CN111125796B - 对移动存储设备进行保护的方法及装置、设备、存储介质 - Google Patents

Abstract

本申请实施例公开了一种对移动存储设备进行保护的方法及装置、设备、存储介质，其中，该方法包括：终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；根据所述Hook结果，确定所述移动存储设备的保护状态；输出所述移动存储设备的保护状态。

Description

对移动存储设备进行保护的方法及装置、设备、存储介质

技术领域

本申请实施例涉及但不限于数据保护技术，尤其涉及一种对移动存储设备进行保护的方法及装置、设备、存储介质。

背景技术

移动移动存储设备作为最常用的终端外发途径，是企业员工最常用泄密通路之一。员工通常将企业电脑中的核心数据，拷贝、复制到移动存储设备，这样造成核心数据外泄。

现有技术中，对移动存储设备的保护包括以下几种：1)硬件增加只读开关的方法，首先是需要购买有只读开关的硬件，且开关可以由使用者自由控制，但是无法使用在防泄密场景下。2)在操作系统中使用组策略方法，只能在vista以上系统使用，且对活动目录(Active Directory，AD)域用户无效，不能根据U(Universal Serial Bus，通用串行总线)盘的标识(IDentity，ID)区分管控，该方法比较通用用户可自己关闭只读，但是在防泄密场景下容易导致文件外流。3)修改注册表的写保护(WriteProtect)的方法也是比较通用的方法，用户可以自己关闭只读，且需要重启才能生效，但是不重启的情况下则会导致文件外流。4)在驱动层拦截文件操作，此方法会导致内核的兼容问题，容易使电脑蓝屏。

发明内容

有鉴于此，本申请实施例提供一种对移动存储设备进行保护的方法及装置、设备、存储介质。

本申请实施例的技术方案是这样实现的：

第一方面，本申请实施例提供一种对移动存储设备进行保护的方法，包括：

终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行挂钩(Hook)，得到Hook结果；

根据所述Hook结果，确定所述移动存储设备的保护状态；

输出所述移动存储设备的保护状态。

第二方面，本申请实施例提供一种对移动存储设备进行保护的装置，包括：

Hook模块，用于终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态。

第三方面，本申请实施例提供一种对移动存储设备进行保护的设备，所述设备包括：存储器和处理器，所述存储器存储有可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述方法中的步骤。

第四方面，本申请实施例提供本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述方法中的步骤。

本申请实施例提供一种移动存储设备的保护方法、装置、设备及存储介质，通过在终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，对移动存储设备进行保护。可见，本申请提供的技术方案，没有多余的Hook操作，对系统性能影响低；没有修改内核，减少蓝屏概率；支持已有的移动存储设备，既不需要额外硬件支持，也不会带来硬件损伤，保证了移动存储设备在未安装挂钩的电脑上的正常读写功能；保护功能开启和关闭即时生效，不受操作系统影响。

附图说明

图1为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图2为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图3为相关技术中移动移动存储设备发生数据泄露的示意图；

图4A为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图4B为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图4C为本申请实施例提供的界面示意图一；

图4D为本申请实施例提供的界面示意图二；

图4E为本申请实施例提供的界面示意图三；

图5为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图6A为本申请实施例提供的网络架构的组成结构示意图；

图6B为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图7为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图；

图8为本申请实施例一种对移动存储设备进行保护的装置的组成结构示意图；

图9为本申请实施例中计算机设备的一种硬件实体示意图。

具体实施方式

下面结合附图和实施例对本申请的技术方案进一步详细阐述。

本申请实施例提供一种对移动存储设备进行保护的方法，所述运行方法应用于终端，图1为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图1所示，所述方法包括：

步骤101：终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

这里，所述终端为可对移动存储设备中的文件进行编辑的电子设备，所述电子设备可以包含笔记本电脑和台式电脑等。所述移动存储设备为可以将所有可存储类型的数据在不同终端间移动的设备，可以为相变式可重复擦写光盘驱动器，软盘，卡式硬盘，U盘，移动硬盘，闪存卡及读卡器。

