CN107483434A - 一种移动存储设备的管理系统及方法 - Google Patents

Abstract

本发明提供了一种移动存储设备的管理系统及方法，属于计算机通信和操作系统安全领域。所述系统包括集中管理平台和客户端两部分，集中管理平台安装在服务器上，用于下发安全策略至指定的客户端，包括：设备注册模块，用于对终端用户插入的移动存储设备进行登记注册；策略管理模块，用于下发安全策略对移动设备进行授权和权限设置。客户端安装在需要保护的主机上，根据安全策略进行相应的操作，包括：插入控制模块，用于识别移动存储设备并对不识别的设备进行拦截；运行控制模块，用于对识别的移动设备进行文件操作权限的控制。本发明用于对移动存储设备的安全管理，解决未经授权的移动存储设备在公司内部使用导致数据泄露或终端设备损坏的问题。

Description

一种移动存储设备的管理系统及方法

技术领域

本发明涉及计算机通信和操作系统安全领域，具体来说涉及一种移动存储设备的管理系统及方法。

背景技术

随着信息技术的发展，移动存储设备在信息领域得到广泛应用。移动存储设备使用灵活、方便，使其在企事业信息化的过程中得到迅速普及，越来越多的数据信息和重要资料被保存在移动存储设备中以备随时使用。但是，移动存储设备在提供便利的同时，也给企事业单位及个人的信息资源带来相当大的安全隐患。由于移动存储设备具有随意复制计算机内文件的功能，员工在使用这些移动设备时，通常不注意公司内部资料的安全，导致数据窃取事件的频繁发生，并且滥用移动存储设备可能导致感染和传播计算机病毒。

基于上述问题，需要在部分企事业单位中对移动存储设备的使用进行管理，避免由于缺乏管理导致的终端设备安全和数据安全，同时协助组织建立规范的计算机安全管理制度，防止恶意后门及病毒、数据窃取等事件的发生。

发明内容

本发明提供一种移动存储设备的管理系统，用于对移动存储设备进行安全管理，解决未经授权的移动存储设备在公司内部使用导致数据泄露或终端设备损坏的问题。

为解决上述技术问题，本发明采用如下技术方案：

一种移动存储设备的管理系统，包括集中管理平台和客户端两部分，集中管理平台和客户端之间通过通信总线进行消息的异步处理和传输。

所述集中管理平台安装在服务器上，用于下发安全策略至指定的客户端，包括：设备注册模块，用于对终端用户插入的移动存储设备进行登记注册；策略管理模块，用于下发安全策略对移动设备进行授权和权限设置；审计管理模块，用于审计内网中所有主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

所述客户端安装在需要保护的主机上，根据集中管理平台下发的安全策略进行相应的操作，包括：插入控制模块，用于识别移动存储设备并对不识别的设备进行拦截；运行控制模块，用于对识别的移动设备进行文件操作权限的控制；操作审计模块，用于审计当前主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

基于上述方案，本系统做如下优化：

管理员通过移动存储设备的注册功能对移动设备进行登记注册，具体可通过USB小工具进行移动设备登记注册，终端用户插入移动存储设备后，通过集中管理平台中设备注册模块的页面自动读取本地移动存储设备的硬件信息，同时填写并保存注册信息。登记注册信息包括移动存储设备的启用、停用、密码重置、编辑、删除、挂失以及解除挂失等操作。

优选的，所述策略管理模块下发至客户端的安全策略包括基本策略和权限策略两部分，

基本策略：对是否开启移动存储设备管理、是否开启对已授权移动存储设备的操作审计以及是否对移动存储设备进行插入提醒进行设置；

权限策略：批量对已注册的移动存储设备进行授权，设置只读、读写及格式化权限。

进一步的，所述插入控制模块用于对终端插入的移动存储设备进行识别，并比对该设备的序列号是否存在于授权列表中，如果存在则放行当前插入设备，不存在则禁用当前插入设备。

进一步的，所述运行控制模块用于当操作被识别的移动存储设备中的文件时，可根据设置权限通过文件过滤驱动对操作进行控制，如当设置当前移动设备为只读权限时，如果对文件进行写入相关操作时，则拦截当前操作并记录违规日志。运行控制模块同时对移动存储设备的拔出操作进行监控。

