[发明专利]一种基于行为分析的字符终端特征数据提取方法

摘要

本发明涉及信息安全、数据挖掘以及数据审计，旨在提供一种基于行为分析的字符终端特征数据提取方法。该方法是通过网络监控获取用户的客户端与主机交互过程中产生的数据，通过终端模拟对数据进行分析，还原客户端与主机之间的交互过程，再根据客户端使用过程中人机直接交互的行为规则进一步提取出所需内容。本发明很好地解决了使用自动化工具分析网络字符终端设备数据流时准确性、高效性与适用性不能兼顾的问题，并提供了一种灵活的，可持续改进的逻辑系统，从而具有广阔的应用空间。

主权项

一种基于行为分析的字符终端特征数据提取方法，其特征在于，是通过网络监控获取用户的客户端与主机交互过程中产生的数据，通过终端模拟对数据进行分析，还原客户端与主机之间的交互过程，再根据客户端使用过程中人机直接交互的行为规则进一步提取出所需内容；该方法基于字符终端特征数据提取系统而实现；所述字符终端特征数据提取系统包括数据监控模块、终端模拟模块、行为分析模块和数据记录模块；其中，数据监控模块分别与终端模拟模块和行为分析模块相连，终端模拟模块与行为分析模块相连，行为分析模块与数据记录模块相连，各相连的模块之间实现电信号传递；所述数据监控模块部署于客户端与主机之间，用于监控用户与主机之间的所有通信数据，并在获取这些数据之后提交给终端模拟模块进行处理；所述终端模拟模块用于将主机发送给客户端的描述如何在客户端终端显示器上绘图的指令模拟并转化成用户能够直接阅读的文字信息；所述行为分析模块用于对搜集到的数据进行分析和筛选，以提升字符终端特征数据提取的效率；所述数据记录模块用于记录经分析后的数据，同时产生相应的日志信息；所述通过网络监控获取用户的客户端与主机交互过程中产生的数据，是指数据监控模块对客户端与主机交互过程的所有数据进行记录，包括记录用户请求和主机响应的数据；所述通过终端模拟对数据进行分析，还原客户端与主机之间的交互过程，是指终端模拟模块将主机发送给客户端的描述如何在客户端的终端显示器上绘图的指令模拟并转化成用户能够直接阅读的文字信息；通过对主机响应数据的分析，将终端工作模式划分为命令模式和编辑模式；所述根据客户端使用过程中人机直接交互的行为规则进一步提取出所需内容，是指行为分析模块根据下述规则之一提取所需的数据：（1）通过判断客户端和主机之间的交互数据中是否存在光标定位序列来区分客户端的工作模式，如果存在光标定位序列则客户端工作于编辑模式下；如果不存在光标定位序列则客户端工作于命令模式；（2）只提取主机响应数据的最后一行内容加以分析，构造出用户正在操作的最后一行内容，即用户执行的命令行内容；（3）记录下用户命令的输入字符串，并与主机端回复的数据内容比对；当相同的字符串出现的时候就是该命令开始执行的地方，也就是此前一条命令执行结束的时候；（4）通过提取和分析主机响应数据的末尾行，当用户键入执行符时，重新构造出用户的输入数据作为需要提取的内容；（5）如果要求只需要提取用户所执行的命令行，则用户在编辑状态下所做的相关输入输出就被忽略，以减少多余工作量；（6）当用户请求是粘帖的多行内容时，将多行内容拆分为一个一个的单行内容，并分别以单行逻辑进行处理；（7）指定一个分隔符，以该分隔符为界限，对多行内容进行拆分，将多行逻辑简化为单行逻辑。