所述文件包含多种格式，可以为文本文件格式类型、视频文件格式类型、音频文件格式类型、图片文件格式类型和可执行文件格式类型。

在实施过程中，终端对移动存储设备中文件进行编辑，可以是将移动存储设备中的文件移动到终端上，也可以是对移动存储设备中的文件进行修改，还可以是将终端中的文件移动至移动存储设备中。例如，需要将终端A中的word文件拷贝至其他终端使用时，可以将终端A的word文件存储到移动硬盘上，以供其他终端使用。

这里，所述Hook是钩子(Hook)，是一种在系统没有调用函数之前，钩子函数所在的程序就先捕获调用函数的消息，使钩子函数先得到控制权的函数。这样，钩子函数既可以加工处理(例如，改变)该函数的执行行为，也可以强制结束消息的传递。

Hook也是Windows消息处理机制的一个平台，应用程序可以在所述平台上面设置子程序以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当发送给应用程序的制定窗口的指令消息到达后，Hook设置的子程序在目标窗口处理函数之前处理它。可以理解为，钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入进程。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获消息，亦即钩子函数先得到控制权。此时，钩子函数既可以加工处理，改变消息的处理内容，也可以不作处理而继续传递消息，还可以强制结束消息的传递。

这里，对移动存储设备的读写功能进行Hook的过程为：系统调用定义的钩子应用的程序段，将所述程序段挂入进程中，当所述进程对移动存储设备进行读写操作时，钩子进程就先捕获指定所述操作的消息，使钩子函数先得到对移动存储设备进行操作的控制权。

这里，对所述移动存储设备的读写功能进行Hook，得到Hook结果为系统根据调用的钩子应用的程序段，对移动存储设备的读写操作进行处理，得到处理结果，在实施过程中，当判断出当前进程对移动存储设备进行操作时，得到的处理结果是拒绝该操作。

步骤102：根据所述Hook结果，确定所述移动存储设备的保护状态；

当所述Hook结果拒绝该操作时，进程无法执行该操作的内容，此时，可知移动存储设备处于保护状态。

这里，所述保护状态表征系统针对移动存储设备不可以进行的操作，例如，当移动存储设备处于写保护状态时，无法对移动存储设备进行写入。

步骤103：输出所述移动存储设备的保护状态。

在确定移动存储设备的保护状态之后，系统需要在显示界面输出移动存储设备的保护状态，用以提示用户无法对该移动存储设备进行操作。

本申请实施例提供一种移动存储设备的保护方法，通过在终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，对移动存储设备进行保护。可见，本申请提供的技术方案，没有多余的Hook操作，对系统性能影响低；没有修改内核，减少蓝屏概率；支持已有的移动存储设备，既不需要额外硬件支持，也不会带来硬件损伤，保证了移动存储设备在未安装挂钩的电脑上的正常读写功能；保护功能开启和关闭即时生效，不受操作系统影响。

在一些实施例中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态；

当所述Hook结果拒绝对移动存储设备进行操作时，会返回管控状态码和/或操作错误码，用于表示移动存储设备处于保护状态，无法执行对移动存储设备进行操作。在实施过程中，Hook结果可以是管控状态码，也可以是操作错误码，还可以是管控状态码与操作错误码的组合。例如，当系统拒绝对移动存储设备进行操作时，返回STATUS_MEDIA_WRITE_PROTECTED管控状态码，或者ERROR_WRITE_PROTECT错误状态码，或者STATUS_MEDIA_WRITE_PROTECTED与ERROR_WRITE_PROTECT的组合来表示无法对移动存储设备进行操作，该移动存储身边处于保护状态。

例如，系统在API函数里面通过操作文件传入的卷标路径判断是否是需要对移动存储设备中的文件进行操作，如果是则拒绝操作该文件并提示该文件处于写保护状态，否则进行文件的正常操作。Hook函数判断文件处于写保护状态时，拒绝对文件进行操作，并直接返回STATUS_MEDIA_WRITE_PROTECTED管控状态码，并设置操作错误码为ERROR_WRITE_PROTECT，根据管控状态码和操作错误码提示U盘处于写保护状态。

本申请实施例提供一种对移动存储设备进行保护的方法，图2为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图2所示，所述方法包括：

