CN114556346A - 事件日志防篡改 - Google Patents

Abstract

描述了用于响应于计算机执行的事件而由处理器生成第一事件记录并且响应于生成第一事件记录而由处理器生成第一防篡改记录的实施例。第一防篡改记录包括至少部分地基于第一事件记录创建的第一签名和至少部分地基于第一事件记录创建的第二签名。各方面还包括响应于用于检测对第一事件记录的篡改的请求，基于第一防篡改记录中的第一签名和第二签名来验证第一事件记录。

Description

事件日志防篡改

背景技术

本申请涉及保护由事件记录器创建的记录，并且更具体地，涉及保护由现有事件记录器创建的记录而不影响事件日志处理基础结构。

在诸如服务器的***中，事件记录器可记录与事件相对应的事件记录，事件诸如是与服务器的操作相关联的***事件。企业可审计这些记录的事件记录作为规章符合的一部分。为了合规，审计可能必须验证事件记录的内容保持未修改或者已经跟踪任何改变。

发明内容

贯穿本申请所描述的示例提供了对关于现有事件日志***中的防篡改的技术问题的技术解决方案，以便于企业保留现有工作流和使用包含事件记录的现有日志数据的***。所提供的技术方案改进了事件记录***的功能。

本发明提供了如权利要求1所述的方法，以及分别如权利要求9和10所述的相应的***和计算机程序。

附图说明

参考以下附图和描述可以更好地理解这些示例。图中的部件不一定是按比例的。此外，在附图中，相同的附图标记在不同的视图中表示相应的部件。

图1示出了用于实践本文的教导的***。

图2示出了根据实施例的包括防篡改记录的事件记录日志。

图3A示出了根据实施例的包括具有多个签名的防篡改记录的事件记录日志。

图3B示出了根据另一实施例的包括具有多个签名的防篡改记录的事件记录日志。

图4示出了根据示例性实施例的生成防篡改记录的方法。

图5示出了根据实施例的具有多个签名的防篡改记录的启用。

图6示出了根据实施例的具有多个签名的防篡改记录的禁用。

通过本文详细描述的技术方案、示例和各方面的技术，实现了另外的特征和优点。

具体实施方式

描述了通过防篡改的附加功能来增强现有事件日志***同时保留使用由事件日志***生成的日志数据的现有工作流的技术。贯穿文档描述的示例促进了对日志数据的防篡改而不修改所生成的日志数据。针对事件记录生成的防篡改数据被存储为另一事件记录，并且防篡改数据包括多个签名。为了审核事件记录是否已经被篡改，可以将事件记录的内容与其他记录进行比较。可以在其它操作期间绕过其它记录。因此，可以改进现有事件日志***以提供针对规章符合的防篡改性，而不引发修改使用现有工作流的工作流的成本。此外，可通过在防篡改记录中使用多个不同的签名来提高事件记录***的安全级别。在示例性实施例中，事件记录***被配置为管理签名数据，签名数据包括与每个签名相关联的附加元数据以及在每个签名中包括的不同的有效载荷。此外，事件日志***被配置为动态地启用或禁用针对被添加到事件日志的数据的个体签名，同时保持使用不受影响的签名来验证被签名的数据的能力。

图1示出了示例***100。***100可以是诸如服务器计算机等的计算机。***100可以包括处理器110、存储器120、用户接口150和通信接口170以及其它组件。

处理器110可以是***100的中央处理器，负责执行安装在***100上的操作***、控制指令和应用。处理器110可以是可操作以执行逻辑的一个或多个设备。逻辑可以包括在存储器120或其它存储器中体现的计算机可执行指令或计算机代码，其在由处理器110执行时使得处理器110执行由该逻辑实现的特征。计算机代码可以包括可由处理器110执行的指令。计算机代码可以包括嵌入式逻辑。计算机代码可以用现在已知或以后开发的任何计算机语言来编写，诸如C++、C#、Java、Pascal、Visual Basic、Perl、超文本标记语言(HTML)、JavaScript、汇编语言、shell脚本或其任何组合。计算机代码可包括源代码和/或编译代码。处理器110可以是通用处理器、中央处理单元、服务器、专用集成电路(ASIC)、数字信号处理器、现场可编程门阵列(FPGA)、数字电路、模拟电路或其组合。处理器110可以与存储器120和***100的其它组件通信。在一个示例中，处理器110还可以与诸如用户接口150和通信接口170的附加元件通信。

