近十年来，我国校园网建设发展迅速，上网人数快速增长，校园网在学校日常工作、生活中的作用也日益重要。随着网络技术的普及和校园网用户应用水平的不断提高，校园网运营过程中也出现了很多难以监控与管理的用户行为：

n         盗用上网账号。尽管很多学校使用AAA服务器来对上网用户进行认证管理，但盗用他人账号密码和IP地址的行为仍然时有发生。

n         安装非法软件、入侵校内服务器。在校园网中，安装黑客软件，入侵校内服务器，私设DHCP服务器等行为屡禁不止，给校园网带来了严重的安全威胁。

n         访问非法站点，散布不当言论。由于学校没有有效的技术手段追查非法网站的访问者和不当言论的传播人，此类行为往往难以治理。

n         滥用网络资源。学生之间常常共享和传播视频、音频文件和工具软件等信息资源，占用大量校园网的带宽。严重时，甚至影响到了学校教学、科研工作的正常运行。

为了确保校园网络安全、稳定、高效的运营，每一个管理者都希望能够掌握盗用账号、从事非法入侵、传播不当言论等行为的证据或线索，从而对用户的上网行为进行必要的规范。这就要求我们必须通过有效的技术手段对用户的上网行为进行审计——收集用户上网数据，分析用户上网行为，掌握网络运行的状态，追查相关行为的责任人，这种技术手段就是通常所说的用户行为审计技术。

这个看似简单的数据记录与分析过程在实际应用中却面临着多方面的挑战，其主要原因是用户行为的审计必须解决以下三个相互关联的技术难点：

n         难点一、数据采集技术

网络中的信息流是纷繁复杂且稍纵即逝的，用户上网行为数据就蕴含在包括各种应用协议报文（如WEB页面、电子邮件、文件传输等）的巨大网络流量中。为了及时从中获取能有效监控和审计用户行为的数据，我们必须综合利用网络中的各种数据来源。流经网络设备的报文数据记录了每一个网络连接的详细信息，是用户上网行为的直接反映；路由器中的NAT信息包含了校园网中内外网络的地址转换信息，是用户访问外部网络的凭据；用户接入网络时的认证、计费信息则记录了用户的上网时间、流量和认证记录。只有对这些信息进行全面的记录，才能为分析审计用户的上网行为、加强对用户的监控与管理提供第一手资料。

n         难点二、数据清理技术

即使我们通过各种技术手段采集到了来自网络中的各种网络访问信息，却不得不面对这样一个无法回避的实事：信息量太庞大了，足以使任何一个校园网络管理者淹没在数据的海洋里。我们必须能够提取出反映用户上网行为特征的关键数据，而又不应丢失数据中的有效信息。在以审计用户上网行为为目的的前提下，对各种用户网络访问信息进行相应剪裁、过滤和聚合是获取关键数据的必要手段。这也就是所谓的数据“清理”技术——剔除重复的、冗余的、无效的和细枝末节的数据，将无序的、杂乱的数据整理成有序的、完备的数据，为审计用户行为奠定坚实的数据基础。

n         难点三、数据分析技术

单纯的数据是孤立的、静态的，如果不通过精心设计的分析手段对数据进行关联、统计与挖掘，我们辛苦采集和整理的数据也只不过是一条条枯燥、乏味的数字列表，不能给校园网络的管理则带来任何决策上的指导。谁访问了不法网站？谁发表了不当言论？谁盗用了他人账号？哪些网站最受学生欢迎？哪里的网络经常拥塞？……我们必须对数据进行有目的的分析与挖掘，并辅以直观的展示形态，才能使校园网络的管理者清晰、明了地找到以上问题的答案，并采取相应的解决措施。

H3C采用Xlog日志分析系统可以很好的解决这些问题。Xlog不仅仅是简单的数据记录和查询，且能对数据进行剪裁、过滤、聚合、统计与分析，并以直观的形态展示，使用户行为审计技术真正成为校园网络管理者的决策助手。

用户行为审计技术在校园网中的应用，可以将校园网络的管理提高到一个新的层次。在用户行为审计技术提供的各种分析数据基础上，校园网管理者可以根据网络使用状况及时调整网络结构，对网络安全、用户行为进行有效的监控和管理。