文件追踪方法、装置及系统与流程

本发明涉及文件管理技术领域，具体而言，涉及一种文件追踪方法、装置及系统。

背景技术：

在大数据环境下对海量的数据进行可靠、有效的管控，成为数据安全研究的热点。尤其是对于文本、图像、视频等非结构化数据而言，其种类杂、数量多、分布广、大小不一等特点给文件系统的数据对象监管更是带来了挑战。

在非结构化数据管控工作中，主要存在着以下问题与挑战：

1)对数据对象全生命周期中操作行为的追踪管控不够系统；

2)数据对象发生异常行为时，难以对该数据对象的全生命周期进行快速、准确的定位追踪与取证工作，如发生数据对象泄露等安全事件时，取证工作往往需要人工查询大量的审计日志，从中定位出相关信息，这种方式费时费力，精准度也难以保证；

3)缺乏有效的数据可视化分析；大量的审计日志中隐藏着巨大的数据价值，数据可视化分析不仅能让用户直观了解当前数据管控的基本情况，还能查看到数据对象在使用频度、数据类型、容量、分布等方面的趋势特征，从而提高数据实时管控效能。

技术实现要素：

本发明的目的在于，提供一种基于全生命周期树的文件追踪方法与系统，它可以有效解决现有技术中存在的问题，尤其是对数据对象全生命周期中操作行为的追踪管控不够系统的问题。

为解决上述技术问题，本发明采用如下的技术方案：基于全生命周期树的文件追踪方法，利用数据全生命周期树形存储结构对数据对象在全生命周期中的操作行为进行追踪管控。

发明内容

有鉴于此，本发明实施例的目的在于提供一种文件追踪方法、装置及系统。

本发明实施例提供一种文件追踪方法，应用于与终端机通信连接的服务器，该方法包括：

S1，采集所述终端机的相关信息，对终端机指定目录下的文件的操作行为进行捕捉监控，所述相关信息包括终端机物理地址、网络地址、操作系统用户；

S2，根据所述指定目录下捕捉到的文件的操作行为生成对应的文件操作事件；

S3，将所述文件操作事件转换成日志存储到数据库中；

S4，接收到终端发送的对目标文件全生命周期进行定位追踪的请求后，根据所述数据库中存储的数据定位日志构建所述目标文件的生命周期树。

优选地，步骤S3包括：若所述文件操作事件是第一类事件，则生成行键，将所述第一类事件生成日志，并在所述日志的第一字段添加本结点行键值，作为根结点指针，存储到所述数据库中；

若所述文件操作事件是第二类事件，则生成行键，将所述第二类事件生成日志，并查找所述第二类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库中，存储成功后，将新生成的所述日志的行键追加存储到所述最新的一条日志的第二字段中；

若所述文件操作事件是第三类事件，则生成行键，将所述第三类事件生成日志，并查找所述第三类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库中。

优选地，步骤S4包括：所述服务器接收到终端发送的对目标文件全生命周期进行定位追踪请求后，所述服务器根据收到的所述对目标文件全生命周期进行定位追踪请求中包含的所述目标文件的相关信息生成行键进行索引，确定日志条目；

所述服务器根据所述日志条目得到对应的数据标识符，查询所述数据标识符下的最新一条日志，从所述最新一条日志中获取根结点指针，从而获取根结点日志；从根结点进行迭代，进行树构建。

优选地，所述文件操作事件由所述终端机在捕获到文件操作事件时实时发送给所述服务器，或由终端机在捕获到文件操作时进行存储然后不定时地发送给所述服务器。

优选地，所述数据库为HBase分布式数据库。

本发明实施例还提供一种文件追踪装置，应用于与终端机通信连接的服务器，所述装置包括：

采集模块，用于采集所述终端机的相关信息，对终端机指定目录下的文件的操作行为进行捕捉监控，并将所述操作行为生成对应的文件操作事件，所述相关信息包括终端机物理地址、网络地址、操作系统用户；

处理模块，用于将所述文件操作事件转换成日志；

存储模块，用于将所述日志存储至数据库；

追踪模块，用于在接收到终端发送的对目标文件全生命周期进行定位追踪的请求后，根据所述数据库中存储的数据定位日志构建所述目标文件的生命周期树。

优选地，所述处理模块：还用于若所述文件操作事件是第一类事件，则生成行键，将所述第一类事件生成日志，并在所述日志的第一字段添加本结点行键值，作为根结点指针，存储到所述数据库中；

还用于若所述文件操作事件是第二类事件，则生成行键，将所述第二类事件生成日志，并查找所述第二类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库中，存储成功后，将新生成的所述日志的行键追加存储到所述最新的一条日志的第二字段中；

