CN110580407A - 防止恶意进程感染的文件备份装置和文件备份方法 - Google Patents

Abstract

根据本发明实施例的文件备份装置包括：文件复制单元，其配置为将存储在用户终端的存储设备中的备份目标区域中的文件以一定时间间隔复制到文件备份装置的存储设备中的临时存储区域；感染检查单元，其配置为检查复制到临时存储区域的文件是否被恶意进程感染；文件存储单元，其配置为在确定检查结果为复制到临时存储区域的文件未被恶意进程感染时，将复制到临时存储区域的文件存储在文件备份装置的存储设备中的文件存储区域中。

Description

防止恶意进程感染的文件备份装置和文件备份方法

技术领域

实施例涉及文件备份系统和文件备份方法。

背景技术

勒索软件是一种恶意软件，它加密存储在用户设备或网络存储设备的存储区域中的文件，并将加密文件作为抵押物。恢复加密文件需要解密密钥，勒索软件开发人员通过解密密钥要求对加密文件支付费用。通常，该费用是通过使用被认为是难以跟踪的加密货币(比特币等)的电子支付方法来支付的。大多数勒索软件在被伪装成正常文件的状态下附加到电子邮件中并被发送，并且，一旦打开所附加的文件，勒索软件程序就被激活。勒索软件通常利用操作系统的漏洞或应用程序(例如，一般用户使用的程序)的漏洞执行加密。

一些计算机系统具有保护数据免受诸如勒索软件之类的恶意进程攻击的自我防护功能。没有自我防护功能的操作系统通过使用诱饵文件的单独的疫苗程序来防止勒索软件。最近，出现了通过多年来已经大规模发展的云计算来应对勒索软件的技术。

但是，当安装诱饵文件时，诱饵文件的放置路径可能会根据勒索软件而有所不同。根据安装的诱饵文件，可能会检测到勒索软件，但可能无法阻止。此外，在通过云计算的勒索软件防护解决方案中，当云本身被勒索软件感染时，现有的备份文件也可能被勒索软件感染。

发明内容

实施例涉及一种防止备份文件被包括勒索软件的恶意进程感染的文件备份装置和文件备份方法。

实施例的目标不限于以上所述，也包括可从下文描述的技术解决方案或实施例中可以认识到的目标或效果。

根据本发明实施例的文件备份装置包括：文件复制单元，该文件复制单元被配置为将存储在用户终端的存储设备中的备份目标区域中的文件以一定时间间隔复制到文件备份装置的存储设备中的临时存储区域；感染检查单元，该感染检查单元被配置为检查复制到临时存储区域的文件是否被恶意进程感染；文件存储单元，该文件存储单元被配置为当确定检查结果为复制到临时存储区域的文件未被恶意进程感染时，将复制到临时存储区域的文件存储在文件备份装置的存储设备中的文件存储区域中。

存储在备份目标区域中的文件可以包括诱饵文件，该诱饵文件是被恶意进程感染的目标，感染检查单元可以通过诱饵文件是否被恶意进程加密来检查复制到临时存储区域的文件是否受到恶意进程的感染。

文件备份装置还可包括：连接控制单元，该连接控制单元被配置为当完成复制到临时存储区域时，卸载备份目标区域并将备份目标区域与临时存储区域断开。

当确定检查结果为复制到临时存储区域的文件未被恶意进程感染时，连接控制单元可以安装文件存储区域并将文件存储区域连接到临时存储区域。

当复制到临时存储区域的文件存储到文件存储区域中时，连接控制单元可以卸载文件存储区域，通过卸载文件存储区域将临时存储区域与文件存储区域断开，并且可以安装备份目标区域来连接备份目标区域和临时存储区域。

使用根据本发明实施例的文件备份装置的文件备份方法包括：通过文件备份装置将存储在用户终端的存储设备中的备份目标区域中的文件以一定的时间间隔复制到临时存储区域中；通过文件备份装置检查复制到临时存储区域的文件是否被恶意进程感染；当确定检查结构为复制到临时存储区域的文件未被恶意进程感染时，通过文件备份装置将复制到临时存储区域的文件存储在文件备份装置的存储设备中的文件存储区域中。

