CN104731684B - 一种基于驱动过滤技术的动态文件监控和保护系统 - Google Patents

Abstract

本发明公开了一种基于驱动过滤技术的动态文件监控和保护系统，由驱动模块和客户端部分组成；客户端用于提供可视化的操作界面并负责数据库操作同时向用户展示相关信息；驱动模块为完成文件系统监控和保护的主体，承担规则匹配、文件请求分析、文件请求拦截、向客户端发送信息的功能；驱动模块和客户端之间的通信通过发送消息进行，只要满足规定格式的消息都能被正确接收并解释；本发明采用驱动过滤技术，基于分桶和字典树的匹配算法实现规则匹配，实现驱动模块与客户端完整的通信格式定义，适用于多模可扩展的实时环境配置。本发明提高了可扩展性，并集成了数据库功能，很好的解决了数据存储和效率方面的问题。

Description

一种基于驱动过滤技术的动态文件监控和保护系统

技术领域

本发明属于计算机安全技术领域，涉及一种文件监控与保护系统，具体涉及Windows平台中文件访问情况统计、访问权限的问题。

背景技术

文件系统是计算机系统中最重要的部分之一，几乎所有的计算机用户都要和文件系统打交道。这样对文件系统的监控和保护必然成为一个不可忽视的部分。但是现在由操作系统或其他第三方软件提供的日志或文件权限控制不能很好的满足个性化的配置要求，或无法动态配置造成了不必要的麻烦。

当前文件系统监控主要有以下几种，它们都存在一定的缺陷；

1.使用日志系统统计文件的访问情况。这取决于日志系统安全性和稳定性，如果是本地日志系统则可能存在绕过日志系统或删除日志的情况；

2.操作系统自带的文件权限控制。较难实现统一配置，而且不能对不存在的文件进行规则设定；

3.其它第三方基于Windows API的文件监控系统。由于这些系统位于应用层不可避免的会降低运行速度，而且可能无法获知某些系统文件的访问情况；

4.难以实现规则、配置、信息存储分离，造成使用不方便或难以应用到网络环境之中，并且可扩展性不强。

发明内容

为了解决上述的技术问题，本发明提出了一种综合运用多种技术以实现动态文件监控和保护的系统。

本发明所采用的技术方案是：一种基于驱动过滤技术的动态文件监控和保护系统，由驱动模块和客户端部分组成；所述的客户端用于提供可视化的操作界面并负责数据库操作同时向用户展示相关信息；所述的驱动模块为完成文件系统监控和保护的主体，承担规则匹配、文件请求分析、文件请求拦截、向客户端发送信息的功能；所述的驱动模块和客户端之间的通信通过发送消息进行，只要满足规定格式的消息都能被正确接收并解释；其特征在于：所述的驱动模块包括上层驱动单元、驱动主体单元和下层驱动单元，采用驱动过滤技术，采用基于分桶和字典树的匹配算法实现规则匹配，实现驱动模块与客户端完整的通信格式定义，适用于多模可扩展的实时环境配置。

本发明采用一套完善的通信规则与驱动进行交互，与驱动进行信息交互。实现了各个功能模块间的松耦合，在满足接口要求的情况下可以方便的进行二次开发。

作为优选，所述的文件监控用于文件访问的控制和文件访问信息的保存，包括阻止对文件的读/写操作、保存文件访问记录、将文件内容进行转存、记录规则变化历史信息。

作为优选，所述的阻止对文件的读/写操作，其具体实现过程为：在驱动主体单元中规则匹配成功且规则中规定阻止读/写操作，则将该文件请求设置为非法请求，直接返回上层驱动单元不向下层驱动单元传递该请求。

作为优选，所述的保存文件访问记录，其具体实现过程为：在驱动主体单元中规则匹配成功且规则中规定保存文件访问记录，则将该文件文件名、路径发送到客户端，客户端接收到消息后将相应信息保存到本地或远程数据库中；驱动主体单元则继续将该请求发送到下层驱动单元继续处理。如果保存到本地则可能要处理重入问题。

作为优选，所述的规则匹配是指将文件访问请求的路径与规则项进行一一匹配，以决定是否采用该规则项规定的操作；匹配的过程采用基于分桶和字典树的匹配算法，其具体实现包括以下子步骤：

