[发明专利]一种前置审计方法

说明书

本发明公开了网络信息安全审计领域中的一种前置审计方法，通过审计系统完成审计分析行为，具体通过netfilter对网络数据包进行截获，通过对截获数据包进行相关策略的匹配，通过修改数据包流中最后一个数据包，在其之前插入相应的js，js在客户端浏览器中获取必要的信息，从而实现审计过程。本发明提高了审计效率，改变了审计的方式，用户利用该系统能够更加全面和快捷的获取到所需要的信息，扩展了现有的行为审计方式。

技术领域

本发明涉及网络信息安全审计领域，具体的说，是涉及一种针对与公安部门业务相关的虚拟人身份信息的丰富、数据采集的前置审计方法。

背景技术

随着网络的日益普及以及相关技术的发展和成熟，人们已经进入信息量极其丰富的时代，互联网带来很多便利，同时也带来很多问题，利用网络实施犯罪的新型网络违法与犯罪行为也随之日渐增多。面对网络的虚拟性与不确定性，网络行为审计就成为信息安全的必要手段和保证。

现有的互联网安全行为审计技术以流经的方式，通过两种部署模式对网络行为进行审计。一种是将设备以网关/透明网桥方式部署在出口的链路上，对出口链路上的双向流量进行分析和审计，其为最常用的网络行为审计方式；另一种是旁路方式部署在交换机镜像口，通过交换机的镜像技术对通过交换机的上下行流量进行分析和审计。

通过透明网桥/网关、旁路的方式获取局域网内上网行为的数据包，通过数据包的逐一解析，对协议各种特征值或关键字进行匹配与还原来获取相应（如正文、标题）等信息。该方法中如果协议发生变化应对的方法相对复杂，审计方式不够灵活；第二个缺点是为支持内容的还原，需要一个复杂的还原算法作为支撑，这种还原无法支持多线程的并发数据包分析，造成系统瓶颈。

审计流经式的审计方式明显的缺点必是须所有的数据流量到达审计设备上才能进行相关协议的分析，这种方式效率不高。特别是在审计邮件、网页访问等需要进行数据包还原才能拿到正文、标题、收件人等信息时，会孕育而生一个繁琐的还原算法，并且无法实现大数据下的并发，成为整个系统的瓶颈。

发明内容

为了克服现有的技术的不足，本发明提供一种前置审计方法，提高了审计效率，改变了审计的方式，用户利用该系统能够更加全面和快捷的获取到所需要的信息，扩展了现有的行为审计方式。

本发明技术方案如下所述：

一种前置审计方法，其特征在于，通过审计系统完成审计分析行为，具体通过netfilter系统框架对网络数据包进行截获，通过对截获数据包进行相关策略的匹配，通过修改数据包流中最后一个数据包，在其之前插入相应的js，js在客户端浏览器中获取必要的信息，从而实现审计过程。

根据上述方案的本发明，其特征在于，所述审计系统前置于所述用户端浏览器上。

根据上述方案的本发明，其特征在于，所述审计系统包括网络注册模块、策略管理模块以及注入模块：

所述网络注册模块将截获到的数据包服务于所述注入模块；所述策略管理模块对流经的数据包类型和用户ip进行策略的匹配和管理，并服务于所述注入模块；所述注入模块将原有数据包内容进行修改，发送到所述客户端浏览器上对相关信息进行提取和审计。

根据上述方案的本发明，其特征在于，所述网络注册模块通过netfilter系统框架的注册对流经的数据包进行截获。

进一步的，所述网络注册模块进行数据包截获的过程中，先对网络注册信息初始化，再进行数据包截获。

更进一步的，所述网络注册模块截获数据包的过程具体包括：

（1）初始化配置信息存放链表；

（2）读取配置文件信息，包括需要注入的js信息、数据包发出去的网卡设备名称；