一种多级跳转后的SSH连接源追踪方法及装置制造方法及图纸

本发明专利技术涉及一种连接源追踪方法及装置，属于信息安全技术领域，具体是涉及一种多级跳转后的SSH连接源追踪方法及装置。该方法和装置分析得出每条SSH多级跳转连接的链路信息并存入数据存储设备中，将收集到的远程操作信息与SSH连接审计分析后得出的数据进行查询比对得到执行远程操作的SSH连接信息，再通过该SSH连接信息得到其所在的SSH多级跳转链路信息，由此得到包含从第一次SSH连接到最后执行的远程操作信息的完整的SSH多级跳转链路和其执行的所有操作。

【技术实现步骤摘要】
一种多级跳转后的SSH连接源追踪方法及装置
本专利技术涉及一种连接源追踪方法及装置，属于信息安全
，具体是涉及一种多级跳转后的SSH连接源追踪方法及装置。
技术介绍
使用SSH连接进行多级跳转的操作通常并不局限于二次跳转，多次跳转操作可能执行3，4，5或更多次的跳转操作以达成操作员的目的。目前，对于SSH连接相关监视方法并不能有效的分辨出属于同一次操作的的多级跳转SSH连接操作而是将多级跳转中的每一次SSH连接视为一次独立的操作无视了其中的相互关系，没有针对多级跳转的SSH连接链路进行关联性审计的功能。
技术实现思路
本专利技术主要是解决现有技术所存在的等的上述的技术问题，提供了一种多级跳转后的SSH连接源追踪方法及装置。该方法和装置分析得出每条SSH多级跳转连接的链路信息并存入数据存储设备中，将收集到的远程操作信息与SSH连接审计分析后得出的数据进行查询比对得到执行远程操作的SSH连接信息，再通过该SSH连接信息得到其所在的SSH多级跳转链路信息，由此得到包含从第一次SSH连接到最后执行的远程操作信息的完整的SSH多级跳转链路和其执行的所有操作。本专利技术的上述技术问题主要是通过下述技术方案得以解决的：一种多级跳转后的SSH连接源追踪方法，包括：步骤1，获取所有连接链路中SSH客户端的基础信息；步骤2，获取连接进程在源设备上所属控制台的进程及其父进程；步骤3，判断所述父进程是否为SSH远程连接，若是则执行步骤4，否则将所述客户端连接视为初始连接；步骤4，将所述父进程确定为所述客户端连接的父连接，获取该父连接的源IP端口，遍历当前时间内存在的所有SSH连接的SSH客户端信息，将源IP端口与父连接的源IP端口相同的连接的标识ID视为所述客户端连接的父连接ID；步骤5，重复步骤2-4直至获取包括全部SSH客户端基础信息和各连接父连接信息的SSH服务端完整信息；步骤6，将SSH服务端完整信息中的父连接相关数据同步到SSHd服务端信息中；步骤7，在最终端设备上收集远程操作信息S，在判定为操作是远程操作后，利用远程操作基础信息在SSHd服务端信息中进行匹配，匹配到的连接信息即为执行该操作的连接。其中，所述步骤1中获取的基础信息包括以下信息中的一中或多种：源设备IP地址与端口、目标设备IP地址与端口、连接发起用户、连接开始时间、连接结束时间、连接进程在源设备上的进程号、连接进程在源设备上所属的控制台ID。其中，所述步骤4中，判断当前时间内存在的所有SSH连接的过程为遍历当前时间内存在的所有SSH客户端信息，将连接结束时间为空的连接视为现存连接。其中，所述步骤6的同步过程中，如连接属于初始连接则生成一个绝对唯一的连接标识符，如连接存在父连接，则继承父连接的连接标识符。其中，所述步骤7中，分析最终端设备的接受端信息与操作信息S，当操作源设备IP为0时，将操作判定为本地操作；当操作源设备IP不为0时，将操作判定为远程操作。