TWI644228B

TWI644228B - 伺服器及其監控方法

Info

Publication number: TWI644228B
Application number: TW106145581A
Authority: TW
Inventors: 常家銘; 蔡雨龍; 張婉瑜; 許時銘
Original assignee: 中華電信股份有限公司
Priority date: 2017-12-25
Filing date: 2017-12-25
Publication date: 2018-12-11
Also published as: TW201928747A

Abstract

本發明提出一種伺服器及其監控方法。前述方法包括：取得對應於伺服器的屬性資訊的預定參數值，其中各屬性資訊屬於第一類屬性或第二類屬性；監控屬性資訊的目前參數值；依據屬性資訊的預定參數值判斷目前參數值是否異常；當目前參數值中的特定目前參數值為異常時，依據彈性準則組判斷是否需提供關聯於特定目前參數值的告警；以及若特定目前參數值符合彈性準則組的其中之一，則不提供告警，反之則提供告警，其中告警指示特定目前參數值所對應的屬性資訊的其中之一者，以及指示屬性資訊的其中之該者係為第一類屬性或第二類屬性。

Description

伺服器及其監控方法

本發明是有關於一種伺服器及其監控方法，且特別是有關於一種可即時發覺惡意威脅的伺服器及其監控方法。

企業內部擁有許多提供各種服務的伺服器，例如檔案伺服器（File Server）、資料庫伺服器（Database Server）、郵件伺服器（Mail Server）、網頁伺服器（Web Server）等。如何確保企業內部伺服器正常運作以提供使用者穩定的服務，並且確保伺服器不受惡意程式威脅，是各企業重視的資訊安全議題與技術。

有鑑於惡意軟體攻擊手法日漸複雜，且受駭之國際級企業越來越多，在Mandiant於2014年的威脅報告（threat report）當中，顯示有67%的企業無法自行偵測到威脅而必仰賴外界來協助偵測。並且，統計資料顯示，當一個企業遭受到潛在的威脅後，平均需要花費229天才能察覺出來。

因此，對於本領域技術人員而言，如何更為即時地發覺伺服器上的惡意威脅將是一項極為重要的議題。

有鑑於此，本發明提供一種伺服器及其監控方法，其以伺服器的屬性資訊做為行為分析(Behavior analysis)的依據，並配合設定適當的預定參數值及若干個彈性準則，建立符合伺服器的正常行為基準。藉此，本發明的伺服器可分析是否出現特定惡意行為及異常行為，從而即時地發覺惡意威脅的存在。

本發明提供一種伺服器監控方法，適於一伺服器，包括：取得對應於前述伺服器的多個屬性資訊的多個預定參數值，其中各前述屬性資訊屬於一第一類屬性或一第二類屬性；監控前述屬性資訊的多個目前參數值；依據前述屬性資訊的前述預定參數值判斷前述目前參數值是否異常；當前述目前參數值中的一特定目前參數值為異常時，依據多個彈性準則組判斷是否需提供關聯於前述特定目前參數值的一告警，其中各前述彈性準則組包含至少一彈性準則；以及若前述特定目前參數值符合前述彈性準則組的其中之一，則不提供前述告警，反之則提供前述告警，其中前述告警指示前述特定目前參數值所對應的前述屬性資訊的其中之一者，以及指示前述屬性資訊的其中之前述者係為前述第一類屬性或前述第二類屬性。

本發明亦提出一種伺服器，其包含儲存電路及處理器。儲存電路儲存多個模組。處理器連接前述儲存電路，存取前述模組以執行下列步驟：取得對應於前述伺服器的多個屬性資訊的多個預定參數值，其中各前述屬性資訊屬於一第一類屬性或一第二類屬性；監控前述屬性資訊的多個目前參數值；依據前述屬性資訊的前述預定參數值判斷前述目前參數值是否異常；當前述目前參數值中的一特定目前參數值為異常時，依據多個彈性準則組判斷是否需提供關聯於前述特定目前參數值的一告警，其中各前述彈性準則組包含至少一彈性準則；以及若前述特定目前參數值符合前述彈性準則組的其中之一，則不提供前述告警，反之則提供前述告警，其中前述告警指示前述特定目前參數值所對應的前述屬性資訊的其中之一者，以及指示前述屬性資訊的其中之前述者係為前述第一類屬性或前述第二類屬性。

