WO2016065787A1 - 一种rdp数据采集装置及方法 - Google Patents

一种rdp数据采集装置及方法 Download PDF

Info

Publication number
WO2016065787A1
WO2016065787A1 PCT/CN2015/074083 CN2015074083W WO2016065787A1 WO 2016065787 A1 WO2016065787 A1 WO 2016065787A1 CN 2015074083 W CN2015074083 W CN 2015074083W WO 2016065787 A1 WO2016065787 A1 WO 2016065787A1
Authority
WO
WIPO (PCT)
Prior art keywords
rdp
data
server
client
collection device
Prior art date
Application number
PCT/CN2015/074083
Other languages
English (en)
French (fr)
Inventor
叶晓舟
樊皓
程维佳
郑艳伟
袁鼎
宋磊
Original Assignee
中国科学院声学研究所
北京中科智网科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中国科学院声学研究所, 北京中科智网科技有限公司 filed Critical 中国科学院声学研究所
Priority to EP15854818.0A priority Critical patent/EP3203700A4/en
Priority to JP2017523331A priority patent/JP6391823B2/ja
Publication of WO2016065787A1 publication Critical patent/WO2016065787A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network

Definitions

  • the present invention relates to the field of network communications, and in particular, to an RDP data collection apparatus and method.
  • RDP Remote Desktop Protocol
  • Microsoft Corporation is a communication protocol proposed by Microsoft Corporation. It is mainly used to implement multi-user mode under Windows operating system. It is used to remotely access applications running on Windows terminal servers. The logical execution is separated from the user interface.
  • the server side uses the video driver to describe the display output, constructs the description information to the network data packet using the RDP protocol, and sends it to the client through the network; on the client side, the video driver receives the description information, which is processed and displayed.
  • client mouse and keyboard messages are sent directly from the client to the server; on the server side, RDP uses its own virtual mouse and keyboard driver to receive these mouse and keyboard events.
  • the auditing system helps to document the wide variety of sessions and events that occur in critical information systems, including in the network, in the host operating system, and in the application system. These audit information reflects the basic trajectory of the operation of the information system. On the one hand, it can help management and auditors review the operation of information systems in compliance with laws and regulations and the organization's security policies; on the other hand, these valuable audit information is like an aircraft in the event of information system failures and security incidents. Like the "black box,” the investigator is allowed to dig deeper into the intelligence behind the incident, rebuild the incident process, until the complete analysis of the origin of the incident, and deploy further measures to avoid the recurrence of losses.
  • the RDP data collection device Before the audit system performs the audit, it needs to have the data collection device to provide the basic data for auditing. As shown in FIG. 1 , the RDP data collection device in the prior art needs to establish a TCP connection with the server and the client respectively, and then perform operations such as data collection, RDP decryption, and RDP plaintext log generation. The device needs to maintain the information of the TCP connection for a long time while working, and the overhead of the system resources is large.
  • the object of the present invention is to overcome the defects that the RDP data collection device in the prior art needs to maintain the TCP connection information and the system resource overhead for a long time, thereby providing an RDP with less time overhead and system resource overhead. Data acquisition device.
  • the present invention provides an RDP data collection apparatus, including: an IP data forwarding module, an RDP processing module, and an RDP log generation module; wherein the IP data forwarding module is responsible for receiving data packets in the network and forwarding The data packet processed by itself; the RDP processing module is responsible for acquiring key information in the RDP session data transmission process, and decrypting the ciphertext data; the RDP log generation module generates an RDP session log according to a certain rule and data format. .
  • the IP data forwarding module after receiving the data packet on the network, reassembles the IP packet, reassembles the TCP packet, and performs TCP retransmission processing if the data packet is a retransmission packet; Determine the type of the message. If it is an RDP packet, submit the RDP packet to the RDP processing module. After the RDP processing module finishes processing, receive the RDP packet submitted by the RDP processing module and forward it to the network. If not, RDP. Packets are forwarded directly to the network.
  • the processing of the RDP data packet by the RDP processing module is divided into: an RDP connection authentication phase and an RDP data transmission phase;
  • the RDP processing module replaces the server RSA public key with the RSA public key of the RDP data collection device, and uses the client random string and the server-side random string negotiation to obtain the client for the data transmission phase. End and server RC4 encryption key; the RDP processing module also implements identity authentication processing;
  • the RDP processing module copies a copy of the received RDP data packet, and then submits the original data directly to the IP data forwarding module for forwarding without any modification; the copied data is decrypted by the RC4 key. The decrypted data is then submitted to the RDP log module to generate an RDP log.
  • the RDP processing module replaces the server RSA public key with the RSA public key of the RDP data collection device, including:
  • Extracting the server RSA public key sent by the RDP server to the client, replacing the server RSA public key with the RSA public key of the RDP data collection device, and the replaced server RSA public key information is stored in the X.509 certificate. Or stored in a format given by the RDP; if the RSA public key information of the server is stored in the X.509 certificate, the root certificate needs to be replaced.
  • the RDP processing module uses the client random string and the server-side random string negotiation to obtain the RC4 encryption key for the client and the server in the data transmission phase, including:
  • the client random string information is sent to the server;
  • the RC4 encryption key for the client and the server for the data transmission phase is obtained by the client random string and the server random string negotiation.
  • the identity authentication process is implemented by: extracting an identity authentication information field sent by the RDP client to the server, decrypting by using the private key of the RDP data collection device, and then transmitting by using the RSA public key of the server. To the server.
  • the RDP log generation module records the complete behavior of the user in a log according to a client-operating-server response mode according to the data submitted by the RDP processing module.
  • the data format of the log includes: a 1-byte log identifier start bit, a 4-byte log length, an n-byte data, and a 1-byte log identifier end bit;
