CN101399716A - 监控办公用计算机使用状态的分布式审计系统和方法 - Google Patents

Abstract

本发明提供一种监控办公用计算机使用状态的分布式审计系统，包括客户端和服务器端和升级服务器三个部分，服务器端包括配置组件、通讯组件和升级组件；配置组件用于进行员工资料配置；通讯组件负责与客户端的通讯组件建立连接，并进行数据传输；服务器端通过升级组件定时向升级服务器发出更新请求，并在有更新信息时，用更新数据替换原有的相关软件模块和行为分析库；客户端包括配置组件、数据采集组件、数据分析组件、升级组件和通讯组件；通过数据采集组件，采集计算机的运行状态和程序的执行情况；数据分析组件按照分析方法来对员工使用电脑的行为进行归类和做出结论。

Description

监控办公用计算机使用状态的分布式审计系统和方法

技术领域

本发明属于计算机技术领域，具体涉及一种监控办公用计算机使用状态的系统和方法。

背景技术

为了更好的管理办公用计算机的使用状态，很多企事业单位装上了上网行为审计系统，严密监控员工的上网内容，聊天内容，邮件内容，对网络行为进行安全管理。

但是员工在不上网的时候，是否运行一些“非法”软件或者单位明显禁止使用的软件和程序，企业管理者并不清楚。目前上网行为审计系统只能记录上网操作的次数、流量，不能统计这个行为的实际持续时间。打开一个网页只需要零点几秒，网络下载在电影不过几十分钟，在网络审计系统中产生的数据最多不过几十分钟，但是浏览网页和看电影以及打单机游戏的时间段，要远远大于被记录的上网行为数据的时间段。因此网络审计系统统计的数据很难反映员工办公用计算机的真实使用情况。

发明内容

本发明的一个目的是提供一种监控办公用计算机使用状态的分布式审计系统，根据本发明的系统，通过收集办公用计算机中运行的软件信息，实现对机算计使用状态的监控。

根据本发明的分布式的审计系统，包括客户端和服务器端和升级服务器三个部分。

服务器端包括配置组件、通讯组件和升级组件；配置组件用于进行员工资料配置；通讯组件负责与客户端的通讯组件建立连接，并进行数据传输；服务器端通过升级组件定时向升级服务器发出更新请求，并等待结果，如果返回结果有更新数据(最新的软件模块和最新的行为分析库)，用更新数据替换原有的相关软件模块和行为分析库。

客户端包括配置组件、数据采集组件、数据分析组件、升级组件和通讯组件；配置组件用于进行员工资料配置；通过数据采集组件，采集计算机的运行状态和程序的执行情况；数据分析组件按照分析方法来对员工使用电脑的行为进行归类和做出结论；升级组件定时向服务器端软件发出更新请求，并等待结果，如果返回结果有更新数据，用更新数据替换原有的相关软件模块和行为分析库；通讯组件负责与服务器端的通讯组件建立连接，并进行数据传输。

升级服务器包括最新的软件模块和最新的行为分析库；软件模块用于实现对服务器和客户端的升级功能；行为分析库由软件分类数据库、标题分类数据库、URL分类数据库组成；

本发明的一个目的是提供一种监控办公用计算机使用状态的分布式审计方法，根据本发明的方法，通过收集办公用计算机中运行的软件信息，实现对机算计使用状态的监控。

根据本发明的分布式的审计方法，在客户端和服务器端和升级服务器三个部分分别执行以下步骤：

1)客户端配置用户资料，并传送到服务器端；

2)服务器端获取行为分析库，并通过网络连接派发到客户端；

3)客户端使用行为分析库中的软件分类数据库进行分析，取出采集到的软件进程名称，并根据软件进程名称生成分析结果传送到服务器端；

4)如果采集的进程信息不包含在软件分类数据库中或者是浏览器软件，则用到行为分析库中的标题分类数据库和网络地址分类数据库；

5)以上方法都不能判断具体的分类，则不对该计算机的当前使用状态做判断。

另外，在客户端和服务器端，时时访问升级服务器查看是否有升级内容，如果有，则进行升级。

上述步骤2)中，首先使用采集到的软件进程名称与软件分类数据库中每一条软件记录的“进程信息”项进行匹配，如果发现相同则认为符合软件分类数据库的该条软件记录；当软件分类数据库中找到相匹配的软件记录后，如果发现该进程是浏览器软件则直接进入上述步骤3)，如果不是则取出该软件记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。