存储在备份目标区域中的文件可以包括诱饵文件，该诱饵文件是被恶意进程感染的目标，根据诱饵文件是否被加密来检查复制到临时存储区域的文件是否受到恶意进程的感染。

文件备份方法还可以包括：当完成复制到临时存储区域时，通过文件备份装置卸载备份目标区域，以将备份目标区域与临时存储区域断开。

文件备份方法还可以包括：当确定检查结果为复制到临时存储区域的文件未被恶意进程感染时，由文件备份装置安装文件存储区域以将文件存储区域连接到临时存储区域。

当复制到临时存储区域的文件存储到文件存储区域中时，文件备份装置可以卸载文件存储区域来断开临时存储区域与文件存储区域的连接，并且可以安装备份目标区域来连接备份目标区域和临时存储区域。

根据本发明的一个实施例，可以在通过检查恶意进程感染，复制文件和存储文件的每个操作中维持或释放辅助存储设备之间或辅助存储设备中的存储区域之间的连接，从而防止备份系统被恶意进程感染。因此，用户可以更安全地存储重要数据。

本发明的各种优点和有益效果不限于以上描述，并且在描述本发明的特定示例性实施例的过程中可以更容易地理解。

附图说明

图1为示出根据本发明的实施例的文件备份系统的配置图；

图2为示出根据本发明的实施例的文件备份装置的配置图；

图3为根据本发明实施例的文件备份方法的流程图；

图4为示出由根据本发明的实施例的连接控制单元控制每个区域的连接的过程的图。

附图标记说明

100：用户终端；200：文件备份装置；210：文件系统；211：文件复制单元；212：感染检查单元；213：文件存储单元；214：连接控制单元；220：存储设备。

具体实施方式

虽然本发明可以有各种修改和替换实施例，但是其具体实施例将在附图中以示例的方式描述和示出。然而，应该理解的是，这不是把将本发明限制在具体的示范性实施例，本发明包括包含在本发明的精神和技术范围内的所有变化、等价或替换。

应该理解，虽然可以在本文中使用术语第一、第二等描述各种元件，这些元件不应该受这些术语的限制。这些术语仅仅用来区分各个元件。例如，在不脱离本发明的范围的情况下，第二元件可被称为第一元件，同样地，第一元件可被称为第二元件。术语“和/或”包括多个列举的相关术语的任意一个组合或所有组合。

应当理解的是，当一个部件被称为“连接至”或“访问”另一个部件时，它可以直接地连接或访问相应的部件。然而，在两者之间可能存在其他部件。反之，当一个部件被称为“直接相连至”或“直接访问”另一个部件时，应理解成两者之间没有其他部件。

应当理解的是，本说明书中使用的术语的目的是为了说明实施例，并不意味着限制本发明。除非特别说明，这里使用的单数表达包括复数表达。应当进一步理解的是，术语“包括”、“包含”和/或“含有”、“具有”旨在指定说明书中所描述的特征、整数、步骤、操作、元件和/或部件的存在，而且不会排除一个或多个特征、整数、步骤、操作、元件、部件和/或其组合的存在和/或附加。

除非另外定义，这里使用的所有术语(包括技术科学术语)具有与本领域的技术人员通常所理解的意义相同的意义。应该进一步理解的是，诸如在常用字典中定义的术语应被解释为它们的含义与相关领域背景中的意义一致，但不应被解释为理想的或过度形式的意义，除非在本发明中有明确的定义。

下面结合附图对本发明进行充分地描述，其中相同的附图标记应该被理解为指的是相同或等效的元件，并且将省略对相同元件的重复描述。

图1为示出了根据本发明的实施例的文件备份系统的配置图。

如图1所示，根据本发明实施例的文件备份系统包括用户终端100和文件备份装置200。

在根据本发明实施例的文件备份系统中，当存储在用户终端100中的文件存储在文件备份装置200中时，可以选择性地仅储存未被诸如勒索软件等的恶意进程(恶意软件)感染的文件。因此，根据本发明实施例的文件备份系统可以提高文件存储的安全性。

以下，将详细描述根据本发明实施例的文件备份系统的每个部件。

首先，用户终端100指的是用户通过其与数据处理系统通信的输入/输出设备。用户终端100可被实现为诸如移动电话、智能手机、笔记本电脑、台式计算机、个人数字助理(PDA)、便携式多媒体播放器(PMP)、平板电脑等设备。

