CN104219330B - 一种基于web代理进行录屏审计的方法及系统 - Google Patents

Abstract

本发明提供一种基于WEB代理进行录屏审计的方法及系统，该方法中客户端通过浏览器获取RDP连接信息，并与RDP代理模块建立连接；RDP代理模块通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，显示及操作端部署在客户端；前置机浏览器在访问目标WEB服务器过程中，通过WEB代理服务器与目标WEB服务器通信，由WEB代理服务器转发和保存前置机与目标WEB服务器之间的http数据；审计模块将RDP代理模块保存的图形界面数据，与WEB代理服务器模块保存的http数据关联起来进行录屏审计。本发明方便实现录屏审计且在录屏审计可以结合URL日志，实现更精确的安全审计。

Description

一种基于WEB代理进行录屏审计的方法及系统

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于WEB代理进行录屏审计的方法及系统。

背景技术

WEB代理是指在用户浏览器(客户端)和目标网站(目标WEB服务器)之间部署一种WEB代理服务器，用于转发客户端浏览器到目标WEB服务器及目标WEB服务器到客户端浏览器之间的请求和响应。WEB代理服务器中，可以实现多种功能，比如权限控制、访问的目标WEB服务器文件审计等。

传统的WEB审计方式中，在客户端浏览器设置WEB代理服务器地址，当客户端浏览器访问目标WEB服务器时，发送的请求会首先到达WEB代理服务器，WEB代理服务器再转发客户端的请求。在WEB代理服务器中，则可以记录该请求的URL信息，这样用户所有访问的URL都会被记录，形成WEBURL审计日志文件。

在传统方案中，根据WEB URL审计日志文件，WEB代理的安全审计只能审计到用户访问目标WEB服务器的文件，该日志文件很难追踪用户操作WEB服务器的具体过程，也不能发现一些高危操作具体是谁操作的，比如：删除用户，设置错误的权限等。

有可能目标WEB服务器本身的系统日志会包含一些高危操作的日志，但很难面面俱到，并且很多目标WEB服务器还没有一些高危操作的日志。所以一种能跟踪用户操作，记录高危操作的审计方法是非常迫切需要的。

堡垒机是一种运维安全审计系统，主要的功能是单点登录、帐号管理、资源授权和操作审计。堡垒机通过对常用的运维协议(RDP(Remote DisplayProtocol，远程显示协议)、VNC、HTTP等)采用协议代理的方式，切断了运维人员对服务器的直接访问，所有运维操作都需要经过堡垒机进行。堡垒机将运维人员的操作记录至日志文件中，供审计人员进行安全审计和追责。

堡垒机的功能通常在一个服务器上实现，包括RDP代理模块、前置机、WEB服务器等。

现有技术中堡垒机通过录屏审计可以实现操作审计功能，具体方式如下：

堡垒机的前置机作为浏览器的运行端，用户PC作为浏览器的显示端，RDP代理模块复制和转发用户PC和堡垒机的前置机之间交互的图形数据，将复制的图形数据发送到RDP日志记录模块作为审计日志，然后就可以使用专用的日志播放工具，播放堡垒机的前置机浏览器的所有操作，从而以轻松实现审计日志的录屏功能。录屏日志能够追踪用户的所有操作过程，出现问题时能准确的定位责任人，达到高精确度审计的目的。

但是现有的录屏审计方法具有以下缺点：

1)堡垒机的前置机作为浏览器的运行端，用户PC作为浏览器的显示端，而目前用户使用PC时，浏览器的运行端和显示端均在用户PC上，用户要想实现录屏审计功能，需要手动配置堡垒机的IP和RDP代理模块监听的端口与RDP代理建立连接，而许多用户是不知道这些信息的，因此普通用户一般无法通过PC实现录屏审计功能；

2)堡垒机中的前置机与目标WEB服务器之间采用直接通信方式进行通信，不经过web代理服务器，因此在得到录屏审计日志的同时不能得到URL日志，在查看录屏审计日志时，由于没有URL日志，审计非常耗费时间，需要从头开始看录屏日志，若有多个人同时操作了目标WEB服务器，则每个目标WEB服务器对应的录屏日志都需要看，无法实现将两个日志结合实现更精确的安全审计和追责。

