CN101414327A - 文件保护的方法 - Google Patents

Abstract

本发明提供一种文件保护的方法，包括根据要被保护的文件或文件夹生成规则库；拦截文件操作请求；通过创建所述规则库的一个缓冲区列表，解析文件或文件夹的操作类型并根据该文件或文件夹的操作类型匹配所述规则库；根据匹配上的规则，对本次文件操作进行处理。根据本发明的文件保护方法通过引入缓冲区，可以保证文件系统的高效性，同时可以在文件保护过程准确地识别出文件操作的类型以达到有效保护文件的目的。

Description

文件保护的方法

技术领域

本发明涉及一种计算机保护技术，特别是涉及一种保护计算机上文件的方法。

背景技术

作为安全产品的责任就是保护计算机资源，尤其杀毒软件就是为了保护计算机系统，包括数据文件不受病毒的破坏和盗窃。以往的产品中都是被动的以识别病毒，并杀掉病毒为主要目标。但是众所周知，杀毒软件的病毒库都是先发现病毒，后加入病毒库，有滞后性，不能在第一时间内保护文件的安全。加文件保护功能以后，用户可以先病毒一步，保护自己的重要文件。

目前常用的文件保护方法是：如图1所示，通过拦截文件系统的文件操作，截获文件操作请求，并解析出操作类型(如创建、修改、删除、查看)，根据规则库里的规则对文件请求加以拒绝或放行，来达到保护文件的目的。

这里，解析文件操作请求是非常重要的一步，现有技术中截获文件操作请求采用的是通用HOOK技术，检测IRP堆栈(以便读取IRP包的信息，获取文件打开操作类型信息)，修改文件驱动的IRP_MJ_CREATE(打开)、IRP_MJ_WRITE(写入)、IRP_MJ_CLEANUP(关闭)、IRP_MJ_SET_INFORMATION(删除)例程地址函数入口，使文件操作请求到达文件保护模块，从而基本解析出操作类型。然而该技术存在着下列问题：

由于文件系统对代码的执行效率要求很高，上述技术由于解析文件操作类型而降低了效率；

此外，由于文件系统本身的复杂度非常高，不能准确地识别出文件操作类型；尤其是由于创建文件和修改文件都有文件写入动作，目前很难在写入动作里区别出来是修改文件还是创建文件，因此不能很好地适配相应的规则表。

发明内容

本发明为解决上述问题而提出，本发明的目的在于提供一种安全可靠的文件保护方法，其通过引入缓冲区，还可以保证文件系统的高效性。

而且，借助缓冲区，还可以在文件保护过程准确地识别出文件操作的类型以达到有效保护文件的目的。

根据本发明的一个方面，提供一种文件保护方法，包括：(1)根据要被保护的文件或文件夹生成规则库；(2)拦截文件操作请求；(3)利用缓冲区解析文件的操作类型增、删、改、查；(4)根据文件或文件夹的操作类型匹配规则库；(5)根据匹配上的规则，对本次文件操作进行处理。

其中当文件发生修改操作时，为了提高系统效率，通过引入缓冲区，把具有写权限的并且是被保护的文件或文件夹放入缓冲区当中，以便文件在真正发生写入的时候不用检索整个“改”规则表，提高系统效率。

附图说明

图1表示现有技术的文件保护方法；

图2表示生成规则库的流程图；

图3表示文件保护流程图；

图4表示识别文件操作类型的流程图。

具体实施方式

在本实施例中，文件保护过程包括根据要被保护的文件或文件夹生成规则库，然后监听并拦截文件操作请求，利用缓冲区列表解析文件的操作类型增、删、改、查，其中缓冲区列表是软件执行过程中由规则库生成并被不断更新；根据文件或文件夹的操作类型匹配上述生成的规则库，根据匹配上的规则，对本次文件操作进行处理，包括拒绝、放行、提示用户。如果没有在规则库中找到相应的规则就放行该文件操作。

在本发明中，规则库用来存储被保护的文件或文件夹的信息，如被保护的文件或文件夹的全路径、进程全路径、是否是目录、是否保护子文件夹、当前文件的处理方式(拒绝、放行、交由用户决定)等，在本实施例中规则库由增、删、改、查四个规则表构成。下表示出作为示例的“增”规则表，其中可对用户目录、载入的病毒库以及系统文件均以设防保护，其它规则表类似，或者可根据实际需要定制。

“增”规则表

 

规则ID	文件全路径	处理方式	进程全路径	是否是目录	是否保护子目录
						1	C：\ABC	0	*	是	1
2	病毒库.db	1	*	否	0
						3	efg.sys	2	*	否	0