步骤201：如果终端系统的当前进程对所述移动存储设备中文件进行编辑时，通过注入到所述进程的Hook函数，对所述当前进程进行Hook；所述Hook函数用于对所述移动存储设备的读写功能进行Hook；

系统启用一个进程后，将具有Hook功能的Hook函数注入到每一个进程中，注入后，执行Hook函数的功能，对当前执行移动存储设备进行读写的进程使用Hook函数，进行挂钩。

步骤202：从本地获取系统内核级文件中编辑函数的入口点；

这里，所述编辑函数为对文件进行操作时会用到的函数。在实施过程中，可以是对文件进行重命名操作的函数(例如NtSetinformationFile函数)、进行删除操作的函数(例如NtDeleteFile函数)也可以是创建文件的写文件函数(例如NtCreateFile函数)。

这里，所述编辑函数的入口点为具有编辑功能的函数在内存中存储的地址。通过该地址，可以调用编辑函数，对文件进行操作。在实施过程中，通过获取编辑函数的入口点，可以确定当前操作使用的函数。

在操作系统中，通过带卷标的路径的形式可以访问移动存储设备里面的文件，而所有的访问移动存储设备里面的文件的操作都会调用对文件系统进行操作的API。在应用层，这些API调用的最后一个文件是系统内核级(ntdll)文件，所以只需挂钩ntdll里面的API即可对访问方问移动存储设备进行管控。通过API Hook，改变系统API的原有功能基本的方法是通过Hook找到需要修改的API函数入口点，改变它的地址指向新的自定义的函数。因此，需要从本地获取ntdll文件中编辑函数的入口点。所述ntdll文件为Windows NT内核级文件，操作系统的进程管理和文件操作等函数都是在ntdll文件中存储的。

步骤203：将所述编辑函数的入口点的地址指向Hook函数，实现调用所述Hook函数，得到Hook结果；

这里，所述编辑函数的入口点的地址中存放的是下一个调用函数的地址。

在实施过程中，在获取编辑函数的入口地址之后，将编辑函数的入口地址的指针指向Hook函数，即可以通过指针指向的方式调用Hook函数，执行Hook函数中的操作，得到Hook结果。例如，编辑函数入口点在内存中的地址为0x43c00000，被调用的Hook函数在内存中的地址为0x43c00008，获取编辑函数的入口地址0x43c00000后，可以将其中存储的地址值改变为0x43c00008，这样，进程在读取到0x43c00000中存储的0x43c00008地址后，即可找到0x43c00008地址中的Hook函数，执行Hook函数中定义的操作，得到Hook结果。

步骤204：根据所述Hook结果，确定所述移动存储设备的保护状态；

步骤205：输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。例如，系统可以根据管控状态码和操作错误码提示U盘处于写保护状态。

本申请实施例提供一种移动存储设备的保护方法，通过Hook找到需要修改的函数入口点，改变它的地址指向新的自定义的函数。可见，本申请提供的技术方案，没有多余的Hook操作，对系统性能影响低。

移动移动存储设备作为最常用的终端外发途径，是企业员工最常用泄密通路之一。如图3所示，员工通常将企业终端中的核心数据，拷贝、复制到移动移动存储设备，这样造成核心数据外泄。通过对移动移动存储设备做严格管控，控制移动移动存储设备进行保护，这能有效防止数据通过移动移动存储设备外泄出去，同时也不影响使用移动移动存储设备带来的便捷性。

移动移动存储设备插入终端后会映射成本地卷，从而可以得到卷标的路径；可通过setupdi系列函数获取移动移动存储设备信息与本地卷的关联关系，根据关联关系确定插入的设备的类型，其中，setupdi系列函数用于获得系统设备信息；如果插入设备的类型为U盘时，对所述移动移动存储设备的读写功能进行Hook，从本地获取ntdll文件中编辑函数的入口点；系统将所述编辑函数的入口点的地址指向Hook函数；所述Hook函数用于对所述移动移动存储设备的读写功能进行Hook。

通过带卷标的路径的形式可以访问移动移动存储设备里面的文件，所有的访问操作都会经过文件系统的API，而API在应用层最后的一道关口是ntdll，所以只需挂钩ntdll里面的API即可进行管控。

