CN108073819B - 一种基于动态重定向的文档防护方法及系统 - Google Patents

Abstract

本发明提出了一种基于动态重定向的文档防护方法及系统，包括：实时感知系统中的进程及操作；当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，根据判断结果对备份文档进行删除或替换原目录文档的操作。本发明可以在不影响用户正常操作下，动态准确检测文档是否被加密，并对于勒索者病毒进行准确报警。

Description

一种基于动态重定向的文档防护方法及系统

技术领域

本发明涉及信息安全技术领域，尤其涉及一种基于动态重定向的文档防护方法及系统。

背景技术

通过对目前主流的勒索者病毒分析，勒索者病毒一般以邮件和恶链木马的形式传播，而病毒的运行一般采取注入系统或以实体独立运行的方式对全盘文件进行扫描并加密，在加密完成后，会对加密的文档更改文档格式，而这一切动作并无过多恶意行为，因此恶意行为检测并不适用于勒索者病毒。勒索者病毒对文档加密后，在没有私钥的情况下，文档几乎无法解密，因此多数安全厂商采用文档备份的方式，帮助用户免受勒索者病毒造成的伤害，但是当勒索者病毒知道文档加密存放的位置后，可以对备份文档重新加密，因此文档备份的策略，并不能完全解决文档被加密的问题。且当有大批量备份操作时，会造成存储空间的浪费，与此同时，当文档被操作时，无法对文档进行备份，因此也有备份失败的可能。

发明内容

针对上述现有技术中存在的问题，本发明提出了一种基于动态重定向的文档防护方法及系统，当感知到系统中存在进程对文档进行改操作时，将相应文档以及其操作路径动态重定向到指定目录下，并在改操作完成后对文档格式进行解析，判断进程安全性，本根据安全性判断结果对重定向的文档进行对原文档的替换或者删除操作。

具体发明内容包括：

一种基于动态重定向的文档防护方法，包括：

安装文件系统过滤驱动，实时感知系统中的进程及操作；

当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；

动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。

一种基于动态重定向的文档防护系统，包括：

进程监控模块，用于安装文件系统过滤驱动，实时感知系统中的进程及操作；

动态备份模块，用于当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；

安全判定模块，用于动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。

本发明的有益效果是：

本发明可以在不影响用户正常操作下，动态准确检测文档是否被加密，并对于勒索者病毒进行准确报警；

本发明所有的操作均为对重定向的文件操作，保证了源文件的绝对安全；

本发明能够有效减少不停备份造成的时间、空间的浪费；

本发明不采用任何白名单机制，从而保证了任何进程都无法对文档进行恶意操作。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种基于动态重定向的文档防护方法流程图；

图2为本发明一种基于动态重定向的文档防护系统结构图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。

本发明给出了一种基于动态重定向的文档防护方法实施例，如图1所示，包括：

S101：安装文件系统过滤驱动，实时感知系统中的进程及操作；

S102：当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息；

S103：动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；

S104：动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程；

S105：检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。

本发明还给出了一种基于动态重定向的文档防护系统实施例，如图2所示，包括：

进程监控模块201，用于安装文件系统过滤驱动，实时感知系统中的进程及操作；

动态备份模块202，用于当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；

安全判定模块203，用于动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。

本说明书中方法的实施例采用递进的方式描述，对于系统的实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。针对目前利用文档备份技术不能完全满足勒索者病毒释放后文档的安全及数据恢复的问题，本发明提出了一种基于动态重定向的文档防护方法及系统，安装文件系统过滤驱动，实时感知系统中的进程及操作；当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。本发明可以在不影响用户正常操作下，动态准确检测文档是否被加密，并对于勒索者病毒进行准确报警；本发明所有的操作均为对重定向的文件操作，保证了源文件的绝对安全；本发明能够有效减少不停备份造成的时间、空间的浪费；本发明不采用任何白名单机制，从而保证了任何进程都无法对文档进行恶意操作。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims (2)

1.一种基于动态重定向的文档防护方法，其特征在于，包括：

安装文件系统过滤驱动，实时感知系统中的进程及操作；

当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；

动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。

2.一种基于动态重定向的文档防护系统，其特征在于，包括：

进程监控模块，用于安装文件系统过滤驱动，实时感知系统中的进程及操作；

动态备份模块，用于当感知到有进程对系统中的文档进行改操作时，获取相应文档的路径信息，并动态将相应文档复制备份到指定目录下，同时将对相应文档的所有操作重定向到所述指定目录下的备份文档；

安全判定模块，用于动态监控所述进程对备份文档的操作行为，当感知到对备份文档的改操作完成时，挂起所述进程，同时检测备份文档的文件格式是否发生改变，若是则判断是否为用户授权操作，若不是用户授权操作，则关闭所述进程，并删除备份文档，若是用户授权操作，则放行进程，并将备份文档替换到原路径下；否则放行进程，并将备份文档替换到原路径下。

Images