CN102842001B - 一种基于u盘认证的计算机安全信息检测系统及方法 - Google Patents

Abstract

本发明公开了一种基于U盘认证的计算机安全信息检测系统及方法，系统包括数据采集终端和数据分析处理器，数据采集终端包括嵌入式微处理器、SDRAM存储器模块、FLASH存储器模块、串口通信电路模块、USB接口电路模块、网卡、触摸屏驱动电路模块、认证U盘、触摸屏和电源管理模块；方法包括步骤：一、系统参数的初始化，二、数据采集及加密签名，三、数据文件的安全存储和保护，四、数据传输，五、数据分析处理器对其接收到数据进行分析处理，得出分析处理结果并进行存储和显示。本发明设计新颖合理，实现方便，使用操作便捷，数据采集和传输的实时性和准确性高，对计算机的安全监控效率高，使用灵活方便，实用性强，推广应用价值高。

Description

一种基于U盘认证的计算机安全信息检测系统及方法

技术领域

本发明涉及计算机信息安全技术领域，尤其是涉及一种基于U盘认证的计算机安全信息检测系统及方法。

背景技术

现行的计算机安全信息监控检侧主要包括两大类：基于硬件设备的检测和基于网络协议的检测。

基于硬件设备的检测方式主要是通过专用的监控设备与各计算机的监控接口(硬件)连接，对计算机设备的电源、风扇、温度、CPU状态等进行检测，一旦出现某种预定的条件，监控设备进行声、光报警。这种检测方式主要的缺点是：

(1)检测设备和被检测的计算机必须由同一的制造商提供，否则硬件不兼容，而且不同的计算机只能采用不同监控设备；

(2)监控设备和被监控的计算机之间通过专用的线路连接，使得被监控计算机只能在一定的范围内；

(3)监控设备只能对硬件进行监控，无法检测出软件的运行状态，特别是对于多任务的系统，硬件正常不能保证软件的正常；

(4)监控设备必须有人值守。

基于网络协议的检测方式主要是通过网络协议(如 SNMP)对网络中的各计算机或网络设备进行检测，一旦出现某种预定的条件，监控设备进行声、光报警。这种方式也存在不足之处：

(1)网络协议过于复杂和抽象，监控软件基本上由国外提供(如：HP-OpenView),一般的管理人员难于把握，难于发挥很大作用；

(2)一般只用于检测网络本身的状况，如流量、拥塞、误码等，但是，网络正常不能保证应用软件的正常；

(3)许多应用软件并不支持SNMP协议，因此无法发现这些应用软件的故障；

(4)监控软件产生海量的监测数据，对数据的处理困难；

(5)监控设备必须有人值守。

发明内容

本发明所要解决的技术问题在于针对上述现有技术中的不足，提供一种设计新颖合理、实现及使用操作方便、对计算机的安全监控效率高、便于实现无人值守的基于U盘认证的计算机安全信息检测系统。

为解决上述技术问题，本发明采用的技术方案是：一种基于U盘认证的计算机安全信息检测系统，其特征在于：包括用于对被检测计算机的安全信息数据进行采集和传送的数据采集终端以及用于接收数据采集终端所采集到的数据并进行分析处理的数据分析处理器，所述数据采集终端和被检测计算机的数量均为一个或多个，所述数据采集终端包括嵌入式微处理器，与嵌入式微处理器相接的SDRAM存储器模块、FLASH存储器模块、串口通信电路模块、USB接口电路模块、网卡和触摸屏驱动电路模块，以及与USB接口电路模块相接的认证U盘、与触摸屏驱动电路模块相接的触摸屏和为数据采集终端中各用电模块供电的电源管理模块，所述嵌入式微处理器的输入端接有用于为嵌入式微处理器提供实时时钟信号的CPU时钟模块，所述USB接口电路模块的输入端接有用于为USB接口电路模块提供实时时钟信号的USB时钟模块，所述嵌入式微处理器通过串口通信电路模块与被检测计算机相接并通信，所述嵌入式微处理器通过网卡和Internet网络与数据分析处理器相接并通信。

上述的一种基于U盘认证的计算机安全信息检测系统，其特征在于：所述数据分析处理器为计算机或WEB服务器。

上述的一种基于U盘认证的计算机安全信息检测系统，其特征在于：所述嵌入式微处理器为芯片S3C6410。

上述的一种基于U盘认证的计算机安全信息检测系统，其特征在于：所述网卡为芯片DM9000。

上述的一种基于U盘认证的计算机安全信息检测系统，其特征在于：所述触摸屏为3.2寸真彩TFT触摸屏。

上述的一种基于U盘认证的计算机安全信息检测系统，其特征在于：所述电源管理模块为芯片S3C2440。

本发明还提供了一种数据传输安全可靠、数据处理速度快、实时性高、使用操作简便的基于U盘认证的计算机安全信息检测方法，其特征在于该方法包括以下步骤：

步骤一、系统参数的初始化，其初始化过程如下：

步骤101、数据采集终端参数初始化：通过嵌入式微处理器读取存储在SDRAM存储器模块中的初始化参数文件，对数据采集终端参数进行初始化；

当所述数据采集终端是首次使用时，还需首先通过触摸屏设置初始化参数，嵌入式微处理器通过触摸屏驱动电路模块接收通过触摸屏设置的初始化参数并生成相应的初始化参数文件存储到SDRAM存储器模块中，然后再执行上述步骤101；其中，初始化参数文件包括数据分析处理器的IP地址和端口，对被检测计算机安全数据进行采集的采集时间间隔、采集数据类型、采集文件大小范围和采集文件分割阈值，以及数据采集终端与被检测计算机间的通信方式；

步骤102、认证U盘的注册：将认证U盘连接在USB接口电路模块上，通过触摸屏设定用户名并通过触摸屏驱动电路模块输出给嵌入式微处理器，同时，嵌入式微处理器通过USB接口电路模块和API函数获得认证U盘的硬件序列号，然后，嵌入式微处理器将认证U盘的用户名和硬件号一起存储到FLASH存储器模块中；

步骤103、建立数据采集终端与数据分析处理器间的数据安全传输通道；

步骤104、当所述数据采集终端或认证U盘是首次使用时，所述嵌入式微处理器将存储在SDRAM存储器模块中的初始化参数以及存储在FLASH存储器模块中的认证U盘的用户名和硬件号通过步骤103中建立的数据安全传输通道传输给数据分析处理器，数据分析处理器对其接收到的数据进行保存备案，同时，所述数据分析处理器对其接收到得数据进行分析处理，得到RSA数字签名算法的公钥并保存；

步骤二、通过数据分析处理器发送进行数据采集的控制指令，当数据采集终端接收到数据分析处理器所发送的进行数据采集的控制指令时，所述数据采集终端中的嵌入式微处理器通过串口通信电路模块对被检测计算机硬件层、应用层、系统层、网络层四个层次中的数据进行数据采集及加密签名，其进行数据采集及加密签名的过程如下：

步骤201、当被检测计算机中有第一条新数据产生时，所述嵌入式微处理器立即通过串口通信电路模块对被检测计算机所产生的第一条新数据进行完全拷贝，并调用数据格式转化模块将第一条新数据转化为XML格式；

步骤202、所述嵌入式微处理器读取存储在FLASH存储器模块中的认证U盘的硬件号作为私钥，并调用私钥加密模块对步骤201中转化为XML格式的第一条新数据数据进行加密；

步骤203、所述嵌入式微处理器调用数字签名生成模块，并按照RSA数字签名算法对步骤202中加密后的第一条新数据连同第一条新数据产生时刻的时间戳一起进行加密，生成第一条新数据的数字签名；

步骤204、所述嵌入式微处理器将步骤202中加密后的第一条新数据、步骤203中生成的第一条新数据的数字签名、第一条新数据的编号和第一条新数据产生时刻的时间戳一并通过USB接口电路模块存储到认证U盘中；

步骤205、当被检测计算机中有第二条新数据产生时，首先，所述嵌入式微处理器重复进行步骤201至步骤204的处理过程，将加密后的第二条数据、第二条新数据的数字签名、第二条新数据的编号和第二条新数据产生时刻的时间戳一并通过USB接口电路模块存储到认证U盘中；然后，所述嵌入式微处理器调用数据顺序签名生成模块，并按照SHA-1摘要算法对加密后的第二条数据、第二条新数据的数字签名、第二条新数据的编号、第二条新数据产生时刻的时间戳和第一条新数据的数字签名一起进行摘要，生成数据顺序签名并通过USB接口电路模块存储到认证U盘中；

步骤206、所述嵌入式微处理器重复进行步骤201至步骤205的处理过程，直至所有的新数据均已进行了加密、数字签名和数据顺序签名，然后将处理得到的各个数据文件通过USB接口电路模块存储到认证U盘中；

