[发明专利]一种数据审计方法、装置、电子设备及存储介质

权利要求书

1.一种数据审计方法，其特征在于，包括：

记录外发文件进程对应的事件创建序列；其中，所述事件创建序列包括事件种类和创建时间；

判断所述事件创建序列是否符合外发文件特征库中的事件创建规则；

若是，则生成所述事件创建序列对应的外发文件审计日志；

当检测到所述外发文件审计日志包括异常信息时，执行所述异常信息对应的处理操作；

其中，所述外发文件进程包括存储设备外发进程、蓝牙外发进程、隔空投送进程、即时通信进程和浏览器外发进程中任一项进程或任几项进程的组合，所述存储设备外发进程包括桌面服务助手进程、文件拷贝进程和文件移动进程中任一项进程或任几项进程的组合。

2.根据权利要求1所述数据审计方法，其特征在于，在记录外发文件进程对应的事件创建序列之前，还包括：

查询存储设备的设备挂载路径；

相应的，当所述外发文件进程包括所述存储设备外发进程时，判断所述事件创建序列是否符合外发文件特征库中的事件创建规则包括：

根据所述设备挂载路径判断所述事件创建序列是否符合外发文件特征库中的事件创建规则。

3.根据权利要求2所述数据审计方法，其特征在于，根据所述设备挂载路径判断所述事件创建序列是否符合外发文件特征库中的事件创建规则包括：

当所述外发文件进程包括桌面服务助手进程时，根据所述设备挂载路径判断所述桌面服务助手进程对应的事件创建序列中是否包括第一事件序列；若包括所述第一事件序列则判定符合所述外发文件特征库中的事件创建规则；其中，所述第一事件序列包括第一读取事件和第一文本写入事件，所述第一读取事件对应的文件名与第一文本写入事件对应的文件名相同，所述第一文本写入事件的设备路径为所述设备挂载路径。

4.根据权利要求2所述数据审计方法，其特征在于，根据所述设备挂载路径判断所述事件创建序列是否符合外发文件特征库中的事件创建规则包括：

当所述外发文件进程包括文件拷贝进程时，根据所述设备挂载路径判断所述文件拷贝进程对应的事件创建序列中是否包括第二事件序列；若包括所述第二事件序列则判定符合所述外发文件特征库中的事件创建规则；其中，所述第二事件序列包括第二读取事件和第一文件长度截取事件，所述第二读取事件的创建时间早于所述第一文件长度截取事件，所述第一文件长度截取事件的设备路径为所述设备挂载路径。

5.根据权利要求2所述数据审计方法，其特征在于，根据所述设备挂载路径判断所述事件创建序列是否符合外发文件特征库中的事件创建规则包括：

当所述外发文件进程包括文件移动进程时，根据所述设备挂载路径判断所述文件移动进程对应的事件创建序列中是否包括第三事件序列；若包括所述第三事件序列则判定符合所述外发文件特征库中的事件创建规则；其中，所述第三事件序列包括第三读取事件和第二文件长度截取事件，所述第三读取事件的创建时间早于所述第二文件长度截取事件，所述第二文件长度截取事件的设备路径为所述设备挂载路径。

6.根据权利要求2所述数据审计方法，其特征在于，所述查询存储设备的设备挂载路径包括：

查询硬盘分区信息，并将所述硬盘分区信息中包括目标字段的挂载点作为目标设备挂载点；

获取所述目标设备挂载点对应的存储设备标识，并将设备目录中与所述存储设备标识对应的挂载路径作为所述存储设备的设备挂载路径。

7.根据权利要求1所述数据审计方法，其特征在于，判断所述事件创建序列是否符合外发文件特征库中的事件创建规则包括：

当所述外发文件进程包括蓝牙外发进程时，判断所述蓝牙外发进程对应的事件创建序列中是否包括内存同步事件；

若是，则判定所述蓝牙外发进程对应的事件创建序列符合外发文件特征库中的事件创建规则。