发明内容

本发明提供一种基于WEB代理进行录屏审计的方法及系统，通过登录客户端的浏览器即可实现将浏览器的运行端部署在堡垒机的前置机上，将浏览器的显示及操作端部署在所述客户端，方便实现录屏审计且在录屏审计可以结合URL日志，从而实现更精确的安全审计。

一种基于WEB代理进行录屏审计的方法，包括：

WEB服务器与客户端的浏览器建立连接后，将RDP连接信息发送给客户端的浏览器，由所述客户端根据通过浏览器获取的所述RDP连接信息与RDP代理模块建立连接；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，将浏览器的显示及操作端部署在所述客户端；

前置机在运行浏览器的过程中，通过WEB代理服务器与目标WEB服务器通信，由所述WEB代理服务器转发和保存前置机与目标WEB服务器之间的http数据；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计。

优选地，WEB服务器将RDP连接信息发送给客户端的浏览器之前，还包括：

WEB服务器将包括多个目标WEB服务器的http数据发送给客户端的浏览器进行显示，接收客户端通过浏览器发送的用户选择的目标WEB服务器；

WEB服务器将RDP连接信息发送给客户端的浏览器时，还包括：

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，该前置机IE启动指示信息包括前置机地址、浏览器的路径、目标服务地址的指示信息；

RDP代理模块在与客户端建立连接后，还包括：

RDP代理模块接收客户端发送的前置机IE启动指示信息；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

RDP代理模块根据前置机IE启动指示信息确定前置机地址、浏览器的路径、目标服务地址，根据前置机地址连接前置机，根据浏览器的路径启动前置机中浏览器，根据目标服务地址连接目标WEB服务器。

优选地，WEB服务器接收客户端通过浏览器发送的用户选择的目标WEB服务器之后，还包括：

WEB服务器生成包括前置机地址信息、浏览器的路径信息、目标服务地址信息的表项并存入数据库；

WEB服务器接收所述数据库返回的表项ID；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，包括：WEB服务器将所述表项ID发送给客户端的浏览器；

RDP代理模块接收客户端发送的前置机IE启动指示信息，具体包括：

RDP代理模块接收客户端发送的表项ID；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

RDP代理模块与客户端建立连接后，根据所述表项ID在数据库中查询对应的表项，根据表项中前置机地址信息连接前置机，根据表项中浏览器的路径信息启动前置机中浏览器，根据表项中目标服务地址的信息连接目标WEB服务器。

优选地，WEB服务器将RDP连接信息发送给客户端的浏览器，具体包括：

WEB服务器将RDP连接信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述RDP连接信息写入应用程序mstsc的配置文件，通过java插件启动应用程序mstsc，由mstsc根据所述配置文件中的RDP连接信息与RDP代理模块建立连接；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，具体包括：

WEB服务器将前置机IE启动指示信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述IE启动指示信息写入mstsc的配置文件，由mstsc与RDP代理模块建立连接后，将所述配置文件中的前置机IE启动指示信息发送给RDP代理模块。

优选地，RDP代理模块保存图形界面数据时，记录保存该图像界面数据的时间戳；WEB代理服务器模块保存的http数据时，记录保存该http数据的时间戳；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计，具体包括：

审计模块根据其中一个http数据的时间戳，定位该时间戳之后的图像界面数据进行录屏审计。

本发明还提供一种基于WEB代理进行录屏审计的系统，包括：

WEB服务器，与客户端的浏览器建立连接后，将RDP连接信息发送给客户端的浏览器，由所述客户端根据通过浏览器获取的所述RDP连接信息与RDP代理模块建立连接；

RDP代理模块，在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，将浏览器的显示及操作端部署在所述客户端；

前置机，在运行浏览器的过程中，通过WEB代理服务器与目标WEB服务器通信；

WEB代理服务器，用于转发和保存前置机与目标WEB服务器之间的http数据；

审计模块，将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计。

优选地，WEB服务器将RDP连接信息发送给客户端的浏览器之前，还用于：将包括多个目标WEB服务器的http数据发送给客户端的浏览器进行显示，接收客户端通过浏览器发送的用户选择的目标WEB服务器；