上述步骤3)中，首先对非浏览器类的软件标题分析，如果员工使用的软件不是浏览器类的软件，则匹配标题关键字，得到具体的分类；如果是浏览器类软件，则采用浏览器类软件标题分析方法，先使用进程窗口标题从标题分类库中查找，如果从关键字中不能判断类别，则要使用域名关键字匹配URL的方式从URL分类数据库中查找去判断类别；如果找不到一条URL记录完全符合该URL信息，则查找某一URL记录的“规则”项的内容的一部分与该URL的一部分是否相同，并得出结论。

附图说明

图1是本发明的监控办公用计算机使用状态的分布式审计系统结构示意图；

图2是本发明的监控办公用计算机使用状态的分布式审计系统升级结构；

具体实施方式

下面结合本发明的附图，更详细地描述本发明的较佳实施例。

本发明的目的是提供一种监控办公用计算机使用状态的分布式审计系统，根据本发明的系统，通过收集办公用计算机中运行的软件信息，实现对机算计使用状态的监控。

根据本发明的分布式的审计系统，包括客户端和服务器端和升级服务器三个部分。

1.服务器端

服务器端包括配置组件、通讯组件和升级组件。

1)配置组件用于进行员工资料配置：由于员工有可能输入错误的员工资料，在服务端可以对错误的员工资料进行修改。服务端只能修改员工资料，而不能增加员工资料。服务端修改员工资料后，会同步员工资料到员工的电脑中的客户端软件。员工资料包括：姓名，工号，所属部门，服务端ip，服务端端口。

其次，通过配置组件行为分析库配置：用户可以在行为分析库中，增加软件分类和标题分类，也可以自己增加软件到某个类别，或者增加关键字到某个标题类别。服务端修改软件分类配置资料后，会同步员工资料到员工的电脑中的客户端软件。

服务端对软件分类数据库和标题分类数据库的每一类行为的默认“属性”项进行修改，客户可以进行调整，例如做外贸的公司为了降低通讯费用，其员工用qq，msn等聊天工具联系客户，而服务端默认这几种聊天工具的“属性”项为非工作性质，用户则可以根据自己的业务特点调整聊天行为是工作行为。服务端修改工作性质指派资料后，会同步员工资料到员工的电脑中的客户端软件。

2)通讯组件

通讯组件负责与客户端的通讯组件建立TCP/UDP连接；并进行数据传输。

3)升级组件

服务器端通过升级组件定时向升级服务器发出更新请求，并等待结果，如果返回结果有更新数据(最新的软件模块和最新的行为分析库)，用更新数据替换原有的相关软件模块和行为分析库。

服务器端升级后，发现数据升级客户端时，要把升级包发送给客户端，发送策略是，按照数据库中的各个客户端的存放位置，一一升级。

2.客户端

客户端包括配置组件、数据采集组件、数据分析组件、升级组件和通讯组件。

1)配置组件

员工资料由客户端安装人员输入，软件本身不检查用户输入的内容和实际情况是否相符。客户端的员工资料输入界面，使客户端唯一的界面。客户端员工资料设置功能，只有在第一次安装，或者使用快捷键的情况下才会出现，除此界面外，客户端没有任何人机交互的功能。

