[发明专利]一种SFTP数据采集及审计的方法及系统

摘要

本发明提供了一种SFTP数据采集及审计方法，所述方法包括：步骤1)采集SSH协议密文传输阶段的数据包，推导出SSH密钥协商后的传输密钥；利用密钥将数据包中的密文数据转换成明文数据；步骤2)从SSH明文数据中提取SFTP数据，并从SFTP数据中采集会话信息；提取SFTP数据的关键操作码，并采集传输文件信息；将提取的SFTP关键操作码还原为关键操作命令，并采集关键操作命令信息；步骤3)对所有关键操作命令进行黑名单匹配，对于匹配成功的关键操作命令，构造禁止该关键操作命令的SSH消息发送给客户端；并将所有匹配不成功的关键操作命令对应的SSH明文数据进行封装和加密，然后传输给服务端；步骤4)根据步骤2)中采集的所有信息生成SFTP审计日志。

主权项

1.一种SFTP数据采集及审计方法，所述方法包括：步骤1)采集SSH协议密文传输阶段的数据包，针对SSH协议握手阶段的数据包，推导出SSH密钥协商后的传输密钥；利用密钥将数据包中的密文数据转换成明文数据；步骤2)从SSH明文数据中提取SFTP数据，并从SFTP数据中采集会话信息；提取SFTP数据的关键操作码，并采集传输文件信息；将提取的SFTP关键操作码还原为关键操作命令，并采集关键操作命令信息；从SSH明文数据中提取SFTP数据包括从SSH2数据中提取通道数据和从SSH1数据中提取标准输入输出数据；提取出来的SFTP数据不包含SSH的头部信息、SSH2的通道头部信息、HMAC的校验信息和SSH的填充位；步骤3)对所有关键操作命令进行黑名单匹配，对于匹配成功的关键操作命令，构造禁止该关键操作命令的SSH消息发送给客户端；并将所有匹配不成功的关键操作命令对应的SSH明文数据进行封装和加密，然后传输给服务端；步骤4)根据步骤2)中采集的会话信息、关键操作命令信息和传输文件信息生成SFTP审计日志。