CN101777018A - 一种复制与快照结合的Windows系统保护方法 - Google Patents

Abstract

本发明公开了一种复制与快照结合的Windows系统保护方法。在Windows系统中运行驱动程序，把计算机本地磁盘块的变化在线实时镜像到一个存储服务器上，并在存储服务器上生成其镜像的快照。该存储服务器安装有带恢复管理程序的WinPE系统。当进行系统还原时，计算机远程启动存储服务器上带有恢复管理程序的WinPE系统，把快照挂载为远程只读磁盘，可执行磁盘级别的恢复；运行恢复管理程序，将远程磁盘和本地磁盘的文件、注册表进行比较，根据比较结果，可执行文件级别、注册表项的恢复。采用本发明方法，不需要借助恢复光盘或U盘，能够实现多级别的恢复和细粒度的比较及恢复。

Description

一种复制与快照结合的Windows系统保护方法

技术领域

本发明属于计算机数据安全领域，涉及一种Windows系统的保护方法，尤其涉及一种复制与快照结合的Windows系统保护方法。

背景技术

Windows作为使用最广泛的操作系统，始终是黑客及各种病毒、木马的主要攻击对象。即使采取安装杀毒软件与防火墙等保护措施，仍然不能完全杜绝攻击。其次，用户可能执行一些误操作，导致系统崩溃或重要数据丢失。因此，通常通过部署存储服务器，对Windows系统进行有效的保护，使其在系统受到攻击或丢失关键数据后，能够从存储服务器中恢复。

Windows 7系统在恢复与还原方面，较Windows XP、Windows Vista操作系统更为完善。Windows 7所实现的基于卷影复制的系统备份与还原，通过自动或手动在本地磁盘创建若干还原点(即快照)，在文件被修改时自动备份。当需要恢复文件时，再运行管理程序提取还原点中保存的数据。但是，这种方式仍然存在如下问题：

第一、还原点对应的备份数据仍然保存在本地磁盘上，黑客及病毒、木马程序可以删除、修改备份数据。或者，也可以通过删除系统所创建的还原点标志，使还原程序无法找到备份数据或者还原点标志，在需要恢复时不能找到所需的数据。

第二、由于还原点标记及备份数据均位于本地磁盘，如果本地磁盘出现物理故障，无法恢复。

第三、不能对注册表的表项进行细粒度的保护和恢复。将注册表文件恢复到某个还原点后，注册表的所有表项都被恢复到创建还原点时刻的状态。但黑客及病毒、木马程序一般只会修改几个注册表项，因此，这种恢复方式会丢失还原点之后的所有的注册表项。

对于Windows 7采用的基于增量备份策略的文件备份与还原、系统映像备份与还原，在备份过程中，计算机响应、处理其它事务的能力会受到较大影响。并且利用备份还原时，备份时刻之后的所有文件及注册表的变化都被丢失。

而基于磁盘卷的系统保护及还原方案，当恢复到某个快照后，磁盘卷的所有数据块恢复到快照点状态，快照点之后的所有文件及注册表的变化同样都被丢失。

发明内容

本发明的目的是为了解决现有备份与还原机制上存在的上述问题，提供一种复制与快照结合的Windows系统保护方法。

本方法的基本原理是：在Windows系统中运行驱动程序，把计算机本地磁盘块的变化在线实时镜像到一个存储服务器上，并在存储服务器上生成其镜像的快照。该存储服务器安装有带恢复管理程序的WinPE系统。当进行系统还原时，计算机远程启动存储服务器上带有恢复管理程序的WinPE系统，把快照挂载为远程只读磁盘，可执行磁盘级别的恢复；运行恢复管理程序，将远程磁盘和本地磁盘的文件、注册表进行比较，根据比较结果，可执行文件级别、注册表项的恢复。

有益效果

本发明方法具有以下优点：

1)不需要借助恢复光盘或U盘。通过将WinPE系统以及恢复管理程序制作成启动映像保存在存储服务器中，当计算机本地磁盘数据崩溃或损坏时，计算机可从启动映像中远程启动，通过运行恢复管理程序执行系统恢复操作，而不需要系统恢复光盘或U盘。

2)实现多级别的恢复。采用本发明方法，可以执行磁盘级别、文件级别的恢复，将存储服务器的快照完整地复制到本地磁盘；也可以将快照中的单个文件复制到本地磁盘上；还可以恢复注册表项。

3)实现细粒度的比较及恢复。恢复管理程序比较本地磁盘与快照磁盘的所有文件，以及注册表文件中的所有注册表项，可显示出黑客及病毒、木马程序对Windows系统所做的每一项改动，或者用户对文件或注册表的误操作，从而允许管理员依据存储服务器中的快照对这些改动进行还原。