图4A为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图4A所示，该方法包括：

步骤401：系统对重命名、删除和写文件函数进行管控，注入Hook函数；

步骤402：Hook函数判断当前进程操作文件是否为U盘文件；

当所述文件是U盘文件时，执行步骤403；

当所述文件不是U盘文件时，执行步骤404。

步骤403：Hook函数提示文件被写保护；

步骤404：Hook函数将文件返回给ntdll文件中的老函数进行文件处理。

管控过程包括：在API函数里面通过操作文件传入的卷标路径判断是否是需要对移动移动存储设备中的文件进行操作，如果是则拒绝操作该文件并提示该文件处于写保护状态，否则进行文件的正常操作。

只读主要涉及3个动作：重命名、删除、写文件。

重命名是调用NtSetinformationFile函数，传入的FileInformationClass为FileRenameInformation或FileRenameInformationEx；

删除则有3种方式：第一种是直接调用NtDeleteFile函数；第二种是调用NtOpenFile函数，传入的OpenOptions为FILE_DELETE_ON_CLOSE；第三种是调用NtSetinformationFile函数，传入的FileInformationClass为FileDispositionInformation或FileDispositionInformationEx；

写文件会先调用NtCreateFile函数，传入的DesiredAccess带有FILE_GENERIC_WRITE或GENERIC_WRITE，或者传入的CreateDisposition为TRUNCATE_EXISTING。

Hook函数判断文件处于写保护状态时，拒绝对文件进行操作，并直接返回STATUS_MEDIA_WRITE_PROTECTED管控状态码，并设置操作错误码为ERROR_WRITE_PROTECT，根据管控状态码和操作错误码提示U盘处于写保护状态。

当本方案作为后台程序部署在每个终端上时，企业管理员可以通过定义修改策略，控制对移动移动存储设备的保护方法。

图4B本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图4B所示，该方法包括：

步骤410：管理员配置U盘只读策略；

服务器将U盘的只读策略下发给终端；

步骤420：终端接收只读策略；

步骤430：终端根据只读策略开启注入Hook函数功能；

步骤440：终端进程接收注入的Hook函数；

步骤450：Hook函数判断当前进程是否访问U盘文件进行写操作；

当进程访问U盘文件进行写操作时，提示写保护；

当进程未访问U盘文件进行写操作时，允许访问。

文件的存储策略定义后，策略下发，被管理员控制的终端的后台程序读取修改策略，根据修改策略判断只读开关打开时，则开启注入功能，如图4C所示，将Hook函数注入到每一个进程中，任意进程以写方式访问U盘都会被拒绝；如图4D所示，钩子生效后，修改U盘文件将会失败；如图4E所示，钩子生效后，删除U盘文件夹将会失败。

本申请实施例提供一种移动移动存储设备的保护方法，通过对ntdll文件进行Hook操作，完成了对移动移动存储设备的保护状态设定。没有多余的Hook操作，对系统性能影响低；没有修改内核，蓝屏几率为0；支持已有的移动移动存储设备，既不需要额外硬件支持，也不会带来硬件损伤，保证了移动移动存储设备在未安装挂钩的电脑上的正常读写功能；保护功能开启和关闭即时生效，不受操作系统影响。

本申请实施例提供一种对移动存储设备进行保护的方法，图5为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图5所示，所述方法包括：

步骤501：当所述终端有插入设备时，将所述终端的插入设备映射成本地卷，得到所述本地卷卷标的路径；

这里，所述插入的设备可以是移动存储设备等其他可插入的，系统可识别的设备。设备量产时，可以选择移动盘/本地盘/驱动盘等类型，出厂时，可以选择设置为其中一种类型，设备插入终端后，系统会自动识别该设备类型，并映射为本地卷，生成本地卷卷标对应的路径。所述本地卷为存储区域的名称。所述本地卷卷标的路径为本地卷存储内容的访问地址。例如，U盘或移动硬盘插入笔记本电脑后会映射成本地卷，系统在API函数里面通过传入本地卷卷标的路径判断是否是U盘或移动硬盘的文件，如果是则拒绝并提示写保护，否则放行。用户使用一个u盘插入笔记本电脑时，笔记本电脑系统检测到插入的u盘后，根据u盘类型，将u盘映射成为本地磁盘(E：)，u盘的卷标路径为E:\。

