[发明专利]一种SFTP数据采集及审计的方法及系统

权利要求书

1.一种SFTP数据采集及审计方法，所述方法包括：

步骤1)采集SSH协议密文传输阶段的数据包，针对SSH协议握手阶段的数据包，推导出SSH密钥协商后的传输密钥；利用密钥将数据包中的密文数据转换成明文数据；

步骤2)从SSH明文数据中提取SFTP数据，并从SFTP数据中采集会话信息；提取SFTP数据的关键操作码，并采集传输文件信息；将提取的SFTP关键操作码还原为关键操作命令，并采集关键操作命令信息；

从SSH明文数据中提取SFTP数据包括从SSH2数据中提取通道数据和从SSH1数据中提取标准输入输出数据；提取出来的SFTP数据不包含SSH的头部信息、SSH2的通道头部信息、HMAC的校验信息和SSH的填充位；

步骤3)对所有关键操作命令进行黑名单匹配，对于匹配成功的关键操作命令，构造禁止该关键操作命令的SSH消息发送给客户端；并将所有匹配不成功的关键操作命令对应的SSH明文数据进行封装和加密，然后传输给服务端；

步骤4)根据步骤2)中采集的会话信息、关键操作命令信息和传输文件信息生成SFTP审计日志。

2.根据权利要求1所述的SFTP数据采集及审计方法，其特征在于，所述步骤2)具体包括：

步骤201)从SSH明文数据中提取SFTP数据，并从SFTP数据中采集会话信息；

步骤202)提取SFTP数据的关键操作码，其中过滤掉索取文件属性的关键操作码；并采集每一个传输文件信息；

步骤203)将提取的SFTP关键操作码还原为关键操作命令，提取出操作目标信息，采集关键操作命令信息。

3.根据权利要求1所述的SFTP数据采集及审计方法，其特征在于，所述审计日志包括会话日志、操作日志和文件日志；

所述会话日志记录一个完整的SFTP会话信息，包括源MAC、目的地MAC、IP、IP端口、用户名、用户登录时间和用户退出时间；

所述操作日志记录每一条关键操作命令信息，包括操作命令、操作返回数据、操作起始时间和操作结束时间；

所述文件日志记录每一个完整的传输文件信息，包括文件路径、文件名称、文件内容和文件传输方向。

4.一种SFTP数据采集及审计系统，所述系统包括：SSH数据采集及解密模块、SFTP解析模块、关键操作命令处理模块和生成SFTP审计日志模块；其特征在于；

所述SSH数据采集及解密模块，用于采集SSH协议密文传输阶段的数据包，针对SSH协议握手阶段的数据包，推导出SSH密钥协商后的传输密钥；利用密钥将数据包中的密文数据转换成SSH明文数据；将SSH明文数据传输给SFTP解析模块；

所述SFTP解析模块，用于

从SSH明文数据中提取SFTP数据，并从SFTP数据中采集会话信息；提取SFTP数据的关键操作码，并采集传输文件信息；将提取的SFTP关键操作码还原为关键操作命令，并采集关键操作命令信息；

将所有关键操作命令发送到所述关键操作命令处理模块，将从SFTP数据中提取的会话信息、关键操作命令信息和传输文件信息发送到所述生成SFTP审计日志模块，

从SSH明文数据中提取SFTP数据包括从SSH2数据中提取通道数据和从SSH1数据中提取标准输入输出数据；提取出来的SFTP数据不包含SSH的头部信息、SSH2的通道头部信息、HMAC的校验信息和SSH的填充位；

所述关键操作命令处理模块，用于对所有关键操作命令进行黑名单匹配，对于匹配成功的关键操作命令，构造禁止该关键操作命令的SSH消息发送给客户端；并将所有匹配不成功的关键操作命令对应的SSH明文数据进行封装和加密，然后传输给服务端；

所述生成SFTP审计日志模块，用于根据所述SFTP解析模块发送的所有信息，生成SFTP审计日志。