[發(fā)明專利]一種低開(kāi)銷的文件操作日志采集方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201911303119.5
• 申請(qǐng)日: 2019-12-17
• 公開(kāi)（公告）號(hào): CN111159117B
• 公開(kāi)（公告）日: 2023-07-04
• 發(fā)明（設(shè)計(jì)）人: 張為華;魯云萍
• 申請(qǐng)（專利權(quán)）人: 復(fù)旦大學(xué)
• 主分類號(hào): G06F16/17
• 分類號(hào): G06F16/17;G06F16/18
• 代理公司: 上海科盛知識(shí)產(chǎn)權(quán)代理有限公司 31225
• 代理人: 楊宏泰

1.一種低開(kāi)銷的文件操作日志采集方法，其特征在于，包括以下步驟：

1)采用內(nèi)核探針采集內(nèi)核中的文件操作日志信息；

2)在內(nèi)核空間設(shè)置一塊用以寫入內(nèi)核探針采集到的信息的共享內(nèi)存，用戶空間從共享內(nèi)存中讀取內(nèi)核探針采集到的信息；

3)通過(guò)去重算法減少日志數(shù)量，降低日志采集開(kāi)銷；

所述的步驟3)中，通過(guò)構(gòu)建哈希表進(jìn)行去重，哈希表中的鍵值均為結(jié)構(gòu)體，哈希表中的鍵為文件操作日志中相同的部分，哈希表中的值即為去重后的日志信息；

去重算法包括過(guò)濾模塊和合并模塊，所述的過(guò)濾模塊包括內(nèi)核層過(guò)濾和用戶層過(guò)濾，內(nèi)核層過(guò)濾，通過(guò)進(jìn)程pid進(jìn)行過(guò)濾，用以實(shí)現(xiàn)對(duì)文件操作日志的過(guò)濾，用戶層過(guò)濾用以實(shí)現(xiàn)對(duì)臨時(shí)文件的過(guò)濾，所述的合并模塊用以對(duì)文件讀寫操作進(jìn)行合并，當(dāng)對(duì)同一文件有多次讀寫操作時(shí)，則將多次連續(xù)讀操作合并為一條讀日志，將多次連續(xù)寫操作合并為一條寫日志；

對(duì)臨時(shí)文件的過(guò)濾通過(guò)對(duì)文件名稱進(jìn)行過(guò)濾，包括后綴名為.swp和.tmp的臨時(shí)文件。

2.根據(jù)權(quán)利要求1所述的一種低開(kāi)銷的文件操作日志采集方法，其特征在于，所述的步驟2)中，用戶空間通過(guò)mmap機(jī)制實(shí)時(shí)從共享內(nèi)存中讀取內(nèi)核探針采集到的信息。

3.根據(jù)權(quán)利要求1所述的一種低開(kāi)銷的文件操作日志采集方法，其特征在于，所述的合并模塊的具體操作流程如下：

首先進(jìn)行查找，查找該條日志信息是否存在于已有日志信息中，如果存在則進(jìn)行合并，如果不存在，則在哈希表中插入該條日志信息。

4.根據(jù)權(quán)利要求1所述的一種低開(kāi)銷的文件操作日志采集方法，其特征在于，文件操作日志中相同的部分包括文件信息、進(jìn)程信息和用戶信息，具體包括進(jìn)程ID、父進(jìn)程ID、用戶ID、文件名稱和文件操作的類型。

5.根據(jù)權(quán)利要求1所述的一種低開(kāi)銷的文件操作日志采集方法，其特征在于，所述的哈希表的復(fù)雜度為O(1)，解決哈希沖突采用鏈表法，哈希函數(shù)選擇除法哈希法。

6.根據(jù)權(quán)利要求1所述的一種低開(kāi)銷的文件操作日志采集方法，其特征在于，所述的步驟1)中，在內(nèi)核的虛擬文件層采用eBPF采集文件操作日志信息。