專利名稱：Unix終端用戶輸入邏輯命令動(dòng)態(tài)實(shí)時(shí)捕獲方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種黑客行為分析技術(shù)、黑客行為監(jiān)控技術(shù)以及內(nèi)部網(wǎng)絡(luò)管理員行為規(guī)范技術(shù)，特別涉及UNIX類服務(wù)器終端用戶所使用的邏輯命令實(shí)時(shí)捕獲技術(shù)。
背景技術(shù)：
UNIX類服務(wù)器在社會(huì)生產(chǎn)生活中起著至關(guān)重要的作用，UNIX類服務(wù)器系統(tǒng)的安全，關(guān)系到社會(huì)各個(gè)領(lǐng)域生產(chǎn)生活的正常有序運(yùn)行。UNIX類服務(wù)器往往承擔(dān)著最大最重的業(yè)務(wù)，成為黑客或者內(nèi)部不法份子的攻擊目標(biāo)。同時(shí)，網(wǎng)絡(luò)管理員的操作不當(dāng)或者處理失誤，也有可能對(duì)UNIX類服務(wù)器造成極大損失，如服務(wù)器癱瘓、數(shù)據(jù)丟失、機(jī)密外泄。
正是因?yàn)閁NIX類服務(wù)器的極端重要性，UNIX類服務(wù)器的安全，無論是物理安全或者網(wǎng)絡(luò)安全，都成為UNIX類服務(wù)器運(yùn)營部門首要特別關(guān)注的問題。
針對(duì)UNIX類服務(wù)器系統(tǒng)安全，目前存在系列的解決辦法，如在UNIX服務(wù)器前安裝防火墻、入侵檢測(cè)設(shè)備等網(wǎng)絡(luò)安全邊界設(shè)備，降低UNIX服務(wù)器被攻擊的風(fēng)險(xiǎn)；通過文件系統(tǒng)數(shù)據(jù)完整性校驗(yàn)，如Tripwire，可以防止木馬感染服務(wù)器，降低安全風(fēng)險(xiǎn)；通過主機(jī)加固，爭強(qiáng)服務(wù)器抗攻擊能力；通過強(qiáng)化用戶權(quán)限審計(jì)，爭強(qiáng)服務(wù)器抗攻擊能力；另外，鍵盤記錄工具可以記錄和審計(jì)用戶行為過程，可以規(guī)范內(nèi)部用戶行為，對(duì)于黑客，也有一定的安全防范作用。
總之，UNIX類服務(wù)器的操作和管理，基本上處于黑匣子狀態(tài)，對(duì)于服務(wù)器上真實(shí)發(fā)生的事情，對(duì)于用戶在服務(wù)器上的行為過程等，現(xiàn)有安全方案基本無能為力。鍵盤記錄工具只能忠實(shí)的記錄鍵盤敲擊信息，沒有邏輯意義上的語義擴(kuò)展，如命令等；遠(yuǎn)程日志系統(tǒng)基本上屬于被動(dòng)解決方案，不能實(shí)時(shí)響應(yīng)，需要專人和專用程序進(jìn)行事后日志分析，才能確定服務(wù)器上發(fā)生的行為以及行為結(jié)果。因此，針對(duì)用戶行為實(shí)時(shí)監(jiān)控，用戶命令實(shí)時(shí)捕獲，成為讓UNIX服務(wù)器擺脫黑匣子狀態(tài)和無語義狀態(tài)的迫切需求。

發(fā)明內(nèi)容
本發(fā)明的目的在于為用戶提供一種動(dòng)態(tài)實(shí)時(shí)捕獲UNIX類服務(wù)器終端用戶輸入命令的技術(shù)，讓UNIX類服務(wù)器操作和管理更加可視、可控、可管理、可跟蹤、可鑒定，增強(qiáng)UNIX類服務(wù)器系統(tǒng)安全和應(yīng)用安全。
本發(fā)明的目的是通過下列技術(shù)方案來實(shí)現(xiàn)的一種UNIX類服務(wù)器終端用戶輸入命令實(shí)時(shí)捕獲技術(shù)，由輸入接收進(jìn)程、輸出處理進(jìn)程(線程)、輸出處理進(jìn)程內(nèi)部內(nèi)存虛擬終端、被監(jiān)控進(jìn)程四部分組成。
