CN108319867A - 基于hook和窗口过滤的双重文件防泄密方法及系统 - Google Patents

Abstract

本发明提供了一种基于HOOK和窗口过滤的双重文件防泄密的方法及系统，用于通信连接的管理端和客户端，其中方法包括以下步骤：S1：管理端向客户端发送HOOK和窗口过滤指令；S2：客户端接收所述过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数；S3：客户端根据所述硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；S4：客户端根据所述窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合所述窗口过滤指令，客户端关闭对应的电脑窗口。本方案能够有效防止文件泄密。

Description

基于HOOK和窗口过滤的双重文件防泄密方法及系统

技术领域

本发明涉及文件防泄密技术领域，尤其涉及一种基于HOOK和窗口过滤的双重文件防泄密方法及系统。

背景技术

在信息安全领域，文档防护一直是研究的重点，特别是文档透明加密技术，它意旨在不改变用户操作习惯的前提下自动完成对文档的加解密。实现稳定、高效、安全的文档防护系统是一个困难的问题，但它在网络安全、信息保护领域有着广泛应用。该项技术难点不仅仅是透明防护，更重要的是防止文档泄密。

目前，同类电脑文件防泄密系统主要基于以下技术实现：

1、基于C/S架构的电脑文件防泄密系统，通常是在局域网一台电脑安装管理端，局域网内被控制的电脑安装客户端，然后通过管理端主动连接客户端，并向客户端发送电脑文件加密指令，将客户端电脑文件进行加密的方式来实现电脑文件防泄密。

2、针对电脑文件泄密的通道，目前国内主流的电脑文件防泄密系统，通常是针对电脑外接设备进行有效的控制，通过禁止电脑USB端口、禁用光驱刻录、禁止蓝牙和PCI设备等方式来防止通过此类外接设备泄密。

3、对于网络通道泄密，同类电脑文件防泄密系统，一方面是设置禁止电脑访问互联网，另一方面则是对外发文件进行加密，防止通过邮箱、网盘、聊天软件发送文件以及其他网络途径将电脑文件发送出去导致泄密。

4、传统的很多电脑文件防泄密系统，通过HOOK客户端电脑的剪切板的方式来阻止复制电脑文件，但由于第三方软件很多复制、剪切动作无需通过剪切板实现，因此直接导致了此种控制方式的失效。

虽然通过上述方式，都可以实现对电脑文件防泄密的控制。但是，随着企业重要机密文件、关键数据的不断增多，对电脑文件安全管理、防止电脑文件和商业机密泄露提出了更高的要求。原来的技术手段已经无法满足企业保护这些重要文件、关键数据的保护，尤其是当前各种泄密方法不断出现，如何防止电脑文件泄密更为紧迫。

发明内容

有鉴于此，本发明要解决的技术问题是提供一种基于HOOK和窗口过滤的双重文件防泄密方法及系统，能够有效防止文件泄密。

本发明的技术方案是这样实现的：

一种基于HOOK和窗口过滤的双重文件防泄密方法，用于通信连接的管理端和客户端，包括以下步骤：

S1：管理端向客户端发送HOOK和窗口过滤指令；

S2：客户端接收所述过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数；

S3：客户端根据所述硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；

S4：客户端根据所述窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合所述窗口过滤指令，客户端关闭对应的电脑窗口。

优选的，所述客户端通过TCP协议自动连接所述管理端。

优选的，所述客户端根据所述硬件变动捕获函数获取插入客户端计算机的设备信息包括：

客户端遍历枚举电脑的设备管理器，获取电脑的硬件信息，当有设备插入客户端电脑时，客户端枚举到此插入事件，并获取插入的设备信息。

优选的，所述设定的存储设备控制策略的权限类型具体包括：

禁止客户端存储设备的使用、仅允许使用特定存储设备、仅允许从存储设备单向复制文件到电脑、向存储设备复制文件需输入密码。

优选的，在所述S4之后，进一步包括：

客户端形成监测日志，并发送到管理端电脑。

优选的，所述监测日志包括：

用户的电脑IP地址、MAC地址、电脑名、使用存储设备的情况、使用网络应用的情况、电脑运行程序情况、电脑访问网址情况、操作系统功能设置日志、电脑外接设备的使用日志。

