[发明专利]一种基于多Agent的云数据安全审计方法

权利要求书

1.一种基于多Agent的动态可扩展云审计方法，其特征在于，设置一个云审计系统，云审计系统包括GUI客户端、中央管理服务器和数据库、一台以上部署Linux Agent系统的主机，以及一台以上部署Windows Agent系统的主机；

每台主机上都加载运行Agent事件收集子系统和Agent事件分析子系统，在受监视云审计系统中作为后台进程运行审计信息的收集和分析，并将数据分析处理后传递给中央管理者服务器；

GUI客户端用于查看各个主机的状态，并能进行数据的展示；

中央管理服务器和数据库用于接收来自主机的数据和报告，控制整个云审计系统的通信信息，对接收到的安全审计事件进行分析、存储；

Windows Agent子系统底层调用系统的应用程序编程接口api直接获取windows的事件内容，获取事件内容后，由日志采集模块对事件进行标准化，标准化为系统日志syslog事件，再发送给agent事件分析子系统；

Linux Agent系统最底层采用事件收集模块收集数据，由事件收集子系统处理为标准事件；

所述云审计系统运行以下交互流程完成云审计：

事件收集子系统采集原始事件，并将原始事件发送到Agent事件解析子系统；

Agent事件解析子系统解析并加载Linux Agent系统或者Windows Agent系统对应的分析规则文件，并根据分析规则文件中的分析规则对收集的原始事件进行标准化，并以SSL协议发送给中央管理服务器；

在交互流程中，分别加载云审计系统的正则表达式子系统、底层通信子系统和状态监测子系统：正则表达式子系统对boost库中的正则表达式regex库的进行封装并简化，提供正则表达式的完全匹配、部分匹配和替换接口，并提供对匹配后子串的获取与操作功能；底层通信子系统提供云审计系统后台的通信的功能，包括SSL协议的TCP通信以及UDP通信；状态监测子系统提供与状态监控服务器进行交互并且发送状态监测子系统所在的组件的心跳包UDP协议到中央管理服务器。

2.根据权利要求1所述一种基于多Agent的动态可扩展云审计方法，其特征在于，Linux Agent系统事件解析执行以下流程进行事件解析：

将原始事件传递给Agent事件解析子系统，并进行事件的初始化，加入消息队列；

构造规则树，若构造不成功记录日志并退出线程，否则从消息队列中取得一条原始事件的指针；

执行清空堆栈、清空模式匹配值表、布尔值重置、系统变量表的变量值置空；

对该原始事件进行解析，填好相应的系统变量表；

释放原始事件所占内存，动态生成一个新的标准事件结构变量，并从刚才设置的系统变量表中取值填入新的标准事件结构变量；

将新的标准事件变量的指针加入标准事件消息队列。