还用于若所述文件操作事件是第三类事件，则生成行键，将所述第三类事件生成日志，并查找所述第三类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库中。

优选地，所述追踪模块：还用于根据收到的所述对目标文件全生命周期进行定位追踪请求中包含的所述目标文件的相关信息生成行键进行索引，确定日志条目；

还用于查询所述数据标识符下的最新一条日志，从所述最新一条日志中获取根结点指针，从而获取根结点日志；从根结点进行迭代，进行树构建。

本发明实施例还提供一种文件追踪系统，所述系统包括相互通信连接的终端机及服务器；

所述终端机包括：

终端行为监控模块，用于对指定目录下的文件的操作行为进行捕捉监控，根据所述操作行为生成对应的文件操作事件；

发送模块，用于将所述文件操作事件发送给所述服务器；

追踪请求模块，用于向所述服务器发送目标文件全生命周期定位追踪的请求；

所述服务器包括：

处理模块，用于将所述文件操作事件转换成日志；

存储模块，用于将所述日志存储至数据库；

追踪模块，用于在接收到终端发送的对目标文件全生命周期进行定位追踪的请求后，根据所述数据库中存储的数据定位日志构建所述目标文件的生命周期树。

优选地，所述终端机的发送模块：

用于实时地将所述的文件操作事件发送给所述服务器；或

用于将所述文件操作事件存储在所述终端机，及不定时地将存储在所述终端机中的所述操作事件发送给所述服务器。

根据上述实施例中的方法、装置及系统，利用生命周期树这种统一直观的结构实现了对数据对象全生命周期中操作行为的系统追踪管控。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1是本发明较佳实施例提供的服务器与终端机进行交互的示意图。

图2是本发明较佳实施例提供的服务器的方框示意图。

图3是本发明第一实施例提供的文件追踪方法的流程图。

图4是本发明较佳实施例提供的文件追踪方法中文件操作事件类型的判断流程示意图。

图5是本发明第二实施例提供的文件追踪装置的功能模块示意图。

图6是本发明第三实施例提供的文件追踪系统的功能模块示意图。

图标：100-服务器；200-终端机；300-网络；400-数据库；110-文件追踪装置；111-存储器；112-处理器；113-通信单元；1101-采集模块；1102-处理模块；1103-存储模块；1104-追踪模块；210-终端行为监控模块；220-发送模块；230-追踪请求模块。

具体实施方式

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本发明的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

如图1所示，是本发明较佳实施例提供的服务器100与终端机200进行交互的示意图。所述服务器100通过网络300与终端机200进行通信连接，以进行数据通信或交互。所述服务器100可以是网络服务器、数据库服务器等。所述终端机200可以是个人电脑(personal computer，PC)、平板电脑、智能手机、个人数字助理(personal digital assistant，PDA)等。

如图2所示，是图1所示的服务器100的方框示意图。所述服务器100包括文件追踪装置110、存储器111、处理器112、通信单元113。

所述存储器111、处理器112以及通信单元113各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。所述文件追踪装置110包括至少一个可以软件或固件(firmware)的形式存储于所述存储器111中或固化在所述服务器100的操作系统(operating system，OS)中的软件功能模块。所述处理器112用于执行所述存储器111中存储的可执行模块，例如所述文件追踪装置110所包括的软件功能模块及计算机程序等。

其中，所述存储器111可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-Only Memory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)等。其中，存储器111用于存储程序，所述处理器112在接收到执行指令后，执行所述程序。所述通信单元113用于通过所述网络300建立所述服务器100与终端机200之间的通信连接，并用于通过所述网络300收发数据。

第一实施例

请参阅图3，是本发明较佳实施例提供的应用于图2所示的服务器100的文件追踪方法的流程图。下面将对图3所示的具体流程进行详细阐述。

步骤S101，采集所述终端机200的相关信息，对终端机200指定目录下的文件的操作行为进行捕捉监控。

所述相关信息包括终端机200物理地址、网络地址、操作系统用户等。当然所述相关信息还可以包括更多关于所述终端机200的相关信息。

步骤S102，根据所述指定目录下捕捉到的文件的操作行为生成对应的文件操作事件。

详细地，若捕捉到所述文件的操作行为，则提取对应的文件相关信息，所述文件相关信息包括：数据对象的名称、路径、文件类型、操作行为、操作时间、操作人相关信息等；对于数据对象名称、路径、文件类型等信息相关的操作行为可以是对所述文件相关信息的改变，如，若操作行为对其有所改变，则记录操作行为前后这些信息的变化情况，例如记录“测试A.txt”重命名为“测试B.txt”等。根据提取的所述文件相关信息生成文件操作事件。