一种基于HOOK和窗口过滤的双重文件防泄密系统，包括：

管理端，所述管理端包括用户界面模块和发送模块，所述用户界面模块用于查看客户端电脑、设置客户端运行、设置防泄密功能；所述发送模块用于向客户端发送HOOK和窗口过滤指令；

与所述管理端通信连接的用户端，所述用户端包括执行模块、存储设备控制模块和窗口控制模块：

所述执行模块用于接收所述过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数；

所述存储设备控制模块用于根据所述硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；

所述窗口控制模块用于根据所述窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合所述窗口过滤指令，关闭对应的电脑窗口。

优选的，所述客户端还包括外接设备控制模块；

所述外接设备控制模块用于控制电脑外接设备的使用；

所述电脑外界设备包括网卡、随身WIFI、蓝牙、PCI卡中的一种或多种。

优选的，所述客户端还包括日志模块；

所述日志模块用于形成监测日志，并发送到管理端电脑。

优选的，所述监测日志包括：

用户的电脑IP地址、MAC地址、电脑名、使用存储设备的情况、使用网络应用的情况、电脑运行程序情况、电脑访问网址情况、操作系统功能设置日志、电脑外接设备的使用日志。

本发明提出的基于HOOK和窗口过滤的双重文件防泄密方法及系统，客户端可以按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；并根据窗口过滤指令监测电脑窗口信息，从而可以通过HOOK和窗口过滤的双重方式防止文件泄密，能够有效防止文件泄密。

附图说明

图1为本发明实施例提出的基于HOOK和窗口过滤的双重文件防泄密方法的流程图；

图2为本发明实施例提出的基于HOOK和窗口过滤的双重文件防泄密系统的结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提出了一种基于HOOK和窗口过滤的双重文件防泄密方法，用于通信连接的管理端和客户端，包括以下步骤：

S101：管理端向客户端发送HOOK和窗口过滤指令。

在本发明实施例中管理端和客户端可以设置在同一局域网内，管理端设置在一台电脑上，客户端设置在其他电脑上，客户端可以通过可靠的TCP协议会自动连接到管理端，管理端向客户端发送HOOK和窗口过滤指令。

S102：客户端接收过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数。

当客户端收到指令后，会自动将HOOK和窗口识别加载到系统的进程中，并会在操作系统注册硬件变动捕获函数(BOOL CProc::OnDeviceChange)。

S103：客户端根据硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制。

以USB存储设备为例，针对USB存储设备的管控，客户端会实时遍历枚举电脑的“设备管理器”(可以通过函数SetupDiEnumDeviceInfo实现)以便捕获到所有的硬件信息，一旦有USB设备插入时，会产生一个事件(event)并被系统枚举到，通过先前注册的函数(BOOLCProc::OnDeviceChange)传递给客户端，客户端通过HOOK此事件而得到插入的USB设备信息。一旦为USB存储设备(判断标准为在操作系统的“设备管理器”下面的“通用串行总线控制器”下面会产生“USB大容量存储设备”或在“磁盘列表”下面出现相应的磁盘信息)，然后系统会通过设备禁用/启用函数(SetupDiCallClassInstaller)将USB存储设备禁用(置于False)；而一旦为非USB存储设备，则不会将其禁用(判断标准则为不会在“通用串行总线”下面出现“USB大容量存储设备”或在“磁盘列表”下面出现新增磁盘信息)。

设定的存储设备控制策略的权限类型具体包括：

禁止客户端存储设备的使用、仅允许使用特定存储设备、仅允许从存储设备单向复制文件到电脑、向存储设备复制文件需输入密码。

一旦USB存储设备插入到安装客户端的计算机中，客户端通过设备标识或者设备的序列号识别USB存储设备，按照已设定的存储设备控制策略的权限类型对USB存储设备进行读写控制，标准的USB存储设备(如U盘，移动硬盘等)可以设置成四个权限“禁用”、“只读”、“只写”、“放行”，以及只允许特定USB存储设备使用，向USB存储设备复制文件必须输入密码等。

