一种基于键盘鼠标活动记录的用户行为分析系统和方法

1.本发明涉及信息技术领域，具体涉及一种基于键盘鼠标活动记录的用户行为分析系统和方法。


背景技术：

2.对用户在信息处理过程中的工作状态进行有效评估，同时合理保护用户隐私和工作秘密是很多单位的管理者面临的挑战。
3.用户在终端设备上的键盘和鼠标活动及其频度能够直接和间接反映出用户的工作状态，包括工作时段分布（比如有键盘鼠标活动的时间段）、工作强度（比如键盘鼠标活动的频度和工作时间总长度）；同时，用户的键盘鼠标活动事件不会泄露用户实际的工作内容和访问隐私。通过在用户终端设备上安装键盘鼠标活动事件监视和记录机制，可以完整收集用户的键盘鼠标活动记录，并转换为基于时间轴的键盘鼠标活动及频度变化曲线，可以让管理者快速了解和评估用户的工作状态和强度，如果采用虚拟桌面作为用户终端设备，可以更好地满足合规要求，即无需在用户操作终端上安装任何代理软件，只需要对虚拟桌面中的键盘鼠标活动进行监视和记录；这种结构尤其适合远程办公和居家办公等场景，因为在这类场景中，用户操作终端设备资产可能不归属于单位，管理者无法或不合适要求用户在这些终端设备上安装监控类代理软件。
4.通过基于键盘鼠标活动记录的用户行为采集报告和管理方法和装置也可以用于对安全事件的分析和追踪场景，比如排除用户跟安全事件的责任关联。


技术实现要素：

5.本发明的目的在于克服现有技术的不足，提供基于一种基于键盘鼠标活动记录的用户行为分析系统和方法，对用户终端本地的用户键盘鼠标活动进行监视，按照行为管理策略，记录用户键盘鼠标活动发生的时间，并在规定时间按规定方式将用户键盘鼠标活动事件记录发送到策略管理端指定的行为记录库中存放；行为分析和展示端按要求对用户键盘鼠标活动事件记录进行统计、分析和展示。
6.通过以下技术方案来实现的：一方面，一种基于键盘鼠标活动记录的用户行为分析方法，包括下列步骤：步骤1：通过用户终端代理端获取用户一段时间内的行为数据，其中，用户行为数据包括鼠标行为数据和键盘行为数据，一段时间为用户终端代理端采集时间的时长，执行步骤2；步骤2：在标准时间内对行为数据进行格式处理后，将处理后的行为数据发送至策略管理端进行储存，执行步骤3；步骤3：管理者通过行为分析和展示端调取策略管理端内的数据，基于一段时间为时间轴对鼠标行为和键盘行为进行统计和展示，结束。
7.优选的，所述步骤1中，用户终端代理端设置在计算机中，其中，所述用户终端代理
端记录登录计算机的用户身份、用户终端标识、用户组标识和发生时间，其中，步骤2中策略管理端内预存有管理策略，通过管理策略将用户进行分组管理得到不同的用户组标识，并驱动用户终端代理端获取用户行为数据。
8.优选的，策略管理端还包括有策略库和行为记录数据库，所述策略库用于存放管理策略，所述行为记录数据库用于存放处理后的行为数据。
9.优选的，所述步骤3中，所述行为数据具体为，在一段时间内获取每个时间节点之间鼠标的操作频率和键盘的操作频率，每个时间节点之间的时长相同，一段时间内包含有多个时间节点，行为数据最终通过报告的形式进行展示。
10.另一方面，一种基于键盘鼠标活动记录的用户行为分析系统，包括用户终端代理端、策略管理端和行为分析和展示端，所述策略管理端的输出端分别与用户终端代理端和所述行为分析和展示端连接，所述用户终端代理端的输出端与所述行为分析和展示端连接，所述用户终端代理端的输入端为鼠标和键盘输出端，所述用户终端代理端根据管理策略采集和发送用户的鼠标行为数据和键盘行为数据；所述策略管理端包括有策略库和行为记录数据库，所述策略管理端根据所述用户终端代理端匹配对应的管理策略，所述策略库包含有多个管理策略，所述行为记录数据库用于存放处理后的行为数据；所述行为分析和展示端通过调取行为记录数据库内的数据进行处理，将用户在使用终端时的行为数据以时间轴的方式进行报告显示，提供给所述管理者。
11.优选的，所述用户终端代理端记录登录计算机的用户身份、用户终端标识、用户组标识和发生时间，所述策略管理端包括行为记录数据库的位置、行为数据采集的总时间、行为数据采集的时间间隔和报告显示的时间间隔。
12.优选的，当管理策略更新后，所述策略管理端将更新后的管理策略发送至所述用户终端代理端。
13.本发明的有益效果是：（1）通过在用户终端设置代理端进而获取用户鼠标键盘的行为数据，并对数据进行整合以时间轴的形式进行显示。