基於上述，本發明提供一種伺服器及其監控方法，其可依據屬性資訊的預定參數值判斷各屬性資訊的目前參數值是否異常，並且在前述目前參數值不符合相應的彈性準則時發出告警，以令相關人員能夠即時地進行檢測。

為讓本發明的上述特徵和優點能更明顯易懂，下文特舉實施例，並配合所附圖式作詳細說明如下。

請參照圖1，其是依據本發明之一實施例繪示的伺服器示意圖。在本實施例中，伺服器100包括儲存電路110及處理器120。伺服器100例如是企業內部的檔案伺服器、資料庫伺服器、郵件伺服器及網頁伺服器，但可不限於此。儲存電路110例如是記憶體、硬碟或是其他任何可用於儲存資料的元件，而可用以記錄多個程式碼或模組。

處理器120耦接儲存電路110。處理器120例如是一般用途處理器、特殊用途處理器、傳統的處理器、數位訊號處理器、多個微處理器(microprocessor)、一個或多個結合數位訊號處理器核心的微處理器、控制器、微控制器、特殊應用集成電路(Application Specific Integrated Circuit，ASIC)、場可程式閘陣列電路(Field Programmable Gate Array，FPGA)、任何其他種類的積體電路、狀態機、基於進階精簡指令集機器(Advanced RISC Machine，ARM)的處理器以及類似品。

圖2是依據本發明之一實施例繪示的伺服器監控方法流程圖，以下即搭配圖1所示的各個元件來說明圖2所示方法的各個步驟。

在本實施例中，伺服器100的相關人員可預先對所欲監控的多個屬性資訊設定對應的預定參數值，而這些屬性資訊可被區分為多個類別。舉例而言，前述屬性資訊例如包括（但不限於）網際網路協定（Internet Protocol，IP）位址來源地、伺服器100流量、IP位址來源地的IP流量、IP位址來源地的連線頻率、伺服器100的處理器使用率、伺服器100記憶體使用率、伺服器100的硬碟存取速度、伺服器100的運作通訊埠數量的至少其中之一。

在不同的實施例中，IP位址來源地可用於辨別使用者係從何處連線至伺服器100以使用伺服器100的服務。IP位址來源地的IP流量則例如是前述使用者存取伺服器100時所產生的流量。IP位址來源地的連線頻率例如是前述使用者存取伺服器100的頻率。伺服器100流量則可以是由處理器120在一定時間內統計的所有使用伺服器100的服務之IP的流量。

另外，基於伺服器100的處理器使用率、伺服器100記憶體使用率及伺服器100的硬碟存取速度等屬性資訊，相關人員可觀察伺服器100是否出現異常的高負載情形。此外，由於伺服器100會根據服務目的的不同而啟用不同的通訊埠，因此相關人員可監控通訊埠的啟用與否及通訊埠的數量，以及早發覺伺服器100上的異常行為。

並且，在一實施例中，伺服器100的各個屬性資訊可被區分為屬於第一類屬性或第二類屬性。舉例而言，與伺服器100的網路行為相關的屬性資訊可歸類為第一類屬性，例如IP位址來源地、伺服器100流量、IP位址來源地的IP流量及IP位址來源地的連線頻率等。

另一方面，與伺服器100本身硬體的運作情形相關的屬性資訊則可歸類為第二類屬性，例如伺服器100的處理器使用率、伺服器100的記憶體使用率、伺服器100的硬碟存取速度及伺服器100的運作通訊埠數量等，但本發明可不限於此。