每个用户终端100包括文件系统110和存储设备120。

文件系统110指的是在操作系统中管理辅助存储设备和存储在辅助存储设备中的文件的系统。在本发明的实施例中，用户终端100的文件系统110可以是指在用户终端100的操作系统中管理存储设备120和存储在存储设备120中的文件的系统。

存储设备120指的是被配置为存储文件的辅助存储设备。辅助存储设备指的是设置在中央处理单元外部、被配置为存储程序或数据的存储设备。因此，存储设备120可以包括硬盘驱动器(HDD)、固态盘(SSD)、通用串行总线(USB)驱动器、磁带、磁盘、激光盘、磁光盘、软盘、CD-ROM等。

用户终端100的存储设备120可以由用户终端100的文件系统110管理。当用户通过用户终端100生成文件时，文件系统110可以将文件存储在存储器的特定区域中。在此，特定区域可以表示目录、文件夹或逻辑驱动器。另外，当设置有用户终端100的多个存储设备120时，存储设备120可以是物理划分的一个或多个存储设备。

用户终端100可以将存储设备120中的任何特定区域设定为备份目标区域121。具体地，用户终端100的文件系统110可以将存储设备120中的任何特定区域设定为备份目标区域121。在此，备份目标区域121可以是被配置为储存将被发送到根据本发明实施例的文件备份装置200的目标文件的空间。例如，用户终端100可以将命名为“c:\Un-safe region”的文件夹设置为备份目标区域121。存储在文件夹“c:\Un-safe region”中的文件可以被发送到文件备份装置200。因此，存储在非备份目标区域121的区域中的文件可以不被发送到文件备份装置200。

用户终端100可以在存储设备120中的备份目标区域121中生成诱饵文件(引诱文件)。诱饵文件是指作为被恶意进程感染的目标的文件。因此，当存储在备份目标区域121中的文件被发送到文件备份装置200时，诱饵文件可以与文件一起被发送。

可以基于恶意进程的策略生成诱饵文件。例如，假设勒索软件具有从用户终端100的存储设备120中的顶级路径执行加密的策略。然后，用户终端100可以生成诱饵文件，其中在文件名或文件夹名之前放置特殊符号(％、＄、！、@等)。

接下来，文件备份装置200指的是能够通过与用户终端100通信来接收和存储文件的输入/输出装置。根据本发明的实施例，文件备份装置200可以以服务器的形式实现，并且可以包括能够实现服务器功能的所有装置。文件备份装置200可以包括云、网络附加存储(NAS)、台式计算机、笔记本计算机、平板电脑等。

文件备份装置200包括文件系统210和存储设备220。

文件系统210指的是在操作系统中管理辅助存储设备和存储在辅助存储设备中的文件的系统。在本发明的实施例中，文件备份装置200的文件系统210可以是指在文件备份装置200的操作系统中管理存储设备220和存储在存储设备220中的文件的系统。

存储设备220指的是被配置为存储文件的辅助存储设备。辅助存储设备指的是设置在中央处理单元外部、被配置为存储程序或数据的存储设备。因此，存储设备220可以包括硬盘驱动器(HDD)、固态盘(SSD)、通用串行总线(USB)驱动器、磁带、磁盘、激光盘、磁光盘、软盘、CD-ROM等。

文件备份装置200的存储设备220可以由文件备份装置200的文件系统210管理。文件备份装置200的文件系统210可以将从用户终端100生成的文件存储在存储器装置220的特定区域中。在此，特定区域可以表示目录、文件夹或逻辑驱动器。另外，当设置有用户终端100的多个存储设备120时，存储设备120可以是物理划分的一个或多个存储设备。

文件备份装置200可以将存储设备220中的任何特定区域设定为临时存储区域221。例如，文件备份装置200的文件系统210可以将存储设备220中的任何特定区域设置为临时存储区域221。在此，临时存储区域221指的是被配置为复制并存储存储在用户终端100的备份目标区域121中的文件的区域。例如，文件备份装置200可以将名为“c:\Un-saferegion”的文件夹设置为临时存储区域221。从用户终端100发送的文件可以存储在文件夹“c:\Middle region”中。

