【整理】用户行为审计解决方案(UBA)

用户行为审计解决方案（UBA）

应用场景

随着网络基础设施建设的迅速发展，网络使用人数快速增长，网络在企业生产经营和人们的生活中的作用也日益重要。然而随着网络技术的普及和网络用户使用水平的不断提高，在网络建设和应用过程中也出现了很多难以监控与管理的用户行为：

◆网络帐号盗用严重。政府、企业、高校等用户出于网络运营和信息安全等需要，通常对网络用

户采用AAA服务器进行认证管理，但盗用他人帐号密码和IP地址的行为仍然时有发生。

◆访问不健康、非法站点，散布非法言论。当前，网络也成为某些人攻击政府、危害社会的工

具。由于目前尚没有简单有效的技术手段追查非法网站的访问者和不当言论的传播人，此类行为往往难以治理。

非法的网络行为同网络用户人数一样呈高速增长趋势。为了解决上述问题，公安部门在2005年颁布了《互联网安全保护技术措施规定》，要求网络管理者或者运营者必须记录并留存用户登录和退出时间、主叫号码、帐号、互联网地址或域名等信息，能够记录并留存用户使用的互联网网络地址和内部网络地址对应关系，并保留3个月以上的上网日志信息备查，以便公安机关公共信息网络安全监察部门在需要时可以进行追查。

解决方案介绍

针对公安机关保留上网记录的要求，帮助政府、企业、高校等单位管理和审计用户的上网行为，H3C推出了用户行为审计解决方案（UBA）。UBA通过与多种网络设备共同组网，实现了对终端用户的上网行为进行事后审计，追查用户的非法网络行为的功能。UBA支持多种日志格式（包括NAT、Flow、NetStream、DIG），可实现2到7层的用户行为审计。针对不同的日志类型，管理员可以获得如源IP地址、源端口、目的IP地址、目的端口、开始/结束时间、协议类型、协议摘要（目前支持HTTP、SMTP、FTP协议）等信息。

图1 用户行为审计解决方案(UBA)逻辑组成

UBA具备全面的日志采集和强大的日志审计功能，能高效地收集用户上网数据，分析用户上

网行为，掌握网络运行的状态，为网络管理员追查相关行为的责任人提供依据。UBA采用基于IP 地址的日志审计方式，能够将进行非法网络行为的用户精确定义到该用户上一次上网使用的IP地址。但当网络中采用了动态IP地址分配（DHCP）技术，同一用户多次上网分配的IP地址不同时，网络管理员不能依据IP地址鉴定用户的身份，这也是传统的用户行为审计解决方案需要解决的共同问题。

针对这点，UBA解决方案提供了创新性的基于用户身份的行为审计方案，通过与iMC UAM用户接入管理组件的联动，直接将上网IP的非法行为记录映射到上网者的用户帐号，管理者可以很容易查询到是访问非法网站的用户帐号，大大方便了管理部门对上网行为的管理。

同时UBA支持以协议摘要作为海量日志的审计条件，根据用户访问的网站URL、发送邮件的主题、FTP上传/下载文件名等行为关键字，直接定位非法使用网络的用户。

解决方案优势

◆全面的日志采集。UBA用户行为审计解决方案可支持多种网络日志的采集（包括NAT、Flow、

NetStream、DIG），同时用户行为审计解决方案采用分布式的体系结构，支持多点采集，可以同时采集多个设备的日志信息，为网络管理员监控网络提供了灵活有效的支持。

◆强大的日志审计。用户行为审计解决方案可根据用户需要，通过各种条件的组合对网络日志进

行快速分析。管理员可以从海量的网络日志中精确审计终端用户的上网行为，如何时访问了某网站、使用何种协议、向外发送了哪些文件等。

◆精准的七层应用审计。对于端口不固定的应用，如BT、eDonkey等P2P协议可以通过报文应用

层数据的特征进行识别。基于七层应用的识别和分类，UBA可全面审计网络中的七层应用使用情况。

◆基于用户的行为审计。结合iMC UAM用户接入管理组件强大的用户身份管理和用户行为审计

解决方案详尽的用户网络行为日志，可高效地管理网络用户，同时建立详细的用户访问互联网的日志，帮助管理分析用户的上网行为，为管理员提供行之有效的网络管理和用户行为跟踪策略。

图2 基于用户的行为审计

◆精确的用户行为跟踪。提供Web访问审计、文件传输和邮件审计功能，跟踪用户Web网页访

问、FTP文件传输、邮件交互等网络访问行为，可按照用户访问网页的URL、FTP操作文件及发送邮件的主题等条件灵活查询，精确跟踪定位用户的网络行为。

图3 WEB访问审计结果页面