员工资料包括：姓名，工号，所属部门，服务端ip，服务端端口。

配置完毕后，数据会发送到客户端软件。

2)数据采集组件

通过数据采集组件，采集以下内容：

 

采集项	说明
		软件名称	工具的名称，例如WORD.EXE
使用软件的用户	也就是当前WINDOWS登陆的用户
		采集时间	采集该记录的时间
软件URL信息	软件窗口的URL信息
		软件的标题	软件的界面标题名称。
软件的类型	根据软件分类数据库识别出的软件类型。

 

标题的类型	根据标题关键字库识别出的标题类型
		软件的工作性质	工作软件；非工作软件；疑似非工作软件。
是否上班时间	上班时间由服务端设定。

采集的结果就是一条条以上数据组成的纪录。

数据采集步骤如下：

A)每隔3秒钟(默认值，可通过服务端来配置)采集当前焦点(windows桌面最前端的窗口)软件一次，包括：进程信息，包括进程名，采集时间，进程标题，进程用户。如果在3秒钟内用户切换软件多次，则不需纪录，因为在实际意义中，3秒钟的误差不会造成数据不准确。

具体采集方法如下：

I)利用windows api(GetForegroundWindow)实现得到最顶层窗口的句柄。

II)利用windows api(GetWindowThreadProcessld)窗口句柄得到进程ID，再从进程ID到系统进程资源中查找进程属性，最后得到进程名。

III)windows api(GetWindowText)可从窗口句柄中获得进程标题。

IV)URL采集，采用的是窗口枚举，得到相应浏览器子窗口句柄。再使用windows api(FindWindowEx)定位到浏览器子窗口的URL窗口名称最终获得URL信息。

数据采集完后送入数据分析组件进行分析。

B)记录上一次的焦点软件，如果本次焦点软件与上一次相同，则这个焦点软件的结束时间为当前采集的时间，记录主体不变，只改变结束时间；如果不同，则创建新的纪录，说明用户此刻已经有了新的注意力集中点。

C)如果5分钟(服务端统一配置，默认5分钟)内，员工的电脑没有任何输入信号(键盘、鼠标等)，则认为，员工的工作焦点不再任何的软件上，此时员工有可能在开会，闲聊，接见客户等，此时当前纪录的结束时间就是5分钟电脑没有任何动作时间，应该创建一条新的纪录，记录员工此时处于没有用电脑的工作状态。当员工又回来使用电脑时，开始记录电脑使用情况。

D)如果用户锁定电脑，切换用户时，采集方法和电脑没有任何输入一样，修改当前纪录的结束时间，并且纪录用户的锁定电脑，切换用户的操作。

E)如果用户关机，重启计算机，或者突然断电等情况时，客户端程序也会被关闭，当客户端重新启动时，原来的纪录中，最近的一条德结束时间不许要改动，客户端进行新的纪录。

为了避免意外情况发生，保证数据完整，采集的数据没有传送到服务端软件之前，都要保存在客户端本地硬盘上。

3)数据分析组件

原始数据的分类统计，是客户端的重要功能，客户端程序根据分类库，按照分析方法来对员工使用电脑的行为进行归类和做出结论。

分析方法具体为：

①首先获取行为分析库，行为分析库由服务端生成、通过TCP/UDP网络连接派发到客户端软件。

②获取采集结果：通过上面的采集方法获取到的采集结果。

③客户端软件先使用行为分析库中的软件分类数据库进行分析，首先取出采集到的软件进程名称，使用软件进程名称检索软件分类数据库，查看软件分类数据库是否已经包含该进程名称。

使用采集到的软件进程名称与软件分类数据库中每一条软件记录的“进程信息”项进行匹配，如果发现相同则认为符合软件分类数据库的该条软件记录，在匹配过程中进程信息的字母没有大小写之分，如果出现采集的进行信息为“qq.EXE”，而软件分类表中的数据为“qq.Exe”，则判断它们为相同数据。