步骤1：针对盘符进行分组，将不同盘符的规则分配到不同的组中；

步骤2：将各个组中的第一层路径做成字典树，每个字典树的分支指向下一层路径的分组，下一层路径分组中采用字典序对路径进行排序提高查找效率。

本算法结合了哈希和字典树的优势，同时考虑了数据结构的复杂性。该算法的缺点是：

1. 添加/删除规则项需要较多操作来保持数据结构的完整性。

2. 相对来说占用较多存储空间。

该算法的优点是:采用分组和排序后能极大提高查询速度。

通过对应用场景的分析，即文件系统监控器一般来说更多时候需要做查询匹配操作，添加/删除操作只在配置时候才产生，而且增加的存储空间只是规则项的一小部分，事实上该算法的优点产生的作用是完全大于缺点的。

作为优选，所述的匹配算法匹配成功的标准为：文件请求的路径与规则项路径完全相同，且规则项路径是文件请求的路径的前缀。也就是说这里采用的方式是子文件/文件夹继承父文件夹的规则。这样做能简化规则的设置的过程也能实现规则的嵌套，如子文件可以有比父文件夹更强的控制规则，但对于子文件的规则不用包含父文件夹的规则。

作为优选，所述的驱动模块与客户端完整的通信格式，因驱动模块到客户端的消息格式和客户端到驱动模块的消息格式不同，故采用的是非对称设计；所述的驱动模块到客户端的消息格式，其通信数据结构包括操作码、临时文件存放路径和源文件存放路径；所述的操作码指明该消息针对的操作类型；所述的临时文件存放路径只有在操作码指示的操作为转存操作时才有意义，复用部分的具体含义与操作码相关；所述的源文件存放路径指明该操作对应的路径；所述的客户端到驱动模块的消息格式，其通信数据结构包括操作码、状态码和路径；所述的操作码指明该消息针对的操作类型；所述的路径指明该操作对应的文件路径。

作为优选，所述的驱动模块到客户端的消息格式和客户端到驱动模块的消息格式，在不同的上下文环境中消息中的字段能代表不同的含义，通过字段复用压缩消息的长度。

作为优选，所述的多模可扩展的实时环境配置，指所述的文件监控和保护系统能配置于多种物理环境中且能动态对控制规则进行配置，配置实时生效无需重新启动系统；当规则的生效与文件访问发生冲突时，其处理过程为：已经访问的文件不受刚生效规则的影响，规则生效后访问的文件受规则的控制。

本发明实现多模可扩展性主要是基于系统中各个功能模块的松耦合性实现的，系统中的各个功能模块只通过消息通信，不直接调用对方的功能，即调用者和被调用者无需知道对方的真实位置（位于本机还是网络上某台主机），找到真实位置的过程交由TCP/IP的路由机制完成，采用该技术也实现了高可扩展性，即每个功能模块可以相互独立的修改扩充只要满足功能模块间通信规则即可。

作为优选，所述的多种物理环境包括单机和联网。

本发明采用了客户端-驱动体系架构，并综合运用多种技术。实现了对文件系统的监控，并提供动态更新规则的功能。一方面本发明在驱动中处理文件请求更有效率，避免过度影响用户对计算机的使用。另一方面本发明定义了完整的通信规则也提高了可扩展性，比如可以由用户方自行开发客户端，从而更贴近用户使用习惯。需要说明的是客户端和驱动不一定安装到同一主机，即本系统可适应多种配置环境。

本发明致力于为企业、团队提供一个方便统一设置和方便易用的文件系统监控器。管理员只要设置统一的规则就能对每个用户对文件访问进行监控，保障了机密信息不外泄的同时不影响用户对系统的使用。由于该发明的核心部分位于驱动模块，使得破解的难度增大，在提高效率的同时保障了安全性。