步骤502：根据所述本地卷卷标的路径确定所述插入设备中的文件类型，为移动存储设备的文件类型；

在实施过程中，所述文件类型可以理解为用户在终端上对文件进行操作时，被操作文件可以是终端本地文件，也可以是移动存储设备中的文件。当系统检测到当前进程正在对文件进行操作时，通过该文件的属性可得到该文件的路径，当路径中包含移动存储设备卷标路径字段时，确定该文件为移动存储设备的文件类型。例如，当前进程正在对E:\test.txt文件进行操作时，通过路径中包含的卷标E:\，即可确定出该文件为移动存储设备的文件类型。

步骤503：如果终端系统的当前进程对所述移动存储设备中文件进行编辑时，通过注入到所述进程的Hook函数，对所述当前进程进行Hook；所述Hook函数用于对所述移动存储设备的读写功能进行Hook；

步骤504：从本地获取ntdll文件中编辑函数的入口点；

步骤505：将所述编辑函数的入口点的地址指向Hook函数，实现调用所述Hook函数，得到Hook结果；

步骤506：根据所述Hook结果，确定所述移动存储设备的保护状态；

步骤507：输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

本申请实施例提供一种移动存储设备的保护方法，当所述终端有插入设备时，将所述终端的插入设备映射成本地卷，得到所述本地卷卷标的路径，并判断移动存储设备的文件类型。可见，本申请提供的技术方案，能够根据卷标路径进行文件类型判断，有利于确定所述移动存储设备的保护状态。

本实施例先提供一种网络架构，图6A为本申请实施例提供的网络架构的组成结构示意图，如图6A所示，该架构包括两个或多个计算机设备62至6N和服务器60，其中计算机设备62至6N与服务器60之间通过网络61进行交互。一般来说，计算机设备在实施的过程中可以为各种类型的具有信息处理能力的设备，例如所述计算机设备可以包括台式机、笔记本电脑等。

如图6A所示，用户使用终端62至6N通过网络61与服务器60进行交互，终端62至6N接收服务器60下发的保护策略，并对至少一台终端进行保护。本实施例提供的方案可作为后台程序部署在终端62至6N上，服务器60可以通过修改保护策略控制是否对插入终端62至6N的移动存储设备621至6N1进行保护，策略部署到终端62至6N后，终端62至6N的后台程序读取保护策略判断保护开关打开则开启注入保护功能，将钩子函数注入到终端62至6N的每一个进程，任意进程对移动存储设备进行操作都会被拒绝。

图6B为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图6B所示，所述方法包括：

步骤601：接收服务器下发的保护策略，所述保护策略用于对至少一台终端进行保护控制；

这里，所述保护策略为服务器或管理员用户机设置的开启或关闭保护状态的文件。所述保护状态可以为多种类型，例如，写保护，读保护，删除文件保护等。所述开启或关闭状态可以使用状态码进行表示。例如开启一项保护功能时，设置该功能的使用状态码为1，关闭时，设置该功能的使用状态码为0。

在实施过程中，一台服务器或管理员用户机可以控制至少一台终端，终端接收服务器或管理员用户机发送的保护策略，根据保护策略控制保护功能开启或关闭。例如，一台管理员用户机控制4台终端，管理员用户机定义的保护策略为开启写保护，则接收到管理员用户机保护策略的4台终端根据接收的保护策略，开启自身的写保护功能。

步骤602：根据所述保护策略确定所述移动存储设备处于保护状态时，对所述终端系统中的每一进程注入所述Hook函数，对对应的进程进行Hook；所述Hook函数用于对所述移动存储设备的读写功能进行Hook；

