CN106445732B - 一种基于版本控制的在线快照管理方法和系统 - Google Patents

一种基于版本控制的在线快照管理方法和系统 Download PDF

Info

Publication number
CN106445732B
CN106445732B CN201610763864.8A CN201610763864A CN106445732B CN 106445732 B CN106445732 B CN 106445732B CN 201610763864 A CN201610763864 A CN 201610763864A CN 106445732 B CN106445732 B CN 106445732B
Authority
CN
China
Prior art keywords
snapshot
virtual machine
request
incremental
generation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201610763864.8A
Other languages
English (en)
Other versions
CN106445732A (zh
Inventor
邹雅毅
张盼
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Attached Middle School Of Huazhong University Of Science And Technology
Huazhong University of Science and Technology
Original Assignee
Attached Middle School Of Huazhong University Of Science And Technology
Huazhong University of Science and Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Attached Middle School Of Huazhong University Of Science And Technology, Huazhong University of Science and Technology filed Critical Attached Middle School Of Huazhong University Of Science And Technology
Priority to CN201610763864.8A priority Critical patent/CN106445732B/zh
Publication of CN106445732A publication Critical patent/CN106445732A/zh
Application granted granted Critical
Publication of CN106445732B publication Critical patent/CN106445732B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1479—Generic software techniques for error detection or fault masking
    • G06F11/1482—Generic software techniques for error detection or fault masking by means of middleware or OS functionality
    • G06F11/1484—Generic software techniques for error detection or fault masking by means of middleware or OS functionality involving virtual machines

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明公开了一种基于版本控制的在线快照管理方法及系统，属于计算机安全领域。本发明基于特定内核事件的增量快照机制能够及时生成增量快照以记录被取证系统的状态信息，设置增量快照容量上限，当快照占用空间超过阀值时，自动将某一时间以前的增量快照和基快照合并成新的基快照，基快照能够通过和增量快照进行合并操作还原到已记录的，任意时间任意地址时的虚拟机内存状态。在对快照进行机器语言到应用语言的翻译，发现系统状态的异常改变。本发明还实现了该方法的系统。本发明独立于被取证系统，使得快照和分析结果具有高可信性，另外基于内核特定事件的增量快照机制实时运行开销小，能有效记录关键事件发生时系统的状态。