S104：客户端根据窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合窗口过滤指令，客户端关闭对应的电脑窗口。

本实施例中，客户端还会根据管理端的预设，实时监测用户的电脑窗口信息(包括操作系统的功能窗口、电脑运行的程序窗口以及所打开的网站等窗口)，具体识别其窗口名称(Window Name)、窗口类名(Class)、窗口进程信息(Process)、窗口描述(Description)等方式来监测客户端电脑的使用行为，一旦符合管理端所预设的窗口相关特征，则客户端将直接关闭用户电脑的相关窗口，阻止用户继续进行相关电脑操作行为。否则，将予以放行。

本实施例中，客户端在使用过程中，也可以自行添加对USB存储设备或电脑运行窗口的监测和控制，而无需管理端的指派。

S105：客户端形成监测日志，并发送到管理端电脑。

具体的，客户端在执行USB存储设备管控、关闭用户电脑窗口或禁止用户电脑相关使用行为时，会形成相关的监测日志，并发送到管理端电脑，管理端会将相关日志记录下来便于事后备查或审计。

其中，访问日志记录内容包括：用户的电脑IP地址、MAC地址、电脑名、使用USB存储设备的情况、使用网络应用的情况、电脑运行程序情况、电脑访问网址情况、操作系统功能设置日志以及电脑外接设备的使用日志等。

可见，本发明实施例提出的基于HOOK和窗口过滤的双重文件防泄密方法，客户端可以按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；并根据窗口过滤指令监测电脑窗口信息，从而可以通过HOOK和窗口过滤的双重方式防止文件泄密，能够有效防止文件泄密。

如图2所示，本发明实施例还提出了一种基于HOOK和窗口过滤的双重文件防泄密系统，包括：

管理端1，管理端1包括用户界面模块101和发送模块102，用户界面模块101用于查看客户端电脑、设置客户端运行、设置防泄密功能；发送模块102用于向客户端发送HOOK和窗口过滤指令；

与管理端1通信连接的用户端2，用户端2包括执行模块201、存储设备控制模块202和窗口控制模块203：

执行模块201用于接收过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数；

存储设备控制模块202用于根据硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；

窗口控制模块203用于根据窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合窗口过滤指令，关闭对应的电脑窗口。

可见，本发明实施例提出的基于HOOK和窗口过滤的双重文件防泄密系统，客户端可以按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；并根据窗口过滤指令监测电脑窗口信息，从而可以通过HOOK和窗口过滤的双重方式防止文件泄密，能够有效防止文件泄密。

在本发明的一个优选实施例中，客户端还包括外接设备控制模块；

外接设备控制模块用于控制电脑外接设备的使用；

电脑外界设备包括网卡、随身WIFI、蓝牙、PCI卡中的一种或多种。

当前，各种网络热点(类似于无线路由器)的工具的出现，使得员工可以轻松在自己电脑的USB端口来使用这些工具(尤其是以360随身wifi、百度随身wifi为代表)为自己的笔记本电脑、手机或平板电脑提供无线上网功能，从而一方面可以用于自己的娱乐、网购、下载或网址浏览等行为，另一方面也抢占了公司网络资源，并且对信息安全、网络安全造成潜在的威胁(员工可以轻松将电脑的重要文件通过无线传输发送到自己的笔记本电脑、手机或平板)。

对于wifi共享精灵、wifi万能钥匙等无线wifi共享软件，由于其运行必须依赖于电脑自身的无线网卡，因此可以勾选“禁用无线网卡”来屏蔽其使用；如果需要用无线网卡，那么可以通过“禁止打开的程序”这里，添加禁止安装或运行的软件名称，例如“wifi共享精灵”，添加后这台电脑就无法使用wifi共享精灵软件了。

在企事业单位局域网中，不仅可以通过电脑USB端口、USB存储设备拷贝电脑文件，而且还可以通过邮件附件发送、网盘上传、论坛上传附件、FTP外发、QQ发送文件、QQ群共享文件上传等方式泄露公司商业机密，为此大势至电脑文件防泄密系统集成了对上述网络应用程序的控制功能，可以完全防止通过网络泄露商业机密的行为，最大限度保护了单位的无形资产和商业机密。

