[发明专利]一种文件传输行为审计方法、装置、电子设备及存储介质

权利要求书

1.一种文件传输行为审计方法，其特征在于，包括：

获取SSH数据报文或FTP数据报文；

基于所述SSH数据报文的报文长度判断所述SSH数据报文是否为基于SFTP文件传输协议的报文，或者，基于所述FTP数据报文的报文长度判断所述FTP数据报文是否为基于FTP文件传输协议的报文，得到判断结果，若所述SSH数据报文的报文长度不小于预设长度，则得到表征所述SSH数据报文为基于SFTP文件传输协议的报文的判断结果，若所述FTP数据报文的报文长度不小于预设长度，则得到表征所述FTP数据报文为基于FTP文件传输协议的报文的判断结果；

获取所述SSH数据报文或FTP数据报文的特征信息；

根据所述特征信息和所述判断结果，生成所述SSH数据报文或FTP数据报文的审计日志；

其中，获取SSH数据报文，包括：

获取监听的进程事件的进程标识，并基于所述进程标识判断该进程事件是否属于SFTP服务事件或SSH登录事件；若属于SFTP服务事件或SSH登录事件，获取SSH服务端口的协议和端口号，并生成基于该协议和端口号的报文抓包过滤器；基于所述报文抓包过滤器对SSH数据报文进行抓包；

获取FTP数据报文，包括：

获取监听的进程事件的进程标识，并基于所述进程标识判断该进程事件是否属于FTP服务事件或FTP登录事件；若属于FTP服务事件或FTP登录事件，则获取FTP服务端口的协议和端口号，并生成基于该协议和端口号的报文抓包过滤器，然后基于该报文抓包过滤器对FTP数据报文进行抓包。

2.根据权利要求1所述的方法，其特征在于，所述特征信息包括数据报文的源IP；根据所述特征信息和所述判断结果，生成所述SSH数据报文或FTP数据报文的审计日志，包括：

根据所述特征信息、登录用户标识和所述判断结果，生成所述SSH数据报文或FTP数据报文的审计日志，其中，所述登录用户标识为根据所述源IP从登录事件中获取。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

对基于预设文件传输协议的报文的数量进行统计；

当统计的数据报文数量不小于第一预设阈值，则结束本次抓包，再次进入监听状态；或者

若连续没有抓取到所述SSH数据报文或FTP数据报文的持续时间不小于第二预设阈值，则结束本次抓包，再次进入监听状态。

4.一种文件传输行为审计装置，其特征在于，包括：

获取模块，用于获取SSH数据报文或FTP数据报文；

处理模块，用于基于所述SSH数据报文的报文长度判断所述SSH数据报文是否为基于SFTP文件传输协议的报文，或者，基于所述FTP数据报文的报文长度判断所述FTP数据报文是否为基于FTP文件传输协议的报文，得到判断结果，若所述SSH数据报文的报文长度不小于预设长度，则得到表征所述SSH数据报文为基于SFTP文件传输协议的报文的判断结果；若所述FTP数据报文的报文长度不小于预设长度，则得到表征所述FTP数据报文为基于FTP文件传输协议的报文的判断结果；以及获取所述SSH数据报文或FTP数据报文的特征信息，并根据所述特征信息和所述判断结果，生成所述SSH数据报文或FTP数据报文的审计日志；

其中，获取SSH数据报文，包括：

获取监听的进程事件的进程标识，并基于所述进程标识判断该进程事件是否属于SFTP服务事件或SSH登录事件；若属于SFTP服务事件或SSH登录事件，获取SSH服务端口的协议和端口号，并生成基于该协议和端口号的报文抓包过滤器；基于所述报文抓包过滤器对SSH数据报文进行抓包；

获取FTP数据报文，包括：

获取监听的进程事件的进程标识，并基于所述进程标识判断该进程事件是否属于FTP服务事件或FTP登录事件；若属于FTP服务事件或FTP登录事件，则获取FTP服务端口的协议和端口号，并生成基于该协议和端口号的报文抓包过滤器，然后基于该报文抓包过滤器对FTP数据报文进行抓包。

5.一种电子设备，其特征在于，包括：

存储器和处理器，所述处理器与所述存储器连接；

所述存储器，用于存储程序；

所述处理器，用于调用存储于所述存储器中的程序，以执行如权利要求1-3中任一项所述的方法。

6.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被处理器运行时，执行如权利要求1-3中任一项所述的方法。