[发明专利]一种Linux系统下文件复制行为识别方法及系统

说明书

本公开提供了一种Linux系统下文件复制行为识别方法及系统，包括：步骤(1)：实时监测进行管道创建的进程，并缓存其进程信息及所创建管道信息；步骤(2)：获取当前进程中涉及数据读写的动作，并根据其动作行为，对管道与源文件及目的文件之间的文件描述符进行关联；步骤(3)：若步骤(2)中的关联动作均已执行，将源文件的读取描述符和目的文件的写入描述符进行关联；否则，继续执行步骤(2)，直至源文件读取结束；步骤(4)：检测源文件读取描述符和目的文件写入描述符的关联情况，若已经关联，则判定为发生复制行为。

技术领域

本公开属于计算机系统安全管理技术领域，尤其涉及一种Linux系统下文件复制行为识别方法及系统。

背景技术

本部分的陈述仅仅是提供了与本公开相关的背景技术信息，不必然构成在先技术。

Linux系统下文件审计场景中，存在需要对文件复制行为进行审计的需求，进而要求对文件复制行为进行检测和识别。发明人发现，在Windows系统下，可以直接对相关的系统函数进行监控，即可实现文件复制事件的检测；但在Linux下没有这样的文件复制函数可以直接监控，特别是针对文件复制时读、写缓存由内核管道提供的特定场景，现有方法无法实现该场景下的文件复制行为的识别。

发明内容

本公开为了解决上述问题，提供了一种Linux系统下文件复制行为识别方法及系统，所述方案基于进程中的动作行为，对管道与源文件及目的文件之间的文件描述符进行关联分析，对文件复制行为能够进行精准的检测和识别。

根据本公开实施例的第一个方面，提供了一种Linux系统下文件复制行为识别方法，包括：

步骤(1)：实时监测进行管道创建的进程，并缓存其进程信息及所创建管道信息；

步骤(2)：获取当前进程中涉及数据读写的动作，并根据其动作行为，对管道与源文件及目的文件之间的文件描述符进行关联；

步骤(3)：若步骤(2)中的关联动作均已执行，将源文件的读取描述符和目的文件的写入描述符进行关联；否则，继续执行步骤(2)，直至源文件读取结束；

步骤(4)：检测源文件读取描述符和目的文件写入描述符的关联情况，若已经关联，则判定为发生复制行为。

进一步的，所述获取当前进程中涉及数据读写的动作，具体为：通过监控当前进程所有的splice动作进行获取，其中，所述splice为linux系统中用于数据读写的函数接口。

进一步的，所述根据其动作行为，对管道与源文件及目的文件之间的文件描述符进行关联，具体为：若当前动作行为是从源文件描述符读取数据到管道写入端描述符，则缓存源文件描述符，并关联源文件描述符与管道写入端描述符；若当前动作行为是从管道读取端描述符写入数据到目的文件描述符，则缓存目的文件描述符并关联管道读取端描述符。

根据本公开实施例的第二个方面，提供了一种Linux系统下文件复制行为识别系统，包括：

进程检测模块，其用于实时监测进行管道创建的进程，并缓存其进程信息及所创建管道信息；

描述符关联模块，其用于获取当前进程中涉及数据读写的动作，并根据其动作行为，对管道与源文件及目的文件之间的文件描述符进行关联；

判别模块，其用于若描述符关联模块中的关联动作均已执行，将源文件的读取描述符和目的文件的写入描述符进行关联；否则，继续执行描述符关联模块中的步骤，直至源文件读取结束；

复制行为识别模块，其用于检测源文件读取描述符和目的文件写入描述符的关联情况，若已经关联，则判定为发生复制行为。

根据本公开实施例的第三个方面，提供了一种电子设备，包括存储器、处理器及存储在存储器上运行的计算机程序，所述处理器执行所述程序时实现所述的一种Linux系统下文件复制行为识别方法。