針對前述的各種屬性資訊，其個別對應的預定參數值可搭配以下表1及表2來呈現，其中的「X」代表可由相關人員自行依需求或經驗所設定的任意數值或文字（例如某國家）。 <TABLE border="1" borderColor="#000000" width="85%"><TBODY><tr><td> 屬性資訊 </td><td> 預定參數值（單位） </td></tr><tr><td> IP位址來源地 </td><td> X（國家） </td></tr><tr><td> IP位址來源地的連線頻率 </td><td> X（次數/分） </td></tr><tr><td> IP位址來源地的IP流量 </td><td> X（MB/分） </td></tr><tr><td> 伺服器流量 </td><td> X（MB/分） </td></tr></TBODY></TABLE>表1（第一類屬性） <TABLE border="1" borderColor="#000000" width="85%"><TBODY><tr><td> 屬性資訊 </td><td> 預定參數值（單位） </td></tr><tr><td> 處理器使用率 </td><td> X（%） </td></tr><tr><td> 記憶體使用率 </td><td> X（%） </td></tr><tr><td> 硬碟存取速度 </td><td> X（KB/秒） </td></tr><tr><td> 運作通訊埠數量 </td><td> X（個） </td></tr></TBODY></TABLE>表2（第二類屬性）

藉由對以上屬性資訊所設定的預定參數值，相關人員可初步地建立伺服器100的正常行為基準。

在相關人員完成對前述各預設參數值的設定之後，在步驟S210中，處理器120取得對應於屬性資訊的預定參數值，並在步驟S220中監控屬性資訊的目前參數值。前述目前參數值例如是目前各屬性資訊反應於伺服器100的工作情況所呈現的數值或內容。以「IP位址來源地的IP流量」的屬性資訊為例，處理器120所監控到的目前參數值可以是數值Y（MB/分）。再以「處理器使用率」的屬性資訊為例，處理器120所監控到的目前參數值可以是數值Z（%）。對於本領域具通常知識者而言，其餘屬性資訊的目前參數值可能的態樣應可由以上教示而推得，故在此不再贅述。

之後，在步驟S230中，處理器120依據屬性資訊的預定參數值判斷目前參數值是否異常。在一實施例中，處理器120從目前參數值中取出第一目前參數值，並從預定參數值中取出第一預定參數值，其中第一預定參數值與第一目前參數值皆對應屬性資訊中的第一屬性資訊。接著，處理器120可判斷第一目前參數值是否超出第一預定參數值，若是則判定第一目前參數值為異常，反之則判定第一目前參數不為異常。

舉例而言，假設處理器120欲觀察的屬性資訊是「IP位址來源地的IP流量」，則處理器120可取出「IP位址來源地的IP流量」的目前參數值（例如是數值Y（MB/分））。接著，處理器120可取出「IP位址來源地的IP流量」的預定參數值（例如是數值M（MB/分））。之後，處理器120可判斷數值Y（MB/分）是否超出數值M（MB/分），若是則判定數值Y（MB/分）為異常，反之則判定數值Y（MB/分）不為異常。

舉另一例而言，假設處理器120欲觀察的屬性資訊是「處理器使用率」，則處理器120可取出「處理器使用率」的目前參數值（例如是數值P（%））。接著，處理器120可取出「處理器使用率」的預定參數值（例如是數值Q（%））。之後，處理器120可判斷數值P（%）是否超出數值Q（%），若是則判定數值P（%）為異常，反之則判定數值P（%）不為異常。對於本領域具通常知識者而言，判斷其餘屬性資訊的目前參數值是否異常的方式應可由以上教示而推得，故在此不再贅述。

在其他實施例中，假設處理器120欲觀察的屬性資訊是「IP位址來源地」，則處理器120可取出「IP位址來源地」的目前參數值（例如是C（國家））。接著，處理器120可取出「IP位址來源地」的預定參數值（例如是D（國家）、E（國家）及F（國家））。之後處理器120可判斷C（國家）是否匹配於D（國家）、E（國家）及F（國家）的任一，若是則判定C（國家）不為異常，反之則判定C（國家）為異常。