WEB服务器将RDP连接信息发送给客户端的浏览器时，还用于：将前置机IE启动指示信息发送给客户端的浏览器，所述前置机IE启动指示信息包括堡垒机的前置机地址、浏览器的路径、目标服务地址的指示信息；

RDP代理模块在与客户端建立连接后，还用于：接收客户端发送的前置机IE启动指示信息；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：根据前置机IE启动指示信息确定前置机地址、浏览器的路径、目标服务地址，根据前置机地址连接前置机，根据浏览器的路径启动前置机中浏览器，根据目标服务地址连接目标WEB服务器。

优选地，WEB服务器接收客户端通过浏览器发送的用户选择的目标WEB服务器之后，还用于：

生成包括堡垒机的前置机地址信息、浏览器的路径信息、目标服务地址信息的表项并存入数据库，接收所述数据库返回的表项ID；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，包括：WEB服务器将所述表项ID发送给客户端的浏览器；

RDP代理模块接收客户端发送的前置机IE启动指示信息，具体包括：接收客户端发送的表项ID；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

根据所述表项ID在数据库中查询对应的表项，根据表项中前置机地址信息连接前置机，根据表项中浏览器的路径信息启动前置机中浏览器，根据表项中目标服务地址的信息连接目标WEB服务器。

优选地，WEB服务器将RDP连接信息发送给客户端的浏览器，具体包括：

WEB服务器将RDP连接信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述RDP连接信息写入应用程序mstsc的配置文件，通过java插件启动应用程序mstsc，由mstsc根据所述配置文件中的RDP连接信息与RDP代理模块建立连接；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，具体包括：

WEB服务器将前置机IE启动指示信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述IE启动指示信息写入mstsc的配置文件，由mstsc与RDP代理模块建立连接后，将所述配置文件前置机IE启动指示信息发送给RDP代理模块。

优选地，RDP代理模块保存图形界面数据时，还用于记录保存该图像界面数据的时间戳；WEB代理服务器模块保存的http数据时，还用于记录保存该http数据的时间戳；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计，具体包括：

审计模块在进行录屏审计时，根据其中一个http数据的时间戳，定位该时间戳之后的图像界面数据进行录屏审计。

利用本发明提供的基于WEB代理进行录屏审计的方法及系统，具有以下有益效果：

通过登录客户端的浏览器即可实现将浏览器的运行端部署在堡垒机的前置机上，将浏览器的显示及操作端部署在客户端上，方便实现录屏审计且在录屏审计可以结合URL日志，实现了WEB审计的录屏功能，极大地提高了WEB安全审计的力度和审计的效率，可以先看URL日志，可能在哪里出问题，然后再通过URL定位到RDP图形日志；多个人都访问了目标WEB服务器时的审计方法也可以采用先看URL日志，再通过URL定位到图形日志，从安全审计方面来说是一次极大地提高。

附图说明

图1为本发明实施例基于WEB代理进行录屏审计的方法流程图；

图2为发明实施例基于WEB代理进行录屏审计的部署图；

图3为本发明实施例WEB代理服务器转发数据流程图；

图4为本发明实施例RDP图形界面数据转发流程图；

图5为本发明实施例实现基于WEB代理进行录屏审计的方法详细过程示意图；

图6为本发明实施例URL日志同RDP图形日志的对应关系图；

图7为本发明实施例通过URL审计日志定位RDP图形日志的流程图；

图8为本发明实施例基于WEB代理进行录屏审计的系统示意图。

具体实施方式

下面结合附图和实施例对本发明提供的基于WEB代理进行录屏审计的方法及系统进行更详细地说明。

本发明提供一种基于WEB代理进行录屏审计的方法，如图1所示，包括：

步骤101，WEB服务器与客户端的浏览器建立连接后，将RDP连接信息发送给客户端的浏览器，由所述客户端根据通过浏览器获取的所述RDP连接信息与RDP代理模块建立连接；

本发明实施例中WEB服务器中事先配置有RDP连接信息，在用户通过客户端登录到WEB服务器后，WEB服务器会返回RDP连接信息。

具体地，用户可以在客户端启动浏览器，通过URL地址登录WEB服务器。

客户端通过启动浏览器可以获取RDP连接信息，从而客户端可以根据通过浏览器获取的RDP连接信息与RDP代理模块建立连接，不需要手动配置RDP连接信息。

步骤102，RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，将浏览器的显示及操作端部署在所述客户端；