在其它实施例中，对终端机200指定目录下的文件的操作行为进行捕捉监控的动作由终端机200执行。然后以实时或伪实时方式将所述的文件操作事件发送给服务器100。所述文件操作事件由所述终端机200在捕获到文件操作事件时实时发送给所述服务器100，或由终端机200在捕获到文件操作时进行存储然后不定时地发送给所述服务器100。详细地，所述伪实时方式将所述的文件操作事件发送给服务器100为将文件操作事件存储到本地，然后在不定的某个时间将终端机200的文件操作事件打包发送出去。

步骤S103，将所述文件操作事件转换成日志存储到数据库400中。

在一个实例中，可以将所述文件操作事件分为三类事件：第一类事件、第二类事件及第三类事件。若所述的文件操作事件属于创建数据对象类型的事件，例如，新建文件，则为第一类事件。若所述的文件操作事件属于改变数据对象dataId的行为事件。例如，重命名、移动、另存为、重命名修改扩展名等操作，操作前后数据对象的路径、数据对象名称、数据类型三个信息中至少一个发生了改动，则为第二类事件。其他行为事件为第三类类事件，例如，文档打开、文档编辑等操作，其操作前后数据对象的路径、数据对象名称、数据类型三个信息都未发生改变。如图4所示，为一个实例中，所述文件操作事件类型的判断流程示意图。本实施例中，包括步骤S1031，判断所述文件操作事件是否为新建文件的事件，若是则判断为第一类事件，若不是，则执行步骤S1032。步骤S1032，判断所述文件操作事件是否为名称改变的事件，若是则判断为第二类事件，若否则执行步骤S1033。步骤S1033，判断所述文件操作事件是否为路径改变的事件，若是则判断为第二类事件，若否则执行步骤S1034。步骤S1034，判断所述文件操作事件是否为类型改变的事件，若是则判断为第二类事件，若否则判断为第三类事件。

若所述文件操作事件是第一类事件，则生成行键，将所述第一类事件生成日志，并在所述日志的第一字段添加本结点行键值，作为根结点指针，存储到所述数据库400中。

若所述文件操作事件是第二类事件，则生成行键，将所述第二类事件生成日志，并查找所述第二类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库400中，存储成功后，将新生成的所述日志的行键追加存储到所述最新的一条日志的第二字段中；

若所述文件操作事件是第三类事件，则生成行键，将所述第三类事件生成日志，并查找所述第三类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库400中。

进一步地，本实施例中，所述数据库400可以为HBase分布式数据库。所述第一字段为根结点行健；所述第二字段为子结点行健。具体的，若所述的文件操作事件为第一类事件，则生成行键，将所述文件操作事件生成新日志，并在日志的根结点字段(data:root_rk字段)添加本结点行键值，作为根结点指针，存储到HBase分布式数据库中。所述第一类事件所生成的日志就是根结点，把自己的行键值存储到日志的“data:root_rk”字段，从而方便该根结点的子结点查询复制根结点指针。

若所述的文件操作事件为第二类事件，则生成行键，将所述文件操作事件生成新日志，并查找相应第二类事件标识(dataId)下最新的一条日志，将所述最新的一条日志中根结点字段(data:root_rk字段)的内容添加到该新日志的根结点字段(data:root_rk)字段，然后存储到HBase分布式数据库中。存储成功后，将该新日志的行键追加存储到所述最新的一条日志的子结点字段(data:sub_rk字段)中，即在原日志中添加对该最新日志的指针。所述的data:root_rk和data:sub_rk相当于是树形数据结构中的结点指针，用于指向根结点和相应的子结点。

若所述的文件操作事件为第三类事件，则生成行键，将事件生成新日志，并查找相应第三类事件标识(dataId)下最新的一条日志，将所述最新的一条日志中根结点字段(data:root_rk字段)的内容，即根结点的指针字段，添加到该新日志的data:root_rk字段，然后存储到HBase分布式数据库中。在一个实例中，所述的HBase分布式数据库的行键为：RowKey＝dataId+(MAX_VALUE–timestamp)，其中，dataId＝Hash(Mac+path+filename+extensions)。