其中“0”表示允许，“1”表示禁止，“2”表示交给用户处理，这里，进程全路径是指一个程序的完整路径，作用是：只有是进程全路径里的这个进程访问本条规则所要保护的文件才触犯本规则，“*”表示所有进程，如果存的是“*”，那么表示所有访问这个文件的进程都会触犯本条规则.根据本实施例的生成规则库的过程如下。图2是将要保护的文件或文件夹加入到规则库的流程图。在步骤1001中，用户添加或选择被保护的文件(全路径)；

在步骤1002中，对于用户选择的文件夹，判断是否需要将其加入“增”规则表？如果需要，就添加到“增”规则表，并设置表中对应各项的值，以确定对该文件夹的保护方式。例如，将用户加入的文件夹ABC的“处理方式”设置为0，以允许在该文件夹中生成任何文件，同时将“是否保护子目录”设置为“1”，以保护事先在文件夹ABC存在的存有关键文件的子目录，达到进一步保护关键文件的目的。

如果在步骤1002中不加入到增规则表，则进至步骤1003，在此判断是否需要加入“删”规则表？如果允许删除，就添加到“删”规则表；可以在删规则表中对选择的文件或文件夹设置删规则。

如果不需要加入删规则表，则在步骤1004中，判断是否需要加入“改”规则表？如果需要，就添加到“改”规则表并设定相应的改规则。

如果不需要加入“改”规则表，则在步骤1005中，判断是否需要加入“查”规则表？如果需要，就添加到“查”规则表并设定相应的规则；至此就完成了规则添加流程，建立了规则库。

下面结合图3描述本发明的文件保护过程。

在建立了规则库之后，执行根据本发明的文件保护程序，拦截系统的文件操作，以对文件操作实行控制。首先在步骤2001中，拦截文件访问请求；在步骤2002中，解析文件操作类型；在步骤2003中，识别是哪种文件操作类型；在步骤2004中，根据不同的文件操作类型匹配不同规则库。如果在步骤2003判断当前文件操作是“增”操作，则进到步骤3001，与增规则表进行匹配。在步骤3002判断所增加的文件夹是否与增规则表匹配。例如，如果当前文件操作是在目录ABC的子目录中创建新目录，由前述设定可知，其与增规则表是匹配的，于是进至步骤7001。在步骤7001，提取规则信息，根据规则信息决定本次操作是放行，拒绝，或是通知用户。在本例中，由目录ABC对应配置项“是否保护子目录”的设定可知，其子目录是受保护的，因此拒绝该文件操作，并结束该处理过程。如果所增加的文件夹不与增规则表匹配，则放行该文件操作。

如果在步骤2004中判断是删操作，则进到步骤4001，将其与删规则表进行匹配，如果匹配成功(步骤6002)，则根据相应的规则信息执行相应的处理，如果不成功，则放行。

如果在步骤2004中判断是查操作，则进到步骤6001，将其与查规则表进行匹配。如果匹配成功，则在步骤6003提取相应的规则信息并进到步骤6004根据相应的规则信息决定本次文件操作，包括放行、拒绝，或是通知用户，由用户决策。在本发明中，考虑到改文件的特殊性，在“查”文件后匹配“改”规则表，因此在匹配上规则后生成一个“改”文件规则缓冲列表来提高速度。具体地，在步骤6004之后，在步骤6005强制将该文件操作涉及的文件与“改”规则表进行匹配，如果在步骤6006中判断“改”规则表中未包含该文件，则结束处理过程；否则进到步骤6007，生成包含该操作文件的“改”规则表的一个副本，并放置到缓冲区中，作为可能被触犯的并受保护的文件或文件夹的改规则的缓冲区列表。同样，即使在步骤6002中匹配不成功，则过程仍进到步骤6005，执行与“改”规则表的匹配并更新缓冲区列表。

如果在步骤2004中判断是改操作，则进到步骤5001，在此，将该操作文件直接与缓冲区中可能存在的改规则的缓冲区列表进行匹配。在步骤5002中，如果匹配成功，即在表中读取到这个文件的相关信息，说明本次修改的文件是需要被保护的文件，则在步骤7001提取规则信息。采用这种方式，当真有对被保护的文件进行改操作的时候，由于可以直接从缓冲列表里直接判断是不是要被保护的文件，因此大大地加快了文件处理速度。

为了更准确地识别文件操作类型，本发明提出一种文件操作类型识别方法。一般地，一个文件操作至少应包括打开文件、写入文件或删除文件或读取文件、关闭文件。在程序拦截到文件请求后，文件保护模块会根据例如系统提供的IRP_MJ_CREATE(打开)、RP_MJ_WRITE(写入)、IRP_MJ_CLEANUP(关闭)、IRP_MJ_SET_INFORMATION(删除)例程地址函数入口确定基本的文件操作，因而从打开文件、删除文件、写文件以及关闭文件四个不同的入口点得到系统文件请求，如图4所示。