步骤207、所述嵌入式微处理器对步骤206中生成的各个数据文件进行命名，记录各个数据文件所对应的被检测计算机的编号、数据类型、采集时间和存储路径，将上述这些信息进行列表记录、构成一个包含了多个文件记录的原始数据列表并通过USB接口电路模块存储到认证U盘中；

步骤三、所述数据采集终端对其采集到的数据文件进行安全存储和保护，并在获取到新证据文件时向数据分析处理器进行通报，其具体过程如下：

步骤301、所述嵌入式微处理器从原始数据列表中读取一个待获取的文件记录；

步骤302、所述嵌入式微处理器从待获取的文件记录中读取各个数据文件的存储路径并按此存储路径查找待获取数据文件；

步骤303、当找到待获取数据文件时，判断待获取数据文件的大小并与采集文件分割阈值进行比较，当待获取数据文件的大小小于采集文件分割阈值时，所述嵌入式微处理器先调用文件加密模块并按照DES加密方法对待获取数据文件进行加密，然后所述嵌入式微处理器调用文件压缩模块对加密后的文件进行压缩；当待获取数据文件的大小大于采集文件分割阈值时，所述嵌入式微处理器首先按采集文件分割阈值将待获取数据文件分割成多个碎片文件，然后所述嵌入式微处理器调用文件加密模块并按照DES加密方法对各个碎片文件进行加密，最后所述嵌入式微处理器模块调用文件压缩模块对加密后的各个碎片文件进行压缩；反之，当从待获取的文件记录中读取不到数据文件的存储路径或者经查找找不到待获取数据文件时，返回步骤301，继续从原始数据列表中读取下一个待获取的文件记录；

步骤304、所述嵌入式微处理器对加密、压缩后的待获取数据文件进行命名，生成对加密、压缩后的待获取数据文件进行存储的存储文件名；

步骤305、所述嵌入式微处理器在认证U盘中选择出加密、压缩后的待获取数据文件将要存储的存储目录，将存储目录存储到一个Hash表中，并保存在SDRAM存储器模块中；

步骤306、所述嵌入式微处理器根据步骤304中生成的存储文件名并通过Hash函数从Hash表中选择出存储加密、压缩后的待获取数据文件的存储目录，且将加密、压缩后的待获取数据文件存储在所选择出的存储目录下；

步骤307、通过所述嵌入式微处理器判断待获取数据文件是否已全部处理完成并得出判断结果，当待获取数据文件已全部处理完成时，删除未进行加密和压缩处理前的待获取数据文件，并判断是否全部文件记录已处理完成，当全部文件记录已处理完成时，所述嵌入式微处理器生成已获取到新证据文件的信号并判断此时步骤103中建立的数据安全传输通道线程是否正在运行，当数据安全传输通道线程未在运行时，所述嵌入式微处理器启动数据安全传输通道线程并将已获取到新证据文件的信号通过数据安全传输通道传输给数据分析处理器，当数据安全传输通道线程正在运行时，所述嵌入式微处理器直接将已获取到新证据文件的信号通过数据安全传输通道传输给数据分析处理器；当待获取数据文件尚未全部处理完成时，返回步骤303，继续对待获取数据文件进行加密和压缩；当全部文件记录尚未处理完成时，返回步骤301，继续从原始数据列表中读取待获取的文件记录；

步骤四、被检测计算机的安全信息数据从数据采集终端到数据分析处理器的传输，有两种传输方式，分别如下：

第一种传输方式：所述数据采集终端通过步骤103中建立的数据安全传输通向数据分析处理器发送存储在认证U盘中的被检测计算机的安全信息数据，所述数据分析处理器接收数据采集终端所发送的被检测计算机的安全信息数据，其具体过程如下：

步骤4011、所述数据采集终端请求连接所述数据分析处理器，当连接不成功时，清理释放网络资源；

步骤4012、当连接成功时，所述数据采集终端中的嵌入式微处理器读取存储在FLASH存储器模块中的认证U盘的用户名和硬件号并通过步骤103中建立的数据安全传输通道传输给数据分析处理器，所述数据分析处理器将其接收到的认证U盘的用户名和硬件号与其保存备案的认证U盘的用户名和硬件号进行比对，判断所述认证U盘是否注册过，进而对所述数据采集终端进行身份认证，当判断出所述认证U盘尚未注册过时，即身份认证没有通过时，清理释放网络资源；

步骤4013、当判断出所述认证U盘已注册过时，即身份认证通过时，所述数据采集终端通过步骤103中建立的数据安全传输通将存储在认证U盘中的被检测计算机的安全信息数据发送给数据分析处理器，同时，所述数据采集终端通过步骤103中建立的数据安全传输通将存储在认证U盘中的原始数据列表发送给数据分析处理器，所述数据分析处理器根据其接收到的原始数据列表接收被检测计算机的安全信息数据；

步骤4014、所述数据分析处理器利用U盘的硬件序列号作为解密密钥，解密其接收到的每一条数据，并利用步骤104中得到的RSA数字签名算法的公钥对其接收到的每一条数据的数字签名进行验证，当解密和数字签名验证成功时存储该条数据，当解密和数字签名不成功时，删除该条数据；

步骤4015、所述数据分析处理器调用数据顺序签名生成模块，并按照SHA-1摘要算法的方法对其当前接收到的本条数据、本条数据的数字签名、本条数据的编号、本条数据产生时刻的时间戳和上条数据的数字签名一起进行摘要，生成数据顺序签名并与步骤205中生成并存储到认证U盘中的数据顺序签名进行对比，当两个数据顺序签名不相同时，提醒系统有数据被删除，然后，所述数据分析处理器记录认证U盘的用户名和硬件号，当两个数据顺序签名相同时，说明验证成功；

步骤4016、所述数据分析处理器根据步骤403中接收到的原始数据列表判断是否所有数据均已处理完毕，当所有数据还没有处理完毕时，所述数据采集终端定时通过步骤103中建立的数据安全传输通向数据分析处理器发送一个心跳包，同时，所述数据分析处理器定时通过步骤103中建立的数据安全传输通向数据采集终端发送一个心跳包，以互相确定对方存活；反之，当所有数据均已处理完毕时，所述数据分析处理器通过步骤103中建立的数据安全传输通向数据采集终端发送一个含有保持连接或断开连接控制命令的心跳包，所述数据采集终端根据其接受到的心跳包中含有的控制命令，执行相应的动作，当心跳包中含有的控制命令是保持连接时，继续保持连接，当心跳包中含有的控制命令是断开连接时，清理释放网络资源；

第二种传输方式：将所述数据采集终端上的认证U盘取下并连接到数据分析处理器上，所述数据分析处理器直接读取存储在所述认证U盘中的被检测计算机的安全信息数据，其具体过程如下：

步骤4021、所述数据分析处理器读取认证U盘的用户名和硬件号并与其保存备案的认证U盘的用户名和硬件号进行比对，判断所述认证U盘是否注册过，当判断出所述认证U盘尚未注册过时，不进行任何操作，当判断出所述认证U盘已注册过时，所述数据分析处理器读取存储在认证U盘中的被检测计算机的安全信息数据；

步骤4022、所述数据分析处理器利用U盘的硬件序列号作为解密密钥，解密其接收到的每一条数据，并利用步骤104中得到的RSA数字签名算法的公钥对其接收到的每一条数据的数字签名进行验证，当解密和数字签名验证成功时存储该条数据，当解密和数字签名不成功时，删除该条数据；

步骤4023、所述数据分析处理器调用数据顺序签名生成模块，并按照SHA-1摘要算法对其当前接收到的本条数据、本条数据的数字签名、本条数据的编号、本条数据产生时刻的时间戳和上条数据的数字签名一起进行摘要，生成数据顺序签名并与步骤205中生成并存储到认证U盘中的数据顺序签名进行对比，当两个数据顺序签名不相同时，提醒系统有数据被删除，然后，所述数据分析处理器记录认证U盘的用户名和硬件号，当两个数据顺序签名相同时，说明验证成功；

步骤五、所述数据分析处理器对其接收到的被检测计算机的安全信息数据进行分析处理，得出分析处理结果并进行存储和显示。

上述的方法，其特征在于：所述数据采集终端所采集的被检测计算机的安全信息数据包括：

硬件层数据：包括被检测计算机的主板芯片组序列号、CPU序列号、硬盘序列号和网卡MAC地址；

应用层数据：包括时间段T内的文档历史记录、上网记录、常用应用程序的使用情况；所述常用应用程序包括office和WPS；

系统层数据：包括注册表、用户口令、在时间段T内用户登录与注销的时间、在线时间、失败登录的次数和原因，账户的创建、删除、权限调整情况，用户密码的修改、停用情况，以及被检测计算机在时间段T内的进程情况和用户的命令使用情况；