本发明实施例由RDP代理模块启动前置机上的浏览器，不需要操作人员手动启动前置机上的浏览器。

RDP代理模块通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到堡垒机的前置机上，将浏览器的显示及操作端部署在客户端，该过程为现有技术，即浏览器的启动及与目标WEB服务器之间的交互都是由前置机执行的，浏览器启动图形界面及启动后根据用户操作响应的各图形界面都是在客户端上显示的。

浏览器启动对应的图形界面及启动后根据用户操作响应的各图形界面，具体是采用RDP协议通过RDP代理模块转发给客户端进行显示；用户根据显示的图形界面选择执行相应的操作，选择执行操作的相应界面以图形界面数据的形式，由RDP代理模块转发给前置机，从而使前置机浏览器根据用户选择的操作，向目标WEB服务器发送http请求并接收相应的响应，根据接收的响应生成该操作对应的图形界面数据，并采用RDP协议通过RDP代理模块转发给客户端进行显示。

步骤103，前置机在运行浏览器的过程中，通过WEB代理服务器与目标WEB服务器通信，由WEB代理服务器转发和保存前置机与目标WEB服务器之间的http数据；

步骤104，审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计。

本发明实施例通过登录客户端的浏览器即可实现将浏览器的运行端部署在堡垒机的前置机上，将浏览器的显示及操作端部署在客户端上，方便实现录屏审计，前置机浏览器访问目标WEB服务器的所有操作，都会用RDP协议以图像的形式发送给审计模块，审计模块会保存图像数据，结合WEB代理服务器保存的http数据进行审计，实现了WEB审计的录屏功能，极大地提高了WEB安全审计的力度，可以清楚地了解用户的所有操作，从安全审计方面来说是一次极大地提高。

优选地，本发明实施例中的WEB服务器、RDP代理模块、前置机、WEB代理服务器和审计模块均部署在堡垒机中，该堡垒机可以部署在一个服务器上。

当启动前置机上的浏览器之后，录屏审计部署场景如图2所示：

对于客户端，通过堡垒机的RDP代理模块-堡垒机的前置机-堡垒机的WEB代理服务器去访问真实的目标WEB服务器；此时，客户端访问目标WEB服务器的过程中，同堡垒机交互的数据有两种，一种是HTTP的请求和回复数据，一种是RDP的图形界面数据；HTTP的请求和回复数据通过WEB代理服务器进行转发，记录到WEB URL审计日志；RDP的图形界面数据通过RDP代理模块进行转发，记录到RDP图形日志。

WEB代理服务器转发数据流程如图3所示。

堡垒机的前置机浏览器发送HTTP的请求到堡垒机的WEB代理服务器，WEB代理服务器转发来自前置机浏览器的HTTP的请求到目标WEB服务器；目标WEB服务器根据请求内容，回复请求数据到WEB代理服务器中，WEB代理服务器再次转发回复的数据到前置机浏览器，这样就完成了一个完整的HTTP请求。

RDP图形界面数据转发流程如图4所示。

在图4中，堡垒机的前置机相当于服务器；客户端与堡垒机的前置机通过RDP代理模块进行数据通信，RDP代理模块在这里的主要功能是复制和转发客户端和堡垒机的前置机之间交互的图形界面数据；将复制的RDP图形界面数据发送到审计模块构成RDP图形日志，可以使用RDP的专用播放器进行回放，这样便能通过回访操作清楚的了解用户对目标WEB服务器的操作，从而完成录屏审计的功能。

优选地，本发明实施例WEB服务器将RDP连接信息发送给客户端的浏览器之前，还包括：WEB服务器将包括多个目标WEB服务器的http数据发送给客户端的浏览器进行显示，接收客户端通过浏览器发送的用户选择的目标WEB服务器。即用户通过客户端登录到WEB服务器，可以通过WEB服务器返回的包括多个目标WEB服务器的界面，选择想要登录的目标WEB服务器。

WEB服务器将RDP连接信息发送给客户端的浏览器时，还包括：WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，该前置机IE启动指示信息包括前置机地址、浏览器的路径、目标服务地址的指示信息。对于客户端来说，在与RDP代理模块建立连接后，将接收的前置机IE启动指示信息发送给RDP代理模块。