在实施过程中，当终端开启写保护功能后，将具有Hook功能的Hook函数注入到当前的每一个正在运行的进程中，对当前所有正在运行的进程进行Hook。

步骤603：如果终端系统的当前进程对所述移动存储设备中文件进行编辑时，通过注入到所述进程的Hook函数，对所述当前进程进行Hook；

步骤604：从本地获取ntdll文件中编辑函数的入口点；

步骤605：将所述编辑函数的入口点的地址指向Hook函数，实现调用所述Hook函数，得到Hook结果；

步骤606：根据所述Hook结果，确定所述移动存储设备的保护状态；

步骤607：输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

举例说明，当本方案作为后台程序部署在每个终端上时，企业管理员可以通过定义修改策略，控制对移动存储设备的保护方法。文件的存储策略定义后，策略下发，被管理员控制的终端的后台程序读取修改策略，根据修改策略判断只读开关打开时，则开启注入功能，并将Hook函数注入到每一个进程中，注入后，任一进程以写方式访问U盘都会被拒绝。

本申请实施例提供一种移动存储设备的保护方法，通过终端接收服务器下发的保护策略可以对至少一台终端进行保护控制；可见，本申请提供的技术方案，能够根据服务器设计的保护策略，使多台终端被控制，开启自身的保护功能。

本申请实施例提供一种对移动存储设备进行保护的方法，图7为本申请实施例一种对移动存储设备进行保护的方法的实现流程示意图，如图7所示，所述方法包括：

步骤701：当所述终端有插入设备时，通过获得系统设备信息系列函数，获取所述插入设备的设备信息与所述本地卷之间的关联关系；

这里，所述获得系统设备信息系列函数为可以获取插入设备的设备信息的函数。在实施过程中，所述获得系统设备信息系列函数可以为setupdi系列函数。所述关联关系为设备信息与本地卷之间的关系，例如，使用setupdi系列函数获得的SPDRP_CAPABILITIES属性为本地卷E的设备信息的GUID，则关联关系为本地卷E与设备信息的GUID的关联关系。

步骤702：根据所述关联关系确定所述插入设备的类型；

根据所述setupdi系列函数得到的设备信息，可以确定出插入设备的类型，例如GUID为745a17a0-74d3-11d0-b6fe-00a0c90f57da时，可知插入设备类型为键盘。

步骤703：当所述插入设备的类型为移动存储设备且终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

步骤704：根据所述Hook结果，确定所述移动存储设备的保护状态；

步骤705：输出所述移动存储设备的保护状态。

在一些实施例中，移动存储设备包括U盘、移动硬盘。

举例说明，移动存储设备插入终端后会映射成本地卷，从而可以得到卷标的路径；可通过setupdi系列函数获取移动存储设备信息与本地卷的关联关系，根据关联关系确定插入的设备的类型；当确定插入设备的类型为U盘时，对所述移动存储设备的读写功能进行Hook。

从以上方法实施例可以看出，本申请实施例提供的技术方案，通过获得系统设备信息确定所述插入设备的类型，当设备类型为移动存储设备时，控制终端对移动存储设备进行写保护。可见，本申请提供的技术方案，可以通过至少两种方式对设备类型进行判断，有利于终端对所述移动存储设备进行保护。

U盘(移动硬盘)作为最常用的终端外发途径，是企业员工最常用泄密通路之一。员工通常将企业电脑中的核心数据，拷贝、复制到U盘，这样造成核心数据外泄。本申请实施例中将通过对U盘做严格管控，控制U盘只可读不可写入，这能有效防止数据通过U盘外泄出去，同时也不影响使用U盘带来的便捷性。相比于现有技术中对移动存储设备进行保护的方法，本申请实施例具有明显的优势：

1)硬件增加只读开关的方法，首先是需要购买有只读开关的硬件，且开关可以由使用者自由控制，但是无法使用在防泄密场景下。本申请实施例不需要特定硬件支持，用户不能自己关闭只读，只受管理员的管控。

2)在操作系统中使用组策略方法，只能在vista以上系统使用，且对AD域用户无效，不能根据U盘ID区分管控，该方法比较通用用户可自己关闭只读，但是在防泄密场景下容易导致文件外流。本申请实施例提供的方案支持xp以上系统，对AD域用户依然有效，可根据U盘ID区分管控。