附图说明

图1DC Driver的工作流程图；

图2在服务器B上生成MirrorDisk的快照示意图；

图3计算机A启动WinPE，挂载快照为外部只读磁盘SnapDisk；

图4注册表比较结果部分截图；

图5文件比较结果部分截图。

具体实施方式

下面结合附图和实施例对本发明方法作进一步描述。本发明不仅限于以下实例，凡是利用本发明的设计思路，做一些变化的还原方法，都应进入本发明的保护范围之内。

一种复制与快照结合的Windows系统保护方法，其技术方案如下：

假定计算机A在本地磁盘LocalDisk上安装有Windows操作系统。

首先，将计算机A与存储服务器B相联接，例如，通过光纤(Fibre Channel)存储网络连接，或者通过iSCSI存储网络联接。存储服务器B内部具备存储池，为计算机A分配一个镜像磁盘MirrorDisk，其大小和计算机A的本地磁盘LocalDisk相同。镜像磁盘MirrorDisk作为计算机A的外部磁盘。存储服务器B为镜像磁盘MirrorDisk的快照保留存储空间，初始设置为镜像磁盘MirrorDisk的1/2，快照空间被占满后再根据需要从存储池中分配。

在计算机A的本地磁盘LocalDisk上安装数据复制驱动程序DC Driver。DCDriver作为一个磁盘过滤驱动程序，执行如下任务：首先进行初始同步，即，把本地磁盘LocalDisk上的所有数据全部复制到存储服务器B的镜像磁盘MirrorDisk上；然后，DC Driver监控Windows操作系统对本地磁盘LocalDisk的写操作，数据在写入镜像磁盘LocalDisk的同时，也被DC Driver发送给镜像磁盘MirrorDisk，以实现与本地磁盘LocalDisk的数据同步。如果计算机A与存储服务器B连接出现中断，则DC Driver将计算机A对本地磁盘LocalDisk的写操作(包括块号、写入的块数)记录在内存中的队列Q中，当计算机A与存储服务器B重新连接后，从队列Q中按顺序取出写操作，将数据从本地磁盘LocalDisk上读出，再复制到镜像磁盘MirrorDisk。如果队列Q已满，则不再记录写操作，计算机A与存储服务器B重新联接后要重新进行初始同步。如图1所示。

计算机A在运行过程中，可以通过两种控制方式，在存储服务器B上生成镜像磁盘MirrorDisk的快照S1，S2，…，Sn。如图2所示。一种是：在计算机A上运行快照管理程序，利用存储服务器B所提供的API，向存储服务器B发送控制命令，依次生成镜像磁盘MirrorDisk的快照Si(1≤i≤n)。快照管理程序可以定时运行，自动为MirrorDisk生成快照，例如可设置每小时为镜像磁盘MirrorDisk生成一个快照。另一种是：由管理员手动产生快照，手动产生快照的时间点可以设置在如下一些关键时刻：安装应用程序、驱动程序前，通过网络升级系统程序和应用程序前，卸载程序前，修改注册表前，在计算机中删除、修改某些系统或用户的重要文件前，以及执行其它可能影响系统和用户重要数据操作的时刻。

当本地磁盘LocalDisk损坏，或者计算机A受到攻击而出现异常，或者数据丢失时，执行系统还原操作，即，从存储服务器B中恢复数据，将被修改的文件、注册表恢复。计算机A启动存储服务器B上的WinPE系统，该系统包含基本Windows系统和若干恢复管理程序，这些程序包括快照映射程序SnapMapper、磁盘恢复程序DiskRestorer、文件恢复程序FileRestorer、注册表恢复程序RegRestorer等。

当WinPE系统启动后，管理员运行快照映射程序SnapMapper，列出镜像磁盘MirrorDisk的所有快照，再由管理员选择其中某个快照，并向存储服务器B发出控制指令，将该快照映射给计算机A，作为计算机A的一个外部只读磁盘SnapDisk，如图3所示。

此时，根据具体情况，进行不同操作，具体如下：

(1)若本地磁盘LocalDisk物理损坏，更换本地磁盘后，运行磁盘恢复程序DiskRestorer。DiskRestorer程序将SnapDisk的全部数据复制到本地磁盘，复制完成后，本地磁盘的全部数据恢复到该快照创建时刻的状态。

(2)如果计算机A受到攻击而出现异常，或者数据丢失，运行文件恢复程序FileRestorer及注册表恢复程序RegRestorer。

FileRestorer程序将比较LocalDisk和SnapDisk上的所有文件(注册表文件除外)，并列出LocalDisk和SnapDisk上的文件变化。对于某一个文件C(或目录D)，有以下情况：