若步驟S230的結果顯示目前參數值不為異常，則處理器120可接續進行步驟S250以不提供告警。

然而，即便前述目前參數值被判定異常，但在不同的實施例中，由於伺服器100在某些允許的特殊情況下可能會發生被判定為異常的行為（例如過高的流量），因此本發明另藉由以下的步驟S240提供了相關的判斷機制，藉以決定是否針對各個異常情況提出實質的告警。具體而言，在步驟S230中，若某一個目前參數值（下稱特定目前參數值）被判斷為異常，則處理器120接續在步驟S240中依據彈性準則組判斷是否需提供關聯於特定目前參數值的告警。前述各彈性準則組包含至少一彈性準則。為令步驟S240的內容更易於理解，以下另舉一實例輔以說明。

假設現有一A伺服器負責提供服務，B伺服器負責定期備份A伺服器的資料，而A伺服器的各屬性資訊及對應的預定參數值可設定如下表3。 <TABLE border="1" borderColor="#000000" width="85%"><TBODY><tr><td> 屬性資訊 </td><td> 預定參數值（單位） </td></tr><tr><td> 伺服器流量 </td><td> 60（MB/分） </td></tr><tr><td> 運作通訊埠數量 </td><td> 5（個） </td></tr><tr><td> 處理器使用率 </td><td> 70（%） </td></tr><tr><td> 記憶體使用率 </td><td> 60（%） </td></tr><tr><td> 硬碟存取速度 </td><td> X（KB/秒） </td></tr></TBODY></TABLE>表3

當B伺服器對A伺服器請求連線並且接收A伺服器的資料時，A伺服器會額外開啟一個通訊埠，並且相應地增加A伺服器的流量。針對這種情況，彈性準則組（其包括表4的第一彈性準則及表5的第二彈性準則）可相應地設計為以下態樣。 <TABLE border="1" borderColor="#000000" width="85%"><TBODY><tr><td> 屬性資訊 </td><td> 參數值（單位） </td></tr><tr><td> B伺服器的IP流量 </td><td> 50（MB/分） </td></tr><tr><td> A伺服器流量 </td><td> 100（MB/分） </td></tr></TBODY></TABLE>表4（第一彈性準則） <TABLE border="1" borderColor="#000000" width="85%"><TBODY><tr><td> 屬性資訊 </td><td> 參數值（單位） </td></tr><tr><td> 運作通訊埠數量 </td><td> 6（個） </td></tr><tr><td> B伺服器的IP流量 </td><td> 50（MB/分） </td></tr></TBODY></TABLE>表5（第二彈性準則）

在此例中，當A伺服器傳送資料給B伺服器時，A伺服器的流量（例如，70（MB/分））有可能超過所設定預定參數值（即，60（MB/分）），且運作通訊埠也會從原本設定的5個增加至6個。因此，這兩種行為在步驟S230中將被判定為異常，故處理器120將接續進行步驟S240。從表4及表5所組成的彈性準則組可看出，即便A伺服器的流量超過60（MB/分），只要B伺服器的IP流量（例如48（MB/分））在第一彈性準則的設定範圍內，A伺服器流量的上限被允許提高至100（MB/分）。同時，即便A伺服器的運作通訊埠數量由5個增加至6個，只要確認B伺服器的IP流量仍在第二彈性準則的範圍內，皆視為正常。

若前述特定目前參數值皆滿足以上彈性準則組的第一彈性準則及第二彈性準則，則處理器120可接續進行步驟S250以不提供相關的告警。

在其他實施例中，相關人員可依需求設定多個彈性準則組，而各彈性準則組可包括一或多個彈性準則。只要前述特定目前參數值符合其中一個彈性準則組的所有彈性準則，則處理器120即可判定不需提供相應的告警，但本發明可不限於此。

然而，若前述特定目前參數值未符合任一個彈性準則組，則代表伺服器120上可能出現了惡意的威脅，因此處理器120可進行步驟S260以提供告警，其指示前述特定目前參數值所對應的屬性資訊，以及此屬性資訊係為第一類屬性或第二類屬性。

