一种异常文件访问行为监控方法和装置

摘要

本发明一种异常文件访问行为监控方法，用以解决针对Linux服务器的异常文件删除、修改等行为的识别。该方法如下步骤：从历史日志中学习生成用户访问权限白名单；基于流式数据，通过多种系统日志关联分析，识别出流式数据中的文件访问行为；基于所述用户访问权限白名单过滤，识别异常删除、修改行为。该装置包含日志采集单元、离线训练单元和行为监控单元。与现有技术相比，本发明的有益效果是：1)可监控更加广泛的文件系统；2)通过机器学习算法生成白名单，过滤正常访问行为，减少误报率；3)基于流处理框架进行实时检测。