  • the n-byte data content adopts the format of "type-length-value", where 1 byte represents the type, 4 bytes represents the value length, and m bytes represents the value; the type includes: login time, client port number, Client IP address, server port number, server IP address, data ID, session ID, domain name, login name, login password, extracted data type, and extracted data.
  • the RDP data acquisition device of the present invention is separated from the TCP/IP protocol stack during data acquisition, and only uses some functions of IP reassembly, TCP reassembly, and TCP retransmission in the TCP/IP protocol stack, which greatly simplifies.
  • the processing of receiving and forwarding data packets reduces the processing time overhead;
  • the RDP data collection device of the present invention does not establish a TCP connection to the client and the server, and does not need to maintain the information of the TCP connection, thereby saving system resource overhead;
  • the generated RDP logs can help management and auditors to review whether users' RDP logins and operations comply with legal and regulatory requirements and the organization's security policies; in the event of failures and security incidents, the RDP logs can help the investigator Dig deep into the process of rebuilding the event until a complete analysis and location event, and Deploy further steps to avoid failures or security incidents.
  • FIG. 1 is a schematic diagram of a communication process of an RDP data collection device in the prior art
  • FIG. 2 is a schematic diagram showing the connection position of the RDP data collection device of the present invention.
  • FIG. 3 is a functional block diagram of an RDP data collection device of the present invention.
  • FIG. 5 is a schematic diagram of a communication process of the RDP data collection device of the present invention.
  • the RDP data collection device of the present invention is located between the client and the server, and the device can collect data of the RDP session message and generate an RDP session log for auditing.
  • the RDP data collection device of the present invention does not use the TCP/IP protocol stack, and processes data packets of the transport layer (TCP) and the application layer (various protocols) directly in the network layer during the data acquisition process.
  • the RDP data collection device of the present invention includes an IP data forwarding module, an RDP processing module, and an RDP log generation module.
  • the IP data forwarding module is responsible for receiving data packets in the network and forwarding the data packets processed by itself;
  • the RDP processing module is responsible for acquiring key information in the RDP session data transmission process, and decrypting the ciphertext data.
  • the RDP log generation module generates an RDP session log according to certain rules and data formats.
  • the IP data forwarding module After receiving the data packet on the network, the IP data forwarding module reassembles the IP packet, reassembles the TCP packet, and performs TCP retransmission processing if the data packet is a retransmission packet; and then determines the packet type. If it is an RDP data packet, the RDP data packet is submitted to the RDP processing module, and after waiting for the RDP processing module to complete the processing, the RDP data packet submitted by the RDP processing module is received, and then forwarded to the network, if not the RDP data packet, directly Forward to the network.
  • the RDP processing module processes the RDP data packet into two phases, an RDP connection authentication phase and an RDP data transmission phase.
  • the RDP processing module mainly performs two tasks, one is to obtain a key, and the other is an identity authentication process.
  • the RDP processing module obtains a key by extracting a server-side random string information and an RSA public key that are sent by the RDP server to the client for key agreement negotiation, and replacing the server-side RSA public key with the RSA of the RDP data collection device.
  • Key the RSA public key of the RDP data collection device and the server-side random string information are forwarded to the client; the replaced server-side RSA public key information is stored in the X.509 certificate, and may also be stored in the RDP.
  • the server RSA public key information is stored in the X.509 certificate, after the public key is replaced, the root certificate needs to be replaced to satisfy the client's verification of the server identity.
  • the RDP processing module extracts the encrypted random string information sent by the RDP client to the server for key negotiation, decrypts the private string of the client by using the private key of the RDP data collection device, and then encrypts the RSA public key of the server. Send the encrypted client random string information to the server.
  • the RDP processing modules of the server, the client, and the RDP data collection device all have a client-side random string and a server-side random string, and the client-side random string and the server-side random string can be used.
  • the RDP processing module implements the identity authentication process by extracting the identity authentication information field sent by the RDP client to the server, decrypting it with the private key of the RDP data collection device, and then encrypting it with the RSA public key of the server and sending it to the server.
  • the RDP processing module forwards the RDP data packet subjected to the RSA public key replacement and identity authentication processing to the IP data forwarding module for forwarding.
  • the RDP processing module involves modifying the packet when acquiring the key and the identity authentication processing operation.
  • the modified packet message authentication code needs to be recalculated.
  • the RDP processing module copies a copy of the received RDP data packet, and then submits the original data directly to the IP data forwarding module for forwarding without any modification; the copied data is decrypted by the RC4 key. The decrypted data is then submitted to the RDP log module to generate an RDP log.
  • the RDP log generation module records the complete behavior of the user in a log according to the data submitted by the RDP processing module according to the client operation-server response mode.
  • the log format content includes: a 1-byte log identifier start bit, a 4-byte log length, n-byte data, and a 1-byte log identifier end bit.
  • the n-byte data content adopts TLV (Type-Length-Value), 1-byte Type, 4-byte numerical length, and m-byte value.
  • the types of data include: login time, client port number, client IP address, server port number, server IP address, data ID, session ID, domain name, login name, login password, extracted data type, and extracted data. Wait.
  • the generated RDP logs can be cached locally (local cached data can be exported to the audit department for auditing when needed), or sent directly to a dedicated auditing system for auditing.
  • the RDP data collection device of the present invention does not cooperate with the client or the service.
  • the end establishes a TCP connection. Therefore, the RDP data collection device is equivalent to an intelligent switch, and does not need to maintain information of the TCP connection, thereby effectively saving system resource overhead.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种RDP数据采集装置，包括：IP数据转发模块、RDP处理模块以及RDP日志生成模块；其中，所述IP数据转发模块负责接收网络中的数据包，并转发经过自身处理的数据包；所述RDP处理模块负责获取RDP会话数据传输过程中的密钥信息，并对密文数据进行解密；所述RDP日志生成模块根据一定的规则和数据格式生成RDP会话日志。

