CN101808102B - 一种基于云计算的操作记录追踪系统和方法 - Google Patents

Abstract

本发明公开了一种多用户协同的操作记录追踪系统，包括：至少一服务器端以及若干客户端；各客户端与至少一服务器端网络连接；客户端用于获取其所运行的至少一进程的操作记录及进程信息，分别计算各进程的哈希值，将各哈希值及其对应的操作记录及进程信息上传到服务器端；服务器端用于根据哈希值将其对应的操作记录和进程信息分类存储，并生成报告信息下载到各客户端，报告信息包括进程在其他客户端所追踪到的操作记录；任何一个进程文件只要在网络中某一客户端进行了不可告人的操作，就会被网络中所有其他用户发现，在使用该软件的时候就会提高警惕，避免成为肉鸡或被他人非法利用。

Description

一种基于云计算的操作记录追踪系统和方法

技术领域

本发明涉及信息安全领域，尤其涉及的是一种基于云计算的多用户协同操作记录追踪系统和方法。

背景技术

现今，随着信息化程度的提高及各种适用性技术的不断推出，用户进行各种与数字信息相关的活动也越发便利，而且不可否认的是，用户与信息化、数字化的关联也越发紧密。然而与此相随，数字信息犯罪诸如攻击(尤其是通过互联网)个人电脑、服务器、或者其他计算机化装置的事件却频繁发生。显然的是，目前地下数字经济已日益产业化、规模化，而且其相应的犯罪行为也越趋隐蔽化，恶意软件的攻击手段得到了极大的发展。诸如由以前的单个文件发展为多模块、多组件化的攻击的形式，更甚至多数恶意软件均具有较强的伪装能力。

随着技术的发展，一些病毒和木马纷纷加强了服务器端的策略控制。以前只要是病毒和木马发作，就会按照某种规律持续性发作，比如即时发作，固定时间段发作(黑色星期五病毒)等等。但是现在往往通过服务器控制病毒和木马的发作时间和规模，比如控制部分IP段发作，或者部分时间段发作，而且这些发作规则由病毒和木马所属的服务器控制，随时可以进行调整。甚至一些商业正规软件也利用服务器规则进行一些不可告人的操作，比如利用用户电脑在后台点击广告，或者偷偷收集与自己无关的用户信息。这种发作规则灵活控制的策略，导致发现木马和病毒的几率大大降低。尤其是在进行一些非破坏行为的时候，是所有杀毒软件或者防护软件无法预报的。比如操作用户电脑访问某个网址，点击某个广告等等行为，这些均不会被防护软件提示。造成即使被控制为肉鸡，也很难发现的情况。

因此，现有技术存在缺陷，需要改进。

发明内容

本发明所要解决的技术问题是，针对现有技术的不足，提供一种基于云计算的多用户协同的操作记录追踪系统和方法。

本发明的技术方案如下：

一种多用户协同的操作记录追踪系统，其中，包括：至少一服务器端以及若干客户端；各所述客户端与至少一所述服务器端网络连接；

所述客户端用于获取其所运行的至少一进程的操作记录及进程信息，分别计算各进程的哈希值，将各所述哈希值及其对应的操作记录及进程信息上传到所述服务器端；所述进程信息至少包括该进程所在的客户端信息、进程的文件名、进程的版本号、进程所属公司名、进程文件大小其中之一；

所述服务器端用于根据所述哈希值将其对应的所述操作记录和所述进程信息分类存储，并生成报告信息下载到各所述客户端，所述报告信息包括所述进程在其他客户端所追踪到的操作记录。

所述的操作记录追踪系统，其中，所述客户端包括追踪模块、哈希值计算模块和上传模块；

所述追踪模块，用于获取至少一所述进程的操作记录及进程信息；所述哈希值计算模块，用于计算各所述进程的哈希值；所述上传模块，用于将所述哈希值及其对应的操作记录及进程信息上传到所述服务器端；

所述服务器端包括分类存储模块和分享模块；所述分类存储模块，用于根据各所述进程的哈希值，将其对应的所述操作记录和所述进程信息存储到所述服务器端；所述分享模块，用于根据存储在所述服务器端的各所述进程的所述操作记录和所述进程信息生成所述报告信息，下载到各所述客户端。

