[發明專利]一種文件監控的方法及裝置

有效

• 申請號: 202310138862.X
• 申請日: 2023-02-21
• 公開（公告）號: CN115840938B
• 公開（公告）日: 2023-05-09
• 發明（設計）人: 谷永輝;張慶賢;宋樂明;林杰;劉川意
• 申請（專利權）人: 山東捷訊通信技術有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種文件監控的方法，其特征在于，采用共享存儲空間機制，利用用戶空間組件、內核監測組件和內核交互組件監控文件；

所述方法包括以下幾個步驟：

在步驟S101中，用戶空間組件，將內核監測組件裝載到內核，內核監測組件是字節碼程序，由內核解釋執行，所述字節碼程序是由計算機編譯得到；裝載字節碼程序過程中會對內核監測組件進行程序安全性檢查；

在步驟S102中，用戶空間組件，將內核監測組件掛載到內核的跟蹤點；

在步驟S103中，用戶空間組件，設置事件回調函數；當共享存儲空間有事件數據時，會觸發用戶空間程序的回調函數；

在步驟S104中，用戶空間組件，循環監聽事件；

在步驟S105中，內核監測組件，由用戶空間組件掛載到open、openat系統調用函數的入口處；

在步驟S106中，內核監測組件，獲取當前進程id號，該進程id號作為數據存儲的索引值，存儲到特定的共享存儲空間；

在步驟S107中，內核監測組件，在被監測進程退出open系統調用，或者退出openat系統調用時，從特定的共享存儲空間讀取進程號，同時從內核中獲取當前進程的進程名、打開文件的完整路徑名，查找到對應進程id號的索引值，將當前進程的進程名、打開文件的完整路徑名存儲到對應的共享存儲空間；

在步驟S108中，內核監測組件，發送信號通知用戶空間組件；

在步驟S109中，用戶空間組件得到事件內容，并輸出到終端、或日志文件。

2.一種文件監控裝置，其特征在于，包括：

用戶空間組件，用于將內核監測組件裝載到內核，內核監測組件是字節碼程序，由內核解釋執行，所述字節碼程序是由計算機編譯得到；裝載過程中會對內核監測組件進行程序安全性檢查，將內核監測組件掛載到內核的跟蹤點，設置事件回調函數，循環監聽事件；當得到事件內容時，輸出到終端、或日志文件；

共享存儲空間，用于存儲內核空間組件傳遞出來的數據，提供給用戶空間組件獲?。?/p>

內核監測組件，用于由用戶空間組件掛載到open、openat系統調用函數的入口處；獲取當前進程id號，該進程id號作為數據存儲的索引值，存儲到特定的共享存儲空間；在被監測進程退出open系統調用，或者退出openat系統調用時，從特定的共享存儲空間讀取進程號，同時從內核中獲取當前進程的進程名、打開文件的完整路徑名，查找到對應進程id號的索引值，將當前進程的進程名、打開文件的完整路徑名存儲到對應的共享存儲空間；發送信號通知用戶空間組件；

內核交互組件，用于用戶空間程序與操作系統內核進行交互；

操作系統內核，操作系統的核心部分；解釋執行內核監測組件；

文件監控記錄，用戶空間組件輸出的記錄。