Description

一种RDP数据采集装置及方法 技术领域
本发明涉及网络通信领域，特别涉及一种RDP数据采集装置及方法。
背景技术
RDP(Remote Desktop Protocol，远程桌面协议)是由微软公司提出的一种通讯协议，主要用于实现Windows操作***下的多用户模式，用于远程访问运行在Windows终端服务器上的应用程序，将应用的逻辑执行和用户界面分离开来。
服务器端通过使用视频驱动程序描述显示输出，构造描述信息到使用RDP协议的网络数据包，通过网络发送到客户端；在客户端，视频驱动程序接收到描述信息，经过处理并显示出来。在输入过程中，客户端鼠标和键盘消息从客户端直接传送到服务器端；在服务器端，RDP使用自己的虚拟鼠标和键盘驱动程序去接收这些鼠标和键盘事件。
作为当前网络信息安全业界一个逐渐得到公认的事实：在安全事件造成的损失中，有75％以上来自内部，其中包括内部人员的越权访问、滥用、以及误操作等。分析这些内部安全威胁没有得到有效控制的根源，可以发现下列主要因素：审计体系没有有效工作或者根本没有、不具备完整的访问授权机制，不具备完善的职责分离机制，人员安全意识和技能方面的不足等。其中，缺少可信的、完备的审计***是目前普遍存在、首当其冲的最重要的根源因素，必须严肃研究对待。
审计***帮助记录发生在重要信息***中各种各样的会话和事件，包括网络中的、主机操作***中，也包括应用***中的。这些审计信息反映了信息***运行的基本轨迹。一方面，它可以帮助管理层和审计者审核信息***的运行是否符合法律法规的要求和组织的安全策略；另一方面，这些宝贵的审计信息在信息***出现故障和安全事故时，就像航空器“黑盒子”一样，帮助调查者深入挖掘事件背后的情报，重建事件过程，直至完整的分析定位事件的本源，并部署进一步的措施来避免损失的再次发生。
审计***在做审计前，需要有数据采集装置为其提供审计用的基础数据。如图1所示，现有技术中的RDP数据采集装置在工作时，需要与服务端和客户端分别建立一个TCP连接，然后再进行数据采集、RDP解密、生成RDP明文日志等操作。该装置在工作时需要长时间地维护TCP连接的信息，***资源的开销很大。
发明内容
本发明的目的在于克服现有技术中的RDP数据采集装置需要长时间维护TCP连接的信息、***资源开销大的缺陷，从而提供一种时间开销与***资源开销都较小的RDP 数据采集装置。
为了实现上述目的，本发明提供了一种RDP数据采集装置，包括：IP数据转发模块、RDP处理模块以及RDP日志生成模块；其中，所述IP数据转发模块负责接收网络中的数据包，并转发经过自身处理的数据包；所述RDP处理模块负责获取RDP会话数据传输过程中的密钥信息，并对密文数据进行解密；所述RDP日志生成模块根据一定的规则和数据格式生成RDP会话日志。
上述技术方案中，所述IP数据转发模块接收到网络上的数据报文后，对IP包进行重组，对TCP包进行重组，若数据包为重传包则还要进行TCP重传处理；然后判断报文的类别，若为RDP数据包，将RDP数据包提交给RDP处理模块，等待RDP处理模块处理完成后，接收RDP处理模块提交过来的RDP数据包，再转发到网络上，若不是RDP数据包，则直接转发到网络上。
上述技术方案中，所述RDP处理模块对RDP数据包的处理分为：RDP连接认证阶段和RDP数据传输阶段；
在RDP连接认证阶段，所述RDP处理模块将服务端RSA公钥替换为RDP数据采集装置的RSA公钥，并利用客户端随机字符串和服务端随机字符串协商得到用于数据传输阶段的客户端和服务端的RC4加密密钥；所述RDP处理模块还实现了身份认证处理；