所述的操作记录追踪系统，其中，所述客户端还包括报告模块，所述报告模块用于根据所述报告信息进行报告。

所述的操作记录追踪系统，其中，所述客户端还包括征询意见模块，所述征询意见模块与所述追踪模块连接，用于判断接收开始追踪的指令，是则启动所述追踪模块开始追踪。

所述的操作记录追踪系统，其中，所述分享模块包括操作记录查找单元、百分比计算单元、报告信息生成单元和下载单元；所述操作记录查找单元，用于在所述分类存储模块中查找具有相同哈希值的进程，根据其操作记录及进程信息，生成查找结果；所述百分比计算单元，用于根据所述查找结果生成操作记录百分比；所述报告信息生成单元用于根据所述操作记录百分比及所述查找结果生成所述报告信息；所述下载单元用于将所述报告信息下载到各所述客户端。

一种多用户协同的操作记录追踪方法，应用上述任一所述的操作记录追踪系统，其中，包括以下步骤：

A1：追踪步骤，用于获取所述客户端所运行的至少一进程的操作记录及进程信息；所述进程信息至少包括该进程所在的客户端信息、进程的文件名、进程的版本号、进程所属公司名、进程文件大小其中之一；

A2：哈希值计算步骤，用于计算所述客户端各进程的哈希值；

A3：上传步骤，用于将各所述哈希值及其对应的操作记录及进程信息上传到所述服务器端；

A4：分类存储步骤，用于根据所述哈希值将其对应的所述操作记录和所述进程信息分类存储；

A5：分享步骤，用于根据所述操作记录和所述进程信息生成报告信息下载给每个所述客户端。

所述的方法，其中，所述步骤A5之后还执行报告步骤：根据所述报告信息进行报告。

所述的方法，其中，所述步骤A1之前还包括征询意见步骤：用于就是否执行步骤A1征询所述客户端的指令，若得到所述客户端的肯定回答，则开始所述步骤A1。

所述的方法，其中，所述操作记录至少包括文件操作记录、网络连接记录、对注册表的操作记录其中之一。

所述的方法，其中，所述步骤A5具体执行以下步骤：

A51：操作记录查找步骤，用于查找具有相同哈希值的进程，根据其操作记录及进程信息，生成查找结果；

A52：百分比计算步骤，用于根据所述查找结果生成操作记录百分比；

A53：报告信息生成步骤，用于根据所述操作记录百分比及所述查找结果生成报告信息；

A54：下载步骤，用于将所述报告信息下载到各所述客户端进行分享

本发明提供的大规模云追踪技术，利用庞大的用户群来分享每个客户端的进程追踪信息。这种追踪技术将追踪每个客户端用户的进程文件所访问的其他文件，所进行的网络连接，甚至包括对注册表的修改等记录。然后统一记录到服务器，分享给每个客户端用户，尤其重点分享非普遍的操作记录。当进程文件为同一个文件时，此文件的用户就会查看到其他拥有同一文件的所有用户所追踪到的该文件的行为，此文件的行为会按照行为的相同比例进行排序，同时可以看到进行了类似行为的用户，占所有拥有此文件用户的比例。即使有系统文件利用各种规则进行不可告人的操作，也逃不过所有用户的共同监控，这样任何一个进程文件只要在网络中某一客户端进行了不可告人的操作，就会被网络中所有其他用户发现，在使用该软件的时候就会提高警惕，避免成为肉鸡或被他人非法利用。

附图说明

图1是本发明系统的整体结构示意图；

图2是本发明的一种系统结构示意图；

图3是图2中的分享模块的结构示意图。

具体实施方式

以下结合附图和具体实施例，对本发明进行详细说明。

实施例1

图1所示为多用户协同的操作记录追踪系统整体结构示意图，包括：至少一服务器端和以及若干客户端，根据需要可以架设多个服务器端，各客户端与至少一服务器端通过网络进行连接；该系统可以包括一个或多个服务器端，一个客户端可以连接一个或多个服务器端。