在为打开文件入口点的情况下，根据IRP(这里，IRP是指系统内核模式或者说驱动之间进行通信的数据包，这个包有规定的数据格式)栈判断为创建文件后，由于系统在创建或打开文件时会使用同样的标志，所以有需要进一步确认文件是否真的存在，方式是尝试打开文件。如果打开文件成功说明文件已经存在，识别为“查”，否则是真正的创建文件，即“创建”。

由于操作系统在写入文件数据时频率很高，如果直接去匹配规则库会使系统性能大大下降，所以在文件打开时就提前判断哪些文件打开是有可能触犯“写”规则表的，即受到写规则表保护的，并把包含该文件的一个改规则表副本放到缓冲区，在文件真正发生写入时直接与缓冲区副本进行匹配，可以缩小匹配范围来提高文件执行效率。这里判断依据可以是：是否有可能会触犯“写”规则表。采用该依据是因为这里打开文件只是有写权限，但是不一定真正会去写文件，可它确实有触犯“写”规则的可能性，所以把当前具有写权限的文件打开操作并且是被保护的文件放到缓冲区。具体地，在本实施例中，如图4所示，在文件操作类型被识别为“查”并且文件操作具有写权限之后，将其与“改”规则表进行匹配，以确定是否具有写权限。当匹配成功，是受保护的文件时，并将相应的副本放入缓冲区，从而生成一个受保护文件的缓冲区列表。该缓冲区列表不仅存放与当前文件对应的“改”规则表的副本，还可以存放系统内部定义的FILE_OBJECT对象的内存地址，做为索引，它可以完全表示被打开文件的身份，通过它我们可以找到对应的规则和文件全路径。

在系统根据例程地址函数入口确定为写文件入口的情况下，文件保护程序直接从缓冲区列表中查找该文件，如果找到该文件，则当前的文件操作类型是“修改”。

可以看到，借助缓冲区，本发明可以准确地、快速地区分出“创建”与“修改”，即前面所定义的“查”与“改”操作类型，从而可以精确地适配相应的规则表，并提高文件效率。

在为删除文件入口的情况下，可以直接根据IRP栈识别删除文件操作。

应用

本发明提供了一种可靠的文件保护实现方法，可以应用到安全产品领域，来保护用户的文件，防止恶意程序破坏和盗取；可以保护个人隐私。如：在病毒领域里，这样技术的应用可以使反病毒软件更加强大：某一类病毒喜欢通过系统honts文件来引导自己的运行，如果我们保护这个文件，准确区分对该文件的操作类型，禁止写入或当发生写入时进行报警，用户可以通过这个报警来识别这个程序是不是用户了解的进程，如果不是，可以禁止修改文件，达到抵御病毒的目的。

以上根据本发明的优选实施例进行了相应描述，应看到，上述实施例不是限定性的，本领域人员可以上述公开基础上做出各种修改、变更而不脱离本发明的精神范围。

Claims (7)

1.一种文件保护的方法，包括以下步骤：

(1)根据要被保护的文件或文件夹生成规则库；

(2)拦截文件操作请求；

(3)通过创建所述规则库的一个缓冲区列表，解析文件或文件夹的操作类型并根据该文件或文件夹的操作类型匹配所述规则库；

(4)根据匹配上的规则，对本次文件操作进行处理。

2.如权利要求1所述的方法，其中，所述规则库包括增、删、改、查规则表，并且其中所述文件操作请求包括“打开文件”、“删除文件”、“写文件”以及“关闭文件”四个入口点。

3.如权利要求2所述的方法，其中当所述文件操作请求为“打开文件”时，根据IRP栈判断所述文件操作类型是否为“增”，其中

(1)如果为“否”，则判定文件操作类型是“查”；

如果为“是”，则进一步判断该文件是否存在，

(2)如果为“否”，则判断操作类型是“增”，

否则如果为“是”，判断操作类型为“查”。

4、如权利要求3所述的方法，其中如果判断操作类型为“查”时，将该文件与所述“改”规则表匹配，其中在匹配时生成该文件的“改”规则表的缓冲区列表。

5、如权利要求4所述的方法，当所述文件操作请求为“写文件”时，将该文件直接与上述缓冲区列表进行匹配，当匹配成功时确认所述写文件操作类型是“改”。

6、如权利要求5所述的方法，其中根据IRP栈判断所述文件操作类型是否为“删”。

7、如权利要求2-6中任一个的方法，当确定所述操作类型为“改”时，直接与缓冲区列表进行匹配，当确定所述操作类型是“查”、“删”、“增”之一时，将其分别与增、删、查规则表进行匹配，并根据匹配的规则信息决定如何处理本次文件操作。

Images