在RDP数据传输阶段，RDP处理模块对所接收的RDP数据包拷贝一份数据，然后将原始数据直接提交给IP数据转发模块转发出去，不做任何改动；将拷贝数据通过RC4密钥进行解密，然后将解密后的数据提交给RDP日志模块以生成RDP日志。
上述技术方案中，所述RDP处理模块将服务端RSA公钥替换为RDP数据采集装置的RSA公钥包括：
提取RDP服务端发送给客户端的服务端RSA公钥，将所述服务端RSA公钥替换为RDP数据采集装置的RSA公钥，被替换的服务端RSA公钥信息会存放在X.509证书中，或存放在RDP给定的一个格式中；若所述服务端RSA公钥信息存放在X.509证书中，则还需要对根证书进行替换。
上述技术方案中，所述RDP处理模块利用客户端随机字符串和服务端随机字符串协商得到用于数据传输阶段的客户端和服务端的RC4加密密钥包括：
提取RDP服务端发送给客户端密钥协商的服务端随机字符串信息，然后发送给客户端；
提取RDP客户端发送给服务端密钥协商的加密随机字符串信息，用RDP数据采集装置的私钥进行解密提取出客户端随机字符串，再用服务端的RSA公钥进行加密，将加密后的客户端随机字符串信息发送给服务端；
由所述客户端随机字符串和服务端随机字符串协商，得到用于数据传输阶段的客户端和服务端的RC4加密密钥。
上述技术方案中，所述身份认证处理通过以下操作实现：提取RDP客户端发送给服务端的身份认证信息字段，用RDP数据采集装置的私钥进行解密，再用服务端的RSA公钥进行加密后发送给服务端。
上述技术方案中，所述RDP日志生成模块依据RDP处理模块递交过来的数据，根据客户端操作-服务端响应模式，将用户的一次完整行为以一定的数据格式记录在一条日志里。
上述技术方案中，所述日志的数据格式包括：1字节的日志标识起始位，4字节的日志长度，n字节的数据，1字节的日志标识结束位；其中，
n字节数据内容采用“类型-长度-数值”的格式，其中的1字节表示类型，4字节表示数值长度，m字节表示数值；所述类型包括：登陆时间、客户端端口号、客户端IP地址、服务端端口号、服务端IP地址、数据ID、会话ID、域名、登陆名称、登陆密码、提取的数据类型以及提取的数据。
本发明的优点在于：
首先，本发明的RDP数据采集装置在做数据采集时脱离了TCP/IP协议栈，只用到了TCP/IP协议栈里IP重组、TCP重组以及TCP重传的部分功能，极大程度地简化了数据包接收转发的处理，减少了处理时间开销；
其次，本发明的RDP数据采集装置对客户端和服务端都不建立TCP连接，不用维护TCP连接的信息，节省***资源开销；
最后，通过生成的RDP日志能够帮助管理层和审计者审核用户进行RDP登录和操作是否符合法律法规的要求和组织的安全策略；在出现故障和安全事故时，通过生成的RDP日志能够帮助调查者深入挖掘，重建事件过程，直至完整的分析和定位事件，并 部署进一步的措施来避免故障或安全事故。
附图说明
图1为现有技术中的RDP数据采集装置的通信过程示意图；
图2为本发明的RDP数据采集装置的连接位置示意图；
图3为本发明的RDP数据采集装置的功能模块图；
图4为本发明的RDP数据采集装置中的各个功能模块对数据包的处理流程图；
图5为本发明的RDP数据采集装置的通信过程示意图。
具体实施方式
现结合附图对本发明作进一步的描述。
如图2所示，本发明的RDP数据采集装置位于客户端与服务端之间，该装置能够对RDP会话消息进行数据采集，生成RDP会话日志，以供审计。本发明的RDP数据采集装置不采用TCP/IP协议栈，在数据采集过程中，直接在网络层中对传输层(TCP)和应用层(各种协议)的数据报文进行处理。
如图3所示，本发明的RDP数据采集装置包括：IP数据转发模块、RDP处理模块以及RDP日志生成模块。其中，所述IP数据转发模块负责接收网络中的数据包，并转发经过自身处理的数据包；所述RDP处理模块负责获取RDP会话数据传输过程中的密钥信息，并对密文数据进行解密；所述RDP日志生成模块根据一定的规则和数据格式生成RDP会话日志。