步骤S104，接收终端发送的对目标文件全生命周期进行定位追踪的请求。

所述终端可以是所述终端机200，也可以是其它电子终端。用户可通过终端机200或者其它电子终端中安装的浏览器查看目标文件全生命周期相关日志以及生命周期树。

另外，在其它实施例中，用户还可通过终端机200或者其它电子终端中安装的浏览器下发可视化分析请求，所述服务器100从关系型数据库中查找统计模型，调用相关统计算法，对分布式数据库进行统计分析，得出相应结果。具体的，可采用可视化分析模块对存储的审计日志进行统计分析，得到非结构化数据对象的操作频度排名、热点分布排名、数据类型排名、生命周期树广度与深度排名、数据量趋势预测等分析结果。可视化分析模块可以分为统计模型层和算法层，统计模型层用于定义统计需求，算法层根据统计需求定义相关算法逻辑。除了预设好的统计模型，还保留了自定义接口，以方便后续添加新的统计模型与相关统计算法。可视化分析模块的统计分析功能使用了分布式计算工具“MapReduce”，针对不同的统计需求调用算法做相应的数据统计分析工作。分布式计算可以实现并行计算，从而极大地减少了统计分析所需的时间。

步骤S105，根据所述数据库400中存储的数据定位日志构建所述目标文件的生命周期树。

所述服务器100接收到终端发送的对目标文件全生命周期进行定位追踪请求后，可根据收到的所述对目标文件全生命周期进行定位追踪请求中包含的所述目标文件的相关信息生成行键进行索引，从而确定日志条目。

然后，所述服务器100可根据所述日志条目得到对应的数据标识符(dataId)，查询所述数据标识符(dataId)下的最新一条日志，从所述最新一条日志中获取根结点指针，从而获取根结点日志，然后从根结点开始迭代，进行树构建。若存储的非顺序存储的结点，在父结点中找到各子结点集合，从而遍历各子结点；对于dataId未改变而顺序存储的父子结点，直接索引到子结点；迭代完成后，数据树即构建完成。

本发明实施例中所述的生命周期树包括的生命周期可包括：创建、存储、访问、传输、销毁、恢复等，每个过程在文件管控系统中都对应着一种或多种操作行为类型。具体的，“创建”是指数据对象在文件系统中的产生过程，包含了数据对象的一系列初始化行为。“存储”是指已经产生的数据对象在存储设备中的持久化过程。“访问”是指将数据由持久化状态转换为瞬时状态，对数据进行读取、修改等操作的过程。“传输”是指对数据对象进行迁移的过程“销毁”与“恢复”是指对数据对象的删除以及在删除之后对数据的还原过程。

以常见的基于NTFS文件管控系统的Windows操作系统为例，各个生命周期过程都对应着一个或多个数据对象的操作类型。“新建”操作产生了新的数据对象，属于生命周期中的“创建”过程。“保存”和“另存为”操作将内存中的数据对象持久化到磁盘中，属于“存储”过程。“打开”、“预览”、“重命名”等操作将磁盘中的数据对象读取到内存中进行读取或修改，属于“访问”过程。“移动”、“剪切”等操作对数据对象进行了迁移，属于“传输”过程。“删除”操作移除了数据对象，属于“销毁”过程。“还原”和“撤销删除”恢复了数据对象，属于“恢复”过程。

根据上述实施例中的方法，利用生命周期树这种统一直观的结构实现了对数据对象全生命周期中操作行为的系统追踪管控，将树形结构数据与HBase分布式数据库的存储特点相结合，从而可适用于大数据环境下的树形结构数据的快速高效提取。通过使用HBase的表结构，通过将行键设计为：“RowKey＝dataId+(MAX_VALUE–timestamp)”的形式，其中“dataId＝Hash(Mac+path+filename+extensions)”，从而进一步满足了读取的高性能要求，实现了数据对象生命周期的快速索引，并且能够高效快速的对数据对象的生命周期进行追踪。本发明中将文件操作事件进行分类从而实现了对该数据对象的全生命周期进行快速、准确的定位追踪与取证。这样，之后可根据数据对象名称、类型、路径，以及终端机200的物理地址，便可得到数据对象的dataId，结合时间因素生成行键，即可快速定位到相应的审计日志。另外，生命周期树中的每一个结点都对应着存储的审计日志表中的一条日志记录，对每一条日志所记录的数据对象，都可以根据行键和树结点指针查询其所在的树中的所有结点，因此整个树形结构在追踪构建过程中不需要遍历存储的全部记录，可以高效快速完成。也就是说，本发明能够高效快速的对数据全生命周期树进行查询和构建，对于数据对象操作日志的增量也有较好的适应性。另外，上述实施例中的方法提出了一种适用于HBase存储的数据全生命周期树形存储结构，在海量数据环境下，其生命周期追踪和查询效率和精度远优于普通的数据管控系统，而且能够高效的实现非结构化数据对象的可视化分析，得到非结构化数据对象的操作频度排名、热点分布排名、数据类型排名、生命周期树广度与深度排名、数据量趋势预测等分析结果，从而提高了数据实时的管控效能。