此外，大势至电脑文件防泄密系统在禁止邮箱使用、屏蔽邮件附件发送的同时还可以只让使用特定邮箱、只允许使用某些邮箱，从而实现了灵活的邮箱使用控制。

在本系统里，禁止文件发送，文件上传，其主要原理是利用API Hooking技术,在windows系统下，与文件操作相关的几个API如copyFile、MoveFile等。通过拦截这几个API，便可以知道用户对文件的操作行为，进而便可以阻止文件拷贝或移动行为，防止机密资料外泄。

同时，系统集成了对电脑操作系统关键位置的全方位控制，可以禁止电脑打开注册表、禁止使用组策略、禁止开机按fF8键进入操作系统安全模式等，从而不仅保护了大势至USB接口软件的自身的安全，更进一步保护了电脑文件安全和商业机密。

在本发明的一个优选实施例中，客户端还包括日志模块；

日志模块用于形成监测日志，并发送到管理端电脑。

在本发明的一个优选实施例中，监测日志包括：

用户的电脑IP地址、MAC地址、电脑名、使用存储设备的情况、使用网络应用的情况、电脑运行程序情况、电脑访问网址情况、操作系统功能设置日志、电脑外接设备的使用日志。

本发明提出的基于HOOK和窗口过滤的双重文件防泄密系统，客户端可以按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；并根据窗口过滤指令监测电脑窗口信息，从而可以通过HOOK和窗口过滤的双重方式防止文件泄密，能够有效防止文件泄密

本发明提出的基于HOOK和窗口过滤的双重文件防泄密的方法及系统，全程无需用户对电脑文件进行加密。当前，同类电脑文件防泄密系统通常会加密用户电脑文件，这不仅需要大量复杂的加密和解密操作，增加了用户工作量，而且由于需要对电脑文件本身进行格式转换，从而容易破坏文件。而本发明全程不会对电脑文件进行任何格式转换或加密和解密操作，仅仅是对电脑泄密的各种通道进行实时监测，从而既保护了文件安全，也防止了文件泄密。

基于HOOK和窗口过滤技术，使得系统可以对所有可能泄密的程序、网址、访问行为进行全程的管控，尤其是通过程序关键词、窗口类名、窗口名称、窗口进程信息的预设，以及支持用户进行个性化的预设，可以防止各种可能泄密行为发生。

实现了精准控制USB存储设备的使用。当前，同类防泄密系统通常只能完全禁用USB存储设备的使用，或只让使用特定的USB存储设备。而本发明通过充分发挥HOOK和窗口过滤技术，不仅可以实现上述功能，而且还可以进一步设置USB存储设备的使用权限，可以只让从USB存储设备向电脑复制文件，而禁止从电脑向USB存储设备复制文件，或者从电脑向USB存储设备必须输入密码方可实现，从而在防止USB存储设备泄密的同时，也充分发挥了USB存储设备的文件存储功能。

传统的电脑文件防泄密系统注重于对文件本身的控制，而本发明通过充分发挥HOOK和窗口过滤技术，实现了对操作系统关键功能、电脑运行程序、电脑网址访问、电脑外接设备等全方位的控制，从而可以实现整体上、立体式的电脑文件防泄密管控，便于真正发挥电脑文件防泄密控制功能的实现。

传统的电脑文件防泄密系统，常常基于HOOK操作系统剪切板的方式来防止复制文件的行为，但很多第三方软件的复制和剪切操作，并不通过操作系统的剪切板缓存，而是直接通过第三方软件自身来存储，从而导致传统基于HOOK剪切板、全局钩子禁用剪切板的控制方式失效。

本系统一方面支持以C/S架构的方式，通过管理端和客户端相互配合的方式运行，也支持客户端单独设置和运行，从而满足了用户对单个电脑的电脑文件防泄密功能实现。而同类系统通常需要通过管理端向客户端发送指令的方式进行管控，这就需要用户单独配备额外电脑安装客户端方可实现，从而增加了部署的复杂性，也增加了成本开支。