另外，文件备份装置200可以将存储设备220中的任何特定区域设定为文件存储区域222。例如，文件备份装置200的文件系统210可以将存储设备220中的任何特定区域设定为文件存储区域222。在此，文件存储区域222指的是被配置为存储在临时存储区域221中存储的文件中的未被恶意进程感染的文件的区域。例如，文件备份装置200可以将命名为“c:\Safe region”的文件夹设定为文件存储区域222。被证明未被恶意进程感染的文件可以存储在文件夹“c:\Safe region”中。

根据本发明的实施例，用户终端100和文件备份装置200可以通过通信网络10连接，并且可以通过服务器消息块(SMB)协议或通用因特网文件系统(CIFS)协议连接。例如，文件备份装置200可以使用SMB协议与用户终端100通信。文件备份装置200可以基于SMB协议和CIFS协议通过Samba接收备份目标区域121的文件，并且可以将接收的文件存储在临时存储区域221中。在本发明的实施例中，协议可以根据用户终端和文件备份装置的文件系统而变化。

将参考图2，描述根据本发明的一个实施例的文件备份装置。

图2为示出了根据本发明实施例的文件备份装置的配置图。

如图2所示，根据本发明实施例的文件备份装置200包括文件系统210和存储设备220。文件系统210包括文件复制单元211、感染检查单元212、文件存储单元213和连接控制单元214。

如图2所示，文件复制单元211、感染检查单元212、文件存储单元213和连接控制单元214被包括在文件系统210中，但是本发明不限于此。文件复制单元211、感染检查单元212、文件存储单元213和连接控制单元214可以作为不同于文件系统210的独立系统来实现。由于已经参考图1描述了存储设备220，因此，将省略对其的详细描述。在下文中，将对文件系统210的配置进行描述。

首先，文件复制单元211以一定的时间间隔将存储在用户终端100的存储设备中的备份目标区域中的文件复制到文件备份装置200的存储设备220中的临时存储区域。

在这种情况下，以一定的时间间隔发送文件。例如，当一定的时间间隔为24小时时，每24小时发送文件。用户可以通过用户终端100设定一定的时间间隔。可以根据用户的文件生成频率或要存储的文件的重要性来设置发送的时间间隔，从而提高文件存储的安全性。

接下来，感染检查单元212检查复制到临时存储区域的文件是否被恶意进程感染。感染检查单元212可以通过恶意进程是否加密诱饵文件来检查文件是否被恶意进程感染。

当确定检查结果为复制到临时存储区域的文件未被恶意进程感染时，文件存储单元213将复制到临时存储区域的文件存储到文件备份装置200的存储设备220中的文件存储区域中。

当完成复制到临时存储区域时，连接控制单元214断开用户终端100。在这种情况下，连接控制单元214可以控制用户终端100的文件系统和文件备份装置200的文件系统之间的连接。即，连接控制单元214可以通过卸载用户终端100的备份目标区域以将备份目标区域与临时存储区域断开。

当确定检查结果为复制到临时存储区域的文件未受恶意进程感染时，连接控制单元214安装文件存储区域并将文件存储区域连接到临时存储区域。

当复制到临时存储区域的文件存储到文件存储区域中时，连接控制单元214通过卸载文件存储区域以将临时存储区域与文件存储区域断开，并且与用户终端100连接通信。

将参考图3，描述根据本发明的一个实施例的文件备份方法。

图3为根据本发明实施例的文件备份方法的流程图。

参照图3，首先，用户终端100在用户终端100的存储设备中设定备份目标区域，然后在备份目标区域中生成诱饵文件(S5)。

用户终端100将存储在备份目标区域中的文件发送到文件备份装置200(S10)。备份目标区域包括在操作(S5)中生成的诱饵文件，以及根据用户对用户终端100的使用而生成的文件。

接下来，文件备份装置200将复制发送的文件，即将存储在备份目标区域中的文件复制到文件备份装置200的存储设备中的临时存储区域(S15)。在这种情况下，复制的文件包括在操作(S5)中生成的诱饵文件。