网络层数据：包括邮件应用协议、ftp应用协议和telnet应用协议，以及源IP的数据流向、域名的数据流向、目的IP的数据流向、协议类型和端口号。

上述的方法，其特征在于：步骤五中所述数据分析处理器对其接收到的被检测计算机的安全信息数据进行分析处理，得出分析处理结果并进行存储和显示的具体过程如下：

步骤501、统计分析：首先，所述数据分析处理器设定统计的数据源，设定关键字段值，所述关键字段值包括涉密词汇、IP地址、时间、用户名和使用的协议；然后，所述数据分析处理器根据所述关键字段值对其接收到的一个或多个数据采集终端所发送的被检测计算机的安全信息数据进行统计分析，且以文本、表格或/和图表的形式得出统计分析结果并存储；

步骤502、对比分析：所述数据分析处理器对其接收到的被检测计算机的安全信息数据进行对比分析处理，根据同一台被检测计算机在不同时间发生的软件、硬件、用户和进程的变化，以及同一局域网内初始状态相同的多台被检测计算机的软件和硬件的变化，判断是否有异常发生；

步骤503、关联分析：所述数据分析处理器对其接收到的被检测计算机的安全信息数据进行关联分析处理，其具体过程如下：

步骤5031、所述数据分析处理器从被检测计算机的安全信息数据中选择出关联分析的数据表；

步骤5032、通过所述数据分析处理器设定进行关联分析的时间间隔△t，并设定进行关联分析的特征属性；

步骤5033、所述数据分析处理器扫描步骤5031中选择出的关联分析的数据表并列出满足步骤5032中所设定的特征属性的相关记录；

步骤5034、所述数据分析处理器判断进行关联分析的时间间隔△t是否需要修改，当时间间隔△t需要修改时，返回步骤5032，继续进行关联分析，反之，当时间间隔△t不需要修改时，所述数据分析处理器对关联分析结果进行显示。

上述的方法，其特征在于：步骤103中建立数据采集终端与数据分析处理器间的数据安全传输通道的具体过程如下：

步骤1031、数据分析处理器数据安全传输通道的建立：所述数据分析处理器首先定义Soeket句柄、Soekaddrin结构体和SSL结构体指针，创建SSL上下文，初始化数据分析处理器端的SSL协议算法，接着加载数据分析处理器证书，设置SSLSocket通信对象，然后指定端口监听数据采集终端的连接请求，等待数据采集终端连接，当有数据采集终端请求连接时，与数据采集终端进行握手，待握手成功之后开始安全通信，直到通信结束；

步骤1032、数据采集终端数据安全传输通道的建立：所述数据采集终端首先定义Soeket句柄、Soekaddrin结构体和SSL结构体指针，创建SSL上下文，初始化数据采集终端端的SSL协议算法，接着加载数据采集终端证书，设置SSLSocket通信对象，然后指定端口监听数据分析处理器的连接请求，等待数据分析处理器连接，当有数据分析处理器请求连接时，与数据分析处理器进行握手，待握手成功之后开始安全通信，直到通信结束。

本发明与现有技术相比具有以下优点：

1、本发明检测系统的电路结构简单，设计合理，实现方便。

2、本发明检测系统的通用性强，不会出现硬件不兼容的问题，能够对所有的计算机进行安全监控，有助于节约计算机安全监控成本，并提高了计算机安全监控效率。

3、本发明数据采集终端与数据分析处理器之间采用网卡和Internet网络进行连接及数据通信，只需将数据采集终端置于被检测计算机处即可实现远程监控，无需通过专用线路连接，不用限制被检测计算机所处的地域，一个数据分析处理器能够远程实现对多个处于任何地域中的被检测计算机的安全监控；而且，本发明数据传输的实时性高，数据分析处理器能够实时地得到采集设备采集到的各类信息，方便调度管理，避免了连线获取数据的烦恼；能够通过数据分析处理器建立网页文件代替传统的人机界面，实现数据采集终端与数据分析处理器之间的信息交互。

4、本发明的使用操作方便，采集过程能够做到即插即采集，对单个被检测计算机的检测时间能够限制到3分钟之内，数据采集和传输的实时性和准确性高，检测结束后不会在被检测计算机上留下任何痕迹；而且在数据采集传输过程中都不需要人的参与，只要采集前设定好参数，一切过程系统自动完成。

5、本发明数据采集终端对其采集到的数据进行了加密、数字签名和数据顺序签名，还在数据传输前进行了安全存储和保护，保证了采集数据的真实性和完整性，能够防止采集数据在传输过程中的泄密，而且，即使数据被窃取或丢失，也不会造成很大影响；另外，如果两个数据文件中间有信息被删除，通过验证数据顺序签名时很容易被发现并告知数据分析处理器。

6、本发明中的数据分析处理器需要对认证U盘进行认证后才能进行数据分析处理，数据采集终端需要插入认证U盘才能进行数据采集，保证了数据源的可靠性；采用了认证U盘加用户名的认证办法，未注册的数据采集终端或无认证U盘的数据采集终端采集的数据，数据分析处理器将不予接受，既保证了认证的可靠性，同时，即使认证U盘丢失，其他人没有用户名也无法通过认证。

7、本发明被检测计算机的安全信息数据从数据采集终端到数据分析处理器的传输有两种传输方式，通过Internet网络直接将数据采集终端中的信息传输给数据分析处理器，或者将数据采集终端上的认证U盘取下并连接到数据分析处理器上进行数据传输，使得在有Internet网络的环境下，能够方便地选择使用其中一种传输方式，而在没有Internet网络的环境下，选择认证U盘传输方式，使用灵活方便，不受条件限制。

8、本发明总体系统采用C/S和B/S架构相结合的设计实现方式，系统升级方便、灵活、快速。

9、本发明的数据分析处理能综合各个认证U盘以及被检测计算机的所有数据进行分析，能发现利用多台计算机进行违规操作的行为。

10、本发明能根据数据分析结果出具相应的分析报告，有利于被检测计算机和被检测计算机群的安全管理审计结果的合理使用、整改和动态检测。

11、本发明的实用性强，能够实现对被检测计算机非常规网络通信行为的检测，分析预警非法通连、窃密等行为，从而保障被检测计算机的安全运行。

综上所述，本发明设计新颖合理，实现方便，使用操作便捷，数据采集和传输的实时性和准确性高，对计算机的安全监控效率高，使用灵活方便，实用性强，推广应用价值高。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为本发明检测系统的电路原理框图。

图2为本发明数据采集终端的电路原理框图。

图3为本发明检测方法的方法流程图。

附图标记说明:

1—被检测计算机；      2—数据采集终端；     2-1—嵌入式微处理器；

2-2—SDRAM存储器模块；    2-3—FLASH存储器模块；

2-4—串口通信电路模块；   2-5—USB接口电路模块；

2-6—网卡；               2-7—触摸屏驱动电路模块；

2-8—认证U盘；         2-9—触摸屏；         2-10—CPU时钟模块；

2-11—USB时钟模块；    2-12—电源管理模块；  3—数据分析处理器；

4—Internet网络。

具体实施方式

如图1和图2所示，本发明所述的基于U盘认证的计算机安全信息检测系统，包括用于对被检测计算机1的安全信息数据进行采集和传送的数据采集终端2以及用于接收数据采集终端2所采集到的数据并进行分析处理的数据分析处理器3，所述数据采集终端2和被检测计算机1的数量均为一个或多个，所述数据采集终端2包括嵌入式微处理器2-1，与嵌入式微处理器2-1相接的SDRAM存储器模块2-2、FLASH存储器模块2-3、串口通信电路模块2-4、USB接口电路模块2-5、网卡2-6和触摸屏驱动电路模块2-7，以及与USB接口电路模块2-5相接的认证U盘2-8、与触摸屏驱动电路模块2-7相接的触摸屏2-9和为数据采集终端2中各用电模块供电的电源管理模块2-12，所述嵌入式微处理器2-1的输入端接有用于为嵌入式微处理器2-1提供实时时钟信号的CPU时钟模块2-10，所述USB接口电路模块2-5的输入端接有用于为USB接口电路模块2-5提供实时时钟信号的USB时钟模块2-11，所述嵌入式微处理器2-1通过串口通信电路模块2-4与被检测计算机1相接并通信，所述嵌入式微处理器2-1通过网卡2-6和Internet网络4与数据分析处理器3相接并通信。