在软件分类数据库中找到相匹配的软件记录后，如果发现该进程是浏览器软件(通过软件记录的“类型”项查看)则直接进入④，如果不是则取出该软件记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。如果检索到软件分类数据库尾端仍然没有找到相匹配的软件信息，则进入④；

④如果采集的进程信息不包含在软件分类数据库中或者是浏览器软件，也就是说软件分类数据库不能做出是否在工作的结论，则要用到行为分析库中的标题分类数据库和URL分类数据库。

a)非浏览器类的软件标题分析方法：如果员工使用的软件(工作性质为不确定)不是浏览器类的软件，例如编辑类软件，则匹配标题关键字，得到具体的分类，同时也得到是否在工作的结论。

首先使用采集到的软件进程窗口标题名称(详细内容看采集方法)，逐一与标题分类数据库中的每一条行为记录的“规则”项进行匹配，如果发现某一行为记录的“规则”项的内容的一部分与软件进程窗口标题名称的一部分相同，比如标题中带有“连载”，“名著”，“读书”，“book”等关键字。而某条行为记录的“规则”项也包含“连载”关键字，则认为该软件进程窗口标题符合该行为记录，取出该行为记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。如果找不到一条行为记录符合该软件进程窗口标题，则进入⑤。

b)浏览器类的软件标题分析方法：如果员工使用的软件(工作性质为不确定)是浏览器软件，先使用进程窗口标题从标题分类库中查找(查找方法看“非浏览器类的软件标题分析方法”)，如果从关键字中不能判断类别，则要使用域名关键字匹配url的方式从URL分类数据库中查找去判断类别。

使用URL分类数据库的方法如下：首先使用收集到的URL信息逐一与URL分类数据库中的每一条URL记录的“规则”项进行匹配，如果完全相同则认为该URL信息符合该URL记录，取出该URL记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。

如果如果找不到一条URL记录完全符合该URL信息，则查找某一URL记录的“规则”项的内容的一部分与该URL的一部分是否相同，如者URL中带有”stock”，“finance，”caijing”等关键字，而URL分类数据库中的某条URL记录的“规则”项里也包含”stock”关键字，则认为该软件进程窗口标题符合该行为记录，取出该URL记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。如果该URL信息不符合以上方法，则进入⑤。

⑤以上方法都不能判断具体的分类，此行为作为其他类，性质为不确定。

最后分析结果会形成工作行为数据，并上传到服务器端。

4)升级组件

升级组件定时向服务器端软件发出更新请求，并等待结果，如果返回结果有更新数据(最新的软件模块和最新的行为分析库)，用更新数据替换原有的相关软件模块和行为分析库。

5)通讯组件

通讯组件负责与服务器端的通讯组件建立TCP/UDP连接；并进行数据传输。

3.升级服务器

升级服务器是一个软件厂商为购买软件的客户提供远程升级服务的渠道，服务内容包括最新的软件模块和最新的行为分析库。

行为分析库

行为分析库由软件分类数据库、标题分类数据库、URL分类数据库组成；

1)软件分类数据库

软件分类数据库是对各个企业中常用的办公软件进行分类的规则库。具体那些软件归入哪些类别，需要人工整理。

每一类软件都有工作属性，属性分为3种：工作，非工作，不确定。

整理方式是人工整理的方式，提供一个默认的软件分类数据库，管理用户可以在服务端修改其属性。

默认的软件分类数据库片段：

 

软件名称	进程信息	类别	属性	描述
					QQ	qq.exe	聊天软件	非工作	腾迅公司聊天工具
FOXMAIL	foxmail.exe	邮件工具	工作	FOXMAIL邮件客户端

2)标题分类数据库

由于只对软件进行分类很多情况下不能判定员工是否在工作，例如员工用办公软件看小说等，浏览于工作无关的网站，尤其是网站的类别五花八门，查资料与看视频不能通过软件来区分，但前者是在工作，后者在休闲，所以要使用一种方法来大致区分员工的真实情况。

