CN102737175A - 一种数据安全防控中的设备接入方法、用户设备及装置 - Google Patents

Abstract

本发明公开了一种数据安全防控中的设备接入方法、用户设备及系统。检测与服务器的通信是否正常；检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动中；判断所述接入请求对应的接入设备是否具有安全访问权限；若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；将记录的操作过程上传给服务器。真正达到了数据设备安全防控的目的。

Description

一种数据安全防控中的设备接入方法、用户设备及装置

技术领域

本发明涉及移动存储、数据安全等领域，特别涉及一种数据安全防控中的设备接入方法、用户设备及装置。

背景技术

移动存储设备越来越广泛的应用在各种领域，移动存储设备的类型也非常的丰富，在给工作和生活带来极大便利的同时，也带来了极大的安全隐患。

终端需要接入移动存储设备时，只需要具备移动存储设备的驱动及相关配置，有些移动设备甚至不需要驱动或该类驱动已经被集成在终端操作系统中，就可以对移动存储设备进行读/写操作。这就大大增加了移动存储设备被病毒或木马感染的机会。

现有技术中，各大计算机安全服务商和移动存储设备供应商采取了一些手段来对移动存储设备及其数据文件进行安全防控，对于移动存储设备的防控一般都采用在底层的BIOS(Basic Input Output System，基本输入输出系统)直接将设备屏蔽，使不需要的设备不能接入到本地终端。对于移动存储设备的数据文件一般采用在数据安全防控中只是利用现有的杀毒软件对数据文件进行扫描杀毒，并查找出病毒文件，以防止病毒袭击系统。

发明人在实施本发明的过程中，发现现有技术存在以下技术问题：

(1)对接入的移动存储设备只有采用扫描杀毒的形式进行安全防控；

(2)对于不可信任的设备进行处理。

发明内容

本发明提供一种数据安全防控中的设备接入方法、用户设备及装置，对安全防控中的不可信任的进行丢弃，停止对其任何操作，达到真正的安全防控目的。

为达到上述目的，本发明提供一种数据安全防控中的设备接入方法，包括：

检测与服务器的通信是否正常；

检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动中；

判断所述接入请求对应的接入设备是否具有安全访问权限；

若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；

将记录的操作过程上传给服务器。

本发明还提供一种数据安全防控中用于设备接入的用户设备，包括：

检测单元，用于检测与服务器的通信是否正常；

获取单元，用于获取接入请求并将其记载在底层驱动；

判断单元，用于判断所述接入请求对应的接入设备是否具有安全访问权限；

转发单元，用于所述底层中的接入请求转发给操作系统上层应用；

上传单元，用于将记录的操作过程上传给服务器。

本发明还提供一种数据安全防控中用于设备接入的服务器，包括：

服务器，用于接收用户设备记录的操作过程，所述操作过程记录了所述用户设备通过可接入设备接口获取的接入请求是否具有安全访问权限的识别结果；

用户设备，用于检测与服务器的通信是否正常；检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动中；判断所述接入请求对应的接入设备是否具有安全访问权限；若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；将记录的操作过程上传给服务器。

与现有技术相比，本发明的实施例具有以下优点：

通过应用发明，通过对接入系统的移动存储设备，进行安全访问权限的判断，对于没有安全访问权限的设备，底层驱动不通知上层应用并直接屏蔽，停止读取接入的数据设备，真正达到安全防控的目的。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中一种数据安全防控中的设备接入方法流程图；

图2为本发明实施例二中一种数据安全防控中用于设备接入的用户设备的结构图；

图3为本发明实施例中一种数据安全防控中用于设备接入系统的结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，需要指出的是，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例一中提供了一种数据安全防控中的设备接入方法，具体实现方法如图1所示，包括：

步骤S101、检测与服务器的通信是否正常。

步骤S102、检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动中。

判断可接入设备接口开放的方法具体为：基本输入输出系统BIOS屏蔽所述可接入设备接口，则所述可接入设备接口为未开放的设备接口；基本输入输出系统BIOS允许所述设备接口接入设备并能识别所述接入设备，则所述可接入设备接口是开放的。

若可接入设备的接口开放，接收可接入设备接口的接入请求。一台终端一般都有能够接入数据移动存储设备的接口，当有设备接入可以接入设备接口的时候，底层驱动就会接收到设备接入的请求。所述底层驱动为系统服务描述符表SSDT。

当所述BIOS系统不能识别接入的设备并将其对应的接入设备接口设为未开发的设备接口时，直接将所述接入请求屏蔽

步骤S103、判断所述接入请求对应的接入设备是否具有安全访问权限。

判断接入设备是否有安全访问权限的方法本发明中不进行限定，任何能够识别接入设备访问权限的方法都适用于本发明。本实施列中一方面可以采用根据接入设备本身自带的安全访问标识来判断是否具有访问权限。根据接入设备是否携带安全访问标识就能直接判断出所述接入设备是否具有安全访问权限，当接入设备携带安全访问标识时具有安全访问权限，不携带则无访问权限；

另一方面，还可以根据SSDT的设备访问列表进行判断所述接入设备是否具有安全访问权限，当所述设备访问列表中有所述接入设备类型时具有安全访问权限，否则不具有安全访问权限。本实例中涉及的设备访问列表可以是用户预先定义好并存储在SSDT中的允许访问的设备类型，也可以是同一类型的具有不同编码ID标识的设备信息。

具有安全访问权限的接入请求，给以安全授权提示；不具有安全访问权限的接入请求，给以直接报警提示。

步骤S104、若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；所述上层应用为应用程序编程接口API。