当完成复制到临时存储区域时，文件备份装置200与用户终端100断开连接(S20)。在执行操作S15等的同时，用户终端100可能被恶意进程感染。在这种情况下，当用户终端100的备份目标区域和文件备份装置200的临时存储区域持续地连接时，在操作S15之后，文件备份装置200可能被恶意进程感染。例如，在操作S25中完成恶意进程的感染检查并且确定未被恶意进程感染后，复制的文件可能被恶意进程感染。因此，即使文件备份装置200中存储的文件也可能被恶意进程的感染。所以，通过在操作S20中断开文件备份装置200与用户终端100的连接，可以防止根据本发明实施例的文件备份装置200出现上述问题，从而可以提高文件存储的安全性。

当在操作S20中释放文件备份装置200与用户终端100之间的通信连接时，文件备份装置200检查复制到临时存储区域的文件是否被恶意进程感染(S25和S30)。

当确定检查结果为复制到临时存储区域的文件未被恶意进程感染时，文件备份装置200安装文件存储区域并将文件存储区域连接到临时存储区域(S35)。

即，在确定复制到临时存储区域的文件未被恶意进程感染之前，不能访问文件存储区域。因此，即使复制到临时存储区域的文件被恶意进程感染，存储在文件存储区域中的文件也可以避免被恶意进程感染。

当安装文件存储区域时，文件备份装置200将复制到临时存储区域的文件存储在文件存储区域中(S40)。

当完成复制到文件存储区域时，文件备份装置200卸载文件存储区域来将临时存储区域与文件存储区域断开(S45)。

即，当完成复制到文件存储区域时，临时存储区域和文件存储区域之间的连接被释放，使恶意进程不能访问文件存储区域，从而提高了文件存储的安全性。

文件备份装置200重新连接到用户终端100(S50)。具体地，文件备份装置200通过安装用户终端100的备份目标区域来重新连接备份目标区域和临时存储区域。文件备份装置200和用户终端100之间维持连接，直到文件在下一个时间间隔被复制到临时存储区域。

同时，当确定操作S25和S30的检查结果为复制到临时存储区域的文件被恶意进程感染时，文件备份装置200可以删除复制到临时存储区域的文件(S55)。

当在操作S55中完成文件的删除时，文件备份装置200可以将被恶意进程感染的备份目标区域通知给用户终端100(S60)。在这种情况下，例如，文件备份装置200将不安装用户终端100的备份目标区域，直到用户终端100删除或修复与备份目标区域有关的恶意进程。

可以以一定的时间间隔重复操作S10至S60。

图4为示出由根据本发明的实施例的连接控制单元控制每个区域的连接的过程的图。

首先，在不执行文件备份的时候，如图4A所示，用户终端100的备份目标区域121和文件备份装置200的临时存储区域221相互连接。即，文件备份装置200通过安装用户终端100的备份目标区域121来连接备份目标区域121和临时存储区域221。但是，文件备份装置200中的临时存储区域221和文件存储区域222相互断开。

接下来，在完成图3所示的操作S15之后，如图4B所示，释放用户终端100的备份目标区域121与文件备份装置200的临时存储区域221之间的连接。即，文件备份装置200通过卸载用户终端100的备份目标区域121来断开备份目标区域121与临时存储区域221的连接。在这种情况下，文件备份装置200中的临时存储区域221和文件存储区域222相互断开。

在完成图3所示的操作S30，并确定未受到恶意进程感染之后，如图4C所示，文件备份装置200中的临时存储区域221和文件存储区域221相互连接。在这种情况下，用户终端100和文件备份装置200相互断开。

接下来，当完成图4的操作S40时，如图4D所示，释放文件备份装置200中的临时存储区域221和文件存储区域222之间的连接。连接用户终端100和文件备份装置200。即，用户终端100和文件备份装置200处于如图4A所示的连接状态。

根据本发明的实施例，可以在检查恶意进程感染、复制文件和存储文件的每个操作中维持或释放辅助存储设备之间或辅助存储设备中的存储区域之间的连接，从而防止备份系统被恶意进程感染。因此，用户可以更安全地存储重要数据。

本说明书中使用的术语“单元”是指执行某些任务的软件或硬件部件，例如现场可编程门阵列(FPGA)或专用集成电路(ASIC)，但不限于此。单元可以被配置为驻留在可访问存储介质中，并且被配置为操作一个或多个处理器。因此，单元作为示例可以包括部件(例如，软件部件、面向对象的软件部件、类部件和任务部件)、进程、功能、属性、过程、子例程、程序代码段、驱动程序、固件、微代码、电路、数据、数据库、数据库结构、表、数组和参数。部件和单元中提供的功能可以组合成更少的部件和单元，或者进一步分成附加的部件和单元。此外，可以实现使部件和单元在设备或安全多媒体卡中操作一个或多个CPU。