如图1和图2所示，本实施例中，所述数据分析处理器3为计算机或WEB服务器；数据分析处理器3是整个系统的核心，控制和监测分布在各个被检测计算机1处的数据采集终端2，根据工作人员的需要对这些数据采集终端2进行管理和控制。所述嵌入式微处理器2-1为芯片S3C6410；芯片S3C6410是基于16/32位arm11版本内核的低成本、低功耗、高性能微处理器，采用了32位RISC处理器，其主频达667MHz，S3C6410具有丰富的外设接口，包括4通道UART、32通道DMA和I2C总线口等。所述网卡2-6为芯片DM9000；芯片DM9000集成了10M/100M自适应收发器，是一款支持3.3V兼容5V电压的低功耗高性能芯片，该芯片的突出特点是使用灵活，其物理层接口、数据传输模式和工作模式等都能根据需要而动态调整，通过内部寄存器的设置来适应不同的应用环境。支持ISA总线标准，可工作在内存模式和FO模式，集成MAC等。所述触摸屏2-9为3.2寸真彩TFT触摸屏，该触摸屏支持SD卡和DATAFLASH，同时支持16位/8位模式，可以实现显示画面的180度任意旋转使用。所述电源管理模块2-12为芯片S3C2440，芯片S3C2440有许多电源管理方案来针对所给的认为来保持最优的电源消耗，主要有四种模式：NORMAL模式、IDLE模式、SLOW模式和SLEEP模式。

结合图3，本发明所述的基于U盘认证的计算机安全信息检测方法，包括以下步骤：

步骤一、系统参数的初始化，其初始化过程如下：

步骤101、数据采集终端2参数初始化：通过嵌入式微处理器2-1读取存储在SDRAM存储器模块2-2中的初始化参数文件，对数据采集终端2参数进行初始化；

当所述数据采集终端2是首次使用时，还需首先通过触摸屏2-9设置初始化参数，嵌入式微处理器2-1通过触摸屏驱动电路模块2-7接收通过触摸屏2-9设置的初始化参数并生成相应的初始化参数文件存储到SDRAM存储器模块2-2中，然后再执行上述步骤101；其中，初始化参数文件包括数据分析处理器3的IP地址和端口，对被检测计算机1安全数据进行采集的采集时间间隔、采集数据类型、采集文件大小范围和采集文件分割阈值，以及数据采集终端2与被检测计算机1间的通信方式；

步骤102、认证U盘2-8的注册：将认证U盘2-8连接在USB接口电路模块2-5上，通过触摸屏2-9设定用户名并通过触摸屏驱动电路模块2-7输出给嵌入式微处理器2-1，同时，嵌入式微处理器2-1通过USB接口电路模块2-5和API函数获得认证U盘2-8的硬件序列号，然后，嵌入式微处理器2-1将认证U盘2-8的用户名和硬件号一起存储到FLASH存储器模块2-3中；由于不同的采集人员可能公用一个数据采集终端2，但又需要保证采集数据的完整性和可靠性，因此，采用认证U盘2-8认证的方式，使用时，每个采集人员都有一个单独的认证U盘2-8，通过认证U盘2-8加用户名的认证办法，既保证了认证的可靠性，同时，即使认证U盘2-8丢失，其他人没有用户名也无法通过认证。

步骤103、建立数据采集终端2与数据分析处理器3间的数据安全传输通道；

本实施例中，步骤103中建立数据采集终端2与数据分析处理器3间的数据安全传输通道的具体过程如下：

步骤1031、数据分析处理器3数据安全传输通道的建立：所述数据分析处理器3首先定义Soeket句柄、Soekaddrin结构体和SSL结构体指针，创建SSL上下文，初始化数据分析处理器3端的SSL协议算法，接着加载数据分析处理器3证书，设置SSLSocket通信对象，然后指定端口监听数据采集终端2的连接请求，等待数据采集终端2连接，当有数据采集终端2请求连接时，与数据采集终端2进行握手，待握手成功之后开始安全通信，直到通信结束；

步骤1032、数据采集终端2数据安全传输通道的建立：所述数据采集终端2首先定义Soeket句柄、Soekaddrin结构体和SSL结构体指针，创建SSL上下文，初始化数据采集终端2端的SSL协议算法，接着加载数据采集终端2证书，设置SSLSocket通信对象，然后指定端口监听数据分析处理器3的连接请求，等待数据分析处理器3连接，当有数据分析处理器3请求连接时，与数据分析处理器3进行握手，待握手成功之后开始安全通信，直到通信结束；

其中，数据采集终端2作为了客户端，数据分析处理器3作为了服务器；

步骤104、当所述数据采集终端2或认证U盘2-8是首次使用时，所述嵌入式微处理器2-1将存储在SDRAM存储器模块2-2中的初始化参数以及存储在FLASH存储器模块2-3中的认证U盘2-8的用户名和硬件号通过步骤103中建立的数据安全传输通道传输给数据分析处理器3，数据分析处理器3对其接收到的数据进行保存备案，未注册的数据采集终端2或无认证U盘2-8的数据采集终端2采集的数据，数据分析处理器3将不予接受；同时，所述数据分析处理器3对其接收到得数据进行分析处理，得到RSA数字签名算法的公钥并保存；

步骤二、通过数据分析处理器3发送进行数据采集的控制指令，当数据采集终端2接收到数据分析处理器3所发送的进行数据采集的控制指令时，所述数据采集终端2中的嵌入式微处理器2-1通过串口通信电路模块2-4对被检测计算机1硬件层、应用层、系统层、网络层四个层次中的数据进行数据采集及加密签名，其进行数据采集及加密签名的过程如下：

步骤201、当被检测计算机1中有第一条新数据产生时，所述嵌入式微处理器2-1立即通过串口通信电路模块2-4对被检测计算机1所产生的第一条新数据进行完全拷贝，并调用数据格式转化模块将第一条新数据转化为XML格式；

步骤202、所述嵌入式微处理器2-1读取存储在FLASH存储器模块2-3中的认证U盘2-8的硬件号作为私钥，并调用私钥加密模块对步骤201中转化为XML格式的第一条新数据数据进行加密；

步骤203、所述嵌入式微处理器2-1调用数字签名生成模块，并按照RSA数字签名算法对步骤202中加密后的第一条新数据连同第一条新数据产生时刻的时间戳一起进行加密，生成第一条新数据的数字签名；

步骤204、所述嵌入式微处理器2-1将步骤202中加密后的第一条新数据、步骤203中生成的第一条新数据的数字签名、第一条新数据的编号和第一条新数据产生时刻的时间戳一并通过USB接口电路模块2-5存储到认证U盘2-8中；

步骤205、当被检测计算机1中有第二条新数据产生时，首先，所述嵌入式微处理器2-1重复进行步骤201至步骤204的处理过程，将加密后的第二条数据、第二条新数据的数字签名、第二条新数据的编号和第二条新数据产生时刻的时间戳一并通过USB接口电路模块2-5存储到认证U盘2-8中；然后，所述嵌入式微处理器2-1调用数据顺序签名生成模块，并按照SHA-1摘要算法对加密后的第二条数据、第二条新数据的数字签名、第二条新数据的编号、第二条新数据产生时刻的时间戳和第一条新数据的数字签名一起进行摘要，生成数据顺序签名并通过USB接口电路模块2-5存储到认证U盘2-8中；

步骤206、所述嵌入式微处理器2-1重复进行步骤201至步骤205的处理过程，直至所有的新数据均已进行了加密、数字签名和数据顺序签名，然后将处理得到的各个数据文件通过USB接口电路模块2-5存储到认证U盘2-8中；

步骤207、所述嵌入式微处理器2-1对步骤206中生成的各个数据文件进行命名，记录各个数据文件所对应的被检测计算机1的编号、数据类型、采集时间和存储路径，将上述这些信息进行列表记录、构成一个包含了多个文件记录的原始数据列表并通过USB接口电路模块2-5存储到认证U盘2-8中；

步骤二的过程不仅能够保证每个数据文件的完整性，同时如果两个数据文件中间有信息被删除，通过验证数据顺序签名时很容易被发现并告知数据分析处理器3；

本实施例中，所述数据采集终端2所采集的被检测计算机1的安全信息数据包括：

硬件层数据：包括被检测计算机1的主板芯片组序列号、CPU序列号、硬盘序列号和网卡MAC地址；

应用层数据：包括时间段T内的文档历史记录、上网记录、常用应用程序的使用情况；所述常用应用程序包括office和WPS；

系统层数据：包括注册表、用户口令、在时间段T内用户登录与注销的时间、在线时间、失败登录的次数和原因，账户的创建、删除、权限调整情况，用户密码的修改、停用情况，以及被检测计算机1在时间段T内的进程情况和用户的命令使用情况；