一种多级跳转后的SSH连接源追踪系统，包括：基础信息获取模块，用于获取所有连接链路中SSH客户端的基础信息；父连接获取模块，获各取连接进程在源设备上所属控制台的进程及其父进程；判断所述父进程是否为SSH远程连接，否则将所述客户端连接视为初始连接；若是则将所述父进程确定为所述客户端连接的父连接，获取该父连接的源IP端口，遍历当前时间内存在的所有SSH连接的SSH客户端信息，将源IP端口与父连接的源IP端口相同的连接的标识ID视为所述客户端连接的父连接ID；重复前述过程直至获取包括全部SSH客户端基础信息和各连接父连接信息的SSH服务端完整信息；操作信息获取模块，将SSH服务端完整信息中的父连接相关数据同步到SSHd服务端信息中；在最终端设备上收集远程操作信息S，在判定为操作是远程操作后，利用远程操作基础信息在SSHd服务端信息中进行匹配，匹配到的连接信息即为执行该操作的连接。其中，所述基础信息获取模块中获取的基础信息包括以下信息中的一中或多种：源设备IP地址与端口、目标设备IP地址与端口、连接发起用户、连接开始时间、连接结束时间、连接进程在源设备上的进程号、连接进程在源设备上所属的控制台ID。其中，所述父连接获取模块中判断当前时间内存在的所有SSH连接的过程为遍历当前时间内存在的所有SSH客户端信息，将连接结束时间为空的连接视为现存连接。其中，所述操作信息获取模块的同步过程中，如连接属于初始连接则生成一个绝对唯一的连接标识符，如连接存在父连接，则继承父连接的连接标识符。其中，所述操作信息获取模块中，分析最终端设备的接受端信息与操作信息S，当操作源设备IP为0时，将操作判定为本地操作；当操作源设备IP不为0时，将操作判定为远程操作。因此，本专利技术具有如下优点：针对多级跳转的SSH连接链路进行关联性审计，提高了信息审计的全面性和安全性。附图说明附图1是多级跳转的SSH连接示例图。具体实施方式下面通过实施例，并结合附图，对本专利技术的技术方案作进一步具体的说明。实施例：本专利技术涉及对网络系统内SSH连接与远程操作的信息进行综合分析，以得出其中的关联关系供后续审计系统审计。本专利技术包含SSH连接信息审计分析，与SSH远程操作关联分析。其中所述SSH连接信息审计分析通过下述步骤收集SSH连接信息并对收到的信息进行整合，分析得出每条SSH多级跳转连接的链路信息并存入数据存储设备中。所述远程操作的信息分析将收集到的远程操作信息与SSH连接审计分析后得出的数据进行查询比对后得到执行远程操作的SSH连接信息，如该操作通过SSH连接的多次跳转执行，再通过该SSH连接信息得到其所在的SSH多级跳转链路信息，由此得到包含从第一次SSH连接到最后执行的远程操作信息的完整的SSH多级跳转链路和其执行的所有操作。如图1所示，图示链路为从设备1SSH连接至设备2，再以设备2为客户端连至设备3，经过设备3SSH连接到设备4，以此类推直到设备N；最后在设备N上进行命令行操作S。本专利技术所述SSH连接信息分为两个部分：SSH客户端信息与SSHd服务端信息。其中SSH客户端信息为SSH连接中连接发起设备(源设备)上的SSH连接信息，SSHd服务端信息为SSH连接中连接接收设备(目标设备)上的SSH连接信息。在图1所示连接链路中SSH客户端的基础信息为连接A连接B连接C直至连接N的发起端信息：A1，B1，C1；该信息包含：1.源设备IP地址与端口，2.目标设备IP地址与端口，3.连接发起用户，4.连接开始时间，5.连接结束时间(如未结束则为空)，6.连接进程在源设备上的进程号，7.连接进程在源设备上所属的控制台ID(ptsID)。在SSH客户端上获取了相关基础信息之后，还需通过监控程序进一步获取连接的上一级信息，用来实现相关的链路追溯功能。1.利用SSH客户端基础信息7(连接进程在源设备上所属的控制台ID)获取该控制台的进程号PID，通过PS命令获取该PID的父进程ID。2.如该父进程是一个SSH远程连接则确定为所述客户端连接的父连接，通过netstat等命令获取该父连接的源IP端口；如该父进程不是SSH远程连接则将所述客户端连接视为初始连接。3.如所述客户端连接存在父连接，遍历当前时间内存在的所有SSH客户端信息(连接结束时间为空，则连接未结束，视为本文档来自技高网...