大部分软件功能都很明确，例如游戏，视频，音乐等类别，但是有些编辑类(word，excel，ppt)，浏览类(pdf，acdsee，网页浏览器)的功能就不能确定是否是工作。尤其是网页浏览器是目前不可或缺，应用最多的软件，使用浏览器可以模拟所有其他软件的功能，在标题分类数据库中主要对浏览器标题进行分类。编辑类软件的标题库，主要为了判断员工是否在看小说，而这类软件的标题库和浏览器的标题库是通用的，所以不加区分。

使用标题关键字标题进行分类，以及常用网站精确分类相结合的办法，做到可甄别大部分的员工使用电脑行为。

以下是默认的标题分类数据库片段：

 

员工行为类别	规则	属性
			小说	标题中带有“连载”，“名著”，“读书”，“book”等关键字。	非工作
音视频	标题中带有“视频”，“音乐”。	非工作
			Flash	标题中带有“flash”等关键字	非工作
贺卡	标题中带有“贺卡”等关键字	非工作
			游戏	标题中带有“游戏”等关键字以及热门游戏的名称。	非工作
聊天	标题中带有“聊天室”，“聊天站”，“chat”等关键字。	非工作
			证券	标题中带有“证券”，“投资”，“行情”，“基金”，“股票”等关键字。	非工作
论坛	标题中带有“论坛”等关键字。	非工作
			新闻	标题中带有“新闻”等关键字。	非工作
邮件	标题中带有“邮件”，“邮箱“等关键字。	工作
			其他

标题分类数据库整理方式为：

人工收集分析常用网站的标题特征，从中分析出新闻，论坛，博客，视频，聊天室，游戏，股票，购物等类别的常用关键字。例如blog，bbs，等人工收集各类热门小说的名称，可以从各个小说网站排行上进行收集。

URL分类数据库

以下是默认的URL分类数据库片段：

 

员工行为类别	规则	属性
			小说	域名符合热门或者门户网站的小说频道域名，也认为这个行为是看小说。	非工作
音视频	域名符合热门或者门户网站的音乐、视频频道域名，也认为这个行为是听音乐或者看视频。	非工作
			Flash	热门flash网站域名，或者域名中带有”flash”等关键字	非工作
贺卡	热门贺卡网站域名，或者域名中带有”card”等关键字	非工作
			游戏	热门游戏网站域名，或者域名中带有”game”等关键字	非工作
聊天	热门聊天网站域名，或者域名中带有”chat”等关键字	非工作
			证券	热门证券网站域名，或者域名中带有”stock”，finance，”caijing”等关键字	非工作

 

论坛	标题中带有“论坛”等关键字。热门论坛网站域名，或者域名中带有”bbs.”等关键字	非工作
			新闻	热门新闻网站域名，或者域名中带有”news”等关键字	非工作
邮件	热门邮件网站域名，或者域名中带有”mail”等关键字	工作
			其他

人工收集各类访问量较大的专业网站，例如新闻门户(网易、新浪)，著名论坛(天涯，猫扑)，在线游戏，财经，购物(淘宝)等，按照需要收集的类别进行收集。

工作原理：

(1)首先获取行为分析库，行为分析库由服务端生成、通过TCP/UDP网络连接派发到客户端软件。

(2)客户端软件先使用行为分析库中的软件分类数据库进行分析，首先取出采集到的软件进程名称，使用软件进程名称检索软件分类数据库，查看软件分类数据库是否已经包含该进程名称。

a)使用采集到的软件进程名称与软件分类数据库中每一条软件记录的“进程信息”项进行匹配，如果发现相同则认为符合软件分类数据库的该条软件记录，在匹配过程中进程信息的字母没有大小写之分，如果出现采集的进行信息为“qq.EXE”，而软件分类表中的数据为“qq.Exe”，则判断它们为相同数据。

b)在软件分类数据库中找到相匹配的软件记录后，如果发现该进程是浏览器软件(通过软件记录的“类型”项查看)则直接进入(3)，如果不是则取出该软件记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。如果检索到软件分类数据库尾端仍然没有找到相匹配的软件信息，则进入(3)