存储器120可以是非暂时性计算机存储介质。存储器120可以是DRAM、SRAM、闪存或任何其它类型的存储器或其组合。存储器120可以存储可由处理器110执行的操作***122和应用125。操作***122和应用125可以由***100的制造商、提供商或最终用户存储在存储器120上。存储器120可包括其他数据，例如图像、视频、文档、电子表格、音频文件和可以与***100的操作相关联的其他数据。例如，存储器120可用于存储事件记录日志127。

用户接口150可包括显示器、扬声器、键盘、鼠标或便于用户交互的任何其他组件。显示器可以是触摸屏使能的。用户接口150可以可选地或另外地是麦克风或可以促进用户交互的任何其他组件。用户接口150可以是电路，诸如处理器、存储器、通信接口、集成电路、天线、电阻器、电容器和任何其他硬件组件。用户接口150还可涉及软件。例如，用户接口130可包括可以存储在存储器上的指令和/或数据。指令和/或数据可控制用户接口150的操作。指令可以是计算机可执行的。数据可包括与用户界面150相关联的参数和/或预设定条件。

事件记录日志127包括一个或多个事件记录130a-130x。事件记录是描述***100的操作的数据记录。操作***122响应于操作被发起和/或完成而使用处理器110记录事件记录。例如，事件可以是***100的启动事件、文件创建事件、文件复制事件、用户登录事件或操作***122可以检测到的任何其他事件。操作***122可被配置为检测预定类型的事件。例如，操作***122可以被配置为检测“文件”类型事件，诸如文件创建事件、文件复制事件、文件移动事件、文件删除事件、文件修改事件或任何其他文件事件。另外或替代地，操作***122可被配置为检测“用户”类型事件，例如用户登录事件、用户登出事件、用户简档改变事件和其它用户事件。其它事件类型是可能的，并且以上仅是几个示例。

使用预定格式存储事件记录。例如，事件记录可包括报头和有效载荷。有效载荷包括相应事件的描述。例如，如果对应的事件是文件事件，则有效载荷包括文件标识、文件位置、对所执行的操作的指示、以及描述事件的其他信息。在示例性实施例中，报头包括描述有效载荷的元数据，诸如有效载荷的长度、时间戳等。事件记录可以是文件。或者，事件记录可以是文件或流(例如日志流)内的条目。

事件记录日志127用于验证***100的操作。例如，操作***122可包括***管理工具(SMF)。SMF企业可使用事件记录日志127来显示规章的符合。例如，为了合规，***100可能必须以预定方式执行操作。SMF便于诸如经由应用编程接口(API)查询事件记录日志127，以确保***100遵从预定的操作方式。在这点上，SMF或***审计员根据事件记录的预定格式进行操作。因此，修改预定格式可以使***审计员和SMF停止当前操作。

规章符合可使SMF确保事件记录日志127中的事件记录没有被篡改是至关重要的。如本文所述，添加这种防篡改记录可能导致SMF和***审计员将被修改，从而导致额外的成本。贯穿本文档描述的示例提供了对该技术问题的技术方案。

图2示出了包括防篡改记录200的示例事件记录日志127。例如，处理器110可生成事件记录130a。作为响应，操作***122可附加地生成包括事件记录130a的防篡改信息的元数据。操作***122可将防篡改信息记录或格式化为单独的事件记录，在本文档中称为防篡改记录200。操作***122可随后将防篡改记录200记录在事件记录日志127中。因此，处理器可在包含事件记录130a的防篡改信息的事件记录日志中***单独的记录。防篡改记录200可以使用事件记录的相同的预定格式。

例如，如图2所示，防篡改记录200包括报头210、元数据215和有效载荷220。在示例性实施例中，有效载荷220包括用于对应的事件记录130a的至少两个数字签名。数字签名证明了对应的事件记录130a的真实性。在一个示例中，数字签名被加密，诸如使用非对称密码术或任何其他类型的加密技术。例如，每个数字签名可以基于事件记录130a的内容、私钥、公钥、时间戳、或与事件记录130a相关联的事件的其他信息。在示例中，事件记录130a的内容可以被散列，诸如在加密之前使用散列机制。为了验证事件记录130a，操作***122对有效载荷220中的数字签名进行解密，并将所提取的数据与事件记录130a的内容进行比较。报头210包括有效载荷220的长度或时间戳。元数据215包括指示有效载荷220包含防篡改信息的标识符，与典型的事件记录的情况下的事件的描述不同。此外，元数据215包括关于在创建有效载荷220中使用的数字签名的信息，诸如所使用的数字签名的密码类型。

