CN102609644A

CN102609644A - 一种文件保护方法

Info

Publication number: CN102609644A
Application number: CN2012100076393A
Authority: CN
Inventors: 廖建新; 张建虎; 张桂权; 于强; 植东梧
Original assignee: Hangzhou Dongxin Beiyou Information Technology Co Ltd
Current assignee: Hangzhou Dongxin Beiyou Information Technology Co Ltd
Priority date: 2012-01-11
Filing date: 2012-01-11
Publication date: 2012-07-25
Anticipated expiration: 2032-01-11
Also published as: CN102609644B

Abstract

一种文件保护方法，所述方法包括有：步骤A、用户选择要保护的文件列表；步骤B、依次打开文件列表中的所有文件，以持有文件列表中所有文件的访问句柄；步骤C、启动一定时监控程序：依次检查所述文件列表中每个文件的连接数属性，如果文件的连接数属性为0，则发送文件被非法删除的告警信息。本发明属于计算机信息安全技术领域，通过对文件的连接数属性进行监控，从而能实时检测数据文件是否被非法删除，还可以进一步实现对文件内容的快速恢复，同时还能对文件内容是否被非法篡改进行实时检测，方法简单，成本低，具有较高的实用性，易于推广。

Description

一种文件保护方法

技术领域

本发明涉及一种文件保护方法，属于计算机信息安全技术领域。

背景技术

随着互联网和移动通信网络技术的飞速发展，各类应用系统得到了广泛的应用。由于这些应用存贮有大量的用户信息，以及大量的有价值的其它信息资产，一旦被非法盗用或窃取将会导致重大影响，甚至是难以弥补的损失。为了保障信息的安全性，一般所采用的技术手段是通过操作日志对用户操作过程和系统运行数据进行详细记录，并在事后通过操作日志对用户的操作行为进行审计，针对违规操作、异常访问等及时发出告警，从而争取将安全风险控制在最小的范围之内。

如何对操作日志这些包含有敏感信息的文件进行有效保护？传统的文件保护技术方案包括有：本地文件备份、远程文件复制等。但这些技术都仅用于按照一定的时间或规则定时执行数据文件的拷贝，而无法对原始数据文件提供实时保护，一旦原始数据文件出现非法删除等情况，这些技术则无法继续实施下一步的操作内容。

因此，如何实时检测数据文件是否被非法删除，从而对文件进行实时保护？仍是一个急需要解决的技术难题。

发明内容

有鉴于此，本发明的目的是提供一种文件保护方法，能实时检测数据文件是否被非法删除，从而对文件进行实时保护。

为了达到上述目的，本发明提供了一种文件保护方法，所述方法包括有：

步骤A、用户选择要保护的文件列表；

步骤B、依次打开文件列表中的所有文件，以持有文件列表中所有文件的访问句柄；

步骤C、启动一定时监控程序：依次检查所述文件列表中每个文件的连接数属性，如果文件的连接数属性为0，则发送文件被非法删除的告警信息。

与现有技术相比，本发明的有益效果是：本发明利用了Unix或Linux文件系统的管理机制，打开要保护的文件，并对文件的连接数属性进行监控，从而实现文件是否被非法删除的实时检测，然后通过被删除文件的访问句柄，将被删除文件内容写到和被删除文件相同目录上的新文件中，从而实现文件内容的快速恢复；本发明还可以将文件内容划分成多个文件块，使用信息摘要算法来计算每个文件块的摘要信息，并通过计算出的摘要信息和已保存的摘要信息进行对比，从而检测文件内容是否被非法篡改；其中每个文件块的摘要信息是根据该文件块的内容、以及其前一个文件块的摘要信息来计算，这样当其中部分文件块内容被删除时，由于其前一个文件块摘要信息发生了变化，其后的文件块对应的摘要信息也将发生变化，从而能对文件的完整性进行校验；本发明还可以进一步对操作日志等内容不断递增的文件是否被篡改也进行实时检测，先按照文件的原始大小值来读取多个文件块，并将所述文件块的摘要信息和文件的摘要列表中已保存的文件块摘要信息进行对比，如果存在不一致，则说明文件已被篡改；如果摘要信息都一致，则再从按照文件的原始大小值最后读取的文件块的起点字节位置开始直至文件末，继续读取多个文件块，并将所计算的文件块的摘要信息更新到文件的摘要列表中，从而可以用于下一次文件是否被篡改的检测；本发明方法简单，成本低，具有较高的实用性，易于推广。