下面结合图4对本发明的RDP数据采集装置中的各个模块做进一步的说明。
所述IP数据转发模块接收到网络上的数据报文后，对IP包进行重组，对TCP包进行重组，若数据包为重传包则还要进行TCP重传处理；然后判断报文的类别，若为RDP数据包，将RDP数据包提交给RDP处理模块，等待RDP处理模块处理完成后，接收RDP处理模块提交过来的RDP数据包，再转发到网络上，若不是RDP数据包，则直接转发到网络上。
所述RDP处理模块对RDP数据包的处理分为两个阶段，RDP连接认证阶段和RDP数据传输阶段。
在RDP连接认证阶段，RDP处理模块主要完成两个任务，一是获取密钥，二是身份认证处理。
RDP处理模块通过以下操作获取密钥：提取RDP服务端发送给客户端密钥协商的服务端随机字符串信息以及RSA公钥，将其中的服务端RSA公钥替换为RDP数据采集装置的RSA公钥，所述RDP数据采集装置的RSA公钥以及服务端随机字符串信息都会被转发给客户端；被替换的服务端RSA公钥信息会存放在X.509证书中，也可能会存放在RDP给定的一个特殊格式中，其中，若服务端RSA公钥信息存放在X.509证书中，则在公钥替换后，还需要对根证书进行替换，以满足客户端对服务端身份的验证；RDP处理模块提取RDP客户端发送给服务端密钥协商的加密随机字符串信息，用RDP数据采集装置的私钥进行解密提取出客户端随机字符串，再用服务端的RSA公钥进行加密，将加密后的客户端随机字符串信息发送给服务端。通过RDP处理模块的上述操作，服务端、客户端、RDP数据采集装置的RDP处理模块都具有了客户端随机字符串和服务端随机字符串，利用客户端随机字符串和服务端随机字符串可协商得到数据传输阶段的客户端和服务端的RC4加密密钥。
RDP处理模块通过以下操作实现身份认证处理：提取RDP客户端发送给服务端的身份认证信息字段，用RDP数据采集装置的私钥进行解密，再用服务端的RSA公钥进行加密后发送给服务端。
RDP处理模块将上述经过RSA公钥替换与身份认证处理的RDP数据包递交给IP数据转发模块转发出去。RDP处理模块在获取密钥与身份认证处理操作时都涉及到对报文的修改，对于修改后的报文消息认证码需要进行重新计算。
在RDP数据传输阶段，RDP处理模块对所接收的RDP数据包拷贝一份数据，然后将原始数据直接提交给IP数据转发模块转发出去，不做任何改动；将拷贝数据通过RC4密钥进行解密，然后将解密后的数据提交给RDP日志模块以生成RDP日志。
所述RDP日志生成模块依据RDP处理模块递交过来的数据，根据客户端操作-服务端响应模式，将用户的一次完整行为记录在一条日志里。在本实施例中，日志格式内容包括：1字节的日志标识起始位，4字节的日志长度，n字节的数据，1字节的日志标识结束位。n字节数据内容采用TLV(Type-Length-Value)，1字节Type，4字节数值长度，m字节数值。数据的类型包括：登陆时间、客户端端口号、客户端IP地址、服务端端口号、服务端IP地址、数据ID、会话ID、域名、登陆名称、登陆密码、提取的数据类型以及提取的数据等。所生成的RDP日志可以本地缓存(本地缓存数据在需要时可导出给审计部门审计)，也可以直接发送到专门的审计***上进行审计。
将图5与图1进行比较可以发现，本发明的RDP数据采集装置不与客户端或服务 端建立TCP连接，因此该RDP数据采集装置相当于一个智能交换机，无需维护TCP连接的信息，能够有效地节省***资源开销。
最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (8)