在一个示例中，操作***122可以将防篡改记录200与诸如事件记录130a的单个事件记录相关联。例如，报头210可包括事件记录130a的空间参考(spatial reference)。空间参考可以是事件记录130a的存储器位置。可替换地或附加地，空间参考可以是防篡改记录200和对应的事件记录130a之间的空间关系。例如，空间关系可以是基于记录的存储器位置的预定关系。在这种情况下，第一事件记录的空间参考基于预定关系和第二事件记录的存储器位置而隐式地(implicitly)被标识，因此，不避免在防篡改记录中显式地(explicitly)保存空间参考。

因此，空间参考或者被显式地存储，或者可以是隐式的。如果其是显式的，则将第一事件记录130a的位置存储在防篡改记录200中。位置可以是第一事件记录在存储器中或在文件中的位置。当空间参考是隐式的时，其与存储器或文件中的数据有关。***100可使用第一事件记录130a和防篡改记录200之间的预定的空间关系。例如，根据预定的空间关系，第一事件记录130a可以在防篡改记录200之前，且在其间没有其他记录。可替换地，预定的空间关系允许在第一事件记录130a和防篡改记录200之间存在与第一事件记录130a相同类型的其他事件记录。在示例中，在防篡改记录200的防篡改数据(其是有效载荷200)中不能包括其他事件记录。

在示例中，操作***122可将防篡改记录200与事件记录日志127中的多于一个事件记录相关联，诸如与事件记录130a至130x相关联。因此，报头210可包括对与防篡改记录200相关联的每个事件记录的空间参考。另外，报头210或元数据215可包括防篡改记录200所关联的多个事件记录以及有效载荷220中包括的每个相应数字签名的长度。在一个示例中，操作***122可将防篡改记录200与事件日志127中的预定数量的连续事件记录相关联。例如，防篡改记录200可以与5个连续事件记录、或10个连续事件记录、或任何其他预定数量的事件记录相关联。可替换地或另外地，与防篡改记录200相关联的事件记录的数量可以基于存储在与防篡改记录200相关联的预定存储器范围中的事件记录的数量来动态地确定。报头210中的空间参考可标识与防篡改记录200相关联的存储器范围。

在另一个示例中，操作***122可将防篡改记录200与所选类型的事件相关联，诸如文件类型事件、用户类型事件或任何其他类型的事件。例如，考虑防篡改记录200与文件类型事件相关联。如果操作***122响应于文件类型事件而生成事件记录130a，则操作***122可以将事件记录130a与防篡改记录200相关联。在这种情况下，防篡改记录200的报头210可指示与防篡改记录200相关联的事件记录的类型的标识符。在上述示例中，报头210可包括文件类型事件的标识符。操作***122可将每个文件类型事件记录与防篡改记录200相关联。

在又一示例中，操作***122可将防篡改记录200与相同类型的一组连续事件记录相关联。一组连续事件记录中的事件记录的存储位置可以在防篡改记录200之前，反之亦然。例如，响应于检测到相同类型的两个或更多个连续事件，操作***122可生成防篡改记录200并将防篡改记录200与对应于事件而生成的事件记录相关联。例如，操作***122可生成相同类型的第一事件记录130a和第二事件记录130b。在这种情况下，操作***122可生成与第一事件记录130a和第二事件记录130b相关联的防篡改记录200。在其他示例中，防篡改记录200可与多于两个的相同类型的事件记录相关联。

在示例性实施例中，防篡改记录中的数字签名可以被配置为仅覆盖事件记录数据或覆盖防篡改记录(诸如元数据或报头)内的数据。如在此所使用的，术语覆盖表示用于生成数字签名的数据。换句话说，用于生成签名的数据被覆盖，而在签名生成过程中不使用的数据不被覆盖或未被覆盖。当创建要存储在防篡改记录中的第二数字签名时，必须考虑被两个签名覆盖或被签名中的仅一个签名覆盖的数据。