客户端用于追踪获取该客户端所运行的至少一进程的操作记录和运行于该客户端的该进程的进程信息，例如上述操作记录可以是该进程访问了哪些文件，访问了哪些网站，上述进程信息可以包括但不限于该进程所属用户的信息、该进程的所属公司等等信息等，根据需要可以对多个进程的操作记录进行追踪；然后计算该进程的哈希值，服务器端接收来自大量客户端的上述哈希值和进程信息，在服务器端，根据哈希值的不同将操作记录以及进程信息分类存储，同时，由服务器端生成报告信息下载给每个客户端进行分享，根据报告信息，客户端就能够查看到其他拥有同一进程文件的所有用户所追踪到的该文件在其客户端的操作记录，此文件的操作记录可以按照行为的相同比例进行排序，同时可以看到进行了类似行为的用户信息，该进程的所属公司等等信息，以及该操作记录占所有拥有此进程用户的比例，这样客户端就能够监控到进程在其他客户端所追踪到的操作记录，这样即使某一软件利用服务器规则在任何一台电脑终端进行一些不可告人的操作，比如利用用户电脑在后台点击广告，或者偷偷收集与自己无关的用户信息的时候，都会被联网中的其他所有用户监控到，用户在使用该软件的时候就会加以提防，甚至可以选择卸载该软件。

例如，客户端可以设置仅获取一个或若干个进程的操作记录和进程信息，即设置获取进程的数量；也可以设置指定一个或多个进程，即选择需要获取的进程。

举例来说，某个进程文件ABC.EXE，在不经用户许可情况下，访问用户电脑里面的其他信息并且上传到进程文件ABC.EXE所属的服务器Q，同时在后台引导用户打开一个广告页面进行欺诈点击，服务器Q控制ABC.EXE每次随机从大量的用户群中选择一部分用户进行收集信息和点取广告；用户A装有ABC.EXE，但是ABC.EXE尚未在用户A的电脑上执行过收集用户信息的行为，仅仅执行了点击广告的行为。此时用户A使用了本发明提供的的操作记录追踪系统，将ABC.EXE后台引导用户点击广告的行为记录到服务器，并且共享给其他拥有ABC.EXE的用户，而通过其他用户所共享的信息，也得知了ABC.EXE收集用户信息的行为，这样文件ABC.EXE所进行的所有违规操作将被联网中的用户全部掌握，并且作为证据进行了保存，用户可以据此选择卸载该程序，防止其危害进一步扩大。

以图2所示为例，举例说明上述系统的一种具体结构示意图，例如客户端可以包括追踪模块11、哈希值计算模块12和上传模块13；

上述追踪模块11，用于获取客户端所运行的至少一个进程的操作记录和运行于该进程的进程信息，例如获取该进程所访问的网络连接，或者对本地文件所做的修改，或者对注册表所做的修改，同时记录下该进程文件的有关信息，例如文件名，所属公司等等；上述哈希值计算模块12，用于计算该进程的哈希值，哈希值的计算方法属于公知常识，在此不作赘述；上传模块13，用于将上述操作记录、进程的进程信息和哈希值上传到服务器端；在服务器端可以包括分类存储模块21和分享模块22；分类存储模块21，用于根据上述进程的哈希值将操作记录和进程信息存储到服务器端，例如使用不同哈希值建立索引或者目录，将操作记录和进程信息存储在服务器端；分享模块22，用于根据存储在服务器端的进程文件的操作记录和进程信息生成报告信息，将报告信息下载给各个客户端或者每个客户端进行分享，例如上述报告信息可以包括其他拥有同一进程文件的用户所追踪到的该进程文件的操作记录，或者还可以包括按照某一操作行为的操作记录百分比得到的排序，用户同时还可以从报告信息中看到进行了类似行为的用户信息，例如用户的ip地址、所属国家地区等等；客户端还包括报告模块14，报告模块14用于根据报告信息向用户进行报告，例如报告其他拥有同一文件的用户所追踪到的该文件的操作记录，按照行为的操作记录百分比得到的排序等等。

实施例2

在实施例1的基础上，为了提高人机交互功能，客户端还包括征询意见模块10，征询意见模块10与追踪模块11连接，用于就追踪模块11是否开始追踪征询客户端用户的意见，若得到客户端的肯定回答，则追踪模块11就立即开始追踪，例如在开始追踪进程B.EXE之前，征询用户是否开始对该进程进行追踪，若用户选择肯定回答，则追踪模块11就开始针对进程B.EXE进行追踪，这样可以避免对一些常规进程进行不必要的追踪和记录。