网络层数据：包括邮件应用协议、ftp应用协议和telnet应用协议，以及源IP的数据流向、域名的数据流向、目的IP的数据流向、协议类型和端口号；

步骤三、所述数据采集终端2对其采集到的数据文件进行安全存储和保护，并在获取到新证据文件时向数据分析处理器3进行通报，其具体过程如下：

步骤301、所述嵌入式微处理器2-1从原始数据列表中读取一个待获取的文件记录；

步骤302、所述嵌入式微处理器2-1从待获取的文件记录中读取各个数据文件的存储路径并按此存储路径查找待获取数据文件；

步骤303、当找到待获取数据文件时，判断待获取数据文件的大小并与采集文件分割阈值进行比较，当待获取数据文件的大小小于采集文件分割阈值时，所述嵌入式微处理器2-1先调用文件加密模块并按照DES加密方法对待获取数据文件进行加密，然后所述嵌入式微处理器2-1调用文件压缩模块对加密后的文件进行压缩；当待获取数据文件的大小大于采集文件分割阈值时，所述嵌入式微处理器2-1首先按采集文件分割阈值将待获取数据文件分割成多个碎片文件，然后所述嵌入式微处理器2-1调用文件加密模块并按照DES加密方法对各个碎片文件进行加密，最后所述嵌入式微处理器2-1模块调用文件压缩模块对加密后的各个碎片文件进行压缩；反之，当从待获取的文件记录中读取不到数据文件的存储路径或者经查找找不到待获取数据文件时，返回步骤301，继续从原始数据列表中读取下一个待获取的文件记录；

步骤304、所述嵌入式微处理器2-1对加密、压缩后的待获取数据文件进行命名，生成对加密、压缩后的待获取数据文件进行存储的存储文件名；

步骤305、所述嵌入式微处理器2-1在认证U盘2-8中选择出加密、压缩后的待获取数据文件将要存储的存储目录，将存储目录存储到一个Hash表中，并保存在SDRAM存储器模块2-2中；

步骤306、所述嵌入式微处理器2-1根据步骤304中生成的存储文件名并通过Hash函数从Hash表中选择出存储加密、压缩后的待获取数据文件的存储目录，且将加密、压缩后的待获取数据文件存储在所选择出的存储目录下；

步骤307、通过所述嵌入式微处理器2-1判断待获取数据文件是否已全部处理完成并得出判断结果，当待获取数据文件已全部处理完成时，删除未进行加密和压缩处理前的待获取数据文件，并判断是否全部文件记录已处理完成，当全部文件记录已处理完成时，所述嵌入式微处理器2-1生成已获取到新证据文件的信号并判断此时步骤103中建立的数据安全传输通道线程是否正在运行，当数据安全传输通道线程未在运行时，所述嵌入式微处理器2-1启动数据安全传输通道线程并将已获取到新证据文件的信号通过数据安全传输通道传输给数据分析处理器3，当数据安全传输通道线程正在运行时，所述嵌入式微处理器2-1直接将已获取到新证据文件的信号通过数据安全传输通道传输给数据分析处理器3；当待获取数据文件尚未全部处理完成时，返回步骤303，继续对待获取数据文件进行加密和压缩；当全部文件记录尚未处理完成时，返回步骤301，继续从原始数据列表中读取待获取的文件记录；

步骤三的过程能够保证被检测计算机信息的安全，防止了信息的泄密；

步骤四、被检测计算机1的安全信息数据从数据采集终端2到数据分析处理器3的传输，有两种传输方式，分别如下：

第一种传输方式：所述数据采集终端2通过步骤103中建立的数据安全传输通向数据分析处理器3发送存储在认证U盘2-8中的被检测计算机1的安全信息数据，所述数据分析处理器3接收数据采集终端2所发送的被检测计算机1的安全信息数据，其具体过程如下：

步骤4011、所述数据采集终端2请求连接所述数据分析处理器3，当连接不成功时，清理释放网络资源；

步骤4012、当连接成功时，所述数据采集终端2中的嵌入式微处理器2-1读取存储在FLASH存储器模块2-3中的认证U盘2-8的用户名和硬件号并通过步骤103中建立的数据安全传输通道传输给数据分析处理器3，所述数据分析处理器3将其接收到的认证U盘2-8的用户名和硬件号与其保存备案的认证U盘2-8的用户名和硬件号进行比对，判断所述认证U盘2-8是否注册过，进而对所述数据采集终端2进行身份认证，当判断出所述认证U盘2-8尚未注册过时，即身份认证没有通过时，清理释放网络资源；

步骤4013、当判断出所述认证U盘2-8已注册过时，即身份认证通过时，所述数据采集终端2通过步骤103中建立的数据安全传输通将存储在认证U盘2-8中的被检测计算机1的安全信息数据发送给数据分析处理器3，同时，所述数据采集终端2通过步骤103中建立的数据安全传输通将存储在认证U盘2-8中的原始数据列表发送给数据分析处理器3，所述数据分析处理器3根据其接收到的原始数据列表接收被检测计算机1的安全信息数据；

步骤4014、所述数据分析处理器3利用U盘的硬件序列号作为解密密钥，解密其接收到的每一条数据，并利用步骤104中得到的RSA数字签名算法的公钥对其接收到的每一条数据的数字签名进行验证，当解密和数字签名验证成功时存储该条数据，当解密和数字签名不成功时，删除该条数据；

步骤4015、所述数据分析处理器3调用数据顺序签名生成模块，并按照SHA-1摘要算法的方法对其当前接收到的本条数据、本条数据的数字签名、本条数据的编号、本条数据产生时刻的时间戳和上条数据的数字签名一起进行摘要，生成数据顺序签名并与步骤205中生成并存储到认证U盘2-8中的数据顺序签名进行对比，当两个数据顺序签名不相同时，提醒系统有数据被删除，然后，所述数据分析处理器3记录认证U盘2-8的用户名和硬件号，以备管理人员作进一步的处理，当两个数据顺序签名相同时，说明验证成功；

步骤4016、所述数据分析处理器3根据步骤403中接收到的原始数据列表判断是否所有数据均已处理完毕，当所有数据还没有处理完毕时，所述数据采集终端2定时通过步骤103中建立的数据安全传输通向数据分析处理器3发送一个心跳包，同时，所述数据分析处理器3定时通过步骤103中建立的数据安全传输通向数据采集终端2发送一个心跳包，以互相确定对方存活，能够提高网络利用率，同时实现数据分析处理器3对每个数据采集终端2的网络控制功能；反之，当所有数据均已处理完毕时，所述数据分析处理器3通过步骤103中建立的数据安全传输通向数据采集终端2发送一个含有保持连接或断开连接控制命令的心跳包，所述数据采集终端2根据其接受到的心跳包中含有的控制命令，执行相应的动作，当心跳包中含有的控制命令是保持连接时，继续保持连接，当心跳包中含有的控制命令是断开连接时，清理释放网络资源；

第二种传输方式：将所述数据采集终端2上的认证U盘2-8取下并连接到数据分析处理器3上，所述数据分析处理器3直接读取存储在所述认证U盘2-8中的被检测计算机1的安全信息数据，其具体过程如下：

步骤4021、所述数据分析处理器3读取认证U盘2-8的用户名和硬件号并与其保存备案的认证U盘2-8的用户名和硬件号进行比对，判断所述认证U盘2-8是否注册过，当判断出所述认证U盘2-8尚未注册过时，不进行任何操作，当判断出所述认证U盘2-8已注册过时，所述数据分析处理器3读取存储在认证U盘2-8中的被检测计算机1的安全信息数据；

步骤4022、所述数据分析处理器3利用U盘的硬件序列号作为解密密钥，解密其接收到的每一条数据，并利用步骤104中得到的RSA数字签名算法的公钥对其接收到的每一条数据的数字签名进行验证，当解密和数字签名验证成功时存储该条数据，当解密和数字签名不成功时，删除该条数据；

步骤4023、所述数据分析处理器3调用数据顺序签名生成模块，并按照SHA-1摘要算法对其当前接收到的本条数据、本条数据的数字签名、本条数据的编号、本条数据产生时刻的时间戳和上条数据的数字签名一起进行摘要，生成数据顺序签名并与步骤205中生成并存储到认证U盘2-8中的数据顺序签名进行对比，当两个数据顺序签名不相同时，提醒系统有数据被删除，然后，所述数据分析处理器3记录认证U盘2-8的用户名和硬件号，以备管理人员作进一步的处理，当两个数据顺序签名相同时，说明验证成功；