在一个实施例中，例如图3A所示的实施例。防篡改记录中的数字签名仅覆盖事件记录数据(即，签名不覆盖防篡改信息)，在两个数字签名所覆盖的数据之间没有冲突，并且签名可以独立地生成。在该实施例中，事件记录1到x被用于生成防篡改记录310中的两个签名，并且对于防篡改记录330，记录x+2到x+y也是如此。

在其它实施例中，例如图3B中所示的实施例，防篡改记录中的数字签名覆盖当前防篡改记录中的数据，问题更加复杂。如防篡改记录310中所示，通常存在需要作为签名的一部分而被覆盖的元数据(例如，用于生成签名的密码学方法)。

在示例性实施例中，随后的防篡改记录通常将在其数字签名中包括来自先前防篡改记录的信息，使得数字签名链接在一起以确保记录尚未被添加或删除(该防篡改记录330)。如图3B所示，来自先前防篡改记录330的所使用的数据片段的示例包括在新签名中。在这些实施例中，在记录验证期间，第一签名的验证不保证没有发生对事件日志的篡改，因为其没有覆盖第二签名所需的信息。必须验证与事件日志相关联的所有签名，以验证未发生篡改，尽管可以单独地验证签名。

现在参考图3A，示出了根据实施例的包括具有多个签名的防篡改记录的事件记录日志300。如图所示，事件日志300包括多个事件记录302、第一防篡改(T-R)记录310和第二防篡改(T-R)记录330。如图所示，第一T-R记录310包括报头312、元数据314、第一签名316、元数据318和第二签名320。报头312包括T-R记录310的时间戳。元数据314包括用于创建第一签名316的信息，诸如所使用的密码类型、所使用的事件记录302的空间信息等。第一签名316包括为事件记录302创建的数字签名。同样，元数据318包括用于创建第二签名320的信息，诸如所使用的密码类型、所使用的事件记录302的空间信息等。第二签名320包括为事件记录302创建的数字签名。在示例性实施例中，用于创建第一签名316和第二签名320的密码类型是不同的。

第二T-R记录330包括报头332、元数据334、第一签名336、元数据338和第二签名340。报头332包括T-R记录330的时间戳。元数据334包括用于创建第一签名336的信息，诸如所使用的密码类型、所使用的事件记录302的空间信息等。第一签名336包括为事件记录302创建的数字签名。同样，元数据338包括用于创建第二签名340的信息，诸如所使用的密码类型、所使用的事件记录302的空间信息等。第二签名340包括为事件记录302创建的数字签名。在示例性实施例中，用于创建第一签名316和第一签名336的密码类型是相同的，并且用于创建第二签名320和第二签名340的密码类型是相同的。

现在参考图3B，示出了根据实施例的包括具有多个签名的防篡改记录的事件记录日志300。类似于图3A中所示的事件日志300，事件日志300包括多个事件记录302、第一防篡改(T-R)记录310和第二防篡改(T-R)记录330。与图3A所示的实施例相对地，第一T-R记录310和第二T-R记录330中的签名316、320、336和340覆盖事件记录302中的数据之外的数据。例如，如图所示，签名316覆盖事件记录1至事件记录x、报头312和元数据314中的数据。同样，签名320覆盖事件记录1至事件记录X、报头312、元数据314、签名316和元数据318中的数据。如本领域普通技术人员将理解的，可以使用数据字段将被每个签名覆盖的各种组合。

图4示出了根据示例性实施例的生成防篡改记录的方法。处理器实现该方法。该方法包括由处理器响应于事件而生成事件记录，如框405所示。处理器检测事件的发生。例如，处理器可以被配置为检测预定事件类型的发生。响应于预定类型的事件的发生，处理器可以生成事件记录。处理器响应于事件记录的生成而生成防篡改记录，如框410所示。接下来，如框415所示，处理器对防篡改记录添加第一签名和第二签名。在示例性实施例中，至少部分地基于事件记录来创建第一签名和第二签名，并且使用不同的密码函数来创建第一签名和第二签名。

在示例性实施例中，防篡改记录还包括事件记录的空间参考，空间参考标识第一事件记录的存储器位置。在这些实施例中，至少部分地基于事件记录和事件记录的空间参考来创建第一签名。在示例性实施例中，基于事件记录、第一签名和事件记录的空间参考来创建第二签名。在处理器将签名添加到防篡改记录后，将防篡改记录存储在事件记录日志中，如框420所示。响应于用于检测第一事件记录的篡改的请求，处理器基于第一防篡改记录中的第一签名和第二签名来验证第一事件记录，如框425所示。