其特征在于輸入接收進(jìn)程(主進(jìn)程)接收用戶輸入，將用戶輸入傳遞給被監(jiān)控進(jìn)程，并標(biāo)記相關(guān)捕獲標(biāo)志，同時(shí)根據(jù)相關(guān)捕獲完成標(biāo)記控制用戶輸入鍵盤信息到被監(jiān)控進(jìn)程的傳遞行為；被監(jiān)控進(jìn)程根據(jù)用戶輸入，執(zhí)行自己處理動(dòng)作，并將輸出傳遞到輸出處理進(jìn)程(線程)；輸出處理進(jìn)程(線程)將真實(shí)輸出信息輸出到標(biāo)準(zhǔn)輸出設(shè)備，并根據(jù)相關(guān)捕獲標(biāo)志，通過其內(nèi)部獨(dú)立內(nèi)存虛擬終端，實(shí)施具體命令捕獲、命令處理等操作與處理，標(biāo)記捕獲完成標(biāo)志。以后重復(fù)執(zhí)行上述捕獲控制行為，實(shí)現(xiàn)用戶命令的持續(xù)實(shí)時(shí)捕獲。
本發(fā)明的優(yōu)點(diǎn)在于技術(shù)方法簡單，占用資源少，不影響UNIX內(nèi)核，具有非侵害性特點(diǎn)，可擴(kuò)展性強(qiáng)，適用領(lǐng)域廣，對(duì)于國家信息安全，有重要的實(shí)用價(jià)值。


圖1為本發(fā)明UNIX類服務(wù)器終端命令實(shí)時(shí)捕獲流程圖。
具體實(shí)施例方式輸入接收進(jìn)程(主進(jìn)程)先啟動(dòng)被監(jiān)控進(jìn)程如SHELL進(jìn)程如bash、sh、csh、ksh等或者任何第三方終端進(jìn)程如sqlplus、mysql等，輸入接收進(jìn)程(主進(jìn)程)接著啟動(dòng)輸出處理進(jìn)程(線程)。輸出處理進(jìn)程(線程)接收被監(jiān)控進(jìn)程輸出，并將輸出顯示在標(biāo)準(zhǔn)輸出設(shè)備。隨后，輸入接收進(jìn)程(主進(jìn)程)接收用戶鍵盤輸入并標(biāo)記相關(guān)捕獲標(biāo)記，輸出處理進(jìn)程根據(jù)標(biāo)記實(shí)施具體捕獲動(dòng)作。輸入接收進(jìn)程在每輪命令捕獲開始之前，標(biāo)記POMPT(提示信息)信息捕獲標(biāo)志，輸出處理進(jìn)程展開POMPT(提示信息)捕獲，并標(biāo)記POMPT(提示信息)捕獲完成標(biāo)志；隨后輸入接收進(jìn)程(主進(jìn)程)將用戶輸入傳遞給被監(jiān)控進(jìn)程；輸入接收進(jìn)程接收到回車鍵時(shí)，標(biāo)記命令捕獲標(biāo)志，并將該標(biāo)志傳遞給輸出處理進(jìn)程(線程)，同時(shí)，輸入接收進(jìn)程(主進(jìn)程)停止將用戶鍵盤信息如回車或者重要功能鍵傳遞到被監(jiān)控進(jìn)程，防止命令生效；輸出處理進(jìn)程在接收到命令捕獲標(biāo)志后，通過接收被監(jiān)控進(jìn)程輸出超時(shí)機(jī)制，一定時(shí)間接收超時(shí)后，開始命令捕獲行為；命令捕獲完成后，輸出處理進(jìn)程標(biāo)記捕獲完成標(biāo)志，輸入接收進(jìn)程(主進(jìn)程)在接收到命令捕獲完成標(biāo)記后，開始下一輪命令捕獲標(biāo)記準(zhǔn)備和傳遞，實(shí)現(xiàn)UNIX類服務(wù)器終端命令實(shí)時(shí)捕獲。
在上述的UNIX類服務(wù)器終端用戶命令實(shí)時(shí)捕獲技術(shù)中，輸出處理進(jìn)程(線程)實(shí)施真實(shí)命令捕獲。
