[发明专利]一种收集网络溯源信息的方法及系统

摘要

本发明公开了一种收集网络溯源信息系统，属于计算机系统网络安全领域。该系统通过定义一个网络连接对象来跟踪从存储系统中拷贝走的文件,该系统包括网络溯源拦截层、网络溯源观察层、网络溯源分析层和网络溯源分布层,网络溯源拦截层拦截accept、connect、send和recv系统调用，网络溯源观察层初始化socket结构中加入的溯源变量，收集与该socket连接相关联的IP地址、端口号信息、用户ID和连接创建时间；网络溯源分析层处理溯源信息，去掉重复的信息并且保证不会出现环；网络溯源分布层将获得的溯源信息写入溯源文件系统，保存在日志文件中。本发明还提供了实现上述系统的方法。本发明能够准确找到网络入侵来源及跟踪从系统中拷贝走的文件。

主权项

1.一种收集网络溯源信息的系统，其特征在于，包括如下部分：网络溯源拦截层，用于调用拦截函数拦截accept、connect、send和recv系统调用；网络溯源观察层，用于初始化溯源变量，利用拦截函数收集socket溯源信息与该socket相关联的IP地址、端口号信息、用户ID和连接创建时间；网络溯源分析层，用于负责处理溯源信息，去掉重复的信息并且保证不会出现环；网络溯源分布层，用于将网络溯源信息写入溯源文件系统，保存在日志文件中；所述网络溯源观察层包含以下子模块：IP地址收集子模块，用于对socket进行初始化，并收集产生的溯源信息：当执行sys_accept和sys_connect系统调用函数时，对socket进行初始化，执行observer_initsocket函数，来初始化与socket对应的inode结构体中的溯源变量；之后执行observer_socket函数，收集intercept_accept函数和intercept_connect函数获取的IP地址，端口号、用户ID和连接创建时间信息；依赖数据收集子模块，用于调用观察函数，收集依赖数据信息：当执行sys_send系统调用函数时，表示进程向网络对象中写数据，产生依赖数据信息，执行intercept_send函数进行拦截，调用observer__send函数进行收集依赖数据信息；当执行sys_recv系统调用函数时，表示从网络中接收数据，产生依赖数据信息，执行intercept_recv函数进行拦截，调用observer_recv函数进行收集依赖数据信息。