[发明专利]一种网络监控方法和装置

权利要求书

1.一种网络监控方法，其特征在于，所述方法包括：

在需监控的终端上设置监控软件Agent；

通过所述Agent监控所述终端上的文件读写操作过程中网络会话流量大小以及网络会话的加密情况；

根据所述网络会话流量大小和所述网络会话的加密情况识别出可疑的文件读写操作；

其中，通过所述Agent监控所述终端上的文件读写操作过程中网络会话流量大小以及网络会话的加密情况，包括：

在文件发送进程中顺序读取文件，检测在第一预设时长内同一文件发送进程单个网络会话发送的流量大小是否大于所读取文件的大小，并检测当前网络会话是否使用加密协议；

在文件下载进程新建文件夹并将下载文件写入所述新建文件夹，检测在第二预设时长内同一文件下载进程单个网络会话接收的流量大小是否大于所下载文件的大小，并检测当前网络会话是否使用加密协议；

其中，根据所述网络会话流量大小和所述网络会话的加密情况识别出可疑的文件读写操作，包括：

当确定所述第一预设时长内同一文件发送进程单个网络会话发送的流量大小大于所读取文件的大小，并且当前网络会话使用了加密协议时，判定当前的文件读取操作为可疑操作；

当确定所述第二预设时长内同一文件下载进程单个网络会话发送的流量大小大于所下载文件的大小，并且当前网络会话使用了加密协议时，判定当前的文件写入操作为可疑操作。

2.根据权利要求1所述的网络监控方法，其特征在于，所述方法还包括：

当所述第一预设时长内同一文件发送进程单个网络会话发送的流量大小大于所读取文件大小的值达到第一流量阈值时，确定所述第一预设时长内同一文件发送进程单个网络会话发送的流量大小大于所读取文件的大小；和/或，

当所述第二预设时长内同一文件下载进程单个网络会话接收的流量大小大于所下载文件大小的值达到第二流量阈值时，确定所述第二预设时长内同一文件下载进程单个网络会话发送的流量大小大于所下载文件的大小。

3.根据权利要求2所述的网络监控方法，其特征在于，

所述第一预设时长满足：1-2s；

所述第二预设时长满足：1-2s。

4.根据权利要求2所述的网络监控方法，其特征在于，

所述第一流量阈值满足：1-2KB；

所述第二流量阈值满足：1-2KB。

5.根据权利要求1-4任意一项所述的网络监控方法，其特征在于，在根据所述网络会话流量大小和所述网络会话的加密情况识别出可疑的文件读写操作之前，所述方法还包括：

通过文件类型识别和/或内容关键字匹配过滤掉非可疑的文件传输内容。

6.根据权利要求1-4任意一项所述的网络监控方法，其特征在于，在根据所述网络会话流量大小和所述网络会话的加密情况识别出可疑的文件读写操作之后，所述方法还包括：对识别出的可疑的文件读写操作进行上报。

7.一种网络监控装置，包括处理器和计算机可读存储介质，所述计算机可读存储介质中存储有指令，其特征在于，当所述指令被所述处理器执行时，实现如权利要求1-5任意一项所述的网络监控方法。