附图说明

图1是本发明对要保护的文件是否被非法删除进行实时检测的实现流程图。

图2是图1步骤C中，当检查发现文件列表中某个文件被非法删除时，本发明对所述被删除文件进行恢复的实现流程图。

图3是对文件列表中的某个文件内容是否被篡改进行检测的具体操作流程图。

图4是图3中的步骤4的具体操作流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

如图1所示，本发明可以对要保护的文件是否被非法删除进行实时检测，包括有：

步骤A、用户选择要保护的文件列表；

步骤C、启动一定时监控程序：依次检查所述文件列表中每个文件的连接数属性，如果文件的连接数属性为0，则说明该文件已被删除，发送文件被非法删除的告警信息；如果文件的连接数属性不为0，则说明该文件未被删除，休眠一段时间后再继续执行步骤C。

如图2所示，所述步骤C中，当检查发现文件列表中某个文件被非法删除时，本发明还可以对所述被删除文件进行恢复，进一步包括有：

步骤C1、在所述被删除文件的存放目录上创建一个新文件，并持有所述新文件的访问句柄；

步骤C2、通过所持有的被删除文件的访问句柄，从存储介质中将所述被删除文件内容顺序读出，并依次写到新文件中；

步骤C3、当所述被删除文件内容全部写到新文件中之后，将所述新文件的文件名称修改为所述被删除文件的文件名称，释放所述被删除文件的访问句柄，并关闭所述被删除文件；

步骤C4、打开所述新文件，并将所持有的文件列表中所述被删除文件的访问句柄更新为所述新文件的访问句柄，从而继续以所述新文件为监控对象，对文件列表中包括所述新文件在内的所有文件的连接数属性进行监控。

本发明可适用于Unix或Linux操作系统，对于此类文件系统的管理机制来说，一个文件当且仅当没有被任何应用访问时，才会被彻底删除。也就是说，当所述文件被执行删除文件指令时，如果所述文件是打开状态，则所述文件不会被立刻删除，而只是在文件目录系统中不可见，只有当所述文件被关闭后，所述文件才会被真正删除。

随着应用系统的不断运行，所述应用的操作日志内容也在不断递增。本发明不仅可以对固定长度的文件内容是否被篡改进行检测，还可以对操作日志类文件不断递增的文件内容是否被篡改也实时检测。如图3所示，本发明可以定时顺序对文件列表中的每个文件内容是否被篡改进行检测，其中对某个文件内容是否被篡改进行检测的具体操作过程包括有：

步骤1、读取所述文件的大小值dfz，并判断应用是否已保存有所述文件的原始大小值yfz？如果是，则继续步骤2；如果否，则将所述文件的原始大小值取值为所述文件的大小值，并保存，然后继续步骤3；

其中，所述文件的原始大小值是所述文件在上次检测时所读取的文件大小值。

步骤2、判断所述文件的原始大小值是否为0？如果是，则说明所述原始文件内容为空，将所述文件的原始大小值取值为所述文件的大小值，并保存，本流程结束；如果否，则继续步骤3；

对于文件的原始大小值为0的特殊情况，本方法先将文件的原始大小值更新为当前文件的大小值，然后结束本次对该文件的检测流程，并继续文件列表中下一个文件的检测流程。

步骤3、判断所述文件的大小值是否小于所述文件的原始大小值？如果是，则说明所述文件被非法篡改，发送文件被非法篡改的告警信息，本流程结束；如果否，则继续步骤4；

步骤4、从所述文件的起始位置开始，按照固定的字节数g，顺序从所述文件的原始大小值所对应的文件内容中读取若干个文件块，同时，使用信息摘要算法(如MD5、SHA)计算文件块的摘要信息，并寻找所述文件块在所述文件的摘要列表中是否已保存有对应的摘要信息，如果有，则将所述文件块新计算出的摘要信息和已保存的摘要信息进行对比，并当不一致时，发送文件被非法篡改的告警信息，本流程结束；如果否，则将所述文件块新计算出的摘要信息顺序添加到所述文件的摘要列表中，以用于和下一次检测时该文件块所计算出的摘要信息进行对比，其中，所述文件的摘要列表用于顺序保存所有文件块的摘要信息；

所述步骤4中，当从所述文件的原始大小值对应的文件内容中读取多个固定的字节数的文件块后，如果剩余的文件内容不足固定的字节数，则将剩余的文件内容读取至最后一个文件块中，因此，所述最后一个文件块的字节数可能小于固定的字节数。例如，当所述文件的原始大小值dfz＝10个字节，固定的字节数g＝3，这样步骤4所读取的4个文件块的起始、终点字节位置分别为：(0，3)，(3，6)，(6，9)，(9，10)。