附图说明
14.图 1为本发明的工作流程图；图 2为本发明的一个实施例获取鼠标键盘行为数据的原理图；图 3为本发明的一个实施例的工作原理图；图 4为本发明的一个实施例的实验数据图。
具体实施方式
15.下面结合本发明的附图1~4，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施。
16.在本发明的描述中，需要理解的是，术语“逆时针”、“顺时针”“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。
17.实施例1：一种基于键盘鼠标活动记录的用户行为分析方法，包括下列步骤：步骤1：通过用户终端代理端获取用户一段时间内的行为数据，其中，用户行为数据包括鼠标行为数据和键盘行为数据，一段时间为用户终端代理端采集时间的时长，执行步骤2；步骤2：在标准时间内对行为数据进行格式处理后，将处理后的行为数据发送至策略管理端进行储存，执行步骤3；步骤3：管理者通过行为分析和展示端调取策略管理端内的数据，基于一段时间为时间轴对鼠标行为和键盘行为进行统计和展示，结束。
18.值得说明的是，所述步骤1中，用户终端代理端设置在计算机中，其中，所述用户终端代理端记录登录计算机的用户身份、用户终端标识、用户组标识和发生时间，其中，步骤2中策略管理端内预存有管理策略，通过管理策略将用户进行分组管理得到不同的用户组标识，并驱动用户终端代理端获取用户行为数据。
19.值得说明的是，策略管理端还包括有策略库和行为记录数据库，所述策略库用于存放管理策略，所述行为记录数据库用于存放处理后的行为数据。
20.值得说明的是，所述步骤3中，所述行为数据具体为，在一段时间内获取每个时间节点之间鼠标的操作频率和键盘的操作频率，每个时间节点之间的时长相同，一段时间内包含有多个时间节点，行为数据最终通过报告的形式进行展示。
21.实施例2：一种基于键盘鼠标活动记录的用户行为分析系统，包括用户终端代理端、策略管理端和行为分析和展示端，所述策略管理端的输出端分别与用户终端代理端和所述行为分析和展示端连接，所述用户终端代理端的输出端与所述行为分析和展示端连接，所述用户终端代理端的输入端为鼠标和键盘输出端，所述用户终端代理端根据管理策略采集和发送用户的鼠标行为数据和键盘行为数据；所述策略管理端包括有策略库和行为记录数据库，所述策略管理端根据所述用户终端代理端匹配对应的管理策略，所述策略库包含有多个管理策略，所述行为记录数据库用于存放处理后的行为数据；所述行为分析和展示端通过调取行为记录数据库内的数据进行处理，将用户在使用终端时的行为数据以时间轴的方式进行报告显示。
22.所述用户终端代理端记录登录计算机的用户身份、用户终端标识、用户组标识和发生时间，所述策略管理端包括行为记录数据库的位置、行为数据采集的总时间、行为数据采集的时间间隔和报告显示的时间间隔。当管理策略更新后，所述策略管理端将更新后的管理策略发送至所述用户终端代理端。
23.值得说明的是，所述策略管理端制定的行为管理策略，可以被修改、删除、查询等；
每次行为管理策略有变化，都会将变化部分下发更新到相应的用户终端代理端，所述用户终端代理端按照行为管理策略，对本地的用户键盘和鼠标动作进行监视，比如定时通过windows操作系统提供的相关系统服务函数getlastinputinfo()返回最近一次的键盘鼠标活动时间，从而查询过去一个明确的时间间隔范围内是否有键盘鼠标活动，按照要求记录相应的键盘鼠标活动事件。用户终端代理端按照行为管理策略，实时或定期向行为记录库位置发送用户键盘鼠标活动事件记录。
24.值得说明的是，所述行为分析和展示端基于行为记录库对用户键盘鼠标活动进行统计、分析和展示，比如按照用户身份统计其在单台用户终端上（或其所用的全部用户终端上）每隔5分钟内的键盘鼠标活动总数，并按时间横轴画出相应的折线图，这个折线图表示该用户在连续时间轴上每个时间段期间的键盘鼠标操作频度，通过键盘鼠标操作频度可以了解用户的工作状态和工作习惯等特征，管理者通过该这些图直观看出操作人员在什么时间段在工作，什么时间工作忙，以及什么时间没有在工作状态，从而对员工的实际工作绩效进行评估。
25.值得说明的是，所述用户终端包括移动通信设备、个人台式计算机、通过软件模拟的具有完整硬件系统功能的且运行在一个完全隔离环境中的虚拟计算机中的至少一种。