(1)LocalDisk和SnapDisk上的文件C相同。

(2)LocalDisk和SnapDisk上的文件C不同。

(3)文件C仅存在于SnapDisk中。

(4)文件C仅存在于LocalDisk中。

(5)目录D仅存在于SnapDisk中。

(6)目录D仅存在于LocalDisk中。

目录D下的文件则属于前4种情况之一。

针对上述后5种情况，管理员决定是否从SnapDisk中恢复文件C(或目录D)的备份。恢复时，FileRestorer程序分别执行以下操作：

(1)将SnapDisk上的文件C复制到LocalDisk中。

(2)将SnapDisk上的文件C复制到LocalDisk中。

(3)删除LocalDisk中的文件C。

(4)在LocalDisk中创建目录D。

(5)删除LocalDisk中的目录D。

RegRestorer程序比较LocalDisk和SnapDisk上的Windows注册表文件，注册表由下列文件组成：

(1)SECURITY——对应于HKEY_LOCAL_MACHINE\SECURITY；

(2)software——对应于HKEY_LOCAL_MACHINE\SOFTWARE；

(3)system——对应于HKEY_LOCAL_MACHINE\SYSTEM；

(4)default——对应于HKEY_USERS\.DEFAULT；

(5)SAM——对应于HKEY_LOCAL_MACHINE\SAM；

(6)ntuser.dat——对应于HKEY_CURRENT_USER；

(7)Usrclass.dat——对应于HKEY_CURRENT_USER\SOFTWARE\Classess；RegRestore程序r比较两个磁盘上的上述注册表，并列出注册表的变化。对于某一注册表文件E中的注册表项F，有以下4种情况：

(1)LocalDisk和SnapDisk上的注册表项F相同；

(2)LocalDisk和SnapDisk上的注册表项F不同；

(3)注册表项F仅存在于SnapDisk中；

(4)注册表项F仅存在于LocalDisk中。

针对上述后3种情况，管理员决定是否从SnapDisk中恢复注册表项F的备份，恢复时RegRestorer分别执行以下操作：

(1)将SnapDisk上的注册表项F复制到LocalDisk中的文件E；

(2)在LocalDisk中的文件E中分配空间，创建并复制注册表项F；

(3)删除LocalDisk中的文件E中的注册表项F。

至此，就完成了Windows系统的还原，从而实现了对系统的保护。

实施例

本实例采用暴风一号(BoyFine)病毒样本。计算机安装有Windows XP操作系统。当计算机感染该病毒后，所有根目录文件夹均被隐藏，且病毒根据根目录文件夹名创建相应的lnk文件，lnk文件被删除后会重新生成。

首先，在本地磁盘安装DC Driver后，利用DC Driver进行初始同步和监控本地写操作。

暴风一号病毒入侵前，系统处于正常状态。在存储服务器B上启动了一个磁盘镜像的快照S1。

当暴风一号病毒入侵后，在存储服务器B上启动一个磁盘镜像的快照S2。当进行系统恢复时，由存储服务器B上的WinPE启动计算机A。

挂载快照镜像S1为H盘，H盘是只读的，本地磁盘为I盘，利用注册表比较工具进行比较H盘和I盘的注册表文件，发现暴风一号病毒修改了注册表，如图4所示。利用文件比较工具比较H盘和I盘的文件，发现了暴风一号病毒修改、增加及删除的文件，如图5所示。

最后，根据注册表和文件的比较结果，可以手工编辑注册表、移动文件进行还原，也可以利用管理工具，如采用注册表恢复程序RegRestorer恢复注册表，文件恢复程序FileRestorer恢复文件。

Claims (3)

1.一种复制与快照结合的Windows系统保护方法，其特征在于，

在安装有Windows系统的计算机中运行一个数据复制驱动程序，由其复杂把计算机本地磁盘块的变化在线实时镜像到一个存储服务器上，并在存储服务器上生成其镜像的快照；

其中，所述存储服务器中安装有带恢复管理程序的WinPE系统；同时，存储服务器内部具备存储池，为计算机分配一个镜像磁盘，其大小和计算机的本地磁盘相同，镜像磁盘作为计算机的外部磁盘；存储服务器为镜像磁盘的快照保留存储空间，初始设置为镜像磁盘的1/2，快照空间被占满后再根据需要从存储池中分配；

所述数据复制驱动程序作为一个磁盘过滤驱动程序，执行如下任务：首先进行初始同步，即，把计算机本地磁盘上的所有数据全部复制到存储服务器的镜像磁盘上；然后，该数据复制驱动程序监控Windows操作系统对本地磁盘的写操作，数据在写入镜像磁盘的同时，也被数据复制驱动程序发送给镜像磁盘，以实现与本地磁盘的数据同步；如果计算机与存储服务器连接出现中断，则数据复制驱动程序将计算机对本地磁盘的写操作记录在内存中的一个队列中，当计算机与存储服务器重新连接后，从队列中按顺序取出写操作，将数据从本地磁盘上读出，再复制到镜像磁盘；如果队列已满，则不再记录写操作，计算机与存储服务器重新联接后重新进行初始同步；