步骤五、所述数据分析处理器3对其接收到的被检测计算机1的安全信息数据进行分析处理，得出分析处理结果并进行存储和显示；

本实施例中，步骤五中所述数据分析处理器3对其接收到的被检测计算机1的安全信息数据进行分析处理，得出分析处理结果并进行存储和显示的具体过程如下：

步骤501、统计分析：首先，所述数据分析处理器3设定统计的数据源，设定关键字段值，所述关键字段值包括涉密词汇、IP地址、时间、用户名和使用的协议；然后，所述数据分析处理器3根据所述关键字段值对其接收到的一个或多个数据采集终端2所发送的被检测计算机1的安全信息数据进行统计分析，且以文本、表格或/和图表的形式得出统计分析结果并存储；这种分析方法解决了不同数据采集终端2所采集到的海量数据无法通过人工逐条判断来进行分析处理得出异常现象的难题，可以帮助建立网络和用户的正常行为规律，还可以实现记录的聚类，缩小分析的范围，检测出异常的信息，为后续的人工详细分析判断做准备；具体实施时，可以根据数据采集终端2所采集到的信息对以下几类与安全事件相关的事件进行统计分析：

(1)统计某台被检测计算机1中在特定的时间段中用户登录与注销的时间、在线时间，失败登录的次数和原因；

(2)统计被检测计算机1在某个时间段用户的登录情况，建立正常用户行为规律，并将统计值和阈值比较，发现异常行为；

(3)统计被检测计算机1系统用户管理情况，如账户的创建、删除、权限调整情况，用户密码的修改、停用等情况；

(4)统计被检测计算机1在特定的时间段中的进程情况，用户的命令使用情况；

(5)统计被检测计算机1网络访问情况；

为了进一步缩小取证分析范围，在统计分析中还可以进行二次统计，即在进行第一次统计分析后的统计结果中，调整关键字段值的范围，重新安装上述的统计分析方法进行统计，使得分析结果更精确；

步骤502、对比分析：所述数据分析处理器3对其接收到的被检测计算机1的安全信息数据进行对比分析处理，根据同一台被检测计算机1在不同时间发生的软件、硬件、用户和进程的变化，以及同一局域网内初始状态相同的多台被检测计算机1的软件和硬件的变化，判断是否有异常发生；具体实施时，可以根据数据采集终端2所采集到的信息对以下几类与安全事件相关的事件进行对比分析：

(1)同一台被检测计算机1不同时间的硬件变化；

(2)同一台被检测计算机1不同时间的软件安装变化；

(3)同一台被检测计算机1不同时间的进程变化；

(4)同一台被检测计算机1不同时间的用户变化；

(5)同一局域网内初始状态相同的多台被检测计算机1的硬件变化；

(6)同一局域网内初始状态相同的多台被检测计算机1的软件变化；

步骤503、关联分析：所述数据分析处理器3对其接收到的被检测计算机1的安全信息数据进行关联分析处理，其具体过程如下：

步骤5031、所述数据分析处理器3从被检测计算机1的安全信息数据中选择出关联分析的数据表；

步骤5032、通过所述数据分析处理器3设定进行关联分析的时间间隔△t，并设定进行关联分析的特征属性；

步骤5033、所述数据分析处理器3扫描步骤5031中选择出的关联分析的数据表并列出满足步骤5032中所设定的特征属性的相关记录；

步骤5034、所述数据分析处理器3判断进行关联分析的时间间隔△t是否需要修改，当时间间隔△t需要修改时，返回步骤5032，继续进行关联分析，反之，当时间间隔△t不需要修改时，所述数据分析处理器3对关联分析结果进行显示。

例如，已个用户登录被检测计算机1系统后创建了一个文件夹，那么在用户登录信息和文件访问信息记录它们的用户名这一属性是完全一致的，所以，可以通过事件的某些特征值来将不同的信息记录关联起来，具体地，根据步骤503中所述的关联分析方法，假定一个事件的某一个阶段Y的所有属性集合表示为Y(attributes)，其中attributes是事件的属性，例如：时间戳、IP地址、端口、用户名等，设△t是预先设定的进行关联分析的时间间隔，h1和h2是两个攻击事件，q是反映攻击事件的属性集，可以根据安全事件begintime、endtime分别是动作的开始时间和结束时间，result、condition分别表示动作的结果和条件，如果q∈Y(h1)，有q∈Y(h2)且(h1.endtime<h2.begintime)∧(h2.begintime-hl.endtime<△t)∧(h1.result＝h2.condition)，那么h2是h1的后续攻击事件，两者是关联的。其中，进行关联分析的时间间隔△t如果设置太大，要比较的数据量将非常庞大，造成运算时间会很长，但是，如果这个时间间隔设得太小，攻击步骤之间的时间间隔超过了它，就会造成漏关联，因此，这个值应该不断调整，从而发现时间的关联。

由于针对被检测计算机1的窃密或者泄密行为不是独立的，而是由一系列的动作组成，这些动作分属于事件系列中的不同阶段，在时间上成序列，早期阶段为后期阶段做准备，后期的状态是前期行为的结果。也就是说同系列事件之间存在着一定的相关性，而这一系列动作必然留下一系列的相关的信息记录，这些记录可能分属于不同的被检测计算机1或同一被检测计算机1的不同的数据，因此，在对数据采集终端2采集的信息进行分析时，不仅要在某个类型数据文件中找出异常的记录项，还要尽可能找出反映相关事件的所有的信息记录，并基于时间链将这些记录组成一个完整的安全动作序列，从而重构不安全事件，数据分析的结果也就更具有说服力。

步骤五利用了信息融合技术是的数据采集终端所采集到的被检测计算机1的安全信息数据能够多次利用，形成了不同的展现方式，挖掘出了数据本身能够表达的更多信息，方便了工作人员进行进一步的人工分析。

综上所述，本发明中的数据分析处理器3是整个系统的核心，控制和监测分布在各个被检测计算机1处的数据采集终端2，根据工作人员的需要对这些数据采集终端2进行管理和控制；数据分析处理器3需要对认证U盘2-8进行认证后才能进行数据分析处理，数据采集终端2需要插入认证U盘2-8才能进行数据采集，保证了数据源的可靠性；数据采集终端2根据数据分析处理器3的数据采集要求，对被检测计算机1安全数据进行采集、加密和存储，并通过Internet网络将信息传送给数据分析处理器3。本发明能够实现对被检测计算机1非常规网络通信行为的检测，分析预警非法通连、窃密等行为，从而保障被检测计算机1的安全运行。

以上所述，仅是本发明的较佳实施例，并非对本发明作任何限制，凡是根据本发明技术实质对以上实施例所作的任何简单修改、变更以及等效结构变化，均仍属于本发明技术方案的保护范围内。

Claims (9)

1.一种基于U盘认证的计算机安全信息检测方法，该方法采用的检测系统包括用于对被检测计算机(1)的安全信息数据进行采集和传送的数据采集终端(2)以及用于接收数据采集终端(2)所采集到的数据并进行分析处理的数据分析处理器(3)，所述数据采集终端(2)和被检测计算机(1)的数量均为一个或多个，所述数据采集终端(2)包括嵌入式微处理器(2-1)，与嵌入式微处理器(2-1)相接的SDRAM存储器模块(2-2)、FLASH存储器模块(2-3)、串口通信电路模块(2-4)、USB接口电路模块(2-5)、网卡(2-6)和触摸屏驱动电路模块(2-7)，以及与USB接口电路模块(2-5)相接的认证U盘(2-8)、与触摸屏驱动电路模块(2-7)相接的触摸屏(2-9)和为数据采集终端(2)中各用电模块供电的电源管理模块(2-12)，所述嵌入式微处理器(2-1)的输入端接有用于为嵌入式微处理器(2-1)提供实时时钟信号的CPU时钟模块(2-10)，所述USB接口电路模块(2-5)的输入端接有用于为USB接口电路模块(2-5)提供实时时钟信号的USB时钟模块(2-11)，所述嵌入式微处理器(2-1)通过串口通信电路模块(2-4)与被检测计算机(1)相接并通信，所述嵌入式微处理器(2-1)通过网卡(2-6)和Internet网络(4)与数据分析处理器(3)相接并通信；其特征在于该方法包括以下步骤：

步骤一、系统参数的初始化，其初始化过程如下：

步骤101、数据采集终端(2)参数初始化：通过嵌入式微处理器(2-1)读取存储在SDRAM存储器模块(2-2)中的初始化参数文件，对数据采集终端(2)参数进行初始化；

当所述数据采集终端(2)是首次使用时，还需首先通过触摸屏(2-9)设置初始化参数，嵌入式微处理器(2-1)通过触摸屏驱动电路模块(2-7)接收通过触摸屏(2-9)设置的初始化参数并生成相应的初始化参数文件存储到SDRAM存储器模块(2-2)中，然后再执行上述步骤101；其中，初始化参数文件包括数据分析处理器(3)的IP地址和端口，对被检测计算机(1)安全数据进行采集的采集时间间隔、采集数据类型、采集文件大小范围和采集文件分割阈值，以及数据采集终端(2)与被检测计算机(1)间的通信方式；