26.实施例3：在实施例2的基础上包括：用户终端代理装置，其用于对用户终端本地的用户键盘和鼠标动作进行监视，根据来自策略管理装置的行为管理策略，记录用户终端本地的键盘鼠标活动事件，包括发生时间、用户身份、用户组标识、用户终端标识等；策略管理装置，其用于制定行为管理策略，该策略对用户进行分组管理，并指定用户终端代理装置如何采集用户的键盘鼠标活动事件，以及如何报告活动事件记录；策略管理装置将行为管理策略下发到相应的用户终端代理端；策略库，其用于存放策略管理装置所制定的行为管理策略；行为记录库装置，其用于存放各个用户终端报告的用户键盘鼠标活动事件记录；行为分析和展示装置，其用于基于行为记录库中的用户键盘鼠标活动事件记录，对用户的键盘鼠标活动进行统计、分析和展示。
27.策略管理装置制定好行为管理策略后，保存在策略库中，同时下发个相应的用户终端代理装置；用户终端代理装置对各自本地的用户键盘和鼠标动作进行监视，按策略要求记录本地用户键盘鼠标活动事件，并将记录发送给行为记录库装置；行为分析和展示端基于行为记录库对用户键盘鼠标活动进行统计、分析和展示。
28.所述策略管理装置制定的行为管理策略包括（但不限于）以下内容描述，用户终端本地的用户键盘鼠标活动采集时间间隔、用户键盘鼠标活动事件记录报告时间间隔、行为记录库装置位置等。事件记录内容包括（但不限于）键盘鼠标活动事件发生时间、用户身份标识、用户分组标识、用户终端标识等。所述策略管理装置制定的行为管理策略，对用户进行分组管理，并可以按照用户组制定行为管理策略。所述策略管理装置制定的行为管理策略，可以被修改、删除、查询等；每次行为管理策略有变化，都会将变化部分下发更新到相应的用户终端代理装置。所述用户终端代理装置按照行为管理策略，对本地的用户键盘和鼠标动作进行监视，比如定时通过windows操作系统提供的相关系统服务函数
getlastinputinfo()返回最近一次的键盘鼠标活动时间，从而查询过去一个明确的时间间隔范围内是否有键盘鼠标活动，按照要求记录相应的键盘鼠标活动事件。用户终端代理端按照行为管理策略，实时或定期向行为记录库位置发送用户键盘鼠标活动事件记录。
29.所述行为分析和展示装置基于行为记录库对用户键盘鼠标活动进行统计、分析和展示，比如按照用户身份统计其在单台用户终端上（或其所用的全部用户终端上）每隔5分钟内的键盘鼠标活动总数，并按时间横轴画出相应的折线图，这个折线图表示该用户在连续时间轴上每个时间段期间的键盘鼠标操作频度，通过键盘鼠标操作频度可以了解用户的工作状态和工作习惯等特征，管理者通过该这些图直观看出操作人员在什么时间段在工作，什么时间工作忙，以及什么时间没有在工作状态，从而对员工的实际工作绩效进行评估。所述用户终端包括移动通信设备、个人台式计算机、通过软件模拟的具有完整硬件系统功能的且运行在一个完全隔离环境中的虚拟计算机中的至少一种。
30.在一些示例中，如图1所示，基于键盘鼠标活动的用户行为采集报告和管理方法包括策略管理端制定行为管理策略并下发更新到用户终端代理端（步骤s100）。
31.在步骤s100中，用户终端代理端可以运行在传统计算机系统或虚拟计算机中的一种。
32.具体而言，传统计算机系统可以由硬件（子）系统和软件（子）系统组成。硬件（子）系统可以是借助电、磁、光、机械等原理构成的各种物理部件的有机组合，是系统赖以工作的实体。软件（子）系统可以是各种程序和文件，用于指挥全系统按指定的要求进行工作。例如，传统计算机系统可以包括但不限于pc机或笔记本等。虚拟计算机可以是通过软件模拟的具有完整硬件系统功能的，运行在一个完全隔离环境中的完整计算机系统。例如，基于kvm、vmware等虚拟化平台的计算机。
33.在步骤s100中，策略管理端制定策略，也可以包括对策略的修改和删除等操作，只要导致策略变化，就必须将其下发和更新到用户终端代理端中。
34.其中，用户终端代理端中都安装有策略接收和更新程序。策略接收和更新程序可以接收来自策略管理端下发的策略库，并更新到本地保存的策略库中。在一些示例中，策略接收和更新程序可以通过代码注入方式作为操作系统内核程序的动态链接库。另外，在一些示例中，策略接收和更新程序可以作为一个独立的进程。在这种情况下，一般要求操作系统内核对策略接收和更新进程进行保护，防止其运行被中断。为了防止用户规避键盘鼠标活动监视机制，可以采用进程监视和安全保护机制，防止代理程序被卸载或被终止运行。