Description

一种基于版本控制的在线快照管理方法和系统
技术领域
本发明属于计算机安全领域，更具体地，涉及一种基于版本控制的在线快照管理方法和系统。
背景技术
随着信息技术的飞速发展，网络与信息技术的加速渗透和深度应用以及软件漏洞不断涌现,导致计算机相关的犯罪行为也日益增多，造成了严重的网络安全威胁。美国战略与国际问题研究中心(CSIS)发布的一份报告显示，网络犯罪每年给全球带来大约4450亿美元的经济损失。计算机取证是打击计算机与网络犯罪的关键技术，其目的是将计算机中犯罪者遗留的攻击痕迹提取出，作为有效的诉讼证据提供给法庭，以便将犯罪者绳之以法。计算机取证，经过近15年的发展，取得了巨大的成功。随着虚拟机技术在云计算、系统安全等领域的广泛应用，基于虚拟机的计算机取证得到了迅速的关注与研究。理论上来说，恶意程序最多对操作系统进行攻击，而无法影响到处于更高级别的虚拟机管理器，因此基于虚拟机的取证相对传统的取证方法要可靠些。现有的取证方法主要关注于方法的精准性、可靠性、可用性，关注于某一时间点的系统状态。然而恶意软件的攻击，通常是一个持续的过程，需要通过虚拟机进行多次快照，对整个攻击过程进行记录。另外，云中存在非常多的虚拟机，如何进行快照，不对系统的运行造成影响。最后，如何对快照进行自动化管理，根据取证软件需求提供相应的快照。这些都是非常具有挑战的。因此，迫切的需要一套在线取证分析系统，为虚拟机提供快照管理，快照分析，提供统一的自动化管理。
发明内容
针对现有技术的以上缺陷或改进需求，本发明提供了一种基于版本控制的在线快照管理方法和系统，其目的在于；当被监控虚拟机发送特殊事件时，本发明获取新增脏页并生成增量快照，再合并一定增量快照生成全系统基快照，截取基快照中请求时间、请求地址和请求线程生成请求快照，对快照中的内容进行翻译处理，由此解决对恶意攻击过程全程和降低系统开销记录的技术问题。
为实现上述目的，按照本发明的一个方面，提供了一种基于版本控制的在线快照管理方法，该方法包括以下步骤；
(1)增量快照储存管理：
(11)监控虚拟机的运行状态，当被监控虚拟机发生系统调用或进程切换时，将进程名称、事件原因和事件时间信息存放到固定物理内存区间中，再通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行增量快照处理；
(12)虚拟机管理器(hypervisor)将控制权移交给被监控虚拟机对应的存储例程，存储例程读取虚拟机管理器保存的被监控虚拟机扩展页表指针(EPTP)，遍历其指向的页表，找出新增脏页，然后根据新增脏页的物理页帧生成对应的宿主机虚地址页帧；
(13)从固定物理内存区间中读取进程名称、事件原因和事件时间作为当前提交增量快照的初始元数据，通过对应新增脏页的宿主机虚地址页帧，复制对应新增脏页并存入数据库中，生成增量快照，最后根据数据库容量设置阈值，存储的增量快照容量超出阈值后自动对最早期时间段内的增量快照进行合并操作，并将合并后增量快照作为对应被监控虚拟机的基快照；
(2)请求快照生成分析：
(21)根据请求应用的快照生成请求读取物理内存，若发现内存中有对应快照则对快照信息进行机器语言到应用语言的翻译，并将翻译结果提交给请求应用，结束流程；否则为每个请求应用生成一个前端请求例程；
(22)前端请求例程将快照请求的时间信息和地址范围信息放入一个环形消息队列中，并设定一个时间阀值；当环形队列满或者超时时，通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行快照生成；
(23)虚拟机管理器(hypervisor)为环形队列中的每个快照生成请求初始化一个后端请求例程，后端请求例程首先对相应的快照生成请求按照虚拟机编号A、时间B、地址范围C到D和进程E进行格式化处理；
(24)获取快照生成请求的格式化信息，当前被监控虚拟机A的基快照为F时刻的全系统快照，分析数据库中F时刻到B时刻虚拟机A所有增量快照的元数据，提取出该时间段内新增脏页的物理页帧，找出最接近B时刻的新增脏页对应的增量快照，对数据库中基快照进行修改更新，生成虚拟机A在B时刻的全系统快照K，再截取地址范围C到D的E线程快照内容生成快照存储到物理内存中。
按照本发明的另一方面，提供了一种基于版本控制的在线快照管理系统，该系统包括以下模块；
内核事件通知驱动模块，用于监控虚拟机的运行状态，当被监控虚拟机发生系统调用或进程切换时，将进程名称、事件原因和事件时间信息存放到固定物理内存区间中，再通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行增量快照处理；
快照库增量处理模块，用于将控制权移交给被监控虚拟机对应的存储例程，存储例程读取虚拟机管理器保存的被监控虚拟机扩展页表指针(EPTP)，遍历其指向的页表，找出新增脏页，然后根据新增脏页的物理页帧生成对应的宿主机虚地址页帧；
快照版本控制库模块，用于从固定物理内存区间中读取进程名称、事件原因和事件时间作为当前提交增量快照的初始元数据，通过对应新增脏页的宿主机虚地址页帧，复制对应新增脏页并存入数据库中，生成增量快照，最后根据数据库容量设置阈值，存储的增量快照容量超出阈值后自动对最早期时间段内的增量快照进行合并操作，并将合并后增量快照作为对应被监控虚拟机的基快照；
快照信息翻译库模块，用于根据请求应用的快照生成请求读取物理内存，内存中有快照则对快照信息进行机器语言到应用语言的翻译，并将翻译结果提交给请求应用，内存中没有快照则为每个请求应用生成一个前端请求例程；
快照请求管理模块，用于控制前端请求例程将快照请求的时间信息和地址范围信息放入一个环形消息队列中，并设定一个时间阀值；当环形队列满或者超时时，通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行快照生成；
快照请求格式化模块，用于为环形队列中的每个快照生成请求初始化一个后端请求例程，后端请求例程首先对相应的快照生成请求按照虚拟机编号A、时间B、地址范围C到D和进程E进行格式化处理；
