[发明专利]一种基于云桌面的日志文件监控系统及方法

说明书

本发明提供了一种基于云桌面的日志文件监控系统及方法，该方法包括通过Windows文件过滤驱动，实现对用户文件操作行为监控，将监控结果发送给虚拟通信设备驱动。由虚拟通信设备驱动将日志加密并通过虚拟设备发送给虚拟机外部客户端，由虚拟机外部客户进行日志记录，并发送给服务器端。本发明通过虚拟化技术，将Windows下文件监控驱动生成的日志，通过虚拟设备发送给虚拟机外部客户端，由虚拟机外部客户端进行日志存储与发送，杜绝用户在Windows环境中删除本地操作日志的行为，能够有效监控用户操作行为。

技术领域

本发明涉及虚拟化技术领域，尤其是涉及一种基于云桌面的日志文件监控系统及方法。

背景技术

物理机Windows环境中，文件监控驱动在进行用户文件操作监控的同时，会将用户操作生成日志，并将日志上传到客户端应用程序。由客户端应用程序将日志保留本地并发送到服务器，进行日志记录，以便管理员可通过用户操作日志对用户行为进行监控或报警。

虚拟化是使用所谓的虚拟机管理程序软件从一台物理设备创建若干虚拟机(VM)的过程。虚拟机的行为和运转方式与物理机器一样，但它们会使用物理机器的计算资源，如CPU、内存和存储。虚拟机管理程序会根据需要将这些计算资源分配给每个虚拟机。

以往的虚拟化环境中，虚拟机中的Windows系统内用户操作日志均通过客户端应用程序网络发送给服务器端。由于网络等原因，客户端应用程序在进行日常工作时，可能会出现文件操作日志无法及时上报的情况。在此种情况下，计算机用户可能会通过某些方式在Windows环境中将本地操作日志删除，从而导致监控结果无法上报，用户行为不可控。

发明内容

为了克服现有技术中存在的上述问题，本发明的目的是提供一种日志文件监控系统及方法，本发明通过虚拟化技术，将Windows下文件监控驱动生成的日志，通过虚拟设备发送给虚拟机外部客户端，由虚拟机外部客户端进行日志存储与发送，杜绝用户在Windows环境中删除本地操作日志的行为。

为了达到上述目的，本发明提供如下技术方案：

一种日志文件监控系统，包括：

Windows文件过滤驱动：该Windows文件过滤驱动挂载在Windows文件系统设备栈，通过Windows文件驱动回调端口，获取用户的文件操作行为；

虚拟通信设备驱动：该虚拟通信设备驱动为运行在Windows中的虚拟设备驱动，可生成虚拟串口，通过该虚拟串口可以与虚拟机host客户端进行通信；

虚拟机host客户端：该虚拟机host客户端为运行在Linux虚拟化环境中的客户端应用程序，可访问虚拟机的硬件端口，在该硬件端口获取虚拟机内发送的信息，将虚拟机内发送的信息保存为本地日志文件，并将虚拟机内发送的信息发送到服务器端进行记录；

服务器端：该服务器端用于接收虚拟机host客户端发送的日志并记录，同时提供查询。

本发明还提供一种基于上述的日志文件监控系统的监控方法，包括如下步骤：

S1、虚拟机中Windows文件过滤驱动拦截用户文件操作，根据策略生成日志，并将该日志发送给虚拟通信设备驱动；

S2、虚拟通信设备驱动将日志加密，发送给虚拟设备端口；

S3、虚拟机host客户端接收虚拟设备端口发送的日志，记录并发送给服务器；

S4、服务器接收日志，并写入数据库，供管理员查询。

进一步地，S1中，Windows文件过滤驱动在获取用户文件操作行为后，根据Windows客户端下发的策略，进行操作行为识别；若当前用户文件操作为策略中需进行记录的操作行为，则将该文件操作行为生成日志，并通过驱动端口发送给虚拟通信设备驱动。