(3)如果采集的进程信息不包含在软件分类数据库中或者是浏览器软件，也就是说软件分类数据库不能做出是否在工作的结论，则要用到行为分析库中的标题分类数据库和URL分类数据库。

a)非浏览器类的软件标题分析方法：如果员工使用的软件(工作性质为不确定)不是浏览器类的软件，例如编辑类软件，则匹配标题关键字，得到具体的分类，同时也得到是否在工作的结论。

首先使用采集到的软件进程窗口标题名称(详细内容看采集方法)，逐一与标题分类数据库中的每一条行为记录的“规则”项进行匹配，如果发现某一行为记录的“规则”项的内容的一部分与软件进程窗口标题名称的一部分相同，比如标题中带有“连载”，“名著”，“读书”，“book”等关键字。而某条行为记录的“规则”项也包含“连载”关键字，则认为该软件进程窗口标题符合该行为记录，取出该行为记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。如果找不到一条行为记录符合该软件进程窗口标题，则进入(4)。

b)浏览器类的软件标题分析方法：如果员工使用的软件(工作性质为不确定)是浏览器软件，先使用进程窗口标题从标题分类库中查找(查找方法看“非浏览器类的软件标题分析方法”)，如果从关键字中不能判断类别，则要使用域名关键字匹配url的方式从URL分类数据库中查找去判断类别。

使用URL分类数据库的方法如下：首先使用收集到的URL信息逐一与URL分类数据库中的每一条URL记录的“规则”项进行匹配，如果完全相同则认为该URL信息符合该URL记录，取出该URL记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。

如果如果找不到一条URL记录完全符合该URL信息，则查找某一URL记录的“规则”项的内容的一部分与该URL的一部分是否相同，如者URL中带有”stock”，“finance，”caijing”等关键字，而URL分类数据库中的某条URL记录的“规则”项里也包含”stock”关键字，则认为该软件进程窗口标题符合该行为记录，取出该URL记录的“属性”项信息，根据“属性”项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。

如果该URL信息不符合以上方法，则进入(4)。

(4)以上方法都不能判断具体的分类，此行为作为其他类，性质为不确定。

最后分析结果会形成工作行为数据，并上传到服务器端软件。

根据本发明的分布式审计系统和方法，通过直接安装客户端在企业为员工工作所需而提供的计算机操作系统上，客户端实时采集能运行在计算机操作系统中的程序运行状态，将采集数据提交给数据分析中心，数据分析中心使用一个行为分析库对采集的数据进行分析挖掘，提取可以表示员工办公用计算机是否处于工作状态的标识信息。即使办公用计算机不访问网络，管理员也可以通过分析结果了解当前公用计算机的使用状态。

尽管为说明目的公开了本发明的较佳实施例和附图，但是熟悉本领域技术的人员，在不脱离本发明及所附的权利要求的精神和范围内，可作各种替换、变化和润饰。因此，本发明不应局限于较佳实施例和附图所公开的内容，本发明的保护范围以所附的权利要求书所界定的范围为准。

Claims (8)

1.一种监控办公用计算机使用状态的分布式审计系统，包括客户端、服务器端和升级服务器三个部分：

服务器端包括配置组件、通讯组件和升级组件；配置组件用于进行员工资料配置；通讯组件负责与客户端的通讯组件建立连接，并进行数据传输；服务器端通过升级组件定时向升级服务器发出更新请求，并在有更新信息时，用更新数据替换原有的相关软件模块和行为分析库；