与以往工作相比，本发明有自己的独特之处，主要表现为：

1.将文件的访问控制在驱动模块中实现加快了运行速度，避免影响一般使用。支持动态配置免去配置时候的麻烦；

2.高可扩展性可支持用户自定义，各个组件进行了分类并采用消息通信，方便进行二次开发；

3.结合了数据库，将信息保存到远程数据库方便日后查看，同时便于利用数据库提供的各种功能（如数据挖掘、条件查询等）。

本发明的有益效果为：

1.易用性，方便管理员进行统一配置，并且能对网络环境有良好的支持，进行少量修改即可支持远程配置；

2.高效性，监控和保护操作在驱动模块中完成避免了客户端和驱动模块切换带来的时间开销。同时驱动模块能获得更多的信息，避免某些文件的遗漏；

3.本系统与网络结合，支持将相关数据保存到远程数据库中，避免了单机系统中带来的不稳定性。同时方便日后的数据分析和查询。

综上所述，本发明非常适合对文件使用需要监控和保护并希望进行统一管理的大型企业或团队。由于本发明基于驱动完成并定义了一套完善的驱动和客户端的通信规则，提高了可扩展性，并集成了数据库功能，很好的解决了数据存储和效率方面的问题，有着一定实际应用价值和科学意义。

附图说明

图1：本发明实施的系统架构图；

图2：本发明实施的规则匹配失败时流程图；

图3：本发明实施的不允许读文件时的流程图；

图4：本发明实施的不允许写文件时的流程图；

图5：本发明实施的需要转存文件时的流程图。

具体实施方式

为了便于本领域普通技术人员理解和实施本发明，下面结合附图及实施例对本发明作进一步的详细描述，应当理解，此处所描述的实施示例仅用于说明和解释本发明，并不用于限定本发明。

请见图1，本发明提供的一种基于驱动过滤技术的动态文件监控和保护系统，由驱动模块和客户端部分组成；客户端用于提供可视化的操作界面并负责数据库操作同时向用户展示相关信息；驱动模块为完成文件系统监控和保护的主体，承担规则匹配、文件请求分析、文件请求拦截、向客户端发送信息的功能；驱动模块和客户端之间的通信通过发送消息进行，只要满足规定格式的消息都能被正确接收并解释；其中驱动模块包括上层驱动单元、驱动主体单元和下层驱动单元，采用驱动过滤技术，采用基于分桶和字典树的匹配算法实现规则匹配，实现驱动模块与客户端完整的通信格式定义，适用于多模可扩展的实时环境配置。

本发明的客户端和驱动模块之间除了需要相互发送消息之外并没有其它关联，因此驱动模块和客户端之间的耦合性是比较小的。

本实施例的规则匹配是指将文件访问请求的路径与规则项进行一一匹配，以决定是否采用该规则项规定的操作；匹配的过程采用基于分桶和字典树的匹配算法，其具体实现包括以下子步骤：

步骤1：针对盘符进行分组，将不同盘符的规则分配到不同的组中；

步骤2：将各个组中的第一层路径做成字典树，每个字典树的分支指向下一层路径的分组，下一层路径分组中采用字典序对路径进行排序提高查找效率。

匹配算法匹配成功的标准为：文件请求的路径与规则项路径完全相同，且规则项路径是文件请求的路径的前缀。

请见图2，当驱动主体单元接收到文件请求时（由于驱动加载到文件系统的驱动栈中，文件请求由上层驱动单元传递过来），先提交给规则匹配模块进行规则匹配，规则匹配失败（一般是未对该文件设置规则或者是该条规则被关闭）后通知驱动主体单元，驱动主体单元则继续将该文件请求传递给下层驱动单元。

应当指出的是驱动主体单元和规则匹配模块都是一起位于驱动模块的，驱动主体单元是标准的Windows WDM驱动，当有文件请求时会由操作系统调用驱动中的相关函数通知驱动有文件请求。

本发明的文件监控用于文件访问的控制和文件访问信息的保存，包括阻止对文件的读/写操作、保存文件访问记录、将文件内容进行转存、记录规则变化历史信息；

请见图3，当驱动主体单元接收到文件读请求时，先提交给规则匹配模块进行规则匹配，规则匹配成功（有某个规则项指出该文件不允许读操作）后通知驱动主体单元，驱动主体单元直接设置读文件失败的标志位，将读文件操作结果返回上层驱动单元，不再继续向下层驱动单元传递该请求。

