[发明专利]一种实时监控终端命令行的方法和装置

权利要求书

1.一种实时监控终端命令行的方法，其特征在于，通过以下步骤监控用户在操作系统中的行为：

第一步骤，设置作为所述操作系统的环境变量的历史命令文件名为包含终端信息和用户信息；

第二步骤，利用当前操作系统中成功登陆的用户信息获取当前活跃的终端信息；

第三步骤，根据所述活跃的终端信息，获取并扫描与该活跃的终端关联的用户的历史命令文件，

第四步骤，利用所述活跃的终端信息标记与该活跃的终端关联的用户的历史命令文件中的每条命令；

第五步骤，当所述活跃的终端退出时，保存上述经标记的与该活跃的终端关联的用户的历史命令作为第一信息。

2.如权利要求1所述的方法，其特征在于，在所述第一步骤中，设置所述操作系统的环境变量为基于终端ID和用户名。

3.如权利要求1所述的方法，其特征在于，在所述第一步骤中，进一步在所述操作系统的配置文件中添加历史命令文件名的定义。

4.如权利要求1所述的方法，其特征在于，在所述第一步骤中，进一步将用户的历史命令文件设置在同一目录下，以及在所述第三步骤中，根据所述活跃的终端信息，扫描所述同一目录以获取与该活跃的终端关联的用户的历史命令文件。

5.如权利要求1所述的方法，其特征在于，在所述第三步骤中，进一步地，在轮询周期内持续扫描与该活跃的终端关联的用户的历史命令文件，在所述第四步骤中，进一步地，利用所述活跃的终端信息标记新增的与该活跃的终端关联的用户的历史命令文件中的命令。

6.如权利要求1所述的方法，其特征在于，在所述第四步骤中，为所述历史命令文件中的每条命令设置级别。

7.如权利要求1所述的方法，其特征在于，在所述第四步骤中，为所述历史命令文件中的每条命令设置过滤规则。

8.如权利要求1所述的方法，其特征在于，在所述第五步骤中，进一步读取并保存关于所述操作系统中的用户su记录、失败的登录信息、ftp登录后的操作命令作为第二信息。

9.如权利要求8所述的方法，其特征在于，在第六步骤中，处理所述第一信息和所述第二信息，并且将处理后的信息发送到事件收集服务器。

10.如权利要求11所述的方法，其特征在于，在所述第六步骤中，采用syslog协议通过socket方式发送所述处理后的信息。

11.如权利要求1到10中任意一项所述的方法，其特征在于，所述终端信息包括终端ID、源IP地址、源用户中的一个或多个。

12.如权利要求1到10中任意一项所述的方法，特征在于，所述操作系统包括AIX、Linux和Solaris。

13.如权利要求1到10中任意一项所述的方法，特征在于，第一信息还包括与该活跃的终端关联的用户的历史命令产生的日期、时间、主机信息、源用户信息、源IP地址、用户信息和终端信息的一个或多个。

14.一种实时监控终端命令行的装置，该装置包括第一信息读取装置，其特征在于，第一信息读取装置通过以下模块监控用户在操作系统中的行为：

第一模块，被配置成设置作为所述操作系统的环境变量的历史命令文件名为包含终端信息和用户信息；

第二模块，被配置成利用当前操作系统中成功登陆的用户信息获取当前活跃的终端信息；

第三模块，被配置成根据所述活跃的终端信息，获取并扫描与该活跃的终端关联的用户的历史命令文件，

第四模块，被配置成利用所述活跃的终端信息标记与该活跃的终端关联的用户的历史命令文件中的每条命令；

第五模块，被配置成当所述活跃的终端退出时，保存上述经标记的与该活跃的终端关联的用户的历史命令作为第一信息。

15.如权利要求14所述的装置，其特征在于，所述第一模块进一步被配置成设置所述操作系统的环境变量为基于终端ID和用户名。

16.如权利要求14所述的装置，其特征在于，所述第一模块进一步被配置成在所述操作系统的配置文件中添加历史命令文件名的定义。