RDP代理模块在与客户端建立连接后，接收客户端发送的前置机IE启动指示信息；根据前置机IE启动指示信息确定前置机地址、浏览器的路径、目标服务地址，根据前置机地址连接前置机，根据浏览器的路径启动前置机中浏览器，根据目标服务地址连接目标WEB服务器。

由于前置机是堡垒机里面的一个虚拟设备，所以RDP代理模块启动前置机的浏览器时，是通过向前置机传递给浏览器的参数来连接到目标WEB服务器。比如要连接到百度，则启动浏览器的参数如：C:\Program Files\Internet Explorer/iexploer.exe http://www.baidu.com，这样前置机浏览器可以根据上述浏览器参数直接连接到目标WEB服务器，实现目标WEB服务器的自动配置。并且前置机的浏览器里面代理服务器在启动的时候就配置好了，前置机上的浏览器的WEB代理服务器是堡垒机上的WEB代理服务器。

下面给出本发明实施例基于WEB代理进行录屏审计的详细过程，如图5所示，包括：

首先通过客户端浏览器启动堡垒机的前置机中的浏览器，具体过程如①②③④⑤⑥所示。

①在客户端上，使用浏览器登录堡垒机的WEB服务器，WEB服务器会返回包括多个目标WEB服务器的界面，用户选择需要访问目标WEB服务器，客户端向堡垒机的WEB服务器返回选择的目标WEB服务器；

②堡垒机的WEB服务器生成包括堡垒机的前置机地址信息、浏览器的路径信息、目标服务地址信息的表项并存入数据库的session表中；

优选地，堡垒机的前置机地址信息具体为前置机的IP和前置机监听的端口，目标服务地址信息具体为目标WEB服务器的域名。

③堡垒机的数据库返回上述表项的ID(SESSION_ID)；

④堡垒机的WEB服务器将RDP连接信息及SESSION_ID发送给客户端的浏览器；

优选地，RDP连接信息包括堡垒机的IP和RDP监听的端口。

堡垒机的WEB服务器将RDP连接信息和SESSION_ID，以java插件参数的形式发送到客户端的浏览器。传递给java插件参数如下面代码所示：

applet参数中，IP表示堡垒机的IP，PORT表示RDP代理模块监听的端口，SESSION_ID表示插入数据库的session表的ID值。

⑤客户端浏览器启动java插件，通过java插件将上述java插件参数写入应用程序mstsc的配置文件SAS-H.rdp；

⑥客户端启动应用程序mstsc，所述应用程序mstsc根据配置文件SAS-H.rdp中的RDP连接信息与堡垒机的RDP代理模块建立连接，并将配置文件SAS-H.rdp中的前置机IE启动指示信息发送给RDP代理模块。

启动方式如下：mstsc/edit SAS-H.rdp。

mstsc在启动的时候会根据SAS-H.rdp文件中的RDP连接信息的内容(堡垒机的IP和RDP代理监听的端口)，使用RDP协议去连接堡垒机的RDP代理模块，并将SAS-H.rdp文件中SESSION_ID的值发送给RDP代理模块，RDP代理模块通过SESSION_ID的值查询数据表session，然后RDP代理模块根据查询的内容(前置机的IP和监听的端口)去连接前置机，并通过浏览器路径信息启动前置机的浏览器，并通过传递参数(目标服务地址的信息)给前置机浏览器来连接到目标WEB服务器。这样在客户端就启动了前置机的浏览器，但客户端仅作为浏览器的显示及操作端。

之后，用户通过客户端显示界面，经RDP代理模块与前置机的浏览器交互图形界面数据，RDP代理模块转发和保存堡垒机的前置机和客户端之间的图形界面数据，堡垒机的前置机在运行浏览器的过程中，通过堡垒机中的WEB代理服务器与目标WEB服务器通信，由WEB代理服务器转发和保存堡垒机的前置机与目标WEB服务器之间的http数据；堡垒机的审计模块根据RDP代理模块保存的图形界面数据，及WEB代理服务器模块保存的http数据进行录屏审计。