应当指出的是设置文件操作失败的标志位有多个，为了方便区分文件错误和请求被拦截的情况，本发明中设置为权限不足错误，即当驱动拦截了该读文件的请求时，发起该请求的程序将受到权限不足的错误消息。

请见图4，当驱动主体单元接收到文件写请求时，先提交给规则匹配模块进行规则匹配，规则匹配成功（有某个规则项指出该文件不允许写操作）后通知驱动主体单元，驱动主体单元直接设置写文件失败的标志位，将写文件操作结果返回上层驱动单元，不再继续向下层驱动单元传递该请求。

应当指出的是设置文件操作失败的标志位有多个，为了方便区分文件错误和请求被拦截的情况，本发明中设置为权限不足错误，即当驱动拦截了该写文件的请求时，发起该请求的程序将受到权限不足的错误消息。

请见图5，当驱动主体单元接收到请求时，先提交给规则匹配模块进行规则匹配，规则匹配成功（有某个规则项指出该文件需要转存）后通知驱动主体单元，驱动主体单元将文件相关信息提交给转存模块（一般是文件路径），转存模块直接将该文件内容复制一份存储到事先规定好的临时目录，保存好后通知驱动主体单元转存结束，驱动主体单元再将文件请求转发给下层驱动单元继续处理。当对该文件的操作（写入、属性修改等）完成之前，通知客户端对该文件进行转存。客户端收到驱动主体单元发来的消息后将该临时文件保存到指定目录或数据库之中。

应当指出的是由于这里涉及至少两个文件操作，要注意重入问题。这里使用Windows的标准API函数实现内核态驱动对文件的读写操作，由操作系统保证了不会发生避免重入问题。

本实施例的驱动模块与客户端完整的通信格式，因驱动模块到客户端的消息格式和客户端到驱动模块的消息格式不同，故采用的是非对称设计；驱动模块到客户端的消息格式，其通信数据结构包括操作码、临时文件存放路径和源文件存放路径；操作码指明该消息针对的操作类型；临时文件存放路径只有在操作码指示的操作为转存操作时才有意义，复用部分的具体含义与操作码相关；源文件存放路径指明该操作对应的路径；客户端到驱动模块的消息格式，其通信数据结构包括操作码、状态码和路径；操作码指明该消息针对的操作类型；路径指明该操作对应的文件路径；驱动模块到客户端的消息格式和客户端到驱动模块的消息格式，在不同的上下文环境中消息中的字段能代表不同的含义，通过字段复用压缩消息的长度。

本实施例的多模可扩展的实时环境配置，指文件监控和保护系统能配置于多种物理环境（单机/联网）中且能动态对控制规则进行配置，配置实时生效无需重新启动系统；当规则的生效与文件访问发生冲突时，其处理过程为：已经访问的文件不受刚生效规则的影响，规则生效后访问的文件受规则的控制；

以下将通过具体实施例对本发明做进一步的说明。

1 客户端实现；

本系统主要针对Windows操作系统上的文件系统，但是由于客户端的主要功能为操作和查询，可以根据不同的实现部署在Linux或Windows上（远程客户端需要网络支持）。客户端主要作为方便用户操作并进行某些用户态操作的部分实现的。客户端部分的核心是通信模块，该模块负责与驱动模块通信，实现了用户对驱动模块的控制。可以根据需要在满足接口要求的情况下由第三方实现该部分满足不同环境下的需求。这样就可以实现远程的监控和保护。

1.1 操作部分；

管理员直接在客户端上实现对匹配规则的设置。首先添加一个需要设定规则的路径（该路径可以指向文件也可以指向文件夹），然后选中该路径再选择要控制的类型。设定完成后客户端会将该规则发送给驱动模块，驱动模块将该规则设置到规则表中。

这里也支持直接对规则进行修改和删除，在该部分所做的操作都会及时通知驱动模块更改规则表。这里驱动模块和客户端的通信采用同步通信，由于通信数据很少不会影响用户的使用体验。这里也设置了超时操作，当超时未收到回复信息则默认操作失败。