本发明的另一目的在于提供一种移动存储设备的管理方法，包括集中管理平台和客户端，所述管理方法包括下述步骤：

S1、对移动储存设备进行登记注册，当终端用户插入移动存储设备后，通过集中管理平台页面自动读取本地移动存储设备的硬件信息，同时填写移动设备的注册信息并进行保存；

S2、管理员从集中管理平台下发安全策略至客户端，进行当前移动存储设备的授权和权限设置；

S3、客户端根据安全策略对当前插入的移动存储设备进行识别，并比对该设备的序列号是否存在于授权列表中，如果存在则放行当前插入设备，不存在则禁用当前插入设备；

S4、当操作当前识别的移动设备中的文件时，客户端根据安全策略中设置的权限对操作进行控制，同时对移动存储设备的拔出操作进行监控。

作为一种改进方案，所述S4中，客户端还审计当前主机上移动存储设备的插入、拔出操作，以及对移动存储设备文件进行的操作，并将当前主机上移动存储设备的操作记录上传至集中管理平台，管理员通过集中管理平台审计内网中所有主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

作为一种改进方案，所述S2中，集中管理平台下发的安全策略包括，

基本策略：对是否开启移动存储设备管理、是否开启对已授权移动存储设备的操作审计以及是否对移动存储设备进行插入提醒进行设置；

权限策略：批量对已注册的移动存储设备进行授权，设置只读、读写及格式化权限。

发明内容中提供的效果仅仅是实施例的效果，而不是发明所有的全部效果，上述技术方案中的一个技术方案具有如下优点或有益效果：

1、本发明中，采用B/S与C/S相结合的管理架构，包括集中管理平台和客户端两部分，通过登记注册、授权使用、识别拦击、文件访问控制等技术手段对内网中的移动存储设备进行安全管理，只允许使用注册登记的移动存储设备，对违规行为进行相应的阻断和预警，避免了由于缺乏管理导致的终端安全和数据安全，同时协助组织建立规范的计算机安全管理制度，防止恶意后门及病毒、数据窃取等事件的发生。

2、本发明提供整个操作堆栈的行为审计，管理员可以审计移动存储设备的插入和拔出操作以及对移动设备文件的操作，方便统一管理。本管理系统还支持通过终端主动申请移动存储设备使用，管理员批准后授权至指定终端，减少管理员的日常运维工作量。另外，本发明支持移动存储设备的管理，有助于拓展终端安全市场，提高操作系统安全增强系统产品的竞争力。

附图说明

图1是本发明实施例的管理系统逻辑框图；

图2是本发明实施例的管理系统的数据流程图；

图3是本发明实施例的移动存储设备操作权限控制示意图。

图4是本发明实施例的管理方法的实现流程图；

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

如图1所示，本发明一种移动存储设备的管理系统，包括集中管理平台和客户端两部分，集中管理平台和客户端之间通过通信总线进行消息的异步处理和传输。

集中管理平台安装在服务器上，用于下发安全策略至指定的客户端，包括：设备注册模块11，用于对终端用户插入的移动存储设备进行登记注册；策略管理模块12，用于下发安全策略对移动设备进行授权和权限设置；审计管理模块13，用于审计内网中所有主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

客户端安装在需要保护的主机上，根据集中管理平台下发的安全策略进行相应的操作，包括：插入控制模块21，用于识别移动存储设备并对不识别的设备进行拦截；运行控制模块22，用于对识别的移动设备进行文件操作权限的控制；操作审计模块23，用于审计当前主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