优选地，RDP代理模块保存的图形界面数据时，记录保存该图像界面数据的时间戳，形成URL审计日志；WEB代理服务器模块保存的http数据时，记录保存该http数据的时间戳，形成RDP图形日志；堡垒机的审计模块在进行录屏审计时，根据其中一个http数据的时间戳，定位该时间戳之后的图像界面数据进行录屏审计。

由于URL审计日志和RDP图形日志几乎是同时记录的，程序执行时间的误差是很小的，所以可以根据URL审计日志的时间戳，去定点播放RDP图形日志，从而准确定位到某个请求的具体操作。

URL日志同RDP图形日志的对应关系如图6所示。

URL审计日志同RDP图形日志不是一一对应的关系，可能很多的RDP图形之后才会生产一条URL的审计日志，RDP图形日志是远大于URL审计日志的，但是每条URL审计日志的时间戳肯定在某两条RDP日志的时间戳之间或同某条RDP图形的时间戳相同。

通过URL审计日志定位RDP图形日志的流程图如图7所示：

在图7中，用户指定播放的URL，获取用户指定播放的URL的时间戳为T0，然后在RDP图形播放器中，从起始位置开始读取RDP图形数据包，获取第一个数据包的时间戳为T1，然后再读取下一个RDP图形数据包的时间戳为T2，若T0大于或等于T1并且T0小于T2，则从T1对应的RDP图形数据包开始播放图形数据，若不满足，则读取T1对应的RDP图形数据包中的数据到内存，但不绘制，是由于RDP数据包是前后依赖的，不能前面的数据包没有绘制在内存，而直接绘制后面的数据包，然后将文件指针定位到T2的数据包上，并设置T1为T2，然后在循环读取下一个数据包。从而实现URL定位RDP图形日志的功能。

基于同一发明构思，本发明实施例中还提供了一种基于WEB代理进行录屏审计的系统，由于该装置解决问题的原理与一种基于WEB代理进行录屏审计的方法相似，因此该装置的实施可以参见方法的实施，重复之处不再赘述。

一种基于WEB代理进行录屏审计的系统，如图8所示，包括：

WEB服务器801，用于与客户端的浏览器建立连接后，将RDP连接信息发送给客户端的浏览器，由所述客户端根据通过浏览器获取的所述RDP连接信息与RDP代理模块建立连接；

RDP代理模块802，用于在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，将浏览器的显示及操作端部署在所述客户端；

前置机803，用于在运行浏览器的过程中，通过WEB代理服务器与目标WEB服务器通信；

WEB代理服务器804，用于用于转发和保存前置机与目标WEB服务器之间的http数据；

审计模块805，用于将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计。

优选地，本发明实施例中基于WEB代理进行录屏审计的系统为部署在一个服务器上的堡垒机。

优选地，WEB服务器将RDP连接信息发送给客户端的浏览器之前，还用于：将包括多个目标WEB服务器的http数据发送给客户端的浏览器进行显示，接收客户端通过浏览器发送的用户选择的目标WEB服务器；

WEB服务器将RDP连接信息发送给客户端的浏览器时，还用于：将前置机IE启动指示信息发送给客户端的浏览器，所述前置机IE启动指示信息包括堡垒机的前置机地址、浏览器的路径、目标服务地址的指示信息；

RDP代理模块在与客户端建立连接后，还用于：接收客户端发送的前置机IE启动指示信息；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：根据前置机IE启动指示信息确定前置机地址、浏览器的路径、目标服务地址，根据前置机地址连接前置机，根据浏览器的路径启动前置机中浏览器，根据目标服务地址连接目标WEB服务器。

优选地，WEB服务器接收客户端通过浏览器发送的用户选择的目标WEB服务器之后，还用于：

生成包括堡垒机的前置机地址信息、浏览器的路径信息、目标服务地址信息的表项并存入数据库，接收所述数据库返回的表项ID；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，包括：WEB服务器将所述表项ID发送给客户端的浏览器；

RDP代理模块接收客户端发送的前置机IE启动指示信息，具体包括：接收客户端发送的表项ID；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

根据所述表项ID在数据库中查询对应的表项，根据表项中前置机地址信息连接前置机，根据表项中浏览器的路径信息启动前置机中浏览器，根据表项中目标服务地址的信息连接目标WEB服务器。