实施例3

在实施例1的基础上，为了进一步补充完善该系统的功能，分享模块进一步可以包括操作记录查找单元221、百分比计算单元222、报告信息生成单元223和下载单元224；操作记录查找单元221，用于在分类存储模块21中查找具有相同哈希值的进程的操作记录及该进程的信息，生成查找结果，例如使用哈希值作为搜索条件，在分类存储模块21中进行搜索，搜索哈希值相同的进程的操作记录，以及所记录的用户数量，用户信息，生成查找结果；百分比计算单元222，用于根据上述查找结果生成操作记录百分比；报告信息生成单元223用于根据操作记录百分比及查找结果生成报告信息；下载单元224用于将报告信息下载到对应客户端进行分享。

需要说明的是，上述描述中所使用的操作记录百分比在本发明中定义为：服务器端所存储的某一进程的操作记录中，实施了某个操作行为的客户端数量占所有拥有此进程的客户端数量的比例，例如关于进程A访问XX网站的操作记录百分比可以这样计算：在服务器端追踪到了500万拥有进程A的客户端，其中有200万用户的进程A进行了访问XX网站的操作，则访问XX网站的操作记录百分比为200/500＝40％，根据该百分比可以看出哪些行为是普遍操作，哪些行为是个别操作，用户可以根据上述判断做出选择，例如卸载某些经常进行个别操作的进程。

实施例4

本实施例继续提供一种多用户协同的操作记录追踪方法，应用于上述任一实施例，包括以下步骤：

A1：追踪步骤，用于获取客户端所运行的至少一个进程的操作记录及进程信息，根据需要可以获取多个进程的操作记录进程信息，进程数量不作限制；上述进程信息至少包括各个进程所在的客户端的信息、进程的文件名、进程的版本号、进程所属公司名、进程文件大小其中之一；进程信息也可以包括全部上述信息；

A2：哈希值计算步骤，用于计算客户端中各进程的哈希值；分别计算得到各进程的哈希值；

A3：上传步骤，用于将各哈希值及其对应的操作记录及进程信息上传到所述服务器端；例如，逐一将各进程的哈希值，及其对应的操作记录及进程信息上传到所述服务器端；

A4：分类存储步骤，用于根据哈希值将各个哈希值所对应的操作记录和进程信息分类存储；例如，一条存储项包括：哈希值、该哈希值所对应的操作记录、该哈希值所对应的进程信息；

A5：分享步骤，用于根据上述对应的操作记录和进程信息生成报告信息下载给每个所述客户端。

又一个例子，在上述步骤A5之后还可以执行报告步骤，根据报告信息进行报告，例如，向客户端发出警报；又如，在客户端弹出提示窗口；，向用户提供有价值的报告，供用户决策。

实施例5

应用于上述各实施例，步骤A4可以具体执行以下步骤：

A51：操作记录查找步骤，用于查找具有相同哈希值的进程的操作记录及该进程的进程信息，生成查找结果；A52：百分比计算步骤，用于根据查找结果生成操作记录百分比；A53：报告信息生成步骤，用于根据操作记录百分比及进程的进程信息生成报告信息；A54：下载步骤，用于将报告信息下载到对应客户端进行分享。例如，所述客户端还用于根据所述报告信息监控某一所述进程在其他客户端所追踪到的操作记录等。

实施例6

应用于上述各实施例，步骤A1之前还包括征询意见步骤，征询意见步骤，用于就是否开始步骤A1征询客户端用户的意见，若得到客户端的肯定回答，则开始步骤A1，例如在开始追踪进程B.EXE之前，征询用户是否开始对该进程进行追踪，若用户选择肯定回答，则追踪模块11就开始针对进程B.EXE进行追踪，这样可以避免对一些常规进程进行不必要的追踪和记录。

实施例7

应用于上述各实施例，其中的操作记录可以包括：文件操作记录、网络连接记录、对注册表的操作记录；其中，进程信息可以包括进程所在的客户端信息、进程的文件名、进程的版本号、进程所属公司名、进程文件大小之一或其组合或全部。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (10)

1.一种多用户协同的操作记录追踪系统，其特征在于，包括：至少一服务器端以及若干客户端；各所述客户端与至少一所述服务器端网络连接；

所述客户端用于获取其所运行的至少一进程的操作记录及进程信息，分别计算各进程的哈希值，将各所述哈希值及其对应的操作记录及进程信息上传到所述服务器端；所述进程信息至少包括该进程所在的客户端信息、进程的文件名、进程的版本号、进程所属公司名、进程文件大小其中之一；

