[發明專利]受控主機的進程流量審計方法與系統

在審

• 申請號: 202110325022.5
• 申請日: 2021-03-26
• 公開（公告）號: CN113114636A
• 公開（公告）日: 2021-07-13
• 發明（設計）人: 何建鋒;劉江南;李長江
• 申請（專利權）人: 西安交大捷普網絡科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/24
• 代理公司: 暫無信息
• 代理人: 暫無信息

本發明公開一種受控主機的進程流量審計方法與系統，記錄進程全生命周期上傳和下載的所有IP報文流量以根據策略配置對進程流量實現更全面的審計，并且將存儲與查找放在用戶態進行，避免了在內核態頻繁遍歷數組引起的性能問題；同時清除不存活進程的流量信息，避免記錄冗余數據，有利于提高系統資源利用效率。

技術領域

本發明屬于主機安全監控與審計技術領域，尤其是涉及一種對受控主機的進程流量進行審計的方法與系統。

背景技術

隨著通信和網絡技術的進一步發展，網絡安全愈發重要。從網絡運行和管理者角度說，希望對本地網絡信息的訪問、讀寫等操作受到保護和控制，避免出現“ 陷門”、病毒、非法存取、拒絕服務和網絡資源非法占用和非法控制等威脅，制止和防御網絡黑客的攻擊。

為了發現網絡中存在的問題，通常需要對網絡數據進行分析，常見的網絡分析多是針對數據包、地址、會話、協議等，這種分析方式雖然能確定數據包的類型、大小等信息，但是無法確定這些數據包的來源，即是由什么軟件產生的，從而無法進行進一步的更針對性的安全檢測。

而目前的主機監控系統的進程流量審計，能夠有效確定數據產生來源。但是也存在許多不足，例如實現進程全生命周期的流量審計難度較大，數據查找處理過程繁瑣，流量信息中存在大量冗余數據，不利于系統資源利用。

發明內容

基于上述背景，本發明旨在提出一種受控主機的進程流量審計方法與系統，以對受控主機進程流量進行完善的審計，減少冗余數據，并提高系統的資源利用效率。具體的技術方案如下所述：

第一方面，提供一種受控主機的進程流量審計方法，包括：

抓取主機報文，獲取發送或接收該報文的主機進程，解析確定報文的數據部分大小；

判斷所述進程是否已存在于進程流量信息表：若進程已存在，則將所述報文數據部分大小的值加到表中該進程的累計流量值上；若所述進程不存在，則創建進程、報文方向與數據部分大小的對應關系；

根據預設的策略，對進程流量信息表中各進程的流量信息進行審計。

作為優選的，所述對進程流量信息表中各進程的流量信息進行審計，包括：定時的判斷進程對應的流量信息在所述進程流量信息表中的累計記錄時間是否大于策略配置的閾值，若大于所述閾值則將該進程的流量信息清零。

進一步的，所述對進程流量信息表中各進程的流量信息進行審計，還包括：判斷進程在規定時長內的總流量值是否超過策略配置的閾值，若超過則生成審計日志并告警。

以及，所述對進程流量信息表中各進程的流量信息進行審計，還包括：規定周期內，若進程在每5秒內的平均發送流量或接收量超過策略配置的閾值，則生成審計日志并告警。

作為優選的，若所述進程在所述進程流量信息表中不存在，則創建所述對應關系的同時，保存創建時間。

進一步，所述新創建進程、報文方向與應用層數據部分大小的對應關系之前，若所述進程流量信息表的數據量已達到最大容量，則按照所述對應關系創建時間先后順序，將新數據覆蓋舊數據。

作為優選的，所述報文的進程ID、報文方向與報文數據部分大小組裝成結構體發送至用戶態，用戶態使用map保存所述進程流量信息表；所述進程流量信息表中包括：進程ID、進程名、數據方向與對應方向的累計流量，所述數據方向包括報文發送與報文接收。

進一步，所述進程的流量信息，包括統計進程的TCP、UDP與ICMP報文的發送與接收流量。

第二方面，提供一種進程流量審計系統，包括：

抓包模塊，用于通過netfilter抓取受控主機的LOCAL_INPUT鏈和LOCAL_OUTPUT鏈的IP報文；

解析模塊，用于解析所述抓取到的報文，統計出報文的數據部分大小，并將報文的進程ID、報文方向與報文數據部分大小發送至查找模塊；