优选地，WEB服务器将RDP连接信息发送给客户端的浏览器，具体包括：

WEB服务器将RDP连接信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述RDP连接信息写入应用程序mstsc的配置文件，通过java插件启动应用程序mstsc，由mstsc根据所述配置文件中的RDP连接信息与RDP代理模块建立连接；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，具体包括：

WEB服务器将前置机IE启动指示信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述IE启动指示信息写入mstsc的配置文件，由mstsc与RDP代理模块建立连接后，将所述配置文件前置机IE启动指示信息发送给RDP代理模块。

优选地，RDP代理模块保存图形界面数据时，还用于记录保存该图像界面数据的时间戳；WEB代理服务器模块保存的http数据时，还用于记录保存该http数据的时间戳；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器模块保存的http数据关联起来进行录屏审计，具体包括：

审计模块在进行录屏审计时，根据其中一个http数据的时间戳，定位该时间戳之后的图像界面数据进行录屏审计。

通过传统日志可以记录访问的目标WEB服务器的文件，由于访问文件多而杂，很难追踪用户具体的操作流程，不能审计到用户的一些高危操作，比如：删除用户，设置错误的权限等；通过屏幕录制日志，就可以轻松知道是谁进行的危险操作，便于责任追踪。

本发明实施例在WEB代理的部署中，采用了一种全新的WEB代理部署方式，实现了WEB审计的录屏功能，极大地提高了WEB安全审计的力度，可以清楚地了解用户的所有操作，从安全审计方面来说是一次极大地提高。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种基于WEB代理进行录屏审计的方法，其特征在于，包括：

WEB服务器与客户端的浏览器建立连接后，将RDP连接信息发送给客户端的浏览器，由所述客户端根据通过浏览器获取的所述RDP连接信息与RDP代理模块建立连接；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，将浏览器的显示及操作端部署在所述客户端；

前置机在运行浏览器的过程中，通过WEB代理服务器与目标WEB服务器通信，由所述WEB代理服务器转发和保存前置机与目标WEB服务器之间的http数据；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器保存的http数据关联起来进行录屏审计。

2.如权利要求1所述的方法，其特征在于，WEB服务器将RDP连接信息发送给客户端的浏览器之前，还包括：

WEB服务器将包括多个目标WEB服务器的http数据发送给客户端的浏览器进行显示，接收客户端通过浏览器发送的用户选择的目标WEB服务器；

WEB服务器将RDP连接信息发送给客户端的浏览器时，还包括：

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，该前置机IE启动指示信息包括前置机地址、浏览器的路径、目标服务地址的指示信息；

RDP代理模块在与客户端建立连接后，还包括：

RDP代理模块接收客户端发送的前置机IE启动指示信息；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

RDP代理模块根据前置机IE启动指示信息确定前置机地址、浏览器的路径、目标服务地址，根据前置机地址连接前置机，根据浏览器的路径启动前置机中浏览器，根据目标服务地址连接目标WEB服务器。

3.如权利要求2所述的方法，其特征在于，WEB服务器接收客户端通过浏览器发送的用户选择的目标WEB服务器之后，还包括：

WEB服务器生成包括前置机地址信息、浏览器的路径信息、目标服务地址信息的表项并存入数据库；

WEB服务器接收所述数据库返回的表项ID；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，包括：WEB服务器将所述表项ID发送给客户端的浏览器；

RDP代理模块接收客户端发送的前置机IE启动指示信息，具体包括：

RDP代理模块接收客户端发送的表项ID；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

RDP代理模块与客户端建立连接后，根据所述表项ID在数据库中查询对应的表项，根据表项中前置机地址信息连接前置机，根据表项中浏览器的路径信息启动前置机中浏览器，根据表项中目标服务地址信息连接目标WEB服务器。

4.如权利要求2或3所述的方法，其特征在于，WEB服务器将RDP连接信息发送给客户端的浏览器，具体包括：

WEB服务器将RDP连接信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述RDP连接信息写入应用程序mstsc的配置文件，通过java插件启动应用程序mstsc，由mstsc根据所述配置文件中的RDP连接信息与RDP代理模块建立连接；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，具体包括：