操作部分的主要功能是将管理员设置的规则用规定好的消息格式封装并发送给驱动模块，客户端出现崩溃和错误将不会影响已经设置好的规则发挥作用。

1.2 数据库部分；

数据库的连接方式由客户端确定，这里用的是ODBC的连接方式。数据库主要作为操作记录及文件访问记录的保存方式，所以这里建立两张数据库表分别保存操作记录和文件访问记录。管理员可以很轻松的通过各种数据库工具查看日志记录。数据库部分是可选的，这部分主要是为了进行日志记录和今后数据分析的。由于数据库本身与程序的耦合性很小，可以用多种数据库来实现本部分。在程序中采用标准的SQL语言来提高兼容性，使得本发明可以应用于多种数据库上。

1.3 通信部分；

这里的通信主要指从客户端到驱动模块的通信，该部分要完成将用户设定的规则封装成规定格式并发送给驱动模块的工作。同时还要接收驱动模块发送来的信息，进行消息的解释并通知数据库完成相关信息的保存工作。

发送给驱动模块的消息主要包括：1. 要实施控制的路径（指向一个文件或文件夹，该文件或文件夹可以存在也可以不存在），2. 要实施的控制操作（禁止读、禁止写、修改时内容转存），3. 规则状态码（启用/禁用），4. 保留部分（方便今后扩展而保留的部分，目前没有特殊作用）。

2 驱动模块；

本系统主要针对Windows操作系统上的用户，因此驱动部署在Windows平台上。需要根据Windows版本的不同选择不同版本驱动。

2.1 驱动的安装；

本方案采用的驱动是标准的Windows WDM驱动。WDM是微软在Windows中采用的驱动框架结构，虽然现在微软推出WDF驱动但是WDF可以认为是对WDM的封装所以WDM驱动仍然不是一个过时的框架。由于驱动与平台紧密关联，不同版本的Windows驱动一般不能通用。但由于当前微软的驱动框架没有改变，所以只要将源码用相应平台的编译器重新编译即可（可能需要做少量修改）。

一般情况下采用inf文件安装驱动，右键单击inf文件选择安装即可。本发明也提供了安装驱动使用的inf文件。inf文件中主要保存了驱动的安装位置、驱动版本信息、驱动启动类型等，可以根据需要对inf文件进行修改。

2.2 规则匹配部分；

规则匹配模块主要用于确定当前要访问的文件是否需要进行规定的操作，该部分的核心组件是规则表，规则表是由规则项组成的一个列表。规则项由一下几部分组成：1.路径，指与该条规则相关联的路径（路径可以指向文件也可以指向文件夹）；2. 路径长度；3. 读操作码，指明该路径是否可读；4. 写操作码，指明该路径是否可写；5. 转存码，指明该路径指明的文件是否需要转存操作。

规则匹配的过程是检查源路径是否是规则项路径的前缀。该匹配方式决定了规则的设定是可以继承的，即父文件夹的规则会被子文件夹/文件继承。

由于规则所规定的操作都是有限的，为了加快查询效率和简化交互信息，将操作方式压缩到一个32位整数中。即进行匹配操作后只用返回一个32位整数，该整数表明了需要的操作方式。该32位整数的第一位表示读操作（为0表示允许读操作，为1表示禁止读操作），第二位表示写操作（为0表示允许写操作，为1表示禁止写操作），第三位表示转存操作（为0表示不需要转存操作，为1表示需要转存操作）。

2.3通信部分；

这里的通信主要指从驱动模块到客户端的通信，该部分要完成返回客户端请求信息和通知客户端发生某些事件（例如转存文件准备好）。通常由于客户端无法预知驱动模块通信消息的来到时间，所以不能在主线程中接收消息，这里单独用一个线程随时检查和接收消息以避免延时。驱动模块与该线程的通信是同步的，但与整个客户端来看可以看做是异步。这样做既避免的异步消息的不稳定性也兼顾了用户体验。通信部分既要将客户端需要的信息封装起来发送给客户端还要解释从客户端发送而来的消息，并通知驱动模块完成相应的功能。

发送给客户端的消息主要包括：1. 操作码（指明该消息对应哪种操作），2.临时文件存放路径（在转存操作中用到的，指明文件内容保存的位置），3. 源文件路径（指明该操作是在哪个文件/文件夹上发生的），4. 保留部分（方便今后扩展而保留的部分，目前没有特殊作用）。