  1. 一种RDP数据采集装置，其特征在于，包括：IP数据转发模块、RDP处理模块以及RDP日志生成模块；其中，所述IP数据转发模块负责接收网络中的数据包，并转发经过自身处理的数据包；所述RDP处理模块负责获取RDP会话数据传输过程中的密钥信息，并对密文数据进行解密；所述RDP日志生成模块根据一定的规则和数据格式生成RDP会话日志。
  2. 根据权利要求1所述的RDP数据采集装置，其特征在于，所述IP数据转发模块接收到网络上的数据报文后，对IP包进行重组，对TCP包进行重组，若数据包为重传包则还要进行TCP重传处理；然后判断报文的类别，若为RDP数据包，将RDP数据包提交给RDP处理模块，等待RDP处理模块处理完成后，接收RDP处理模块提交过来的RDP数据包，再转发到网络上，若不是RDP数据包，则直接转发到网络上。
  3. 根据权利要求1所述的RDP数据采集装置，其特征在于，所述RDP处理模块对RDP数据包的处理分为：RDP连接认证阶段和RDP数据传输阶段；
    在RDP连接认证阶段，所述RDP处理模块将服务端RSA公钥替换为RDP数据采集装置的RSA公钥，并利用客户端随机字符串和服务端随机字符串协商得到用于数据传输阶段的客户端和服务端的RC4加密密钥；所述RDP处理模块还实现了身份认证处理；
    在RDP数据传输阶段，RDP处理模块对所接收的RDP数据包拷贝一份数据，然后将原始数据直接提交给IP数据转发模块转发出去，不做任何改动；将拷贝数据通过RC4密钥进行解密，然后将解密后的数据提交给RDP日志模块以生成RDP日志。
  4. 根据权利要求3所述的RDP数据采集装置，其特征在于，所述RDP处理模块将服务端RSA公钥替换为RDP数据采集装置的RSA公钥包括：
    提取RDP服务端发送给客户端的服务端RSA公钥，将所述服务端RSA公钥替换为RDP数据采集装置的RSA公钥，被替换的服务端RSA公钥信息会存放在X.509证书中，或存放在RDP给定的一个格式中；若所述服务端RSA公钥信息存放在X.509证书中，则还需要对根证书进行替换。
  5. 根据权利要求3所述的RDP数据采集装置，其特征在于，所述RDP处理模块 利用客户端随机字符串和服务端随机字符串协商得到用于数据传输阶段的客户端和服务端的RC4加密密钥包括：
    提取RDP服务端发送给客户端密钥协商的服务端随机字符串信息，然后发送给客户端；
    提取RDP客户端发送给服务端密钥协商的加密随机字符串信息，用RDP数据采集装置的私钥进行解密提取出客户端随机字符串，再用服务端的RSA公钥进行加密，将加密后的客户端随机字符串信息发送给服务端；
    由所述客户端随机字符串和服务端随机字符串协商，得到用于数据传输阶段的客户端和服务端的RC4加密密钥。
  6. 根据权利要求3所述的RDP数据采集装置，其特征在于，所述身份认证处理通过以下操作实现：提取RDP客户端发送给服务端的身份认证信息字段，用RDP数据采集装置的私钥进行解密，再用服务端的RSA公钥进行加密后发送给服务端。
  7. 根据权利要求1所述的RDP数据采集装置，其特征在于，所述RDP日志生成模块依据RDP处理模块递交过来的数据，根据客户端操作-服务端响应模式，将用户的一次完整行为以一定的数据格式记录在一条日志里。
  8. 根据权利要求7所述的RDP数据采集装置，其特征在于，所述日志的数据格式包括：1字节的日志标识起始位，4字节的日志长度，n字节的数据，1字节的日志标识结束位；其中，
    n字节数据内容采用“类型-长度-数值”的格式，其中的1字节表示类型，4字节表示数值长度，m字节表示数值；所述类型包括：登陆时间、客户端端口号、客户端IP地址、服务端端口号、服务端IP地址、数据ID、会话ID、域名、登陆名称、登陆密码、提取的数据类型以及提取的数据。
PCT/CN2015/074083 2014-10-31 2015-03-12 一种rdp数据采集装置及方法 WO2016065787A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP15854818.0A EP3203700A4 (en) 2014-10-31 2015-03-12 Rdp data collection apparatus and method
JP2017523331A JP6391823B2 (ja) 2014-10-31 2015-03-12 Ｒｄｐデータ収集装置及び方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2014106017345 2014-10-31
CN201410601734.5A CN105592121B (zh) 2014-10-31 2014-10-31 一种rdp数据采集装置及方法

