[发明专利]一种多级跳转后的SSH连接源追踪方法及装置

权利要求书

1.一种多级跳转后的SSH连接源追踪方法，其特征在于，包括：

步骤1，获取所有连接链路中SSH客户端的基础信息；

步骤2，获取连接进程在源设备上所属控制台的进程及其父进程；

步骤3，判断所述父进程是否为SSH远程连接，若是则执行步骤4，否则将所述客户端连接视为初始连接；

步骤4，将所述父进程确定为所述客户端连接的父连接，获取该父连接的源IP端口，遍历当前时间内存在的所有SSH连接的SSH客户端信息，将源IP端口与父连接的源IP端口相同的连接的标识ID视为所述客户端连接的父连接ID；

步骤5，重复步骤2-4直至获取包括全部SSH客户端基础信息和各连接父连接信息的SSH服务端完整信息；

步骤6，将SSH服务端完整信息中的父连接相关数据同步到SSHd服务端信息中；

步骤7，在最终端设备上收集远程操作信息S，在判定为操作是远程操作后，利用远程操作基础信息在SSHd服务端信息中进行匹配，匹配到的连接信息即为执行该远程操作的连接；

其中，SSH客户端信息为SSH连接中源设备上的SSH连接信息，SSHd服务端信息为SSH连接中目标设备上的SSH连接信息；

SSH服务端是源设备的服务端，SSHd服务端是目标设备的服务端。

2.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤1中获取的基础信息包括以下信息中的一种：源设备IP地址与端口、目标设备IP地址与端口、连接发起用户、连接开始时间、连接结束时间、连接进程在源设备上的进程号、连接进程在源设备上所属的控制台ID。

3.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤4中，判断当前时间内存在的所有SSH连接的过程为遍历当前时间内存在的所有SSH客户端信息，将连接结束时间为空的连接视为现存连接。

4.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤6的同步过程中，如连接属于初始连接则生成一个绝对唯一的连接标识符，如连接存在父连接，则继承父连接的连接标识符。

5.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤7中，分析最终端设备的接受端信息与操作信息S，当操作源设备IP为0时，将操作判定为本地操作；当操作源设备IP不为0时，将操作判定为远程操作。