舉例而言，假設未符合任一個彈性準則組的特定目前參數值對應的屬性資訊為「伺服器流量」，其例如屬於第一類屬性（即，與伺服器100的網路行為相關的屬性資訊）。在此情況下，處理器120所提供的告警可指示「伺服器流量」及「第一類屬性」等訊息，藉以使相關人員能夠直接朝向相關的方向（例如伺服器100的網路行為）進行除錯，而不需花時間在與第二類屬性（即，與伺服器100本身硬體的運作情形相關的屬性資訊）相關的方向進行除錯，從而提升偵測惡意威脅的準確率及除錯的效率。

在一實施例中，由於相關人員對各屬性資訊所設定的預定參數值有可能較不符合伺服器100實際的運作情況（例如過於高估了伺服器100的流量），因此處理器120可另行基於以下機制來修正相關的預定參數值，藉以更準確地反映伺服器120的實際行為模式。

具體而言，在選定某屬性資訊後，處理器120可基於其預定參數值決定一參數觀察區間，而此預定參數值位於參數觀察區間中。接著，處理器120可判斷此屬性資訊的目前參數值是否位於此參數觀察區間中。若是，則處理器120可記錄此目前參數值，並基於此目前參數值修正預定參數值。

舉例而言，假設處理器120所考慮的是「伺服器流量」，而其預定參數值例如是「60（MB/分）」，則處理器120可基於「60（MB/分）」決定參數觀察區間（例如是60（MB/分）的70%至120%）。接著，若所觀察到的「伺服器流量」的目前參數值（例如50（MB/分））是否位於參數觀察區間，若是則可將預定參數值修正為50（MB/分），以較正確地反映伺服器100的工作情形。

在其他實施例中，處理器120亦可在收集多筆位於前述參數觀察區間內的目前參數值，再據以更新預定參數值。舉例而言，處理器120可計算前述多筆目前參數值的平均值，再將預定參數值修正為此平均值，從而更為客觀地建立伺服器100的行為模式。

綜上所述，本發明提供的伺服器及其監控方法可依據屬性資訊的預定參數值判斷各屬性資訊的目前參數值是否異常，並且在前述目前參數值不符合相應的彈性準則時發出告警，以令相關人員能夠即時地進行檢測。並且，由於前述告警可一併指示前述目前參數值的屬性資訊是屬於第一類屬性還是第二類屬性，因而使得相關人員能夠直接朝正確的方向進行除錯，從而提升效率。藉此，本發明的伺服器可分析是否出現特定惡意行為及異常行為，從而即時地發覺惡意威脅的存在。

雖然本發明已以實施例揭露如上，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明的精神和範圍內，當可作些許的更動與潤飾，故本發明的保護範圍當視後附的申請專利範圍所界定者為準。