步骤5、判断所述文件的大小值是否大于所述文件的原始大小值？如果是，则计算所述步骤4中最后读取的文件块的起始字节所对应的文件位置，并从所述文件位置开始至文件末，继续按照固定的字节数g，顺序从所述文件内容中读取若干个文件块，同时使用信息摘要算法(如MD5、SHA)依次计算每个文件块的摘要信息，将所计算的首个文件块的摘要信息替换所述文件的摘要列表中最后一个文件块的摘要信息，以及将计算出的其他文件块的摘要信息顺序添加到所述文件的摘要列表中，从而用于下一次文件是否被篡改的检测中；如果否，则说明所述文件内容没有变化，本流程结束；

所述步骤5中，步骤4中最后读取的文件块的起始字节所对应的文件位置的计算公式如下：dfz-dfz％g，式中，％表示取余，例如，当所述文件的原始大小值dfz＝10个字节，固定的字节数g＝3，这样步骤4中最后读取的文件块的起始字节所对应的文件位置为：10-10％3＝10-1＝9；另外，和步骤4相类似，从步骤4中最后读取的文件块的起始字节位置至文件末的内容中所读取的最后一个文件块的字节数可能小于固定的字节数。

步骤6、将所述文件的原始大小值更新为所述文件的大小值，并保存。

如图4所示，图3中的步骤4还可以进一步包括有：

步骤41、定义已读取字节数rd为0；

步骤42、判断已读取字节数rd和固定字节数g之和是否大于所述文件的原始大小值yfz？如果是，则从所述文件中读取最后一个文件块：从已读取字节数rd对应的文件位置开始，读取yfz-rd个字节的文件内容至最后一个文件块中，继续步骤43；如果否，则从已读取字节数rd对应的文件位置开始，读取固定字节数g个字节的文件内容至一个文件块中，继续步骤43；

步骤43、使用信息摘要算法计算所读取的文件块的摘要信息，然后寻找所述文件块在所述文件的摘要列表中是否已保存有对应的摘要信息，如果有，则将所述文件块计算出的摘要信息和已保存的摘要信息进行对比，并当不一致时，发送文件被非法篡改的告警信息，本流程结束；如果否，则将所述文件块新计算出的摘要信息顺序添加到所述文件的摘要列表中；

步骤44、判断所述文件块是否是最后一个文件块？如果是，则本流程结束；如果否，则继续步骤45；

步骤45、更新已读取字节数rd：rd＝rd+g，并转至步骤42。

综上所述，对于操作日志类内容不断递增的文件来说，当检测到以下情况时，本发明即可判断文件内容发生了篡改：

(1)、当前文件的大小值小于文件的原始大小值；

(2)、根据所述文件的原始大小值读取的文件块所计算出的摘要信息和在文件的摘要列表中已保存的文件块的摘要信息不一致。

这样，本发明先按照文件的原始大小值来读取多个文件块，并同时计算每一个文件块的摘要信息，将所述文件块的摘要信息和文件的摘要列表中已保存的文件块摘要信息进行对比，如果存在不一致，则说明文件已被篡改；如果摘要信息都一致，则再从按照文件的原始大小值最后读取的文件块的起点字节位置开始直至文件末，继续读取多个文件块，并将所计算的文件块的摘要信息更新到文件的摘要列表中，最后更新文件的原始大小值，从而将文件的新增内容纳入到下一次的文件篡改检测流程中。

值得一提的是，所述步骤4中，当从所述文件的起始位置开始，读取首个文件块时，所述文件块的摘要信息根据该文件块的内容计算；当继续顺序读取其他文件块时，其他文件块的摘要信息根据其他文件块的内容、以及所述文件的摘要列表中其他文件块的前一个文件块的摘要信息来计算。这样当其中部分文件块内容被删除时，由于其前一个文件块摘要信息发生了变化，其后的文件块对应的摘要信息也将发生变化，从而能对文件的完整性进行校验。

同样，所述步骤5中，从步骤4中最后读取的文件块的起始字节所对应的文件位置开始，读取首个文件块时，所述文件块的摘要信息根据该文件块的内容、以及所述文件的摘要列表中倒数第二个文件块的摘要信息来计算；当继续顺序读取其他文件块时，其他文件块的摘要信息根据其他文件块的内容、以及所述文件的摘要列表中其他文件块的前一个文件块的摘要信息来计算。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种文件保护方法，其特征在于，所述方法包括有：

步骤A、用户选择要保护的文件列表；

2.根据权利要求1所述的方法，其特征在于，所述步骤C中，如果文件的连接数属性不为0，则休眠一段时间后再继续执行步骤C。

3.根据权利要求1所述的方法，其特征在于，所述步骤C中，当检查发现文件列表中某个文件被非法删除时，还可以对所述被删除文件进行恢复，进一步包括有：

4.根据权利要求1所述的方法，其特征在于，所述方法用于Unix或Linux操作系统。

5.根据权利要求1所述的方法，其特征在于，对文件内容是否被篡改进行检测，进一步包括有：

步骤1、读取所述文件的大小值，并判断应用是否已保存有所述文件的原始大小值？如果是，则继续步骤2；如果否，则将所述文件的原始大小值取值为所述文件的大小值，并保存，然后继续步骤2；其中，所述文件的原始大小值是所述文件在上次检测时所读取的文件大小值；

