一种Linux系统用户操作行为审计方法

摘要

一种Linux系统用户操作行为审计方法，包括如下步骤：a)Linux系统加载文件过滤驱动ko文件；b)Linux系统结构中kprobe保存CPU寄存器信息以及栈数据，修改指令寄存器信息使执行过程跳转至自定义系统结构jprobe中定义的方案探测函数jsys_write；c)通建立方案探测函数；d)获取打开文件的绝对路径，获取本次操作使用的命令及其绝对路径；e)如果发现获取到的写入数据包含敏感数据或者文件所在目录为禁止操作目录，则修正自定义结构jprobe保存的原始CPU寄存器信息，将返回地址修改为文件关闭地址直接关闭文件。审计的过程不影响系统正常使用、安全稳定用Linux标准安全监测技术处理，不会被系统提示警报。