具体的，管理员通过移动存储设备的注册功能对移动设备进行登记注册，具体可通过USB小工具进行移动设备登记注册，终端用户插入移动存储设备后，通过集中管理平台中设备注册模块的页面自动读取本地移动存储设备的硬件信息，如设备系列号、设备供应商、容量、厂商ID及设备ID等硬件信息，同时填写注册信息，如设备名称、责任人、可用分组及使用有效期等，填完完毕后保存注册信息。登记注册信息包括移动存储设备的启用、禁用、编辑、删除等操作。

策略管理模块12下发移动存储控制策略至客户端，下发策略包括基本策略和权限策略两部分。基本策略对是否开启移动存储设备管理、是否开启对已授权移动存储设备的操作审计以及是否对移动存储设备进行插入提醒进行设置。设备插入提醒方式可设置为弹出框或邮件等提醒形式。权限策略是批量对已注册的移动存储设备进行授权，设置只读、读写及格式化权限，如当设置为只读权限时，可禁止在安装客户端的终端上进行写入或格式化操作。此外，只有移动存储设备的可用分组中的终端才允许进行权限设置，在一定程度上提高系统的安全性。

客户端的插入控制模块21用于对终端插入的移动存储设备进行识别，并比对该设备的序列号是否存在于授权列表中，如果存在则放行当前插入设备，不存在则禁用当前插入设备。图2所示为管理系统的数据流程图。

客户端的运行控制模块22用于当操作被识别的移动存储设备中的文件时，可根据设置权限通过文件过滤驱动对操作进行控制，如当设置当前移动设备为只读权限时，如果对文件进行写入相关操作时，则拦截当前操作并记录违规日志。图3所示为移动存储设备的操作权限控制示意图。运行控制模块还可以同时对移动存储设备的拔出操作进行监控。

工作人员申请使用移动存储设备的步骤为：终端用户在主机上插入移动存储设备，打开管理系统的申请页面，集中管理平台的页面自动识别移动存储设备信息，用户在页面中填写申请人、申请原因和申请时间范围等信息并保存信息，客户端将其上报至集中管理中心；管理员在集中管理平台审批申请，下发审批结果和授权策略至客户端。

图4给出了一种移动存储设备的管理方法的实现流程图，管理方法包括集中管理平台和客户端，还包括下述步骤：

S1、对移动储存设备进行登记注册，当终端用户插入移动存储设备后，通过集中管理平台页面自动读取本地移动存储设备的硬件信息，同时填写移动设备的注册信息并进行保存；

S2、管理员从集中管理平台下发安全策略至客户端，进行当前移动存储设备的授权和权限设置；

S3、客户端根据安全策略对当前插入的移动存储设备进行识别，并比对该设备的序列号是否存在于授权列表中，如果存在则放行当前插入设备，不存在则禁用当前插入设备；

S4、当操作当前识别的移动设备中的文件时，客户端根据安全策略中设置的权限对操作进行控制，同时对移动存储设备的拔出操作进行监控。

具体的，在所述S4中，客户端还审计当前主机上移动存储设备的插入、拔出操作，以及对移动存储设备文件进行的操作，并将当前主机上移动存储设备的操作记录上传至集中管理平台，管理员通过集中管理平台审计内网中所有主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。在所述S2中，集中管理平台下发的安全策略包括基本策略和权限策略两部分。基本策略对是否开启移动存储设备管理、是否开启对已授权移动存储设备的操作审计以及是否对移动存储设备进行插入提醒进行设置。

在本发明实施例中，通过登记注册、授权使用、识别拦击、文件访问控制等技术手段对内网中的移动存储设备进行安全管理，只允许使用注册登记的移动存储设备，对违规行为进行相应的阻断和预警，防止恶意后门及病毒、数据窃取等事件的发生。系统还提供操作堆栈的行为统计，管理员可以审计移动存储设备的插入和拔出操作，同时支持对移动存储设备文件操作审计，有助于管理员更好的监控和更有效的管理。