在示例性实施例中，第一防篡改记录包括在创建第一签名和第二签名时使用的密码函数的类型的标识。处理器进一步被配置为响应于由计算机执行第二事件而产生第二事件记录，第二事件在产生第一防篡改记录之后发生。处理器然后响应于第二事件记录被生成而生成第二防篡改记录。第二防篡改记录包括至少部分地基于第二事件记录而创建的第三签名，以及至少部分地基于第二事件记录而创建的第四签名，其中第一签名和第三签名是使用相同密码函数而创建的，且第二签名和第四签名是使用相同密码函数而创建的。在示例性实施例中，第三签名至少部分地基于第二事件记录和第一防篡改记录的至少一部分来创建。第四签名至少部分地基于第二事件记录、第三签名和第一防篡改记录的至少一部分来创建。

在示例性实施例中，事件记录***被配置为使得第二或第三数字签名的使用可以被选择性地启用或禁用，即，打开和关闭。在示例性实施例中，通过延迟启用或禁用直到写入防篡改记录，或者在接收到启用或禁用请求时立即生成防篡改记录，来在防篡改记录的边界上发生启用或禁用。

图5示出了根据实施例的具有多个签名的防篡改记录的启用。在示例性实施例中，在创建了包括报头512、元数据514和签名516的防篡改记录510之后，接收用于启用附加签名的使用的请求。指示添加第二签名的指示符被写入到指示发生签名改变的防篡改记录520的元数据字段524中。包括指示符的元数据524将被签名526覆盖，并且可选地被签名530覆盖。每个数字签名元数据524、528被存储在防篡改记录520中，并且生成每个签名526和530，从第一签名开始直到构建了防篡改记录520。在启用的情况下，第二签名可以不覆盖先前的防篡改记录(即，没有链接到先前记录)，或者可以覆盖先前记录的某个部分(例如，整个记录或与主签名相同的覆盖范围)。如果覆盖先前记录的某个部分，不用附加签名覆盖先前记录是足够的，因为第一签名已经覆盖先前记录。

图6示出了根据实施例的具有多个签名的防篡改记录的禁用。在示例性实施例中，在创建了包括报头612、元数据614、签名616、元数据618和签名620的防篡改记录610之后，接收用于禁用附加签名的使用的请求。指示第二签名被移除的指示符被写入防篡改记录630的元数据字段634，其指示发生签名改变并且防篡改记录630将仅包括单个签名636。在示例性实施例中，当签名选项被启用、禁用或更改时，后续防篡改记录上的记录链接可包括或可不包括当前防篡改记录。

防篡改记录的验证应当验证每个签名的元数据是一致的(即，先前记录和当前记录具有相同的元数据)，除非签名改变指示符也被设置。在启用时，可使用与记录生成期间所使用的覆盖相同的覆盖来确认数字签名(即，如果没有使用次级签名来覆盖先前记录，则验证可在计算运行散列时进行假设。)这是除了验证期间所进行的任何其他测试(时间计算、记录计数等)之外的。

在示例性实施例中，处理器可基于事件记录的报头210中的标识符来识别事件记录是防篡改记录还是典型的事件记录。处理器110可绕过或忽略防篡改记录200，例如除非处理器110执行事件记录日志127的规章符合审计。在审计期间，处理器110针对要被分析的每一相应事件记录识别防篡改记录200。处理器110通过将事件记录的内容与防篡改记录200的有效载荷220中的数字签名进行比较，来确定事件记录的内容是否被修改或被篡改。如果基于比较没有确认事件记录的内容的有效性，则处理器在审计报告中或以任何其他方式(诸如通过显示错误、可听注释或任何其他用户通知)标记事件记录。可替代地，如果比较确认事件记录是无篡改的，则处理器110继续分析下一事件记录并完成审计报告。

在贯穿本文所描述的示例中，处理器110可以将防篡改记录200与对应的事件记录相关联，而不修改事件记录。由于事件记录继续使用预定事件记录格式，所以读取和分析事件记录日志的任何现有基础设施和/或应用可以继续操作而没有任何改变。因此，可以以高效的方式将用于规章符合的防篡改添加到现有基础设施，而不引发修改现有过程的成本。