Publications (1)

Publication Number Publication Date
WO2016065787A1 true WO2016065787A1 (zh) 2016-05-06

Family

ID=55856494

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/074083 WO2016065787A1 (zh) 2014-10-31 2015-03-12 一种rdp数据采集装置及方法

Country Status (4)

Country Link
EP (1) EP3203700A4 (zh)
JP (1) JP6391823B2 (zh)
CN (1) CN105592121B (zh)
WO (1) WO2016065787A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110650014A (zh) * 2019-08-16 2020-01-03 威富通科技有限公司 一种基于hessian协议的签名认证方法、***、设备及存储介质

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107786609A (zh) * 2016-08-30 2018-03-09 中国科学院声学研究所 一种远程桌面协议的采集回放***及方法
CN109286598B (zh) * 2017-07-20 2020-12-01 中国科学院声学研究所 一种tls通道加密的rdp协议明文数据采集***及方法
KR102326296B1 (ko) * 2020-11-06 2021-11-15 (주)시스코프 Rdp 활용시 접근제어 방법, 접근제어 서버 및 접근제어 시스템
CN112491602B (zh) * 2020-11-17 2023-09-26 中国平安财产保险股份有限公司 行为数据的监控方法、装置、计算机设备及介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101848214A (zh) * 2010-04-30 2010-09-29 南京德讯信息***有限公司 基于rdp审计数据的任意定位回放方法及***
CN102215265A (zh) * 2011-06-14 2011-10-12 杭州思福迪信息技术有限公司 实现远程虚拟桌面访问统一管理和监控的***及方法
CN102223368A (zh) * 2011-06-14 2011-10-19 杭州思福迪信息技术有限公司 在远程桌面传输协议监控时实现操作识别的***及方法
CN102571773A (zh) * 2011-12-27 2012-07-11 浙江省电力公司 一种信息安全综合审计***和方法
US20130191631A1 (en) * 2012-01-24 2013-07-25 Ssh Communications Security Corp Auditing and policy control at SSH endpoints
CN103365655A (zh) * 2013-06-20 2013-10-23 广州赛姆科技资讯有限公司 安全监察***操作轨迹记录方法
CN103973781A (zh) * 2014-04-29 2014-08-06 上海上讯信息技术股份有限公司 一种基于代理服务器的屏幕监控方法及其***