步骤S105、将记录的操作过程上传给服务器。

本发明实施例中，通过对接入系统的移动存储设备，在底层驱动中进行进一步的安全访问权限的判断，对有访问权限的设备通知上层应用，没有访问权限的设备直接屏蔽并不通知上层应用的方法，保障了系统的安全，同时达到了移动存储设备数据安全防控的目的。

本发明实施例二中提供了一种数据安全防控中的用于设备接入用户设备，如图2所示，包括：

检测单元201，用于检测与服务器的通信是否正常；

获取单元202，用于获取接入请求并将其记载在底层驱动；

判断单元203，用于判断所述接入请求对应的接入设备是否具有安全访问权限；

转发单元204，用于所述底层中的接入请求转发给操作系统上层应用；

上传单元205，用于将记录的操作过程上传给服务器。

所述转发单元204，还包括：

标记子单元单元2041，用于将转发给所述操作系统上层应用的接入请求标记为操作系统上层应用操作可执行；

所述判断单元203，还包括：

标识判断子单元2031，用于根据接入设备是否携带安全访问标识进行判断所述接入设备是否具有安全访问权限，当接入设备携带安全访问标识时具有安全访问权限，不携带则无访问权限；

访问列表判断子单元2032，用于根据底层驱动的设备访问列表进行判断所述接入设备是否具有安全访问权限，当所述设备访问列表中有所述接入设备类型时具有安全访问权限，否则不具有安全访问权限。

通过应用发明，通过对接入系统的移动存储设备，进行安全访问权限的判断，对于没有安全访问权限的设备，底层驱动不通知上层应用并直接屏蔽，停止读取接入的数据设备，真正达到安全防控的目的。

本发明实施例三中提供了一种数据安全防控中的用于设备接入的服务器，如图3所示，包括：

服务器31，用于接收用户设备记录的操作过程，所述操作过程记录了所述用户设备通过可接入设备接口获取的接入请求是否具有安全访问权限的识别结果；

用户设备321至32N，用于检测与服务器的通信是否正常；检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动(系统服务描述符表SSDT)中；判断所述接入请求对应的接入设备是否具有安全访问权限；若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用(应用程序编程接口API)，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；将记录的操作过程上传给服务器。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过软件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述，仅为本发明的一个最佳具体实施例，但本发明的特征并不局限于此，任何熟悉该项技术的人在本发明领域内，可轻易想到的变化或修饰，都应涵盖在以下本发明的申请专利范围中。

Claims (9)

1.一种数据安全防控中的设备接入方法，其特征在于，该方法包括：

检测与服务器的通信是否正常；

检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动中；

判断所述接入请求对应的接入设备是否具有安全访问权限；

若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；

将记录的操作过程上传给服务器。

2.如权利要求1所述的方法，其特征在于，所述判断可接入设备接口开放的方法具体为：

基本输入输出系统BIOS屏蔽所述可接入设备接口，则所述可接入设备接口为未开放的设备接口；

基本输入输出系统BIOS允许所述设备接口接入设备并能识别所述接入设备，则所述可接入设备接口是开放的。

3.如权利要求2所述的方法，其特征在于，当所述BIOS系统不能识别接入的设备并将其对应的接入设备接口设为未开发的设备接口时，直接将所述接入请求屏蔽。

4.如权利要求1所述的方法，其特征在于，所述判断接入设备是否具有安全访问权限的方法包括：

根据接入设备是否携带安全访问标识进行判断所述接入设备是否具有安全访问权限，当接入设备携带安全访问标识时具有安全访问权限，不携带则无访问权限;

根据底层驱动的设备访问列表进行判断所述接入设备是否具有安全访问权限，当所述设备访问列表中有所述接入设备类型时具有安全访问权限，否则不具有安全访问权限。

5.如权利要求1所述的方法，其特征在于，所述判断所述接入请求对应的接入设备是否具有安全访问权限后还包括：

具有安全访问权限的接入请求，给以安全授权提示；

不具有安全访问权限的接入请求，给以直接报警提示。

6.一种数据安全防控中用于设备接入的用户设备，其特征在于，包括：

检测单元，用于检测与服务器的通信是否正常；

获取单元，用于获取接入请求并将其记载在底层驱动；

判断单元，用于判断所述接入请求对应的接入设备是否具有安全访问权限;

转发单元，用于所述底层中的接入请求转发给操作系统上层应用；

上传单元，用于将记录的操作过程上传给服务器。

7.如权利要求6所述的用户设备，其特征在于，所述转发单元还包括：

标记子单元单元，用于将转发给所述操作系统上层应用的接入请求标记为操作系统上层应用操作可执行；

8.如权利要求6所述的用户设备，其特征在于，所述判断单元还包括：

标识判断子单元，用于根据接入设备是否携带安全访问标识进行判断所述接入设备是否具有安全访问权限，当接入设备携带安全访问标识时具有安全访问权限，不携带则无访问权限；

访问列表判断子单元，用于根据底层驱动的设备访问列表进行判断所述接入设备是否具有安全访问权限，当所述设备访问列表中有所述接入设备类型时具有安全访问权限，否则不具有安全访问权限。

9.一种数据安全防控中用于设备接入的服务器，其特征在于，包括：

服务器，用于接收用户设备记录的操作过程，所述操作过程记录了所述用户设备通过可接入设备接口获取的接入请求是否具有安全访问权限的识别结果;

用户设备，用于检测与服务器的通信是否正常；检测到通信正常时，若可接入设备接口开放，将通过所述可接入设备接口获取的接入请求记载在底层驱动中；判断所述接入请求对应的接入设备是否具有安全访问权限；若具有安全访问权限则将所述底层中的接入请求转发给操作系统上层应用，对操作系统上层应用操作标记为可执行；若不具有安全访问权限，则丢弃所述底层驱动中的接入请求；将记录的操作过程上传给服务器。

Images