[发明专利]一种多级跳转后的SSH连接源追踪方法及装置

摘要

本发明涉及一种连接源追踪方法及装置，属于信息安全技术领域，具体是涉及一种多级跳转后的SSH连接源追踪方法及装置。该方法和装置分析得出每条SSH多级跳转连接的链路信息并存入数据存储设备中，将收集到的远程操作信息与SSH连接审计分析后得出的数据进行查询比对得到执行远程操作的SSH连接信息，再通过该SSH连接信息得到其所在的SSH多级跳转链路信息，由此得到包含从第一次SSH连接到最后执行的远程操作信息的完整的SSH多级跳转链路和其执行的所有操作。

主权项

1.一种多级跳转后的SSH连接源追踪方法，其特征在于，包括：步骤1，获取所有连接链路中SSH客户端的基础信息；步骤2，获取连接进程在源设备上所属控制台的进程及其父进程；步骤3，判断所述父进程是否为SSH远程连接，若是则执行步骤4，否则将所述客户端连接视为初始连接；步骤4，将所述父进程确定为所述客户端连接的父连接，获取该父连接的源IP端口，遍历当前时间内存在的所有SSH连接的SSH客户端信息，将源IP端口与父连接的源IP端口相同的连接的标识ID视为所述客户端连接的父连接ID；步骤5，重复步骤2‑4直至获取包括全部SSH客户端基础信息和各连接父连接信息的SSH服务端完整信息；步骤6，将SSH服务端完整信息中的父连接相关数据同步到SSHd服务端信息中；步骤7，在最终端设备上收集远程操作信息S，在判定为操作是远程操作后，利用远程操作基础信息在SSHd服务端信息中进行匹配，匹配到的连接信息即为执行该远程操作的连接；其中，SSH客户端信息为SSH连接中源设备上的SSH连接信息，SSHd服务端信息为SSH连接中目标设备上的SSH连接信息；SSH服务端是源设备的服务端，SSHd服务端是目标设备的服务端。