35.在步骤s200中，用户终端代理端对本地的键盘鼠标活动进行监视，以检查是否有新的键盘鼠标活动。不同的用户终端类型支持不同的键盘鼠标活动监视方法，比如通过对系统提供的键盘鼠标活动相关函数设置钩子机制，或者利用操作系统提供的键盘鼠标活动事件触发机制，调用键盘鼠标活动事件处理过程，包括记录键盘鼠标活动事件，向行为记录库发送键盘鼠标活动记录等。
36.在步骤s300中，行为分析和展示端基于行为记录库内容，按照用户身份统计其在各个时间范围的键盘鼠标活动总数，并按时间轴画出用户键盘鼠标活动事件折线图。
37.图2是图1用户终端代理端中的键盘鼠标活动事件的监视流程示意图（步骤s210）。
38.具体而言，如图2所示，步骤s210可以包括用户终端代理端在用户终端的键盘鼠标活动相关系统函数中安装钩子机制，对本地键盘鼠标活动进行监视，或者利用系统的键盘
鼠标活动事件触发机制，调用事件处理函数（步骤s211）。将本地键盘鼠标活动事件加以记录（步骤s212）。检查在本地策略库清单中是否需要将本地键盘鼠标活动记录发送到指定的行为记录库中（步骤s213）。
39.下面结合图3描述一种基于键盘鼠标活动的用户行为采集报告和管理装置结构示意图。可以是包括用户终端代理装置、策略管理装置、策略库、行为记录库、行为分析和展示装置在内的用户行为采集报告和管理装置。其中，用户终端代理装置与前面的用户终端代理端相同、策略管理装置与前面的策略管理端相同、用户终端装置与前面的用户终端相同、策略库和行为记录库与前面的策略库和行为记录库相同、行为分析和展示装置也与前面的行为分析和展示端相同。
40.在一些示例中，如图3所示，用户行为采集报告和管理装置1包括策略管理装置10。策略管理装置10负责行为管理策略的制定、修改和删除，并在策略库确定发生变化后，将它们保存到策略库20中，同时下发更新到用户终端代理装置50的本地行为管理策略清单60中。
41.在一些示例中，如图3所示，用户行为采集报告和管理装置1包括策略库20。策略库20保存策略管理装置10所制定、修改、删除后的行为管理策略。
42.在一些示例中，如图3所示，用户行为采集报告和管理装置1包括用户终端代理装置50。用户终端代理装置50接收并更新来自策略管理装置下发的策略库，并将其保存到本地的行为管理策略清单60中。用户终端代理装置50对本地键盘鼠标活动进行监视，如果发现本地有新键盘鼠标活动事件发生，则在本地记录该事件，并确定是否将本地键盘鼠标活动事件记录发送到策略管理装置10指定的行为记录库50中。
43.在一些示例中，如图3所示，用户行为采集报告和管理装置1包括行为记录库40。行为记录库40接收并保存来自用户终端代理装置50发送的用户终端本地键盘鼠标行为记录，为行为分析展示装置30提供数据支持。
44.在一些示例中，如图3所示，用户行为采集报告和管理装置1包括行为分析展示装置30。行为分析展示装置30基于行为记录库40，按时间段对用户的键盘鼠标活动事件进行统计，并按时间轴画出用户键盘鼠标活动事件折线图，这里除了折线图仍有其他显示格式，来对时间轴上的活动事件进行突出显示，如饼状图、柱状图，在相应的图形中，可以进一步的对分析展示装置进行优化，如在折线图中设置标准阈值，如：对所有人的活动事件的频率和时间进行统计，并求取平均值，对超过平均值的数据进行高亮突出显示，并结合折线图等显示格式进行突出，进一步，对每天、每月、每季度和每年的数据进行统计和分析，形成大数据集合，结合每个员工的产出和绩效，为公司的人员管理和业绩管理提供更加便捷的支持。
45.在一些示例中，用户终端代理装置50可以运行在传统计算机系统或虚拟计算机中的一种。
46.在一些示例中，策略管理装置10可以运行在包括服务器、通过软件模拟的具有完整硬件系统功能的，或者在一个完全隔离环境中的虚拟计算机中的一种。
47.在一些示例中，行为分析和展示装置30可以运行在包括服务器、通过软件模拟的具有完整硬件系统功能的，或者在一个完全隔离环境中的虚拟计算机中的一种。
48.图4是一种基于键盘鼠标活动的用户行为采集报告和管理装置的输出展示结果示例图。该示例中员工张海的工作时间范围从早7点到晚9点，其中从15点到17点为最忙状态；
李驶在凌晨0点到4点还在加班；韩梅的工作时间相对较短，并且集中在10点到12点以及17点到19点两个时间段。