步骤102、认证U盘(2-8)的注册：将认证U盘(2-8)连接在USB接口电路模块(2-5)上，通过触摸屏(2-9)设定用户名并通过触摸屏驱动电路模块(2-7)输出给嵌入式微处理器(2-1)，同时，嵌入式微处理器(2-1)通过USB接口电路模块(2-5)和API函数获得认证U盘(2-8)的硬件序列号，然后，嵌入式微处理器(2-1)将认证U盘(2-8)的用户名和硬件号一起存储到FLASH存储器模块(2-3)中；

步骤103、建立数据采集终端(2)与数据分析处理器(3)间的数据安全传输通道；

步骤104、当所述数据采集终端(2)或认证U盘(2-8)是首次使用时，所述嵌入式微处理器(2-1)将存储在SDRAM存储器模块(2-2)中的初始化参数以及存储在FLASH存储器模块(2-3)中的认证U盘(2-8)的用户名和硬件号通过步骤103中建立的数据安全传输通道传输给数据分析处理器(3)，数据分析处理器(3)对其接收到的数据进行保存备案，同时，所述数据分析处理器(3)对其接收到得数据进行分析处理，得到RSA数字签名算法的公钥并保存；

步骤二、通过数据分析处理器(3)发送进行数据采集的控制指令，当数据采集终端(2)接收到数据分析处理器(3)所发送的进行数据采集的控制指令时，所述数据采集终端(2)中的嵌入式微处理器(2-1)通过串口通信电路模块(2-4)对被检测计算机(1)硬件层、应用层、系统层、网络层四个层次中的数据进行数据采集及加密签名，其进行数据采集及加密签名的过程如下：

步骤201、当被检测计算机(1)中有第一条新数据产生时，所述嵌入式微处理器(2-1)立即通过串口通信电路模块(2-4)对被检测计算机(1)所产生的第一条新数据进行完全拷贝，并调用数据格式转化模块将第一条新数据转化为XML格式；

步骤202、所述嵌入式微处理器(2-1)读取存储在FLASH存储器模块(2-3)中的认证U盘(2-8)的硬件号作为私钥，并调用私钥加密模块对步骤201中转化为XML格式的第一条新数据数据进行加密；

步骤203、所述嵌入式微处理器(2-1)调用数字签名生成模块，并按照RSA数字签名算法对步骤202中加密后的第一条新数据连同第一条新数据产生时刻的时间戳一起进行加密，生成第一条新数据的数字签名；

步骤204、所述嵌入式微处理器(2-1)将步骤202中加密后的第一条新数据、步骤203中生成的第一条新数据的数字签名、第一条新数据的编号和第一条新数据产生时刻的时间戳一并通过USB接口电路模块(2-5)存储到认证U盘(2-8)中；

步骤205、当被检测计算机(1)中有第二条新数据产生时，首先，所述嵌入式微处理器(2-1)重复进行步骤201至步骤204的处理过程，将加密后的第二条数据、第二条新数据的数字签名、第二条新数据的编号和第二条新数据产生时刻的时间戳一并通过USB接口电路模块(2-5)存储到认证U盘(2-8)中；然后，所述嵌入式微处理器(2-1)调用数据顺序签名生成模块，并按照SHA-1摘要算法对加密后的第二条数据、第二条新数据的数字签名、第二条新数据的编号、第二条新数据产生时刻的时间戳和第一条新数据的数字签名一起进行摘要，生成数据顺序签名并通过USB接口电路模块(2-5)存储到认证U盘(2-8)中；

步骤206、所述嵌入式微处理器(2-1)重复进行步骤201至步骤205的处理过程，直至所有的新数据均已进行了加密、数字签名和数据顺序签名，然后将处理得到的各个数据文件通过USB接口电路模块(2-5)存储到认证U盘(2-8)中；

步骤207、所述嵌入式微处理器(2-1)对步骤206中生成的各个数据文件进行命名，记录各个数据文件所对应的被检测计算机(1)的编号、数据类型、采集时间和存储路径，将上述这些信息进行列表记录、构成一个包含了多个文件记录的原始数据列表并通过USB接口电路模块(2-5)存储到认证U盘(2-8)中；

步骤三、所述数据采集终端(2)对其采集到的数据文件进行安全存储和保护，并在获取到新证据文件时向数据分析处理器(3)进行通报，其具体过程如下：

步骤301、所述嵌入式微处理器(2-1)从原始数据列表中读取一个待获取的文件记录；

步骤302、所述嵌入式微处理器(2-1)从待获取的文件记录中读取各个数据文件的存储路径并按此存储路径查找待获取数据文件；

步骤303、当找到待获取数据文件时，判断待获取数据文件的大小并与采集文件分割阈值进行比较，当待获取数据文件的大小小于采集文件分割阈值时，所述嵌入式微处理器(2-1)先调用文件加密模块并按照DES加密方法对待获取数据文件进行加密，然后所述嵌入式微处理器(2-1)调用文件压缩模块对加密后的文件进行压缩；当待获取数据文件的大小大于采集文件分割阈值时，所述嵌入式微处理器(2-1)首先按采集文件分割阈值将待获取数据文件分割成多个碎片文件，然后所述嵌入式微处理器(2-1)调用文件加密模块并按照DES加密方法对各个碎片文件进行加密，最后所述嵌入式微处理器(2-1)模块调用文件压缩模块对加密后的各个碎片文件进行压缩；反之，当从待获取的文件记录中读取不到数据文件的存储路径或者经查找找不到待获取数据文件时，返回步骤301，继续从原始数据列表中读取下一个待获取的文件记录；

步骤304、所述嵌入式微处理器(2-1)对加密、压缩后的待获取数据文件进行命名，生成对加密、压缩后的待获取数据文件进行存储的存储文件名；

步骤305、所述嵌入式微处理器(2-1)在认证U盘(2-8)中选择出加密、压缩后的待获取数据文件将要存储的存储目录，将存储目录存储到一个Hash表中，并保存在SDRAM存储器模块(2-2)中；

步骤306、所述嵌入式微处理器(2-1)根据步骤304中生成的存储文件名并通过Hash函数从Hash表中选择出存储加密、压缩后的待获取数据文件的存储目录，且将加密、压缩后的待获取数据文件存储在所选择出的存储目录下；

步骤307、通过所述嵌入式微处理器(2-1)判断待获取数据文件是否已全部处理完成并得出判断结果，当待获取数据文件已全部处理完成时，删除未进行加密和压缩处理前的待获取数据文件，并判断是否全部文件记录已处理完成，当全部文件记录已处理完成时，所述嵌入式微处理器(2-1)生成已获取到新证据文件的信号并判断此时步骤103中建立的数据安全传输通道线程是否正在运行，当数据安全传输通道线程未在运行时，所述嵌入式微处理器(2-1)启动数据安全传输通道线程并将已获取到新证据文件的信号通过数据安全传输通道传输给数据分析处理器(3)，当数据安全传输通道线程正在运行时，所述嵌入式微处理器(2-1)直接将已获取到新证据文件的信号通过数据安全传输通道传输给数据分析处理器(3)；当待获取数据文件尚未全部处理完成时，返回步骤303，继续对待获取数据文件进行加密和压缩；当全部文件记录尚未处理完成时，返回步骤301，继续从原始数据列表中读取待获取的文件记录；

步骤四、被检测计算机(1)的安全信息数据从数据采集终端(2)到数据分析处理器(3)的传输，有两种传输方式，分别如下：

第一种传输方式：所述数据采集终端(2)通过步骤103中建立的数据安全传输通向数据分析处理器(3)发送存储在认证U盘(2-8)中的被检测计算机(1)的安全信息数据，所述数据分析处理器(3)接收数据采集终端(2)所发送的被检测计算机(1)的安全信息数据，其具体过程如下：

步骤4011、所述数据采集终端(2)请求连接所述数据分析处理器(3)，当连接不成功时，清理释放网络资源；

步骤4012、当连接成功时，所述数据采集终端(2)中的嵌入式微处理器(2-1)读取存储在FLASH存储器模块(2-3)中的认证U盘(2-8)的用户名和硬件号并通过步骤103中建立的数据安全传输通道传输给数据分析处理器(3)，所述数据分析处理器(3)将其接收到的认证U盘(2-8)的用户名和硬件号与其保存备案的认证U盘(2-8)的用户名和硬件号进行比对，判断所述认证U盘(2-8)是否注册过，进而对所述数据采集终端(2)进行身份认证，当判断出所述认证U盘(2-8)尚未注册过时，即身份认证没有通过时，清理释放网络资源；

