[發(fā)明專利]一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202210445794.7
• 申請(qǐng)日: 2022-04-26
• 公開（公告）號(hào): CN114978963A
• 公開（公告）日: 2022-08-30
• 發(fā)明（設(shè)計(jì)）人: 陶敬;付鵬;韓婷;李峰遠(yuǎn);陳凱梁;阿晨;曹墾;熊宇恒
• 申請(qǐng)（專利權(quán)）人: 西安交通大學(xué)
• 主分類號(hào): H04L43/10
• 分類號(hào): H04L43/10;H04L43/50;G06F9/455;H04L41/14;H04L49/00;H04L67/1095
• 代理公司: 北京潤(rùn)澤恒知識(shí)產(chǎn)權(quán)代理有限公司 11319
• 代理人: 茍冬梅

1.一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法，其特征在于，所述方法應(yīng)用于容器化的多個(gè)虛擬主機(jī)，所述多個(gè)虛擬主機(jī)安裝于宿主機(jī)上，所述方法包括：

從所述宿主機(jī)上所述多個(gè)虛擬主機(jī)外獲取所述多個(gè)虛擬主機(jī)的相關(guān)信息，所述相關(guān)信息包括網(wǎng)絡(luò)連接信息、文件事件、用戶行為、流量和備份文件；

基于所述相關(guān)信息，對(duì)所述多個(gè)虛擬主機(jī)進(jìn)行監(jiān)控，并對(duì)所述多個(gè)虛擬主機(jī)中發(fā)生的事件進(jìn)行分析。

2.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法，其特征在于，所述從所述宿主機(jī)上所述多個(gè)虛擬主機(jī)外監(jiān)控所述多個(gè)虛擬主機(jī)的相關(guān)信息，包括：

捕獲所述宿主機(jī)上所有與所述多個(gè)虛擬主機(jī)相關(guān)的用戶行為；

輪詢所述宿主機(jī)上與所述多個(gè)虛擬主機(jī)相關(guān)的網(wǎng)絡(luò)連接信息；

捕獲所述宿主機(jī)上與所述多個(gè)虛擬主機(jī)相關(guān)的鏡像可讀寫層文件目錄下發(fā)生的文件事件。

3.根據(jù)權(quán)利要求2所述的一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法，其特征在于，所述捕獲所述宿主機(jī)上所有與所述多個(gè)虛擬主機(jī)相關(guān)的用戶行為，包括：

啟動(dòng)用戶行為監(jiān)控程序監(jiān)控所述宿主機(jī)上所有的用戶操作；

獲取所述用戶行為監(jiān)控程序的輸出信息，并對(duì)所述用戶行為監(jiān)控程序的輸出信息進(jìn)行解析，獲取操作命令記錄；

獲取所述操作命令記錄中的父進(jìn)程號(hào)，并基于所述父進(jìn)程號(hào)，獲取所述宿主機(jī)中所有操作命令記錄關(guān)聯(lián)進(jìn)程所在的控制組信息；

基于所述控制組信息，將所述操作命令記錄與多個(gè)所述虛擬主機(jī)一一對(duì)應(yīng)并記錄。

4.根據(jù)權(quán)利要求2所述的一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法，其特征在于，所述輪詢所述宿主機(jī)上與所述多個(gè)虛擬主機(jī)相關(guān)的網(wǎng)絡(luò)連接信息，包括：

創(chuàng)建網(wǎng)絡(luò)連接記錄表，所述網(wǎng)絡(luò)連接記錄表用于記錄所述宿主機(jī)中與所述多個(gè)虛擬主機(jī)相關(guān)的網(wǎng)絡(luò)連接信息；

獲取宿主機(jī)中與所述多個(gè)虛擬主機(jī)相關(guān)進(jìn)程的進(jìn)程號(hào)；

基于所述進(jìn)程的進(jìn)程號(hào)，周期性的獲取與所述進(jìn)程的進(jìn)程號(hào)相關(guān)的網(wǎng)絡(luò)連接信息；

判斷所述網(wǎng)絡(luò)連接信息是否存在于所述網(wǎng)絡(luò)連接記錄表中，

若是，則更新所述網(wǎng)絡(luò)連接記錄表中網(wǎng)絡(luò)連接信息的起始時(shí)間和結(jié)束時(shí)間；

若否，則將所述網(wǎng)絡(luò)連接信息添加到所述網(wǎng)絡(luò)連接記錄表中；

解析所述網(wǎng)絡(luò)連接記錄表中每個(gè)所述網(wǎng)絡(luò)連接信息，獲取每個(gè)所述網(wǎng)絡(luò)連接信息對(duì)應(yīng)的虛擬主機(jī)連接信息，所述虛擬主機(jī)連接信息包括虛擬主機(jī)IP、起始時(shí)間、結(jié)束時(shí)間、本地IP地址、本地端口、外部IP、外部端口、用戶名、進(jìn)程名、進(jìn)程可執(zhí)行文件名和進(jìn)程的進(jìn)程號(hào)；

基于所述虛擬主機(jī)連接信息，對(duì)所述網(wǎng)絡(luò)連接記錄表中多個(gè)虛擬主機(jī)的網(wǎng)絡(luò)連接信息進(jìn)行擴(kuò)充。

5.根據(jù)權(quán)利要求2所述的一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法，其特征在于，所述捕獲所述宿主機(jī)上與所述多個(gè)虛擬主機(jī)相關(guān)的鏡像可讀寫層文件目錄下發(fā)生的文件事件，包括：

創(chuàng)建文件事件監(jiān)控目錄，遍歷所述宿主機(jī)上的鏡像層目錄，并將所述鏡像層目錄添加到所述文件事件監(jiān)控目錄中；

啟動(dòng)文件監(jiān)控程序監(jiān)控所述文件事件監(jiān)控目錄中的所有文件產(chǎn)生的文件事件，所述文件事件的類型包括訪問(wèn)事件、打開事件、關(guān)閉事件、屬性修改事件、創(chuàng)建事件、刪除事件和移動(dòng)事件；

對(duì)獲取到的文件事件進(jìn)行解析，獲取所述文件事件中文件的文件路徑；

并對(duì)所述文件事件的類型進(jìn)行判斷；

若所述文件事件的類型為訪問(wèn)事件、打開事件、關(guān)閉事件或?qū)傩孕薷氖录瑒t保存所述文件事件及文件路徑；

若所述文件事件的類型為創(chuàng)建事件、刪除事件或移動(dòng)事件，則基于所述文件事件更新所述文件事件監(jiān)控目錄，并保存所述文件事件及文件路徑；

根據(jù)所述文件路徑中的鏡像層目錄名稱，與所述多個(gè)虛擬主機(jī)一一對(duì)應(yīng)。

6.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)系統(tǒng)監(jiān)控分析方法，其特征在于，所述獲取所述多個(gè)虛擬主機(jī)的備份文件，包括：

從所述宿主機(jī)上與所述多個(gè)虛擬主機(jī)相關(guān)的鏡像可讀寫層文件目錄中，拷貝所述多個(gè)虛擬主機(jī)的文件，得到備份文件。