虽然已经参照示例性实施例对本发明进行了主要地描述，但是应该理解，本发明不限于所公开的示例性实施例，并且本领域技术人员可以在不脱离本发明的主旨的情况下设计出各种修改和应用。例如，可以修改和实现示例性实施例中具体示出的每个部件。与这些修改和应用有关的差异应被解释为在由所附权利要求限定的本发明的范围内。

Claims (10)

1.一种文件备份装置，包括：

文件复制单元，所述文件复制单元被配置为将存储在用户终端的存储设备中的备份目标区域中的文件以一定时间间隔复制到所述文件备份装置的存储设备中的临时存储区域；

感染检查单元，所述感染检查单元被配置为检查复制到所述临时存储区域的所述文件是否被恶意进程感染；以及

文件存储单元，所述文件存储单元被配置为当确定检查结果为复制到所述临时存储区域的所述文件未被恶意进程感染时，将复制到所述临时存储区域的所述文件存储在所述文件备份装置的存储设备中的文件存储区域中。

2.如权利要求1所述的文件备份装置，其特征在于，

存储在所述备份目标区域中的所述文件包括诱饵文件，所述诱饵文件是被所述恶意进程感染的目标，以及

所述感染检查单元通过所述诱饵文件是否被所述恶意进程加密来检查复制到所述临时存储区域的所述文件是否受到所述恶意进程的感染。

3.如权利要求1所述的文件备份装置，其特征在于，进一步包括：

连接控制单元，所述连接控制单元被配置为当完成复制到所述临时存储区域时，卸载所述备份目标区域并将所述股备份目标区域与所述临时存储区域断开。

4.如权利要求3所述的文件备份装置，其特征在于，

当确定检查结果为复制到所述临时存储区域的所述文件未被恶意进程感染时，所述连接控制单元安装所述文件存储区域并将所述文件存储区域连接到所述临时存储区域。

5.如权利要求4所述的文件备份装置，其特征在于，

当复制到所述临时存储区域的所述文件存储到所述文件存储区域中时，所述连接控制单元卸载所述文件存储区域以将所述临时存储区域和所述文件存储区域断开，并且安装所述备份目标区域以将所述备份目标区域和所述临时存储区域连接。

6.一种使用文件备份装置的文件备份方法，所述文件备份方法包括：

通过所述文件备份装置将存储在用户终端的存储设备中的备份目标区域中的文件以一定的时间间隔复制到所述文件备份装置的存储设备中的临时存储区域；

通过所述文件备份装置检查复制到所述临时存储区域的所述文件是否被恶意进程感染；以及

当确定检查结果为复制到所述临时存储区域的所述文件未被所述恶意进程感染时，通过所述文件备份装置将复制到所述临时存储区域的所述文件存储在所述文件备份装置的存储设备中的文件存储区域中。

7.如权利要求6所述的文件备份方法，其特征在于，

存储在所述备份目标区域中的所述文件包括诱饵文件，所述诱饵文件是被所述恶意进程感染的目标，并且

所述感染检查单元通过所述诱饵文件是否被恶意进程加密来检查复制到所述临时存储区域的文件是否受到所述恶意进程的感染。

8.如权利要求6所述的文件备份方法，其特征在于，进一步包括：

当完成复制到所述临时存储区域时，通过所述文件备份装置卸载所述备份目标区域，以将所述备份目标区域与所述临时存储区域断开。

9.如权利要求8所述的文件备份方法，其特征在于，进一步包括：

当确定所述检查结果为复制到所述临时存储区域的所述文件未被恶意进程感染时，通过所述文件备份装置安装所述文件存储区域以将所述文件存储区域连接到所述临时存储区域。

10.如权利要求9所述的文件备份方法，其特征在于，

当复制到所述临时存储区域的所述文件存储到所述文件存储区域中时，所述文件备份装置卸载所述文件存储区域以将所述临时存储区域和所述文件存储区域断开，并且安装所述备份目标区域以将所述备份目标区域和所述临时存储区域连接。