[發明專利]受控主機的進程流量審計方法與系統

在審

• 申請號: 202110325022.5
• 申請日: 2021-03-26
• 公開（公告）號: CN113114636A
• 公開（公告）日: 2021-07-13
• 發明（設計）人: 何建鋒;劉江南;李長江
• 申請（專利權）人: 西安交大捷普網絡科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/24
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.受控主機的進程流量審計方法，其特征在于，包括：

抓取主機報文，獲取發送或接收該報文的主機進程，解析確定報文的數據部分大小；

判斷進程流量信息表中是否存在所述進程：若進程已存在，則將所述報文數據部分大小的值加到表中該進程的累計流量值上；若所述進程不存在，則創建進程、報文方向與數據部分大小的對應關系；

根據預設的策略，對所述進程流量信息表中各進程的流量信息進行審計。

2.根據權利要求1所述的進程流量審計方法，其特征在于，所述對進程流量信息表中各進程的流量信息進行審計，包括：定時的判斷進程對應的流量信息在所述進程流量信息表中的累計記錄時間是否大于策略配置的閾值，若大于所述閾值則將該進程的流量信息清零。

3.根據權利要求1所述的進程流量審計方法，其特征在于，所述對進程流量信息表中各進程的流量信息進行審計，還包括：判斷進程在規定時長內的總流量值是否超過策略配置的閾值，若超過則生成審計日志并告警。

4.根據權利要求1所述的進程流量審計方法，其特征在于，所述對進程流量信息表中各進程的流量信息進行審計，還包括：規定周期內，若進程在每5秒內的平均發送流量或接收量超過策略配置的閾值，則生成審計日志并告警。

5.根據權利要求1所述的進程流量審計方法，其特征在于，若所述進程在所述進程流量信息表中不存在，則創建所述對應關系的同時，保存創建時間。

6.根據權利要求5所述的進程流量審計方法，其特征在于，所述創建進程、報文方向與應用層數據部分大小的對應關系之前，若所述進程流量信息表的數據量已達到最大容量，則按照所述對應關系創建時間先后順序，將新數據覆蓋舊數據。

7.根據權利要求1-6任一項所述的進程流量審計方法，其特征在于，所述報文的進程ID、報文方向與報文數據部分大小組裝成結構體發送至用戶態，用戶態使用map保存所述進程流量信息；所述進程流量信息包括：進程ID、進程名、數據方向與對應方向的累計流量，所述數據方向包括報文發送與報文接收。

8.根據權利要求7所述的進程流量審計方法，其特征在于，所述進程的累計流量，包括統計進程的TCP、UDP與ICMP報文的發送與接收流量。

9.進程流量審計系統，其特征在于，包括：

抓包模塊，用于通過netfilter抓取受控主機的LOCAL_INPUT鏈和LOCAL_OUTPUT鏈的IP報文；

解析模塊，用于解析所述抓取到的報文，統計出報文的數據部分大小，并將報文的進程ID、報文方向與報文數據部分大小發送至查找模塊；

查找模塊，根據收到的進程ID，查找存儲模塊中的進程流量信息表是否存在對應的進程名；若已存在則將報文數據部分大小加到表中對應的流量值；否則創建進程、報文方向與數據部分大小的對應關系；

存儲模塊，用于存儲所述進程流量信息表；

審計模塊，根據預設的策略，對進程流量信息表中各進程的流量信息進行審計。

10.根據權利要求9所述的進程流量審計系統，其特征在于，所述審計模塊，包括：

定時的判斷進程對應的流量信息在所述進程流量信息表中的累計記錄時間是否大于策略配置的閾值，若大于所述閾值則將該進程的流量信息清零；

判斷進程在規定時長內的總流量值是否超過策略配置的閾值，若超過則生成審計日志并告警；

規定周期內，若進程在每5秒內的平均發送流量或接收量超貴策略配置的閾值，則生成審計日志并告警。