如今,云计算已经广泛应用于各个领域。桌面服务(DaaS)作为云计算的交付方式之一,随着移动办公大势所趋,也纷纷被广大企业所采用。但目前桌面服务主要使用的远程桌面协议(RDP)传输的是位图信息,使得对用户行为进行审计严重依赖人工辅助,审计效率低下,导致桌面服务面临内部威胁的挑战,而内部威胁引发的后果往往是灾难性的。因此,如何对远程桌面过程中的用户行为进行高效的审计成为研究热点。本论文针对桌面服务面临的安全问题展开研究。本文通过建立非侵入式的桌面服务网关,对远程桌面过程中交互的数据进行收集并进行统计分析。在数据分析基础上,提出基于图像特征的多层次用户行为审计模型,将用户行为审计分为三个层次,即L1,L2和L3审计。L1审计能对远程桌面过程中用户所有的操作进行记录与重放;L2审计识别应用启动状态的位图输出,从而记录整个远程桌面过程中被运行的应用;L3审计能在任意时刻识别正在运行的应用。通过L1,L2和L3审计,能有效辅助管理员对远程桌面过程中的用户行为进行审计,使审计变得高效。本论文通过实验证明,基于图像特征的多层次用户行为审计模型是可行的,引入的系统时间损耗是可接受的。