[发明专利]基于视频流windows远程登陆协议入侵检测方法及系统

说明书

本发明提供了一种基于视频流的windows远程登陆协议入侵检测方法及系统，通过采取视频推流的方式，将本地保存的文件以直播的形式传输到服务器上，通过推流将视频数据传输到服务器上，采用centos操作系统上安装nginx作容器，作为核心的服务器，采用rtmp协议，作为拉流端，在视频数据于windows推流端产生之后可作保存。利用本发明的方法，可以实时上传保存录屏数据，防止被入侵者删除，同时可以及时录制视频，控制录制和停止录制视频的时间，做到让入侵者察觉不到的同时成功取证，节约录屏时的资源。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种基于视频流的windows远程登陆协议入侵检测方法及系统。

背景技术

目前针对windows录屏无较好的触发方式，只能通过人工手动点击程序操作，且往往需要一直开启录屏程序，对资源消耗很大，无法在入侵者通过rdp协议进入远程桌面的瞬间进行屏幕录制，以及在入侵者断开rdp协议，退出远程桌面的瞬间同时终止屏幕录制。

同时现有视频录制方案都是保存为mp4或avi格式，在录制过程中，若被非正常终止，录制的视频文件将损坏，无法播放。现有的录制方案都是将录制文件保存在本地，录制完成后上传到服务端，无法实时同步到服务端，若录制的文件被入侵者发现，将导致被删除，无法起到入侵检测，事件回放作用。

发明内容

针对以上现有问题，本发明提出一种基于视频流windows远程登陆协议入侵检测方法及系统，采用调用计划任务程序，自定义创建计划，与windows远程连接打开与否建立联系，做到及时录制视频的同时防止产生资源浪费，同时采取视频推流的方式，将本地保存的文件以直播的形式传输到服务器上，避免文件被损坏无法播放或者被入侵者删除。

本发明的原理是：采用调用计划任务程序，自定义创建计划，与windows远程连接打开与否建立联系。只要入侵者通过rdp协议远程连接windows端，则触动计划任务开启视频录制程序，远程连接端口断开连接时，系统自动触发计划任务，立即停止视频录制程序，通过推流将视频数据传输到服务器上；采用centos操作系统上安装nginx作容器，作为核心的服务器，采用rtmp协议，作为拉流端，在视频数据于windows推流端产生之后可作保存。

为达成上述功能，本发明所采用的优选技术方案如下：

优选技术方案一种基于视频流windows远程登陆协议入侵检测方法，所述该方法包括以下步骤：

S01、配置nginx拉流端账户，下载rtmp-module，安装nginx服务器，配置niginx，添加rtmp服务，配置目录权限，启动nginx服务器，从流媒体服务器获取音频或视频数据，配置实现拉流的模块功能；

S02、配置windows推流端，下载配置录屏软件，安装screen-capture-recorder，下载安装ffmpeg；

S03、创建任务计划程序，控制录屏和停止录屏的时机；

S04、开始执行任务计划，所述任务计划是根据程序进行的自动化作业；

S05、系统中的计划程序判定入侵者通过远程连接windows沙箱端，则触动计划任务，沙箱端开启视频录制程序，将屏幕上的动作录制保存到硬盘上，并转化为流数据，流数据通过RTMP协议传送到拉流端；

S06、在开始录屏之后判断远程连接的状态是通过读取windows日志记录实现的，读取的日志记录为：Microsoft-Windows-TerminalServices-LocalSessionManager/Operational，日志的来源是windows自带的服务，TerminalServices-LocalSessionManager，实时地判断远程连接与否的状态，3389端口连接的状态是记录事件id为25，断开为24，则判断远程连接断开；