具體的捕獲方法如下輸出處理進(jìn)程(線程)啟動(dòng)之時(shí)，開啟一個(gè)內(nèi)存虛擬終端，或稱后臺(tái)虛擬終端。后臺(tái)內(nèi)存虛擬終端支持各種終端如VT100，VT102，VT220，LINUX，HP等，可以根據(jù)用戶當(dāng)前終端類型自動(dòng)選擇。該終端在后臺(tái)執(zhí)行，用戶不可見。輸出處理進(jìn)程在將被監(jiān)控進(jìn)程的輸出顯示在標(biāo)準(zhǔn)輸出設(shè)備之時(shí)，同時(shí)拷貝一份輸出到虛擬終端。虛擬終端單向接收輸出處理進(jìn)程(線程)輸出信息，并在自己的虛擬內(nèi)存里完成虛擬輸出顯示，其顯示參數(shù)(如行數(shù)、列數(shù))與當(dāng)前輸出參數(shù)完全同步。后臺(tái)虛擬終端在輸出處理進(jìn)程(線程)接收到捕獲標(biāo)志時(shí)，將當(dāng)前邏輯行(包括換行)的可見字符拷貝到命令捕獲緩沖區(qū)，并通過回調(diào)機(jī)制，實(shí)現(xiàn)命令的實(shí)時(shí)捕獲和控制，同時(shí)，內(nèi)存虛擬終端可將虛擬顯示內(nèi)容寫入文件或者網(wǎng)絡(luò)，實(shí)現(xiàn)用戶屏幕的實(shí)時(shí)監(jiān)控、行為結(jié)果分析等功能。
權(quán)利要求
1UNIX終端用戶輸入邏輯命令動(dòng)態(tài)實(shí)時(shí)捕獲方法，由輸入接收進(jìn)程、輸出處理進(jìn)程(線程)、輸出處理進(jìn)程內(nèi)部內(nèi)存虛擬終端、被監(jiān)控進(jìn)程四部分組成。其特征在于輸入接收進(jìn)程(主進(jìn)程)接收用戶輸入，將用戶輸入傳遞給被監(jiān)控進(jìn)程，并標(biāo)記相關(guān)捕獲標(biāo)志，同時(shí)根據(jù)相關(guān)捕獲完成標(biāo)記控制用戶輸入鍵盤信息到被監(jiān)控進(jìn)程的傳遞行為；被監(jiān)控進(jìn)程根據(jù)用戶輸入，執(zhí)行自己處理動(dòng)作，并將輸出傳遞到輸出處理進(jìn)程(線程)；輸出處理進(jìn)程(線程)將真實(shí)輸出信息輸出到標(biāo)準(zhǔn)輸出設(shè)備，并根據(jù)相關(guān)捕獲標(biāo)志，通過其內(nèi)部獨(dú)立內(nèi)存虛擬終端，實(shí)施具體命令捕獲、命令處理等操作與處理，標(biāo)記捕獲完成標(biāo)志。以后重復(fù)執(zhí)行上述捕獲控制行為，實(shí)現(xiàn)用戶命令的持續(xù)實(shí)時(shí)捕獲。
2根據(jù)權(quán)利要求1、2的UNIX類服務(wù)器命令實(shí)時(shí)捕獲組成和特征，可以實(shí)時(shí)捕獲用戶輸入命令，并在命令生效之前可以對(duì)命令執(zhí)行相關(guān)操作，進(jìn)而控制用戶的系統(tǒng)行為，分析用戶行為意圖和目的，保護(hù)UNIX類服務(wù)器系統(tǒng)安全和重要應(yīng)用數(shù)據(jù)安全。
全文摘要
UNIX終端用戶輸入邏輯命令動(dòng)態(tài)實(shí)時(shí)捕獲方法為用戶提供一種動(dòng)態(tài)實(shí)時(shí)捕獲UNIX類服務(wù)器終端用戶輸入命令的技術(shù)，讓UNIX類服務(wù)器操作和管理更加可視、可控、可管理、可跟蹤、可鑒定，增強(qiáng)UNIX類服務(wù)器系統(tǒng)安全和應(yīng)用安全。本發(fā)明技術(shù)方法簡單，占用資源少，不影響UNIX內(nèi)核，具有非侵害性特點(diǎn)，可擴(kuò)展性強(qiáng)，適用領(lǐng)域廣，對(duì)于國家信息安全，有重要的實(shí)用價(jià)值。
文檔編號(hào)G06F9/46GK1960273SQ20051006135
公開日2007年5月9日 申請(qǐng)日期2005年11月1日 優(yōu)先權(quán)日2005年11月1日
發(fā)明者陳云 申請(qǐng)人:杭州帕拉迪網(wǎng)絡(luò)科技有限公司