当本地磁盘损坏，或者计算机受到攻击而出现异常，或者数据丢失时，执行系统还原操作，即，从存储服务器中恢复数据，将被修改的文件、注册表恢复；计算机启动存储服务器上的WinPE系统，该系统包含基本Windows系统和若干恢复管理程序，这些程序包括快照映射程序SnapMapper、磁盘恢复程序DiskRestorer、文件恢复程序FileRestorer、注册表恢复程序RegRestorer；

当WinPE系统启动后，管理员运行快照映射程序SnapMapper，列出镜像磁盘MirrorDisk的所有快照，再由管理员选择其中某个快照，并向存储服务器发出控制指令，将该快照映射给计算机，作为计算机的一个外部只读磁盘SnapDisk；

此时，根据具体情况，进行不同操作，具体如下：

(1)若本地磁盘LocalDisk物理损坏，更换本地磁盘后，运行磁盘恢复程序DiskRestorer；DiskRestorer程序将SnapDisk的全部数据复制到本地磁盘，复制完成后，本地磁盘的全部数据恢复到该快照创建时刻的状态；

(2)如果计算机受到攻击而出现异常，或者数据丢失，运行文件恢复程序FileRestorer及注册表恢复程序RegRestorer；

FileRestorer程序将比较LocalDisk和SnapDisk上的所有文件，但注册表文件除外；并列出LocalDisk和SnapDisk上的文件变化；对于某一个文件C或者目录D，有以下情况：

(1)LocalDisk和SnapDisk上的文件C相同；

(2)LocalDisk和SnapDisk上的文件C不同；

(3)文件C仅存在于SnapDisk中；

(4)文件C仅存在于LocalDisk中；

(5)目录D仅存在于SnapDisk中；

(6)目录D仅存在于LocalDisk中；

目录D下的文件则属于前4种情况之一；

针对上述后5种情况，管理员决定是否从SnapDisk中恢复文件C或者目录D的备份；恢复时，FileRestorer程序分别执行以下操作：

(1)将SnapDisk上的文件C复制到LocalDisk中；

(2)将SnapDisk上的文件C复制到LocalDisk中；

(3)删除LocalDisk中的文件C；

(4)在LocalDisk中创建目录D；

(5)删除LocalDisk中的目录D；

RegRestorer程序比较LocalDisk和SnapDisk上的Windows注册表文件，注册表由下列文件组成：

(1)SECURITY——对应于HKEY_LOCAL_MACHINE\SECURITY；

(2)software——对应于HKEY_LOCAL_MACHINE\SOFTWARE；

(3)system——对应于HKEY_LOCAL_MACHINE\SYSTEM；

(4)default——对应于HKEY_USERS\.DEFAULT；

(5)SAM——对应于HKEY_LOCAL_MACHINE\SAM；

(6)ntuser.dat——对应于HKEY_CURRENT_USER；

(7)Usrclass.dat——对应于HKEY_CURRENT_USER\SOFTWARE\Classess；

RegRestore程序r比较两个磁盘上的上述注册表，并列出注册表的变化；对于某一注册表文件E中的注册表项F，有以下4种情况：

(1)LocalDisk和SnapDisk上的注册表项F相同；

(2)LocalDisk和SnapDisk上的注册表项F不同；

(3)注册表项F仅存在于SnapDisk中；

(4)注册表项F仅存在于LocalDisk中；

针对上述后3种情况，管理员决定是否从SnapDisk中恢复注册表项F的备份，恢复时RegRestorer分别执行以下操作：

(1)将SnapDisk上的注册表项F复制到LocalDisk中的文件E；

(2)在LocalDisk中的文件E中分配空间，创建并复制注册表项F；

(3)删除LocalDisk中的文件E中的注册表项F。

2.如权利要求1所述的一种复制与快照结合的Windows系统保护方法，其特征在于，在存储服务器上生成镜像磁盘MirrorDisk的快照，通过以下控制方式：

在计算机上运行快照管理程序，利用存储服务器所提供的API，向存储服务器发送控制命令，依次生成镜像磁盘MirrorDisk的快照Si，1≤i≤n；快照管理程序能够定时运行，自动为MirrorDisk生成快照。

3.如权利要求1所述的一种复制与快照结合的Windows系统保护方法，其特征在于，在存储服务器上生成镜像磁盘MirrorDisk的快照，通过以下控制方式：

由管理员手动产生快照，手动产生快照的时间点设置在如下关键时刻之一：安装应用程序、驱动程序前；通过网络升级系统程序和应用程序前；卸载程序前；修改注册表前；在计算机中删除、修改某些系统或用户的重要文件前；以及执行其它可能影响系统和用户重要数据操作的时刻。

Images