之间的对应关系，将用户账号、页面URL及权限三者的关系关联上，实现了对用户访问数据的细粒度记录如URL记录，从而方便了审计***从更深层次如URL层对用户权限进行审计。

图2为本发明实施例的业务权限检测方法的一具体实现流程图，下面结合图2对本发明实施例的技术方案作进一步说明。

以采集周期为三个月、用户为用户A、用户B及用户C为例。

步骤201：用户A、用户B、用户C分别通过自身的路由器发送页面请求至从***，从***将各个用户所需要的页面展示给相应用户。

这里，在进行页面请求之前，还需要用户登录自身的用户账号；所述页面请求携带有用户待访问页面的标识如URL，所述从***依据URL识查找到相应的页面，并将查找到的页面展示给用户。

步骤202：采集周期到来时，采集每个从***中记录的该三个月内登录该从***的所有用户账号以及每个用户账号访问的页面URL，并建立用户A与其所访问的页面的URL之间的对应关系、用户B与其所访问的页面的URL之间的对应关系、用户C与其所访问的页面的URL之间的对应关系。

这里，依据页面URL的命名规则，为用户访问的所有页面URL建立起URL模型，并将三个用户在这三个月内访问的所有页面URL归类到相应的URL模型中去。如，用户A访问了话单查询项页面、百度首页页面、还访问了流量费查询子项页面等，那么为用户A建立起来的URL模型就可以为三个URL模型，分别是百度首页页面URL模型、话单查询项页面URL模型、流量费查询子项页面URL模型，对于用户A来说，它的用户账号与其所访问的所有页面URL的对应关系就可以是：用户A的用户账号对应于百度首页页面URL模型、话单查询项页面URL模型及流量费查询子项页面URL模型。

这里，当不同的用户归类于同一个URL模型时，可通过不同用户访问该同一个URL时所携带的会话标识Session ID来区别哪个URL是哪个用户的。

实际应用中，由于访问页面的用户数量很多，所以在将采集周期内采集到的所有用户的用户账号与访问页面URL之间对应关系存储在一起之后，就形成了一个记录有用户账号与访问页面URL的对应关系、或用户账号与访问页面URL模型的对应关系的基线库。

步骤203：依据预先建立的用户账号与权限之间的对应关系，以及所建立的用户账户与访问页面URL之间的对应关系，为该三个用户建立用户账号、权限、访问页面URL之间的对应关系。

这里，在用户A、B、C进行用户账号的注册建立时就为该三个用户配置了相应的权限，记录为三个用户与其各自权限之间的对应关系；在建立起该三个用户在该三个月内的用户账号与其访问页面的URL之间的对应关系后，这两个对应关系中均具有用户账号这一相同元素，通过这个相同元素将这两个对应关系进行组合，就形成了用户账号、权限、访问页面URL三者之间的对应关系或用户账号、权限、访问页面URL、页面URL模型四者之间的对应关系。

步骤204：比较当前采集周期内采集到的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，记录该用户账号，执行步骤205；比较为相同时，执行步骤207。

步骤205：将比较为不同的比较结果、该用户账号及其权限等信息上报至审计***、具体是审计主***4A，继续执行步骤206。

这里，举个例子，用户A在当前采集周期内所访问的页面URL包括：话单查询项页面、百度页面、还访问了流量费查询子项页面；上一个采集周期内所访问的页面URL包括：话单查询项页面、百度页面。比较结果是当前采集周期内用户A对页面的访问与上个采集周期相比增加了一个页面，那么将用户A的用户账号、权限及比较结果上报至审计主***4A。

步骤206：审计主***4A***依据比较结果，对用户权限进行审计。

这里，举个例子，用户A在当前采集周期内多访问了一个流量费查询子项页面，而4A***记录的原用户A的权限并没有资格访问流量费查询子项页面，4A***认为用户A的权限发生了改变，更新原用户A的权限为新的权限，并将更新后的用户A的用户信息如用户A账号、访问URL信息及新的权限输出至审计人员。

步骤207：无需上报，当前处理流程结束。

由此可见，本发明实施例中，对用户访问数据的记录精确到了细粒度URL层面（最小元素层面），从而实现了用户账号、页面URL及权限三者关系的关联，从而方便了审计***从更深层次如URL层对用户权限进行审计。

基于上述业务权限检测方法，本发明实施例还提供了一种业务权限检测装置，图3为本发明实施例的业务权限检测装置的组成结构示意图；如图3所示，所述装置包括：采集单元301、第一建立单元302、第二建立单元303、确定单元304、上报单元305；其中，

所述采集单元301，用于在当前采集周期内，采集用户的业务访问信息；

所述第一建立单元302，用于依据所述业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系；

所述第二建立单元303，用于依据预先建立的用户账号与权限之间的对应关系、以及所述用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；