由于本系统提供了客户端电脑所有使用行为的日志记录功能，从而便于管理员掌握客户端的电脑用户的工作状态、行为状态等，便于预先采取相关电脑文件防泄密管理举措，从而实现了事前的预防性管控，又可以为事后提供日志备查和追溯

综上所述，本发明实施例至少可以实现如下效果：

在本发明实施例中，客户端可以按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；并根据窗口过滤指令监测电脑窗口信息，从而可以通过HOOK和窗口过滤的双重方式防止文件泄密，能够有效防止文件泄密。

最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.基于HOOK和窗口过滤的双重文件防泄密方法，用于通信连接的管理端和客户端，其特征在于，包括以下步骤：

S1：管理端向客户端发送HOOK和窗口过滤指令；

S2：客户端接收所述过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数；

S3：客户端根据所述硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；

S4：客户端根据所述窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合所述窗口过滤指令，客户端关闭对应的电脑窗口。

2.如权利要求1所述的基于HOOK和窗口过滤的双重文件防泄密方法，其特征在于，所述客户端通过TCP协议自动连接所述管理端。

3.如权利要求1所述的基于HOOK和窗口过滤的双重文件防泄密方法，其特征在于，所述客户端根据所述硬件变动捕获函数获取插入客户端计算机的设备信息包括：

客户端遍历枚举电脑的设备管理器，获取电脑的硬件信息，当有设备插入客户端电脑时，客户端枚举到此插入事件，并获取插入的设备信息。

4.如权利要求1所述的基于HOOK和窗口过滤的双重文件防泄密方法，其特征在于，所述设定的存储设备控制策略的权限类型具体包括：

禁止客户端存储设备的使用、仅允许使用特定存储设备、仅允许从存储设备单向复制文件到电脑、向存储设备复制文件需输入密码。

5.如权利要求1-4任一项所述的基于HOOK和窗口过滤的双重文件防泄密方法，其特征在于，在所述S4之后，进一步包括：

客户端形成监测日志，并发送到管理端电脑。

6.如权利要求5所述的基于HOOK和窗口过滤的双重文件防泄密方法，其特征在于，所述监测日志包括：

用户的电脑IP地址、MAC地址、电脑名、使用存储设备的情况、使用网络应用的情况、电脑运行程序情况、电脑访问网址情况、操作系统功能设置日志、电脑外接设备的使用日志。

7.基于HOOK和窗口过滤的双重文件防泄密系统，其特征在于，包括：

管理端，所述管理端包括用户界面模块和发送模块，所述用户界面模块用于查看客户端电脑、设置客户端运行、设置防泄密功能；所述发送模块用于向客户端发送HOOK和窗口过滤指令；

与所述管理端通信连接的用户端，所述用户端包括执行模块、存储设备控制模块和窗口控制模块：

所述执行模块用于接收所述过滤指令，将HOOK和窗口过滤指令加载到系统进程中，并在操作系统注册硬件变动捕获函数；

所述存储设备控制模块用于根据所述硬件变动捕获函数获取插入客户端计算机的设备信息，判断设备是否为存储设备，如果是，按照设定的存储设备控制策略的权限类型对USB存储设备进行读写控制；

所述窗口控制模块用于根据所述窗口过滤指令监测电脑窗口信息，如果电脑窗口信息符合所述窗口过滤指令，关闭对应的电脑窗口。

8.如权利要求7所述的基于HOOK和窗口过滤的双重文件防泄密系统，其特征在于，所述客户端还包括外接设备控制模块；

所述外接设备控制模块用于控制电脑外接设备的使用；

所述电脑外界设备包括网卡、随身WIFI、蓝牙、PCI卡中的一种或多种。

9.如权利要求7或8所述的基于HOOK和窗口过滤的双重文件防泄密系统，其特征在于，所述客户端还包括日志模块；

所述日志模块用于形成监测日志，并发送到管理端电脑。

10.如权利要求9任一项所述的基于HOOK和窗口过滤的双重文件防泄密系统，其特征在于，所述监测日志包括：

用户的电脑IP地址、MAC地址、电脑名、使用存储设备的情况、使用网络应用的情况、电脑运行程序情况、电脑访问网址情况、操作系统功能设置日志、电脑外接设备的使用日志。