基于RDP审计数据的任意定位回放方法及系统

摘要

本发明属于计算机及网络安全审计技术领域，是一种基于RDP审计数据的任意定位回放方法及系统，包括RDP审计数据服务端及RDP回放客户端；RDP审计数据服务端包括：RDP代理服务器和审计数据服务器；RDP回放客户端包括：审计数据客户端、RDP解码模块、压缩模块、RDP定位模块、RDP回放模块和RDP回放介面模块。本发明能实现了RDP的审计回放，任意定位回放，对超长审计内容也能迅速定位。

主权项

基于RDP审计数据的任意定位回放方法，其特征在于：按以下步骤进行：(1)通过RDP代理服务器从TCP协议层拦截所有RDP服务器发送到RDP客户端的RDP协议数据包；(2)将拦截到的RDP数据包通过设定的存储格式记录到存储介质磁盘文件中，所述设定的存储格式是带时间戳、长度和序号信息的审计数据格式；(3)记录RDP审计数据的同时，在数据库中记录RDP运维操作的起始时间、客户端信息、会话编号和状态；(4)RDP回放客户端通过远程TCP连接到审计数据服务器端口，请求会话编号的RDP审计数据，审计数据服务器根据请求，将对应的会话编号的文件内容，按设定的存储格式进行封装，以数据包的形式发送给RDP回放客户端；(5)RDP回放客户端接收到数据包后，进行解包，取出时间戳，根据长度取出真正的RDP数据包；(6)RDP回放客户端获得真正的RDP数据包后进行变换：①将常用的屏幕绘图更新，解码到临时文件中；②将内存拷贝的数据，从内存中获取，写入到临时文件中；③在内存中维持虚拟的屏幕，将各种屏幕绘图更新定向输出到虚拟屏幕上，按一定的算法间隔，采样全屏图像数据，作为关键帧，记录到临时文件中；④根据写入临时文件数据的松散程度，进行压缩，将压缩标志及解压缩需要的关键信息及压缩后的数据写入临时文件中；(7)回放模块开始工作，读取临时文件中的数据，如有压缩标志则进行解压，获得3种数据：正常绘图、特殊绘图和关键帧绘图。