[发明专利]USB存储设备占用资源的追溯方法及系统

权利要求书

1.一种USB存储设备占用资源的追溯方法，包括如下步骤：

S1.获取已有的Windows日志数据信息；

S2.对步骤S1获取的数据信息进行信息提取，构建日志筛选规则库、进程追溯规则库和用户提示信息生成模型；

S3.实际应用时，实时监听USB存储设备弹出失败事件，并获取对应的失败事件数据信息；

S4.将步骤S3获取的失败事件数据信息与步骤S2构建的日志筛选规则库进行匹配，得到USB存储设备的占用关联日志；

S5.根据步骤S4得到的占用关联日志，获取对应的进程对象，同时基于步骤S2得到的进程追溯规则库，得到占用要素信息；

S6.根据步骤S5得到的占用要素信息和步骤S2构建的用户提示信息生成模型，生成用户提示文本，完成USB存储设备占用资源的追溯。

2.根据权利要求1所述的USB存储设备占用资源的追溯方法，其特征在于步骤S2所述的对步骤S1获取的数据信息进行信息提取，构建日志筛选规则库、进程追溯规则库和用户提示信息生成模型，具体包括如下步骤：

分析影响USB存储设备占用的情况，对每种情况收集对应的windows日志信息，通过正则表达式提取日志的要素，同时记录对应的要素和正则表达式，从而构成日志筛选规则库{R_j}；其中，R_j＝[ID_j,sr_j]，R_j为日志筛选规则库中的第j条规则，ID_j为收集到的影响USB存储设备占用的事件日志ID，sr_j为正则表达式规则且sr_j＝{s_jk,p_jk}，s_jk为日志筛选要素，p_jk为日志筛选要素的正则表达式，j和k均为规则库中的序号；其中，影响USB存储设备占用的情况包括：打开文本文件、打开OFFICE文档、打开压缩包、运行可执行程序、复制文件出USB存储设备、复制文件进USB存储设备、删除USB存储设备和杀毒软件对U盘查杀；日志筛选要素包括进程ID、进程名称、USB设备路径、进程动作和USB动作；收集对应的windows日志信息，具体为使用python语言win32evtlog模块的SafeFormatMessage函数进行收集；

收集windows中正在运行的进程列表，获取对应的进程名称、操作类型和文件路径；筛选得到进程名称和文件后缀，从而构成进程追溯规则库{P_m}；其中，P_m＝[pn_m,pf_m]，P_m为进程追溯规则库中的第m个规则，pn_m为进程的进程名称，pf_m为文件后缀名集合且pf_m＝{fn_n}，fn_n为进程实际打开的文件后缀名，m和n为规则库中的序号；收集windows中正在运行的进程列表，具体为使用python语言psutil模块的process_iter方法进行收集；获取对应的进程名称、操作类型和文件路径，具体为使用Process Monitor工具，并使用python语言subprocess模块与Process Monitor进行交互，从而获取对应的信息；筛选得到进程名称和文件后缀，具体为采用热度统计的方式，并结合专家知识进行确定；

收集USB设备占用的日志信息、影响进程信息和进程打开的文件信息，基于神经网络模型构建用户提示信息生成初始模型，并采用收集的信息进行训练，得到最终的用户提示信息生成模型：用户提示信息生成初始模型为前馈神经网络模型，具有三个全连接层；第一层全连接层包括64个神经元，采用ReLU激活函数；第二层全连接层包括32个神经元，采用ReLU激活函数；第三层全连接层包括1个神经元，采用softmax激活函数，并最终输出概率值；模型的输入层有5个特征，具体为日志记录的进程PID、日志时间、日志详细描述、进程名和进程打开的文件，将日志记录的进程PID、日志时间、日志详细描述、进程名和进程打开的文件构成一个向量，并输入到用户提示信息生成初始模型；训练时，损失函数采用二元交叉熵损失函数，采用Adam优化器进行优化。