100‧‧‧伺服器

110‧‧‧儲存電路

120‧‧‧處理器

S210~S260‧‧‧步驟

圖1是依據本發明之一實施例繪示的伺服器示意圖。圖2是依據本發明之一實施例繪示的伺服器監控方法流程圖。

Claims

一種伺服器監控方法，適於一伺服器，包括：取得對應於該伺服器的多個屬性資訊的多個預定參數值，其中各該屬性資訊屬於一第一類屬性或一第二類屬性，其中該第一類屬性與該伺服器的一網路行為相關，該第二類屬性與該伺服器的硬體運作情形相關；監控該些屬性資訊的多個目前參數值；依據該些屬性資訊的該些預定參數值判斷該些目前參數值是否異常；當該些目前參數值中的一特定目前參數值為異常時，依據多個彈性準則組判斷是否需提供關聯於該特定目前參數值的一告警，其中各該彈性準則組包含至少一彈性準則；以及若該特定目前參數值符合該些彈性準則組的其中之一，則不提供該告警，反之則提供該告警，其中該告警指示該特定目前參數值所對應的該些屬性資訊的其中之一者，以及指示該些屬性資訊的其中之該者係為該第一類屬性或該第二類屬性；其中，該方法更包括：從該些目前參數值中取出一第一目前參數值；從該些預定參數值中取出一第一預定參數值，其中該第一預定參數值與該第一目前參數值皆對應該些屬性資訊中的一第一屬性資訊；基於該第一預定參數值決定一參數觀察區間，其中該第一預定參數值位於該參數觀察區間中；判斷該第一目前參數值是否位於該參數觀察區間中；以及若是，記錄該第一目前參數值，並基於該第一目前參數值修正該第一預定參數值。
如申請專利範圍第1項所述的方法，其中該些屬性資訊包含一網際網路協定(Internet Protocol，IP)位址來源地、一伺服器流量、該IP位址來源地的一IP流量、該IP位址來源地的一連線頻率、該伺服器的一處理器使用率、該伺服器的一記憶體使用率、該伺服器的一硬碟存取速度、該伺服器的一運作通訊埠數量的至少其中之一。
如申請專利範圍第2項所述的方法，其中該網際網路協定(Internet Protocol，IP)位址來源地、該伺服器流量、該IP位址來源地的該IP流量及該IP位址來源地的該連線頻率屬於該第一類屬性，而該伺服器的該處理器使用率、該伺服器的該記憶體使用率、該伺服器的該硬碟存取速度及該伺服器的該運作通訊埠數量屬於該第二類屬性。
如申請專利範圍第1項所述的方法，其中當該些目前參數值皆不為異常時，不提供該告警。
如申請專利範圍第1項所述的方法，其中依據該些屬性資訊的該些預定參數值判斷該些目前參數值是否異常的步驟包括：判斷該第一目前參數值是否超出該第一預定參數值，若是則判定該第一目前參數值為異常，反之則判定該第一目前參數不為異常。
一種伺服器，包括：一儲存電路，儲存多個模組；以及一處理器，連接該儲存電路，存取該些模組以執行下列步驟：取得對應於該伺服器的多個屬性資訊的多個預定參數值，其中各該屬性資訊屬於一第一類屬性或一第二類屬性；監控該些屬性資訊的多個目前參數值；依據該些屬性資訊的該些預定參數值判斷該些目前參數值是否異常；當該些目前參數值中的一特定目前參數值為異常時，依據多個彈性準則組判斷是否需提供關聯於該特定目前參數值的一告警，其中各該彈性準則組包含至少一彈性準則；以及若該特定目前參數值符合該些彈性準則組的其中之一，則不提供該告警，反之則提供該告警，其中該告警指示該特定目前參數值所對應的該些屬性資訊的其中之一者，以及指示該些屬性資訊的其中之該者係為該第一類屬性或該第二類屬性；其中該處理器更經配置以：從該些目前參數值中取出一第一目前參數值；從該些預定參數值中取出一第一預定參數值，其中該第一預定參數值與該第一目前參數值皆對應該些屬性資訊中的一第一屬性資訊基於該第一預定參數值決定一參數觀察區間，其中該第一預定參數值位於該參數觀察區間中；判斷該第一目前參數值是否位於該參數觀察區間中；以及若是，記錄該第一目前參數值，並基於該第一目前參數值修正該第一預定參數值。
如申請專利範圍第6項所述的伺服器，其中該些屬性資訊包含一網際網路協定(Internet Protocol，IP)位址來源地、一伺服器流量、該IP位址來源地的一IP流量、該IP位址來源地的一連線頻率、該伺服器的一處理器使用率、該伺服器的一記憶體使用率、該伺服器的一硬碟存取速度、該伺服器的一運作通訊埠數量的至少其中之一。
如申請專利範圍第7項所述的伺服器，其中該網際網路協定(Internet Protocol，IP)位址來源地、該伺服器流量、該IP位址來源地的該IP流量及該IP位址來源地的該連線頻率屬於該第一類屬性，而該伺服器的該處理器使用率、該伺服器的該記憶體使用率、該伺服器的該硬碟存取速度及該伺服器的該運作通訊埠數量屬於該第二類屬性。
如申請專利範圍第6項所述的伺服器，其中當該些目前參數值皆不為異常時，該處理器不提供該告警。
如申請專利範圍第6項所述的伺服器，其中該處理器經配置以：判斷該第一目前參數值是否超出該第一預定參數值，若是則判定該第一目前參數值為異常，反之則判定該第一目前參數不為異常。