应当理解的是，本说明书未详细阐述的部分均属于现有技术。

应当理解的是，上述针对较佳实施例的描述较为详细，并不能因此而认为是对本发明专利保护范围的限制，本领域的普通技术人员在本发明的启示下，在不脱离本发明权利要求所保护的范围情况下，还可以做出替换或变形，均落入本发明的保护范围之内，本发明的请求保护范围应以所附权利要求为准。

Claims (9)

1.一种基于驱动过滤技术的动态文件监控和保护系统，由驱动模块和客户端部分组成；所述的客户端用于提供可视化的操作界面并负责数据库操作同时向用户展示相关信息；所述的驱动模块为完成文件系统监控和保护的主体，承担规则匹配、文件请求分析、文件请求拦截、向客户端发送信息的功能；所述的驱动模块和客户端之间的通信通过发送消息进行，只要满足规定格式的消息都能被正确接收并解释；

其特征在于：所述的驱动模块包括上层驱动单元、驱动主体单元和下层驱动单元，采用驱动过滤技术，采用基于分桶和字典树的匹配算法实现规则匹配，实现驱动模块与客户端完整的通信格式定义，适用于多模可扩展的实时环境配置；

所述的驱动模块与客户端完整的通信格式，因驱动模块到客户端的消息格式和客户端到驱动模块的消息格式不同，故采用的是非对称设计；

所述的驱动模块到客户端的消息格式，其通信数据结构包括操作码、临时文件存放路径和源文件存放路径；所述的操作码指明该消息针对的操作类型；所述的临时文件存放路径只有在操作码指示的操作为转存操作时才有意义，复用部分的具体含义与操作码相关；所述的源文件存放路径指明该操作对应的路径；

所述的客户端到驱动模块的消息格式，其通信数据结构包括操作码、状态码和路径；所述的操作码指明该消息针对的操作类型；所述的路径指明该操作对应的文件路径。

2.根据权利要求1所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的文件监控用于文件访问的控制和文件访问信息的保存，包括阻止对文件的读/写操作、保存文件访问记录、将文件内容进行转存、记录规则变化历史信息。

3.根据权利要求2所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的阻止对文件的读/写操作，其具体实现过程为：在驱动主体单元中规则匹配成功且规则中规定阻止读/写操作，则将该文件请求设置为非法请求，直接返回上层驱动单元不向下层驱动单元传递该请求。

4.根据权利要求2所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的保存文件访问记录，其具体实现过程为：在驱动主体单元中规则匹配成功且规则中规定保存文件访问记录，则将该文件文件名、路径发送到客户端，客户端接收到消息后将相应信息保存到本地或远程数据库中；驱动主体单元则继续将该请求发送到下层驱动单元继续处理。

5.根据权利要求1所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的规则匹配是指将文件访问请求的路径与规则项进行一一匹配，以决定是否采用该规则项规定的操作；匹配的过程采用基于分桶和字典树的匹配算法，其具体实现包括以下子步骤：

步骤1：针对盘符进行分组，将不同盘符的规则分配到不同的组中；

步骤2：将各个组中的第一层路径做成字典树，每个字典树的分支指向下一层路径的分组，下一层路径分组中采用字典序对路径进行排序提高查找效率。

6.根据权利要求5所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的匹配算法匹配成功的标准为：文件请求的路径与规则项路径完全相同，且规则项路径是文件请求的路径的前缀。

7.根据权利要求1所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的驱动模块到客户端的消息格式和客户端到驱动模块的消息格式，在不同的上下文环境中消息中的字段能代表不同的含义，通过字段复用压缩消息的长度。

8.根据权利要求1所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的多模可扩展的实时环境配置，指所述的文件监控和保护系统能配置于多种物理环境中且能动态对控制规则进行配置，配置实时生效无需重新启动系统；当规则的生效与文件访问发生冲突时，其处理过程为：已经访问的文件不受刚生效规则的影响，规则生效后访问的文件受规则的控制。

9.根据权利要求8所述的基于驱动过滤技术的动态文件监控和保护系统，其特征在于：所述的多种物理环境包括单机和联网。