请求快照生成模块，用于获取快照生成请求的格式化信息，当前被监控虚拟机A的基快照为F时刻的全系统快照，分析数据库中F时刻到B时刻虚拟机A所有增量快照的元数据，提取出该时间段内新增脏页的物理页帧，找出最接近B时刻的新增脏页对应的增量快照，对数据库中基快照进行修改更新，生成虚拟机A在B时刻的全系统快照K，再截取地址范围C到D的E线程快照内容生成快照存储到物理内存中。
总体而言，通过本发明所构思的以上技术方案与现有技术相比，具有以下技术特征及有益效果：
(1)本发明将存在于被监控虚拟机中易失性数据的存储、管理、还原等操作交由虚拟机管理器进行管理，快照分析过程存在于一个单独的分析虚拟机中，独立于被取证系统，使得快照和分析结果具有高可信性；
(2)基于内核特定事件的增量快照机制，对被监控虚拟机的实时运行开销的影响很小，同时能够有效的记录关键事件发生时系统的状态，使得本发明的取证结果在时间和空间的维度上具有很高的覆盖性。本发明能够有效的进行取证，为虚拟机取证提供可信并可靠的取证依据。
附图说明
图1为本发明系统总体架构图；
图2为本发明方法的增量快照存储步骤流程图；
图3为本发明方法的请求快照生成步骤流程图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。
如图1所示为一种基于版本控制的在线快照管理系统的总体架构图，包括以下几个模块：
内核事件通知驱动模块，用于监控虚拟机的运行状态，当被监控虚拟机发生系统调用或进程切换时，将进程名称、事件原因和事件时间信息存放到固定物理内存区间中，再通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行增量快照处理；
快照库增量处理模块，用于将控制权移交给被监控虚拟机对应的存储例程，存储例程读取虚拟机管理器保存的被监控虚拟机扩展页表指针(EPTP)，遍历其指向的页表，找出新增脏页，然后根据新增脏页的物理页帧生成对应的宿主机虚地址页帧；
快照版本控制库模块，用于从固定物理内存区间中读取进程名称、事件原因和事件时间作为当前提交增量快照的初始元数据，通过对应新增脏页的宿主机虚地址页帧，复制对应新增脏页并存入数据库中，生成增量快照，最后根据数据库容量设置阈值，存储的增量快照容量超出阈值后自动对最早期时间段内的增量快照进行合并操作，并将合并后增量快照作为对应被监控虚拟机的基快照；
快照信息翻译库模块，用于根据请求应用的快照生成请求读取物理内存，内存中有快照则对快照信息进行机器语言到应用语言的翻译，并将翻译结果提交给请求应用，内存中没有快照则为每个请求应用生成一个前端请求例程；
快照请求管理模块，用于控制前端请求例程将快照请求的时间信息和地址范围信息放入一个环形消息队列中，并设定一个时间阀值；当环形队列满或者超时时，通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行快照生成；
快照请求格式化模块，用于为环形队列中的每个快照生成请求初始化一个后端请求例程，后端请求例程首先对相应的快照生成请求按照虚拟机编号A、时间B、地址范围C到D和进程E进行格式化处理；
请求快照生成模块，用于获取快照生成请求的格式化信息，当前被监控虚拟机A的基快照为F时刻的全系统快照，分析数据库中F时刻到B时刻虚拟机A所有增量快照的元数据，提取出该时间段内新增脏页的物理页帧，找出最接近B时刻的新增脏页对应的增量快照，对数据库中基快照进行修改更新，生成虚拟机A在B时刻的全系统快照K，再截取地址范围C到D的E线程快照内容生成快照存储到物理内存中。
如图2所示为增量快照存储管理步骤流程图，包括以下步骤：
(11)监控虚拟机的运行状态，当被监控虚拟机发生系统调用或进程切换时，将进程名称、事件原因和事件时间信息存放到固定物理内存区间中，再通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行增量快照处理；
(12)虚拟机管理器(hypervisor)将控制权移交给被监控虚拟机对应的存储例程，存储例程读取虚拟机管理器保存的被监控虚拟机扩展页表指针(EPTP)，遍历其指向的页表，找出新增脏页，然后根据新增脏页的物理页帧生成对应的宿主机虚地址页帧；
(13)从固定物理内存区间中读取进程名称、事件原因和事件时间作为当前提交增量快照的初始元数据，通过对应新增脏页的宿主机虚地址页帧，复制对应新增脏页并存入数据库中，生成增量快照，最后根据数据库容量设置阈值，存储的增量快照容量超出阈值后自动对最早期时间段内的增量快照进行合并操作，并将合并后增量快照作为对应被监控虚拟机的基快照；
如图3所示为请求快照生成分析步骤流程图，包括以下步骤：
(21)根据请求应用的快照生成请求读取物理内存，若发现内存中有对应快照则对快照信息进行机器语言到应用语言的翻译，并将翻译结果提交给请求应用，结束流程；否则为每个请求应用生成一个前端请求例程；
(22)前端请求例程将快照请求的时间信息和地址范围信息放入一个环形消息队列中，并设定一个时间阀值；当环形队列满或者超时时，通过超级调用(hypercall)通知虚拟机管理器(hypervisor)进行快照生成；
(23)虚拟机管理器(hypervisor)为环形队列中的每个快照生成请求初始化一个后端请求例程，后端请求例程首先对相应的快照生成请求按照虚拟机编号A、时间B、地址范围C到D和进程E进行格式化处理；
(24)获取快照生成请求的格式化信息，当前被监控虚拟机A的基快照为F时刻的全系统快照，分析数据库中F时刻到B时刻虚拟机A所有增量快照的元数据，提取出该时间段内新增脏页的物理页帧，找出最接近B时刻的新增脏页对应的增量快照，对数据库中基快照进行修改更新，生成虚拟机A在B时刻的全系统快照K，再截取地址范围C到D的E线程快照内容生成快照存储到物理内存中。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (2)

