[发明专利]网络行为审计方法、装置、设备及存储介质

权利要求书

1.一种网络行为审计方法，其特征在于，所述网络行为审计方法包括：

获取网络行为数据；

根据所述网络行为数据确定网络事件；

将所述网络事件与系统进程行为进行关联；

基于关联后的网络事件和系统进程行为进行网络行为审计，生成目标网络行为事件信息。

2.如权利要求1所述的网络行为审计方法，其特征在于，所述获取网络行为数据，包括：

获取当前使用的操作系统对应的操作系统信息；

根据所述操作系统信息获取网络收发数据包；

对所述网络收发数据包进行解析，得到网络行为数据。

3.如权利要求2所述的网络行为审计方法，其特征在于，所述根据所述操作系统信息获取网络收发数据包，包括：

根据所述操作系统信息确定网络协议信息和网卡信息；

根据所述网络协议信息确定网络协议栈层，并根据所述网卡信息确定网卡接口；

越过所述网络协议栈层，从所述网卡接口处获取网络收发数据包。

4.如权利要求2所述的网络行为审计方法，其特征在于，所述对所述网络收发数据包进行解析，得到网络行为数据，包括：

将所述网络收发数据包进行多队列缓存，得到多个待解析数据；

通过多个队列对多个待解析数据进行解析，得到多个初始行为数据；

对多个初始行为数据进行组合，得到网络行为数据。

5.如权利要求1所述的网络行为审计方法，其特征在于，所述将所述网络事件与系统进程行为进行关联，包括：

获取所述网络事件对应的网络信息以及系统进程行为对应的进程信息；

根据所述网络信息和所述进程信息将所述网络事件与所述系统进程行为进行关联。

6.如权利要求5所述的网络行为审计方法，其特征在于，所述根据所述网络信息和所述进程信息将所述网络事件与所述系统进程行为进行关联，包括：

根据所述进程信息确定各系统进程行为对应的进程路径和进程标识符；

将属于同一系统进程行为的进程路径和进程标识符进行关联，得到关联后的进程路径和进程标识符；

根据所述网络信息以及关联后的进程路径和进程标识符将所述网络事件与所述系统进程行为进行关联。

7.如权利要求6所述的网络行为审计方法，其特征在于，所述根据所述网络信息以及关联后的进程路径和进程标识符将所述网络事件与所述系统进程行为进行关联，包括：

根据所述网络信息生成第一标识，并根据关联后的进程路径和进程标识符生成第二标识；

将所述第一标识与所述第二标识进行匹配，使所述第一标识与所述第二标识一一对应；

根据匹配结果将所述网络事件与所述系统进程行为进行关联。

8.一种网络行为审计装置，其特征在于，所述网络行为审计装置包括：

数据获取模块，用于获取网络行为数据；

数据分析模块，用于根据所述网络行为数据确定网络事件；

信息关联模块，用于将所述网络事件与系统进程行为进行关联；

行为审计模块，用于基于关联后的网络事件和系统进程行为进行网络行为审计，生成目标网络行为事件信息。

9.一种网络行为审计设备，其特征在于，所述网络行为审计设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的网络行为审计程序，所述网络行为审计程序被处理器执行时实现如权利要求1至7中任一项所述的网络行为审计方法。

10.一种存储介质，其特征在于，所述存储介质上存储有网络行为审计程序，所述网络行为审计程序被处理器执行时实现如权利要求1至7中任一项所述的网络行为审计方法。