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006279938A (ja) * 2005-03-01 2006-10-12 Matsushita Electric Works Ltd 暗号通信復号装置
JP4649253B2 (ja) * 2005-03-30 2011-03-09 株式会社野村総合研究所 ログ取得プログラムおよび方法
US20070174429A1 (en) * 2006-01-24 2007-07-26 Citrix Systems, Inc. Methods and servers for establishing a connection between a client system and a virtual machine hosting a requested computing environment
JP2010198386A (ja) * 2009-02-25 2010-09-09 Nippon Telegr & Teleph Corp <Ntt> 不正アクセス監視システムおよび不正アクセス監視方法
US9009219B2 (en) * 2010-01-27 2015-04-14 Vmware, Inc. Native viewer use for service results from a remote desktop
JP5655191B2 (ja) * 2011-06-28 2015-01-21 日本電信電話株式会社 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム
CN103401872B (zh) * 2013-08-05 2016-12-28 北京工业大学 基于rdp改进协议的防止和检测中间人攻击的方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101848214A (zh) * 2010-04-30 2010-09-29 南京德讯信息***有限公司 基于rdp审计数据的任意定位回放方法及***
CN102215265A (zh) * 2011-06-14 2011-10-12 杭州思福迪信息技术有限公司 实现远程虚拟桌面访问统一管理和监控的***及方法
CN102223368A (zh) * 2011-06-14 2011-10-19 杭州思福迪信息技术有限公司 在远程桌面传输协议监控时实现操作识别的***及方法
CN102571773A (zh) * 2011-12-27 2012-07-11 浙江省电力公司 一种信息安全综合审计***和方法
US20130191631A1 (en) * 2012-01-24 2013-07-25 Ssh Communications Security Corp Auditing and policy control at SSH endpoints
CN103365655A (zh) * 2013-06-20 2013-10-23 广州赛姆科技资讯有限公司 安全监察***操作轨迹记录方法
CN103973781A (zh) * 2014-04-29 2014-08-06 上海上讯信息技术股份有限公司 一种基于代理服务器的屏幕监控方法及其***

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3203700A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110650014A (zh) * 2019-08-16 2020-01-03 威富通科技有限公司 一种基于hessian协议的签名认证方法、***、设备及存储介质
CN110650014B (zh) * 2019-08-16 2022-08-05 威富通科技有限公司 一种基于hessian协议的签名认证方法、***、设备及存储介质

Also Published As

Publication number Publication date
CN105592121B (zh) 2018-10-02
EP3203700A1 (en) 2017-08-09
JP2017532916A (ja) 2017-11-02
JP6391823B2 (ja) 2018-09-19
CN105592121A (zh) 2016-05-18
EP3203700A4 (en) 2017-10-18

Similar Documents

Publication Publication Date Title
CN101051904B (zh) 一种保护网络应用程序使用账号密码进行登录的方法
CN111447276B (zh) 一种具有密钥协商功能的加密续传方法
WO2016065787A1 (zh) 一种rdp数据采集装置及方法
CN110190955A (zh) 基于安全套接层协议认证的信息处理方法及装置
WO2013006296A1 (en) Methods and apparatus for secure data sharing
WO2004042537A2 (en) System and method for securing digital messages
WO2015014136A1 (zh) 一种通用虚拟数据加密存储***
WO2014183671A1 (zh) 一种云存储安全控制的方法
CN107124385B (zh) 一种基于镜像流的ssl/tls协议明文数据采集方法
WO2005057841A1 (fr) Procede de production de cryptogramme dynamique dans une transmission de reseau et procede de transmission de donnees de reseau
CN105743868B (zh) 一种支持加密和非加密协议的数据采集***与方法
CN109274646A (zh) 基于kmip协议的密钥管理客户端服务端方法和***及介质
CN110022204B (zh) 基于内容真随机化分割增强文件保密通信安全性的方法
KR101448866B1 (ko) 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법
CN115280725A (zh) 一种数据帧安全传输方法、装置、电子设备及存储介质
CN114785421A (zh) 一种基于量子加密的im离线消息处理方法
CN107222473B (zh) 在传输层对api服务数据进行加解密的方法及***
CN111901335B (zh) 基于中台的区块链数据传输管理方法及***
CN109327470A (zh) 一种用于实现ssl加密传输的方法和装置
CN111224968B (zh) 一种随机选择中转服务器的安全通信方法
CN109286598B (zh) 一种tls通道加密的rdp协议明文数据采集***及方法
CN103237061A (zh) 一种字符终端rlogin协议安全访问***及方法
CN102857507B (zh) samba磁盘映射方法及samba磁盘映射***
CN108809888B (zh) 一种基于安全模块的安全网络构建方法和***
CN115277125B (zh) 一种双向可信安全的变电站遥控方法及其***

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15854818

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017523331

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

REEP Request for entry into the european phase

Ref document number: 2015854818

Country of ref document: EP