步骤4013、当判断出所述认证U盘(2-8)已注册过时，即身份认证通过时，所述数据采集终端(2)通过步骤103中建立的数据安全传输通将存储在认证U盘(2-8)中的被检测计算机(1)的安全信息数据发送给数据分析处理器(3)，同时，所述数据采集终端(2)通过步骤103中建立的数据安全传输通将存储在认证U盘(2-8)中的原始数据列表发送给数据分析处理器(3)，所述数据分析处理器(3)根据其接收到的原始数据列表接收被检测计算机(1)的安全信息数据；

步骤4014、所述数据分析处理器(3)利用U盘的硬件序列号作为解密密钥，解密其接收到的每一条数据，并利用步骤104中得到的RSA数字签名算法的公钥对其接收到的每一条数据的数字签名进行验证，当解密和数字签名验证成功时存储该条数据，当解密和数字签名不成功时，删除该条数据；

步骤4015、所述数据分析处理器(3)调用数据顺序签名生成模块，并按照SHA-1摘要算法的方法对其当前接收到的本条数据、本条数据的数字签名、本条数据的编号、本条数据产生时刻的时间戳和上条数据的数字签名一起进行摘要，生成数据顺序签名并与步骤205中生成并存储到认证U盘(2-8)中的数据顺序签名进行对比，当两个数据顺序签名不相同时，提醒系统有数据被删除，然后，所述数据分析处理器(3)记录认证U盘(2-8)的用户名和硬件号，当两个数据顺序签名相同时，说明验证成功；

步骤4016、所述数据分析处理器(3)根据步骤403中接收到的原始数据列表判断是否所有数据均已处理完毕，当所有数据还没有处理完毕时，所述数据采集终端(2)定时通过步骤103中建立的数据安全传输通向数据分析处理器(3)发送一个心跳包，同时，所述数据分析处理器(3)定时通过步骤103中建立的数据安全传输通向数据采集终端(2)发送一个心跳包，以互相确定对方存活；反之，当所有数据均已处理完毕时，所述数据分析处理器(3)通过步骤103中建立的数据安全传输通向数据采集终端(2)发送一个含有保持连接或断开连接控制命令的心跳包，所述数据采集终端(2)根据其接受到的心跳包中含有的控制命令，执行相应的动作，当心跳包中含有的控制命令是保持连接时，继续保持连接，当心跳包中含有的控制命令是断开连接时，清理释放网络资源；

第二种传输方式：将所述数据采集终端(2)上的认证U盘(2-8)取下并连接到数据分析处理器(3)上，所述数据分析处理器(3)直接读取存储在所述认证U盘(2-8)中的被检测计算机(1)的安全信息数据，其具体过程如下：

步骤4021、所述数据分析处理器(3)读取认证U盘(2-8)的用户名和硬件号并与其保存备案的认证U盘(2-8)的用户名和硬件号进行比对，判断所述认证U盘(2-8)是否注册过，当判断出所述认证U盘(2-8)尚未注册过时，不进行任何操作，当判断出所述认证U盘(2-8)已注册过时，所述数据分析处理器(3)读取存储在认证U盘(2-8)中的被检测计算机(1)的安全信息数据；

步骤4022、所述数据分析处理器(3)利用U盘的硬件序列号作为解密密钥，解密其接收到的每一条数据，并利用步骤104中得到的RSA数字签名算法的公钥对其接收到的每一条数据的数字签名进行验证，当解密和数字签名验证成功时存储该条数据，当解密和数字签名不成功时，删除该条数据；

步骤4023、所述数据分析处理器(3)调用数据顺序签名生成模块，并按照SHA-1摘要算法对其当前接收到的本条数据、本条数据的数字签名、本条数据的编号、本条数据产生时刻的时间戳和上条数据的数字签名一起进行摘要，生成数据顺序签名并与步骤205中生成并存储到认证U盘(2-8)中的数据顺序签名进行对比，当两个数据顺序签名不相同时，提醒系统有数据被删除，然后，所述数据分析处理器(3)记录认证U盘(2-8)的用户名和硬件号，当两个数据顺序签名相同时，说明验证成功；

步骤五、所述数据分析处理器(3)对其接收到的被检测计算机(1)的安全信息数据进行分析处理，得出分析处理结果并进行存储和显示。

2.按照权利要求1所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：所述数据分析处理器(3)为计算机或WEB服务器。

3.按照权利要求1所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：所述嵌入式微处理器(2-1)为芯片S3C6410。

4.按照权利要求1所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：所述网卡(2-6)为芯片DM9000。

5.按照权利要求1所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：所述触摸屏(2-9)为3.2寸真彩TFT触摸屏。

6.按照权利要求1所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：所述电源管理模块(2-12)为芯片S3C2440。

7.按照权利要求1所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：所述数据采集终端(2)所采集的被检测计算机(1)的安全信息数据包括：

硬件层数据：包括被检测计算机(1)的主板芯片组序列号、CPU序列号、硬盘序列号和网卡MAC地址；

应用层数据：包括时间段T内的文档历史记录、上网记录、常用应用程序的使用情况；所述常用应用程序包括office和WPS；

系统层数据：包括注册表、用户口令、在时间段T内用户登录与注销的时间、在线时间、失败登录的次数和原因，账户的创建、删除、权限调整情况，用户密码的修改、停用情况，以及被检测计算机(1)在时间段T内的进程情况和用户的命令使用情况；

网络层数据：包括邮件应用协议、ftp应用协议和telnet应用协议，以及源IP的数据流向、域名的数据流向、目的IP的数据流向、协议类型和端口号。

8.按照权利要求7所述的一种基于U盘认证的计算机安全信息检测方法，其特征在于：步骤五中所述数据分析处理器(3)对其接收到的被检测计算机(1)的安全信息数据进行分析处理，得出分析处理结果并进行存储和显示的具体过程如下：

步骤501、统计分析：首先，所述数据分析处理器(3)设定统计的数据源，设定关键字段值，所述关键字段值包括涉密词汇、IP地址、时间、用户名和使用的协议；然后，所述数据分析处理器(3)根据所述关键字段值对其接收到的一个或多个数据采集终端(2)所发送的被检测计算机(1)的安全信息数据进行统计分析，且以文本、表格或/和图表的形式得出统计分析结果并存储；

步骤502、对比分析：所述数据分析处理器(3)对其接收到的被检测计算机(1)的安全信息数据进行对比分析处理，根据同一台被检测计算机(1)在不同时间发生的软件、硬件、用户和进程的变化，以及同一局域网内初始状态相同的多台被检测计算机(1)的软件和硬件的变化，判断是否有异常发生；

步骤503、关联分析：所述数据分析处理器(3)对其接收到的被检测计算机(1)的安全信息数据进行关联分析处理，其具体过程如下：

步骤5031、所述数据分析处理器(3)从被检测计算机(1)的安全信息数据中选择出关联分析的数据表；

步骤5032、通过所述数据分析处理器(3)设定进行关联分析的时间间隔△t，并设定进行关联分析的特征属性；

步骤5033、所述数据分析处理器(3)扫描步骤5031中选择出的关联分析的数据表并列出满足步骤5032中所设定的特征属性的相关记录；

步骤5034、所述数据分析处理器(3)判断进行关联分析的时间间隔△t是否需要修改，当时间间隔△t需要修改时，返回步骤5032，继续进行关联分析，反之，当时间间隔△t不需要修改时，所述数据分析处理器(3)对关联分析结果进行显示。

9.按照权利要求1、7或8所述的方法，其特征在于：步骤103中建立数据采集终端(2)与数据分析处理器(3)间的数据安全传输通道的具体过程如下：

步骤1031、数据分析处理器(3)数据安全传输通道的建立：所述数据分析处理器(3)首先定义Soeket句柄、Soekaddrin结构体和SSL结构体指针，创建SSL上下文，初始化数据分析处理器(3)端的SSL协议算法，接着加载数据分析处理器(3)证书，设置SSLSocket通信对象，然后指定端口监听数据采集终端(2)的连接请求，等待数据采集终端(2)连接，当有数据采集终端(2)请求连接时，与数据采集终端(2)进行握手，待握手成功之后开始安全通信，直到通信结束；

步骤1032、数据采集终端(2)数据安全传输通道的建立：所述数据采集终端(2)首先定义Soeket句柄、Soekaddrin结构体和SSL结构体指针，创建SSL上下文，初始化数据采集终端(2)端的SSL协议算法，接着加载数据采集终端(2)证书，设置SSLSocket通信对象，然后指定端口监听数据分析处理器(3)的连接请求，等待数据分析处理器(3)连接，当有数据分析处理器(3)请求连接时，与数据分析处理器(3)进行握手，待握手成功之后开始安全通信，直到通信结束。