以上所述仅为本发明的较佳实施例而已，并不用以限定本发明，对于本技术领域的技术人员来说，在不脱离本发明原理的前提下所作的任何修改、改进和等同替换等，均包含在本发明的保护范围内。

Claims (10)

1.一种移动存储设备的管理系统，包括集中管理平台和客户端两部分，其特征在于，

所述集中管理平台安装在服务器上，用于下发安全策略至指定的客户端，包括：设备注册模块，用于对终端用户插入的移动存储设备进行登记注册，策略管理模块，用于下发安全策略对移动设备进行授权和权限设置；

所述客户端安装在需要保护的主机上，根据集中管理平台下发的安全策略进行相应的操作，包括：插入控制模块，用于识别移动存储设备并对不识别的设备进行拦截，运行控制模块，用于对识别的移动设备进行文件操作权限的控制。

2.根据权利要求1所述的一种移动存储设备的管理系统，其特征在于，所述客户端还包括操作审计模块，用于审计当前主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

3.根据权利要求1所述的一种移动存储设备的管理系统，其特征在于，所述集中管理平台还包括审计管理模块，用于审计内网中所有主机上移动设备的插入、拔出操作，以及对移动存储设备文件进行的操作。

4.根据权利要求1所述的一种移动存储设备的管理系统，其特征在于，管理员通过USB小工具进行移动存储设备的登记注册，终端用户插入移动存储设备后，通过集中管理平台中设备注册模块的页面自动读取本地移动存储设备的硬件信息，并对注册信息进行设置。

5.根据权利要求1所述的一种移动存储设备的管理系统，其特征在于，所述策略管理模块下发至客户端的安全策略包括，

基本策略：对是否开启移动存储设备管理、是否开启对已授权移动存储设备的操作审计以及是否对移动存储设备进行插入提醒进行设置；

权限策略：批量对已注册的移动存储设备进行授权，设置只读、读写及格式化权限。

6.根据权利要求1所述的一种移动存储设备的管理系统，其特征在于，所述插入控制模块用于对终端插入的移动存储设备进行识别，并比对该设备的序列号是否存在于授权列表中，如果存在则放行当前插入设备，不存在则禁用当前插入设备。

7.根据权利要求1所述的一种移动存储设备的管理系统，其特征在于，所述运行控制模块用于当操作被识别的移动存储设备中的文件时，根据设置权限对操作进行控制，同时对移动存储设备的拔出操作进行监控。

8.一种移动存储设备的管理方法，包括集中管理平台和客户端，其特征在于，所述方法包括下述步骤：

S1、对移动储存设备进行登记注册，当终端用户插入移动存储设备后，通过集中管理平台页面自动读取本地移动存储设备的硬件信息，同时设置移动设备的注册信息并进行保存；

S2、管理员从集中管理平台下发安全策略至客户端，进行当前移动存储设备的授权和权限设置；

S3、客户端根据安全策略对当前插入的移动存储设备进行识别，并比对该设备的序列号是否存在于授权列表中，如果存在则放行当前插入设备，不存在则禁用当前插入设备；

S4、当操作当前识别的移动设备中的文件时，客户端根据安全策略中设置的权限对操作进行控制，同时对移动存储设备的拔出操作进行监控。

9.根据权利要求8所述的一种移动存储设备的管理方法，其特征在于，所述S4中，客户端还审计当前主机上移动存储设备的插入、拔出操作，以及对移动存储设备文件进行的操作，并将当前主机上移动存储设备的操作记录上传至集中管理平台。

10.根据权利要求8所述的移动存储设备的管理方法，其特征在于，所述S2中，集中管理平台下发的安全策略包括：

基本策略：对是否开启移动存储设备管理、是否开启对已授权移动存储设备的操作审计以及是否对移动存储设备进行插入提醒进行设置；

权限策略：批量对已注册的移动存储设备进行授权，设置只读、读写及格式化权限。