1.一种基于版本控制的在线快照管理方法，其特征在于，包含以下步骤：
(1)增量快照储存管理：
(11)监控虚拟机的运行状态，当被监控虚拟机发生系统调用或进程切换时，将进程名称、事件原因和事件时间信息存放到固定物理内存区间中，再通过超级调用通知虚拟机管理器进行增量快照处理；
(12)虚拟机管理器将控制权移交给被监控虚拟机对应的存储例程，存储例程读取虚拟机管理器保存的被监控虚拟机扩展页表指针，遍历其指向的页表，找出新增脏页，然后根据新增脏页的物理页帧生成对应的宿主机虚地址页帧；
(13)从固定物理内存区间中读取进程名称、事件原因和事件时间作为当前提交增量快照的初始元数据，通过对应新增脏页的宿主机虚地址页帧，复制对应新增脏页并存入数据库中，生成增量快照，最后根据数据库容量设置阈值，存储的增量快照容量超出阈值后自动对最早期时间段内的增量快照进行合并操作，并将合并后增量快照作为对应被监控虚拟机的基快照；
(2)请求快照生成分析：
(21)根据请求应用的快照生成请求读取物理内存，若发现内存中有对应快照则对快照信息进行机器语言到应用语言的翻译，并将翻译结果提交给请求应用，结束流程；否则为每个请求应用生成一个前端请求例程；
(22)前端请求例程将快照请求的时间信息和地址范围信息放入一个环形消息队列中，并设定一个时间阈值；当环形队列满或者超时时，通过超级调用通知虚拟机管理器进行快照生成；
(23)虚拟机管理器为环形队列中的每个快照生成请求初始化一个后端请求例程，后端请求例程首先对相应的快照生成请求按照虚拟机编号A、时间B、地址范围C到D和进程E进行格式化处理；
(24)获取快照生成请求的格式化信息，当前被监控虚拟机A的基快照为F时刻的全系统快照，分析数据库中F时刻到B时刻虚拟机A所有增量快照的元数据，提取出该时间段内新增脏页的物理页帧，找出最接近B时刻的新增脏页对应的增量快照，对数据库中基快照进行修改更新，生成虚拟机A在B时刻的全系统快照K，再截取地址范围C到D的E进程快照内容生成快照存储到物理内存中。
2.一种基于版本控制的在线快照管理系统，其特征在于，包含以下模块：
内核事件通知驱动模块，用于监控虚拟机的运行状态，当被监控虚拟机发生系统调用或进程切换时，将进程名称、事件原因和事件时间信息存放到固定物理内存区间中，再通过超级调用通知虚拟机管理器进行增量快照处理；
快照库增量处理模块，用于将控制权移交给被监控虚拟机对应的存储例程，存储例程读取虚拟机管理器保存的被监控虚拟机扩展页表指针，遍历其指向的页表，找出新增脏页，然后根据新增脏页的物理页帧生成对应的宿主机虚地址页帧；
快照版本控制库模块，用于从固定物理内存区间中读取进程名称、事件原因和事件时间作为当前提交增量快照的初始元数据，通过对应新增脏页的宿主机虚地址页帧，复制对应新增脏页并存入数据库中，生成增量快照，最后根据数据库容量设置阈值，存储的增量快照容量超出阈值后自动对最早期时间段内的增量快照进行合并操作，并将合并后增量快照作为对应被监控虚拟机的基快照；
快照信息翻译库模块，用于根据请求应用的快照生成请求读取物理内存，内存中有快照则对快照信息进行机器语言到应用语言的翻译，并将翻译结果提交给请求应用，结束流程；内存中没有快照则为每个请求应用生成一个前端请求例程；
快照请求管理模块，用于控制前端请求例程将快照请求的时间信息和地址范围信息放入一个环形消息队列中，并设定一个时间阈值；当环形队列满或者超时时，通过超级调用通知虚拟机管理器进行快照生成；
快照请求格式化模块，用于为环形队列中的每个快照生成请求初始化一个后端请求例程，后端请求例程首先对相应的快照生成请求按照虚拟机编号A、时间B、地址范围C到D和进程E进行格式化处理；
请求快照生成模块，用于获取快照生成请求的格式化信息，当前被监控虚拟机A的基快照为F时刻的全系统快照，分析数据库中F时刻到B时刻虚拟机A所有增量快照的元数据，提取出该时间段内新增脏页的物理页帧，找出最接近B时刻的新增脏页对应的增量快照，对数据库中基快照进行修改更新，生成虚拟机A在B时刻的全系统快照K，再截取地址范围C到D的E进程快照内容生成快照存储到物理内存中。
CN201610763864.8A 2016-08-30 2016-08-30 一种基于版本控制的在线快照管理方法和系统 Expired - Fee Related CN106445732B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610763864.8A CN106445732B (zh) 2016-08-30 2016-08-30 一种基于版本控制的在线快照管理方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610763864.8A CN106445732B (zh) 2016-08-30 2016-08-30 一种基于版本控制的在线快照管理方法和系统