【技术保护点】
一种多级跳转后的SSH连接源追踪方法，其特征在于，包括：步骤1，获取所有连接链路中SSH客户端的基础信息；步骤2，获取连接进程在源设备上所属控制台的进程及其父进程；步骤3，判断所述父进程是否为SSH远程连接，若是则执行步骤4，否则将所述客户端连接视为初始连接；步骤4，将所述父进程确定为所述客户端连接的父连接，获取该父连接的源IP端口，遍历当前时间内存在的所有SSH连接的SSH客户端信息，将源IP端口与父连接的源IP端口相同的连接的标识ID视为所述客户端连接的父连接ID；步骤5，重复步骤2‑4直至获取包括全部SSH客户端基础信息和各连接父连接信息的SSH服务端完整信息；步骤6，将SSH服务端完整信息中的父连接相关数据同步到SSHd服务端信息中；步骤7，在最终端设备上收集远程操作信息S，在判定为操作是远程操作后，利用远程操作基础信息在SSHd服务端信息中进行匹配，匹配到的连接信息即为执行该操作的连接。

【技术特征摘要】
1.一种多级跳转后的SSH连接源追踪方法，其特征在于，包括：步骤1，获取所有连接链路中SSH客户端的基础信息；步骤2，获取连接进程在源设备上所属控制台的进程及其父进程；步骤3，判断所述父进程是否为SSH远程连接，若是则执行步骤4，否则将所述客户端连接视为初始连接；步骤4，将所述父进程确定为所述客户端连接的父连接，获取该父连接的源IP端口，遍历当前时间内存在的所有SSH连接的SSH客户端信息，将源IP端口与父连接的源IP端口相同的连接的标识ID视为所述客户端连接的父连接ID；步骤5，重复步骤2-4直至获取包括全部SSH客户端基础信息和各连接父连接信息的SSH服务端完整信息；步骤6，将SSH服务端完整信息中的父连接相关数据同步到SSHd服务端信息中；步骤7，在最终端设备上收集远程操作信息S，在判定为操作是远程操作后，利用远程操作基础信息在SSHd服务端信息中进行匹配，匹配到的连接信息即为执行该操作的连接。2.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤1中获取的基础信息包括以下信息中的一中或多种：源设备IP地址与端口、目标设备IP地址与端口、连接发起用户、连接开始时间、连接结束时间、连接进程在源设备上的进程号、连接进程在源设备上所属的控制台ID。3.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤4中，判断当前时间内存在的所有SSH连接的过程为遍历当前时间内存在的所有SSH客户端信息，将连接结束时间为空的连接视为现存连接。4.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤6的同步过程中，如连接属于初始连接则生成一个绝对唯一的连接标识符，如连接存在父连接，则继承父连接的连接标识符。5.根据权利要求1所述的一种多级跳转后的SSH连接源追踪方法，其特征在于，所述步骤7中，分析最终端设备的接受端信息与操作信息S，当操作源设备IP为0时，将操作判定为本地操作；当操作源设备IP不为0时，将操作判定为远程操作。6.一种多级...

【专利技术属性】
技术研发人员：胡斌，易国华，
申请(专利权)人：湖北鑫英泰系统技术股份有限公司，
类型：发明
国别省市：湖北,42