所述服务器端用于根据所述哈希值将其对应的所述操作记录和所述进程信息分类存储，并生成报告信息下载到各所述客户端，所述报告信息包括所述进程在其他客户端所追踪到的操作记录。

2.根据权利要求1所述的操作记录追踪系统，其特征在于，所述客户端包括追踪模块、哈希值计算模块和上传模块；

所述追踪模块，用于获取至少一所述进程的操作记录及进程信息；所述哈希值计算模块，用于计算各所述进程的哈希值；所述上传模块，用于将所述哈希值及其对应的操作记录及进程信息上传到所述服务器端；

所述服务器端包括分类存储模块和分享模块；所述分类存储模块，用于根据各所述进程的哈希值，将其对应的所述操作记录和所述进程信息存储到所述服务器端；所述分享模块，用于根据存储在所述服务器端的各所述进程的所述操作记录和所述进程信息生成所述报告信息，下载到各所述客户端。

3.根据权利要求1或2所述的操作记录追踪系统，其特征在于，所述客户端还包括报告模块，所述报告模块用于根据所述报告信息进行报告。 

4.根据权利要求2所述的操作记录追踪系统，其特征在于，所述客户端还包括征询意见模块，所述征询意见模块与所述追踪模块连接，用于就追踪模块是否开始追踪征询所述客户端的指令，若得到所述客户端的肯定回答，则追踪模块就立即开始追踪。

5.根据权利要求2所述的操作记录追踪系统，其特征在于，所述分享模块包括操作记录查找单元、百分比计算单元、报告信息生成单元和下载单元；所述操作记录查找单元，用于在所述分类存储模块中查找具有相同哈希值的进程，根据其操作记录及进程信息，生成查找结果；所述百分比计算单元，用于根据所述查找结果生成操作记录百分比；所述报告信息生成单元用于根据所述操作记录百分比及所述查找结果生成所述报告信息；所述下载单元用于将所述报告信息下载到各所述客户端；所述操作记录百分比定义为：服务器端所存储的某一进程的操作记录中，实施了某个操作行为的客户端数量占所有拥有此进程的客户端数量的比例。

6.一种多用户协同的操作记录追踪方法，应用于权利要求1至5任一所述的操作记录追踪系统，其特征在于，包括以下步骤：

A1：追踪步骤，用于获取所述客户端所运行的至少一进程的操作记录及进程信息；所述进程信息至少包括该进程所在的客户端信息、进程的文件名、进程的版本号、进程所属公司名、进程文件大小其中之一；

A2：哈希值计算步骤，用于计算所述客户端各进程的哈希值；

A3：上传步骤，用于将各所述哈希值及其对应的操作记录及进程信息上传到所述服务器端；

A4：分类存储步骤，用于根据所述哈希值将其对应的所述操作记录和所述进程信息分类存储；

A5：分享步骤，用于根据所述操作记录和所述进程信息生成报告信息下载给每个所述客户端。

7.根据权利要求6所述的方法，其特征在于，所述步骤A5之后还 执行报告步骤：根据所述报告信息进行报告。

8.根据权利要求6所述的方法，其特征在于，所述步骤A1之前还包括征询意见步骤：用于就是否执行步骤A1征询所述客户端的指令，若得到所述客户端的肯定回答，则开始所述步骤A1。

9.根据权利要求6所述的方法，其特征在于，所述操作记录至少包括文件操作记录、网络连接记录、对注册表的操作记录其中之一。

10.根据权利要求6所述的方法，其特征在于，所述步骤A5具体执行以下步骤：

A51：操作记录查找步骤，用于查找具有相同哈希值的进程，根据其操作记录及进程信息，生成查找结果；

A52：百分比计算步骤，用于根据所述查找结果生成操作记录百分比；所述操作记录百分比定义为：服务器端所存储的某一进程的操作记录中，实施了某个操作行为的客户端数量占所有拥有此进程的客户端数量的比例；

A53：报告信息生成步骤，用于根据所述操作记录百分比及所述查找结果生成报告信息；

A54：下载步骤，用于将所述报告信息下载到各所述客户端进行分享。 

Images