WEB服务器将前置机IE启动指示信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述IE启动指示信息写入mstsc的配置文件，由mstsc与RDP代理模块建立连接后，将所述配置文件中的前置机IE启动指示信息发送给RDP代理模块。

5.如权利要求1所述的方法，其特征在于，

RDP代理模块保存图形界面数据时，记录保存该图形界面数据的时间戳；WEB代理服务器保存http数据时，记录保存该http数据的时间戳；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器保存的http数据关联起来进行录屏审计，具体包括：

审计模块根据其中一个http数据的时间戳，定位该时间戳之后的图形界面数据进行录屏审计。

6.一种基于WEB代理进行录屏审计的系统，其特征在于，包括：

WEB服务器，与客户端的浏览器建立连接后，将RDP连接信息发送给客户端的浏览器，由所述客户端根据通过浏览器获取的所述RDP连接信息与RDP代理模块建立连接；

RDP代理模块，在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，通过转发和保存前置机和客户端之间的图形界面数据，实现将浏览器的运行端部署到前置机上，将浏览器的显示及操作端部署在所述客户端；

前置机，在运行浏览器的过程中，通过WEB代理服务器与目标WEB服务器通信；

WEB代理服务器，用于转发和保存前置机与目标WEB服务器之间的http数据；

审计模块，将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器保存的http数据关联起来进行录屏审计。

7.如权利要求6所述的系统，其特征在于，

WEB服务器将RDP连接信息发送给客户端的浏览器之前，还用于：将包括多个目标WEB服务器的http数据发送给客户端的浏览器进行显示，接收客户端通过浏览器发送的用户选择的目标WEB服务器；

WEB服务器将RDP连接信息发送给客户端的浏览器时，还用于：将前置机IE启动指示信息发送给客户端的浏览器，所述前置机IE启动指示信息包括前置机地址、浏览器的路径、目标服务地址的指示信息；

RDP代理模块在与客户端建立连接后，还用于：接收客户端发送的前置机IE启动指示信息；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：根据前置机IE启动指示信息确定前置机地址、浏览器的路径、目标服务地址，根据前置机地址连接前置机，根据浏览器的路径启动前置机中浏览器，根据目标服务地址连接目标WEB服务器。

8.如权利要求7所述的系统，其特征在于，WEB服务器接收客户端通过浏览器发送的用户选择的目标WEB服务器之后，还用于：

生成包括前置机地址信息、浏览器的路径信息、目标服务地址信息的表项并存入数据库，接收所述数据库返回的表项ID；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，包括：WEB服务器将所述表项ID发送给客户端的浏览器；

RDP代理模块接收客户端发送的前置机IE启动指示信息，具体包括：接收客户端发送的表项ID；

RDP代理模块在与客户端建立连接后，与前置机建立连接并启动前置机上的浏览器，具体包括：

根据所述表项ID在数据库中查询对应的表项，根据表项中前置机地址信息连接前置机，根据表项中浏览器的路径信息启动前置机中浏览器，根据表项中目标服务地址信息连接目标WEB服务器。

9.如权利要求7或8所述的系统，其特征在于，WEB服务器将RDP连接信息发送给客户端的浏览器，具体包括：

WEB服务器将RDP连接信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述RDP连接信息写入应用程序mstsc的配置文件，通过java插件启动应用程序mstsc，由mstsc根据所述配置文件中的RDP连接信息与RDP代理模块建立连接；

WEB服务器将前置机IE启动指示信息发送给客户端的浏览器，具体包括：

WEB服务器将前置机IE启动指示信息，以java插件参数的形式发送到客户端的浏览器，由客户端的浏览器启动的java插件将所述IE启动指示信息写入mstsc的配置文件，由mstsc与RDP代理模块建立连接后，将所述配置文件前置机IE启动指示信息发送给RDP代理模块。

10.如权利要求6所述的系统，其特征在于，

RDP代理模块保存图形界面数据时，还用于记录保存该图形界面数据的时间戳；WEB代理服务器保存http数据时，还用于记录保存该http数据的时间戳；

审计模块将所述RDP代理模块保存的图形界面数据，及所述WEB代理服务器保存的http数据关联起来进行录屏审计，具体包括：

审计模块在进行录屏审计时，根据其中一个http数据的时间戳，定位该时间戳之后的图形界面数据进行录屏审计。