第二实施例

请参阅图5，是本发明较佳实施例提供的图2所示的文件追踪装置110的功能模块示意图。所述文件追踪装置110用于执行图3所示流程图中的步骤S101-步骤S105。所述文件追踪装置110包括采集模块1101、处理模块1102、存储模块1103及追踪模块1104。

采集模块1101，用于采集所述终端机200的相关信息，对终端机200指定目录下的文件的操作行为进行捕捉监控，并将所述操作行为生成对应的文件操作事件，所述相关信息包括终端机200物理地址、网络地址、操作系统用户。

处理模块1102，用于将所述文件操作事件转换成日志。

存储模块1103，用于将所述日志存储至数据库400。

所述处理模块1102：还用于若所述文件操作事件是第一类事件，则生成行键，将所述第一类事件生成日志，并在所述日志的第一字段添加本结点行键值，作为根结点指针，存储到所述数据库400中。还用于若所述文件操作事件是第二类事件，则生成行键，将所述第二类事件生成日志，并查找所述第二类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库400中，存储成功后，将新生成的所述日志的行键追加存储到所述最新的一条日志的第二字段中。还用于若所述文件操作事件是第三类事件，则生成行键，将所述第三类事件生成日志，并查找所述第三类事件的数据下最新的一条日志，将所述最新的一条日志中第一字段的内容添加到新生成的所述日志的第一字段，并将所述日志存储到所述数据库400中。

追踪模块1104，用于在接收到终端发送的对目标文件全生命周期进行定位追踪的请求后，根据所述数据库400中存储的数据定位日志构建所述目标文件的生命周期树。

详细地，所述追踪模块1104：还用于根据收到的所述对目标文件全生命周期进行定位追踪请求中包含的所述目标文件的相关信息生成行键进行索引，确定日志条目。还可用于查询所述数据标识符(dataId)下的最新一条日志，从所述最新一条日志中获取根结点指针，从而获取根结点日志。最后，从根结点进行迭代，即可进行树构建。

根据本实施例的装置，直观的结构实现了对数据对象全生命周期中操作行为的系统追踪管控。

第三实施例

请参阅图6，是本发明较佳实施例提供的文件追踪系统的功能模块示意图。本实施例的系统运行于图1所示的服务器100与终端机200进行交互的示意图。本实施例中所述系统包括相互通信连接的终端机200及服务器100。

所述终端机200包括：终端行为监控模块210，用于对指定目录下的文件的操作行为进行捕捉监控，根据所述操作行为生成对应的文件操作事件。发送模块220，用于将所述文件操作事件发送给所述服务器100。追踪请求模块230，用于向所述服务器100发送目标文件全生命周期定位追踪的请求。

所述服务器100包括：处理模块1102，用于将所述文件操作事件转换成日志。存储模块1103，用于将所述日志存储至数据库400。追踪模块1104，用于在接收到终端发送的对目标文件全生命周期进行定位追踪的请求后，根据所述数据库400中存储的数据定位日志构建所述目标文件的生命周期树。

所述终端机200的发送模块220：用于实时地将所述的文件操作事件发送给所述服务器100；或用于将所述文件操作事件存储在所述终端机200，及不定时地将存储在所述终端机200中的所述操作事件发送给所述服务器100。

详细地，采集模块1101或者终端行为监控模块210可使用C语言开发，服务器100程序可使用Java开发。后台的开发可使用Spring MVC框架，终端机200和服务器100可通过B/S模式实现对接。WEB层可通过Servlet响应前端发来的HTTP请求，并调用后台的相应服务完成业务逻辑，并将结果返回给前端。前端接收后台传来的业务逻辑数据，可使用JavaScript进行处理和渲染，并通过JSP与AJAX技术实现RIA(Rich Internet Applications)。

系统的服务接口层可采用统一的服务框架，通过WebService、http等接口协议完成对接，使用统一的JSON格式传输数据。

数据存储层的关系型数据库可使用Mysql，存储了用户、权限、配置、模型等系统数据，使用Hibernate与后台集成。数据存储层的分布式数据库使用了基于HDFS的HBase分布式数据库，存储了审计日志等业务数据，使用simplehbase与后台集成。

其中本实施例与第二实施例不同之处在于，本实施例基于相互通信连接服务器100和终端机200的文件追踪系统来进行描述的，另外本实施例中的终端机200包括终端行为监控模块210，而服务器100不包括采集模块1101。关于本实施例的其它细节可进一步地参考第一实施例或第二实施例，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本发明的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本发明各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器100，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。