因此，由贯穿本申请所描述的示例解决的问题是在现有事件日志***中***防篡改同时保留使用现有日志数据的现有工作流和软件的能力。示例便于将日志数据中的数字签名作为附加的日志数据来传输，而无需修改使用现有日志API提供的数据。因此，通过以与其它被记录的事件记录相同的格式提供防篡改元数据，可以将防篡改元数据直接集成到现有的记录日志中。这提供了与现有工具兼容的使用便利性以及在移动所记录的事件记录时的便携性。防篡改信息与所记录的事件记录一起被显然地(transparently)承载。通过使用贯穿本申请所描述的技术方案，日志记录平台可以包括防篡改数据，而不影响原始平台的核心功能。

本文所用的术语仅是为了描述特定示例的目的，而不是旨在限制。如本文所用，单数形式“一”、“一个”和“该”旨在也包括复数形式，除非上下文另有明确指示。还将理解，在本说明书中使用术语“包括”和/或“包含”时，指定所陈述的特征、整数、步骤、操作、元件和/或组件的存在，但不排除一个或多个其它特征、整数、步骤、操作、元件、组件和/或其群组的存在或添加。

以下权利要求中的所有装置或步骤加功能元件的对应结构、材料、动作和等同物旨在包括用于与如具体要求保护的其它要求保护的元件组合执行功能的任何结构、材料或动作。本文档中的示例是出于说明和描述的目的而呈现的，并且不旨在是穷举的或限于所公开的形式的那些示例。在不背离本发明的范围和精神的情况下，对于本领域的普通技术人员来说许多修改和变化是显而易见的。选择和描述这些示例是为了最佳地解释技术方案的原理和实际应用，并且使本领域的其他普通技术人员能够理解具有各种修改的各种示例，这些修改适合于所设想的特定用途。

技术方案可以实现为***、方法和/或计算机程序产品。计算机程序产品可以包括其上具有计算机可读程序指令的计算机可读存储介质(或多个介质)，计算机可读程序指令用于使处理器执行技术方案的各方面。

计算机可读存储介质可以是能够保留和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质可以是例如但不限于电子存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或前述的任何合适的组合。计算机可读存储介质的更具体示例的非穷举列表包括以下：便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式光盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、诸如上面记录有指令的凹槽中的凸起结构或打孔卡的机械编码装置，以及上述的任何适当组合。如本文所使用的计算机可读存储介质不应被解释为暂时性信号本身，诸如无线电波或其他自由传播的电磁波、通过波导或其他传输介质传播的电磁波(例如，通过光纤线缆的光脉冲)、或通过导线传输的电信号。

本文描述的计算机可读程序指令可以从计算机可读存储介质下载到相应的计算/处理设备，或者经由网络(例如因特网、局域网、广域网和/或无线网络)下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或网络接口从网络接收计算机可读程序指令，并转发计算机可读程序指令以存储在相应计算/处理设备内的计算机可读存储介质中。

用于执行技术方案的操作的计算机可读程序指令可以是汇编指令、指令集架构(ISA)指令、机器相关指令、微代码、固件指令、状态设置数据，或者以一种或多种编程语言的任意组合编写的源代码或目标代码，编程语言包括面向对象的编程语言，例如Java、Smalltalk、C++等，以及常规的过程式编程语言，例如“C”编程语言或类似的编程语言。计算机可读程序指令可以完全在用户的计算机上执行，部分在用户的计算机上执行，作为独立的软件包执行，部分在用户的计算机上并且部分在远程计算机上执行，或者完全在远程计算机或服务器上执行。在后一种情况下，远程计算机可以通过任何类型的网络连接到用户的计算机，包括局域网(LAN)或广域网(WAN)，或者可以连接到外部计算机(例如，使用因特网服务提供商通过因特网)。在一些示例中，包括例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)的电子电路可以通过利用计算机可读程序指令的状态信息来执行计算机可读程序指令以使电子电路个性化，以便执行贯穿本申请所描述的方面。

本申请的方面在本文中参考方法、装置(***)和计算机程序产品的流程图和/或框图来描述。将理解，流程图和/或框图的每个框以及流程图和/或框图中的框的组合可以由计算机可读程序指令来实现。

