[发明专利]一种封闭网络终端行为数据的采集方法及系统

权利要求书

1.一种封闭网络终端行为数据的采集方法，其特征在于，包括：

基于目标封闭网络中各终端上的代理服务，对各所述终端上的历史行为数据进行采集，并将所述历史行为数据发送给数据采集管控中心；

基于所述数据采集管控中心，将所述历史行为数据发送到Flume数据采集框架；

基于所述Flume数据采集框架接收所述历史行为数据，并将所述历史行为数据发送到Elasticsearch集群，以供Elasticsearch集群对所述历史行为数据进行存储和管理。

2.根据权利要求1所述的方法，其特征在于，基于目标封闭网络中各终端上的代理服务，对各所述终端上的历史行为数据进行采集的步骤具体包括：

基于目标封闭网络中各终端上的代理服务，通过系统调用读取各所述终端中的系统日志、注册表、驱动信息、系统缓存、内核信息，以及扫描各所述终端的端口信息和和读取浏览器的加密文件中的一种或多种，获取各所述终端上的历史行为数据。

3.根据权利要求1所述的方法，其特征在于，基于目标封闭网络中各终端上的代理服务，对各所述终端上的历史行为数据进行采集的步骤具体包括：

基于目标封闭网络中各终端上的代理服务，获取上次采集的各所述终端上的历史行为数据生成的时间，并记录所述时间中的最后时间；

对在所述最后时间之后生成的历史行为数据进行采集。

4.根据权利要求1所述的方法，其特征在于，所述历史行为数据包括用户开关机信息、用户对文件的操作信息、浏览器的访问信息、可移动存储设备的信息、终端端口信息、共享目录信息、操作系统记录信息、主机磁盘分区信息、用户安装软件信息、进程相关信息、终端开启服务信息、三合一软件运行信息、磁盘基本信息、无线网卡驱动信息、网卡信息和口令复杂度信息中的一种或多种。

5.根据权利要求1所述的方法，其特征在于，基于所述数据采集管控中心将所述历史行为数据发送到Flume数据采集框架的步骤具体包括：

基于所述数据采集管控中心调用Flume数据采集框架的接口，将所述历史行为数据封装成事件包，并将所述事件包发送到所述Flume数据采集框架中的一级节点上；

基于各所述一级节点，将所述事件包发送给所述Flume数据采集框架中的二级节点上。

6.根据权利要求1所述的方法，其特征在于，基于所述Flume数据采集框架接收所述历史行为数据，并将所述历史行为数据发送到Elasticsearch集群的步骤具体包括：

基于所述Flume数据采集框架的采集代理中的采集器，接收所述历史行为数据，并将所述历史行为数据存放到所述采集代理中的传输通道；

基于所述采集代理中的发送器，将所述历史行为数据发送到Elasticsearch集群。

7.根据权利要求1-6任一所述的方法，其特征在于，基于所述Flume数据采集框架接收所述历史行为数据，并将所述历史行为数据发送到Elasticsearch集群的步骤之后还包括：

对所述Elasticsearch集群中的历史行为数据进行分析；其中，所述分析包括总体架构功能分析、软件违规安装卸载分析、违规连接无线设备分析、安全保密软件工作状态异常分析、终端设备基本信息异常分析、系统进程服务状态异常分析、病毒库异常分析和用户账户密码异常分析。

8.根据权利要求6所述的方法，其特征在于，基于所述Flume数据采集框架的采集代理中的采集器，接收所述历史行为数据，并将所述历史行为数据存放到所述采集代理中的传输通道的步骤还包括：

基于所述采集器，将所述历史行为数据存储至本地，并将所述本地的历史行为数据发送给服务端；

若收到发送成功的消息，则删除所述本地的历史行为数据；

若没有收到所述发送成功的消息，则在预设时间内将所述本地的历史行为数据重新发送给所述服务端。