步骤2、判断所述文件的大小值是否小于所述文件的原始大小值，如果是，则发送文件被非法篡改的告警信息，本流程结束。

6.根据权利要求5所述的方法，其特征在于，所述步骤1中，当判断应用已保存有所述文件的原始大小值时，还包括有：

判断所述文件的原始大小值是否为0，如果是，则将所述文件的原始大小值取值为所述文件的大小值，并保存，本流程结束；如果否，则继续步骤2。

7.根据权利要求5所述的方法，其特征在于，所述步骤2中，当判断所述文件的大小值不小于所述文件的原始大小值时，还包括有：

步骤3、从所述文件的起始位置开始，按照固定的字节数，顺序从所述文件的原始大小值所对应的文件内容中读取若干个文件块，同时，使用信息摘要算法计算文件块的摘要信息，并寻找所述文件块在所述文件的摘要列表中是否已保存有对应的摘要信息，如果有，则将所述文件块新计算出的摘要信息和已保存的摘要信息进行对比，并当不一致时，发送文件被非法篡改的告警信息，本流程结束；如果否，则将所述文件块新计算出的摘要信息顺序添加到所述文件的摘要列表中，以用于和下一次检测时该文件块所计算出的摘要信息进行对比，其中，所述文件的摘要列表用于顺序保存所有文件块的摘要信息。

8.根据权利要求7所述的方法，其特征在于，所述步骤3进一步包括有：

步骤31、定义已读取字节数rd为0；

步骤32、判断已读取字节数rd和固定字节数g之和是否大于所述文件的原始大小值yfz？如果是，则从所述文件中读取最后一个文件块：从已读取字节数rd对应的文件位置开始，读取yfz-rd个字节的文件内容至最后一个文件块中，继续步骤33；如果否，则从已读取字节数rd对应的文件位置开始，读取固定字节数g个字节的文件内容至一个文件块中，继续步骤33；

步骤33、使用信息摘要算法计算所读取的文件块的摘要信息，然后寻找所述文件块在所述文件的摘要列表中是否已保存有对应的摘要信息，如果有，则将所述文件块计算出的摘要信息和已保存的摘要信息进行对比，并当不一致时，发送文件被非法篡改的告警信息，本流程结束；如果否，则将所述文件块新计算出的摘要信息顺序添加到所述文件的摘要列表中；

步骤34、判断所述文件块是否是最后一个文件块？如果是，则本流程结束；如果否，则继续步骤35；

步骤35、更新已读取字节数rd：rd＝rd+g，并转至步骤32。

9.根据权利要求7所述的方法，其特征在于，所述步骤3中，当从所述文件的起始位置开始，读取首个文件块时，所述文件块的摘要信息根据该文件块的内容计算；当继续顺序读取其他文件块时，其他文件块的摘要信息根据其他文件块的内容、以及所述文件的摘要列表中其他文件块的前一个文件块的摘要信息来计算。

10.根据权利要求7所述的方法，其特征在于，还包括有：

步骤4、判断所述文件的大小值是否大于所述文件的原始大小值？如果是，则计算所述步骤3中最后读取的文件块的起始字节所对应的文件位置，并从所述文件位置开始至文件末，继续按照固定的字节数，顺序从所述文件内容中读取若干个文件块，同时使用信息摘要算法依次计算每个文件块的摘要信息，将所计算的首个文件块的摘要信息替换所述文件的摘要列表中最后一个文件块的摘要信息，以及将计算出的其他文件块的摘要信息顺序添加到所述文件的摘要列表中；如果否，则本流程结束；

步骤5、将所述文件的原始大小值更新为所述文件的大小值，并保存。

11.根据权利要求10所述的方法，其特征在于，所述步骤3中最后读取的文件块的起始字节所对应的文件位置的计算公式如下：dfz-dfz％g，其中，dfz是所述文件的原始大小值，g是读取文件块的固定的字节数，％表示取余。

12.根据权利要求10所述的方法，其特征在于，所述步骤4中，从步骤3中最后读取的文件块的起始字节所对应的文件位置开始，读取首个文件块时，所述文件块的摘要信息根据该文件块的内容、以及所述文件的摘要列表中倒数第二个文件块的摘要信息来计算；当继续顺序读取其他文件块时，其他文件块的摘要信息根据其他文件块的内容、以及所述文件的摘要列表中其他文件块的前一个文件块的摘要信息来计算。