这些计算机可读程序指令可以被提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器以产生机器，使得经由计算机或其他可编程数据处理装置的处理器执行的指令创建用于实现流程图和/或框图的一个或多个框中指定的功能/动作的装置。这些计算机可读程序指令还可以存储在计算机可读存储介质中，其可以引导计算机、可编程数据处理装置和/或其他设备以特定方式工作，使得其中存储有指令的计算机可读存储介质包括制品，该制品包括实现流程图和/或框图的一个或多个框中指定的功能/动作的各方面的指令。

计算机可读程序指令还可以被加载到计算机、其他可编程数据处理装置或其他设备上，以使得在计算机、其他可编程装置或其他设备上执行一系列操作步骤，以产生计算机实现的过程，使得在计算机、其他可编程装置或其他设备上执行的指令实现流程图和/或框图的一个或多个框中指定的功能/动作。

附图中的流程图和框图示出了根据贯穿本文所描述的各种示例的***、方法和计算机程序产品的可能实现的架构、功能和操作。在这点上，流程图或框图中的每个框可以表示指令的部分、段或模块，其包括用于实现指定的逻辑功能的一个或多个可执行指令。在一些替代实施方案中，框中所提及的功能可不按图中所提及的次序发生。例如，连续示出的两个框实际上可以基本上同时执行，或者这些框有时可以以相反的顺序执行，这取决于所涉及的功能。还将注意，框图和/或流程图的每个框以及框图和/或流程图中的框的组合可以由执行指定功能或动作或执行专用硬件和计算机指令的组合的专用的基于硬件的***来实现。

Claims (10)

1.一种计算机实现的方法，用于通过向一个或多个事件的日志添加防篡改来保护所述日志，所述方法包括以下步骤：

由处理器响应于由所述计算机执行的事件而生成第一事件记录；

由所述处理器响应于所述第一事件记录被生成而生成第一防篡改记录，其中，所述第一防篡改记录包括：

至少部分地基于所述第一事件记录而创建的第一签名；以及

至少部分地基于所述第一事件记录而创建的第二签名；以及

响应于用于检测对所述第一事件记录的篡改的请求，基于所述第一防篡改记录中的所述第一签名和所述第二签名来验证所述第一事件记录。

2.根据权利要求1所述的计算机实现的方法，其中，所述第一防篡改记录还包括在创建所述第一签名和所述第二签名时使用的密码函数的类型的标识。

3.根据权利要求1所述的计算机实现的方法，其中，所述第一防篡改记录还包括所述第一事件记录的空间参考，所述空间参考标识所述第一事件记录。

4.根据权利要求3所述的计算机实现的方法，其中，所述第二签名是至少部分地基于所述第一事件记录、所述第一事件记录的所述空间参考和所述第一签名来创建的。

5.根据权利要求1所述的计算机实现的方法，还包括：

响应于由所述计算机执行的第二事件，由所述处理器生成所述第二事件记录，所述第二事件在所述第一防篡改记录被生成之后发生；

响应于生成所述第二事件记录，由所述处理器生成第二防篡改记录，其中，所述第二防篡改记录包括：

至少部分地基于所述第二事件记录而创建的第三签名；以及

至少部分地基于所述第二事件记录而创建的第四签名，其中，所述第一签名和所述第三签名是使用相同的密码函数创建的，并且所述第二签名和所述第四签名是使用相同的密码函数创建的；以及

响应于用于检测对所述第二事件记录的篡改的请求，基于所述第二防篡改记录中的所述第三签名和所述第四签名来验证所述第二事件记录。

6.根据权利要求5所述的计算机实现的方法，其中，所述第三签名是至少部分地基于所述第二事件记录和所述第一防篡改记录的至少一部分来创建的。

7.根据权利要求5所述的计算机实现的方法，其中，所述第四签名是至少部分地基于所述第二事件记录、所述第三签名和所述第一防篡改记录的至少一部分来创建的。

8.根据权利要求1所述的计算机实现的方法，其中，所述第一签名和所述第二签名是使用不同的密码函数创建的。

9.一种***，包括适于执行根据任一前述方法权利要求所述的方法的所有步骤的装置。

10.一种计算机程序，包括当所述计算机程序在计算机***上执行时，用于执行根据任一前述方法权利要求所述的方法的所有步骤的指令。

Images