客户端包括配置组件、数据采集组件、数据分析组件、升级组件和通讯组件；配置组件用于进行员工资料配置；通过数据采集组件，采集计算机的运行状态和程序的执行情况；数据分析组件按照分析方法来对员工使用电脑的行为进行归类和做出结论；升级组件定时向服务器端软件发出更新请求，并在有更新信息时，用更新数据替换原有的相关软件模块和行为分析库；通讯组件负责与服务器端的通讯组件建立连接，并进行数据传输；

升级服务器包括最新的软件模块和最新的行为分析库；软件模块用于实现对服务器和客户端的升级功能；行为分析库由软件分类数据库、标题分类数据库、URL分类数据库组成。

2.根据权利要求1所述的监控办公用计算机使用状态的分布式审计系统，其特征在于，数据采集组件采集的数据包括软件名称、使用软件的用户、采集时间、软件URL信息、软件的标题、软件的类型、标题的类型、软件的工作性质、是否上班时间。

3.根据权利要求1所述的监控办公用计算机使用状态的分布式审计系统，其特征在于，数据分析组件进行计算机使用状态分析依据包括以下类别：软件进程信息、网络链接地址信息、软件标题、软件标题关键字、网页标题和网页标题关键字。

4.一种监控办公用计算机使用状态的分布式审计方法，在客户端和服务器端和升级服务器分别执行以下步骤：

1)客户端配置用户资料，并传送到服务器端；

2)服务器端获取行为分析库，并通过网络连接派发到客户端；

3)客户端通过数据采集组件，采集当前计算机中的进程和软件使用信息，使用行为分析库中的软件分类数据库进行分析，取出采集到的软件进程名称，并根据软件进程名称生成分析结果传送到服务器端；

4)如果采集的进程信息不包含在软件分类数据库中或者是浏览器软件，则用到行为分析库中的标题分类数据库和网络地址分类数据库；

5)以上方法都不能判断具体的分类，则不对该计算机的当前使用状态做判断。

5.根据权利要求4所述的监控办公用计算机使用状态的分布式审计方法，其特征在于，在客户端和服务器端，时时访问升级服务器查看是否有升级内容，如果有，则进行升级。

6.根据权利要求4所述的监控办公用计算机使用状态的分布式审计方法，其特征在于所述步骤2)中，首先使用采集到的软件进程名称与软件分类数据库中每一条软件记录的进程信息项进行匹配，如果发现相同则认为符合软件分类数据库的该条软件记录；当软件分类数据库中找到相匹配的软件记录后，如果发现该进程是浏览器软件则直接进入上述步骤3)，如果不是则取出该软件记录的属性项信息，根据属性项信息确定为非工作软件或者工作软件，则已经得出员工在或者不在工作的结论，不用再继续分析。

7.根据权利要求4所述的监控办公用计算机使用状态的分布式审计方法，其特征在于所述步骤3)中，首先对非浏览器类的软件标题分析，如果员工使用的软件不是浏览器类的软件，则匹配标题关键字，得到具体的分类；如果是浏览器类软件，则采用浏览器类软件标题分析方法，先使用进程窗口标题从标题分类库中查找，如果从关键字中不能判断类别，则要使用域名关键字匹配URL的方式从URL分类数据库中查找去判断类别；如果找不到一条URL记录完全符合该URL信息，则查找其中一条URL记录的规则项的内容的一部分与该URL的一部分是否相同，并得出结论。

8.根据权利要求4所述的监控办公用计算机使用状态的分布式审计方法，其特征在于所述步骤3)中，具体采集方法如下：

1)利用windows api实现得到最顶层窗口的句柄；

2)利用windows api窗口句柄得到进程名称，再从进程名称到系统进程资源中查找进程属性，最后得到进程名；

3)windows api可从窗口句柄中获得进程标题；

4)URL采集，采用的是窗口枚举，得到相应浏览器子窗口句柄，再使用windows api定位到浏览器子窗口的URL窗口名称最终获得URL信息。

Images