所述确定单元304，用于依据当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号；

所述上报单元305，用于将所述用户账号及所述用户账号的权限上报以供权限审计。

其中，所述第二建立单元303，还用于预先建立用户账号与权限之间的对应关系。

如图3所示，所述第一建立单元302包括：第一建立子单元3021、归类子单元3022；所述确定单元304包括：比较子单元3041、记录子单元3042；所实现的功能请参见以下描述。

具体的，当采集周期到来时，所述采集单元301采集每个从***中记录的该采集周期内每个用户账号访问的页面URL，并将采集到的信息通知给所述第一建立单元302；所述第一建立单元302、具体是所述第一建立子单元3021依据页面URL的命名规则，为所有用户访问的所有页面URL建立相应的URL模型，并触发所述第一归类子单元3022；所述归类子单元3022将所述采集单元301采集到的每一用户的所有页面URL归类到相应的URL模型中，进而形成用户账号与访问页面URL之间的对应关系，所述归类子单元3022将用户账号与访问页面URL之间的对应关系通知给所述第二建立单元303；所述第二建立单元303将接收到的用户账户与访问页面URL两者之间的对应关系、以及预先建立的用户账号与权限两者之间的对应关系进行组合，进而形成用户账号、权限、访问页面URL三者之间的对应关系。所述确定单元304、具体是所述比较子单元3041比较当前采集周期内的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，触发所述记录子单元3042；所述记录子单元3042将比较为不相同的用户账号进行记录，并通知给上报单元305；所述上报单元305将比较结果、该用户账号以及该用户账号所具有的权限上报至审计主***以供审计主***对该用户账号的权限进行审计。

本发明实施例可带来以下有益效果：

一、通过对当前采集周期内每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同的比较，能够及时检测到访问从***如BOMC***的用户账号访问基线库记录之外的页面的风险；

二、通过对当前采集周期内每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同的比较，更好实现从***与主***中所记录的用户权限的同步变更；

三、基线库的形成为审计管理人员对用户账号的细粒度权限查询提供了方便。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (8)

1.一种业务权限检测方法，其特征在于，所述方法包括：

在当前采集周期内，采集用户的业务访问信息，并依据所采集的业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系；

依据预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；

依据所建立的当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，并将所述用户账号及所述用户账号的权限上报以供权限审计。

2.根据权利要求1所述的方法，其特征在于，所述建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系，包括：

依据页面URL的命名规则，为用户访问的所有页面URL建立相应的URL模型；通过将采集到每一用户的所有页面URL归类到相应的URL模型中而建立访问业务的用户账号与访问页面URL之间的对应关系。

3.根据权利要求1所述的方法，其特征在于，所述建立用户账号、权限、访问页面URL之间的对应关系，包括：

通过对预先建立的用户账号与权限之间的对应关系、以及所建立的用户账户与访问页面URL之间的对应关系进行组合而形成用户账号、权限、访问页面URL之间的对应关系。

4.根据权利要求1所述的方法，其特征在于，所述确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号，包括：

比较当前采集周期内采集到的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，记录该用户账号。

5.一种业务权限检测装置，其特征在于，所述装置包括：采集单元、第一建立单元、第二建立单元、确定单元、上报单元；其中，

所述采集单元，用于在当前采集周期内，采集用户的业务访问信息；

所述第一建立单元，用于依据所述业务访问信息，建立访问业务的用户账号与访问页面统一资源定位符URL之间的对应关系；

所述第二建立单元，用于依据预先建立的用户账号与权限之间的对应关系、以及所述用户账户与访问页面URL之间的对应关系，建立用户账号、权限、访问页面URL之间的对应关系；

所述确定单元，用于依据当前采集周期的用户账号、权限、访问页面URL之间的对应关系，以及存储的上一个采集周期的用户账号、权限、访问页面URL之间的对应关系，确定出当前采集周期与上一个采集周期访问页面URL不相同的用户账号；

所述上报单元，用于将所述用户账号及所述用户账号的权限上报以供权限审计。

6.根据权利要求5所述的装置，其特征在于，所述第一建立单元包括：第一建立子单元、归类子单元；其中，

所述第一建立子单元，用于依据页面URL的命名规则，为用户访问的所有页面URL建立相应的URL模型；

所述归类子单元，用于将每一用户的所有页面URL归类到相应的URL模型中。

7.根据权利要求5所述的装置，其特征在于，所述第二建立单元，还用于通过对预先建立的用户账号与权限之间的对应关系、以及所述用户账户与访问页面URL之间的对应关系进行组合而形成用户账号、权限、访问页面URL之间的对应关系。

8.根据权利要求5所述的装置，其特征在于，所述确定单元包括：比较子单元、记录子单元；其中，

所述比较子单元，用于比较当前采集周期内的每个用户账号所访问的页面URL与上一个采集周期内的该用户账号所访问的页面URL是否相同，比较为不相同时，触发所述记录子单元；

所述记录子单元，用于记录该用户账号。