Publications (2)

Publication Number Publication Date
CN106445732A CN106445732A (zh) 2017-02-22
CN106445732B true CN106445732B (zh) 2018-04-24

Family

ID=58091269

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610763864.8A Expired - Fee Related CN106445732B (zh) 2016-08-30 2016-08-30 一种基于版本控制的在线快照管理方法和系统

Country Status (1)

Country Link
CN (1) CN106445732B (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110018986B (zh) * 2017-11-08 2022-10-28 阿里巴巴集团控股有限公司 异常快照识别方法及装置
CN110119389B (zh) * 2018-01-09 2023-07-25 阿里巴巴集团控股有限公司 虚拟机块设备的写操作方法、快照创建方法及装置
CN109933380B (zh) * 2019-03-05 2023-02-28 天津字节跳动科技有限公司 在线表格分块加载方法及装置
CN113296687A (zh) * 2020-06-10 2021-08-24 阿里巴巴集团控股有限公司 数据处理方法、装置、计算设备和介质

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2713271B1 (en) * 2005-06-24 2015-08-12 Catalogic Software, Inc. System and method for high performance enterprise data protection
CN102331949B (zh) * 2011-10-12 2014-11-05 华为技术有限公司 一种虚拟机内存快照生成和恢复方法、装置及系统
CN105824689A (zh) * 2016-03-30 2016-08-03 国云科技股份有限公司 一种虚拟机存储同步方法

Also Published As

Publication number Publication date
CN106445732A (zh) 2017-02-22

Similar Documents

Publication Publication Date Title
CN106445732B (zh) 一种基于版本控制的在线快照管理方法和系统
Wang et al. A network intrusion detection system based on convolutional neural network
CN105184166B (zh) 基于内核的安卓程序实时行为分析方法及系统
KR101559206B1 (ko) 로그 데이터 처리 방법 및 이를 수행하는 시스템
CN104714878B (zh) 一种收集日志数据的方法及装置
CN107273267A (zh) 基于elastic组件的日志分析方法
US8875302B2 (en) Classification of an electronic document
US10776317B1 (en) Metadata analytics for online fragmentation detection on Unix file systems and common block file systems
US11263346B2 (en) Detecting sensitive data exposure via logging
CN103608765A (zh) 虚拟机快照和分析
Pooe et al. A conceptual model for digital forensic readiness
US11275850B1 (en) Multi-faceted security framework for unstructured storage objects
US8972338B2 (en) Sampling transactions from multi-level log file records
CN107004086A (zh) 安全信息和事件管理
Jain et al. Refreshing datawarehouse in near real-time
CN107070897A (zh) 入侵检测系统中基于多属性哈希去重的网络日志存储方法
Ghanbari et al. Stage-aware anomaly detection through tracking log points
US11762833B2 (en) Data discovery of personal data in relational databases
CN106650434B (zh) 一种基于io序列的虚拟机异常行为检测方法与系统
KR20150056266A (ko) 공장 운영 관리용 정형 및 비정형의 빅데이터 엔진 및 처리 방법
CN105975599A (zh) 一种监测网站的页面埋点的方法和装置
Wei et al. Graph representation learning based vulnerable target identification in ransomware attacks
CN109446167A (zh) 一种日志数据存储、提取方法及装置
US20180300186A1 (en) Methods and apparatus for capturing and determining mainframe operating system events
CN111563256A (zh) 一种安全的大数据收集存放方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20180424

Termination date: 20180830