3)修改注册表的写保护(WriteProtect)的方法也是比较通用的方法，用户可以自己关闭只读，且需要重启才能生效，但是不重启的情况下则会导致文件外流。本申请实施例提供的方案不需要重启电脑就能生效。

4)在驱动层拦截文件操作，此方法会导致内核的兼容问题，容易使电脑蓝屏。本申请实施例提供的方案通过在应用层挂钩且不改变内核行为，因此没有蓝屏风险。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，该装置包括所包括的各模块，可以通过计算机设备中的处理器来实现；当然也可通过具体的逻辑电路实现；在实施的过程中，处理器可以为中央处理器(CPU)、微处理器(MPU)、数字信号处理器(DSP)或现场可编程门阵列(FPGA)等。

图8为本申请实施例一种对移动存储设备进行保护的装置的组成结构示意图，如图8所示，所述装置800包括Hook模块801、确定模块802和输出模块803，其中：

Hook模块801，用于终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

确定模块802，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块803，用于输出所述移动存储设备的保护状态。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，所述装置包括：Hook模块、确定模块和输出模块，其中：

Hook模块，用于终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，所述装置包括Hook模块、获取模块、调用模块、确定模块和输出模块，其中：

Hook模块，还用于如果终端系统的当前进程对所述移动存储设备中文件进行编辑时，通过注入到所述进程的Hook函数，对所述当前进程进行Hook；所述Hook函数用于对所述移动存储设备的读写功能进行Hook；

获取模块，用于从本地获取ntdll文件中编辑函数的入口点；

调用模块，用于将所述编辑函数的入口点的地址指向Hook函数，实现调用所述Hook函数，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，所述装置包括Hook模块、获取模块、调用模块、确定模块和输出模块，其中，Hook模块包括映射子模块和类型确定子模块，其中：

映射子模块，用于当所述终端有插入设备时，将所述终端的插入设备映射成本地卷，得到所述本地卷卷标的路径；

类型确定子模块，用于根据所述本地卷卷标的路径确定所述插入设备中的文件类型，为移动存储设备的文件类型；

获取模块，用于从本地获取ntdll文件中编辑函数的入口点；

调用模块，用于将所述编辑函数的入口点的地址指向Hook函数，实现调用所述Hook函数，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，所述装置包括：接收模块、注入模块、Hook模块、获取模块、调用模块、确定模块和输出模块，其中：

接收模块，用于接收服务器下发的保护策略，所述保护策略用于对至少一台终端进行保护控制；

注入模块，用于根据所述保护策略确定所述移动存储设备处于保护状态时，对所述终端系统中的每一进程注入所述Hook函数，对对应的进程进行Hook；所述Hook函数用于对所述移动存储设备的读写功能进行Hook；

Hook模块，还用于如果终端系统的当前进程对所述移动存储设备中文件进行编辑时，通过注入到所述进程的Hook函数，对所述当前进程进行Hook；

获取模块，用于从本地获取ntdll文件中编辑函数的入口点；

调用模块，用于将所述编辑函数的入口点的地址指向Hook函数，实现调用所述Hook函数，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态；

其中，所述Hook结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，所述装置包括：信息获取模块、类型确定模块、Hook模块、确定模块和输出模块，其中：

信息获取模块，用于当所述终端有插入设备时，通过获得系统设备信息系列函数，获取所述插入设备的设备信息与所述本地卷之间的关联关系；

类型确定模块，用于根据所述关联关系确定所述插入设备的类型；

Hook模块，还用于当所述插入设备的类型为移动存储设备且终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态。

基于前述的实施例，本申请实施例提供一种对移动存储设备进行保护的装置，所述装置包括：信息获取模块、类型确定模块、Hook模块、确定模块和输出模块，其中：

信息获取模块，用于当所述终端有插入设备时，通过获得系统设备信息系列函数，获取所述插入设备的设备信息与所述本地卷之间的关联关系；

类型确定模块，用于根据所述关联关系确定所述插入设备的类型；

Hook模块，还用于当所述插入设备的类型为移动存储设备且终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行Hook，得到Hook结果；

确定模块，用于根据所述Hook结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态；

所述移动存储设备包括U盘、移动硬盘。

所以上装置实施例的描述，与上述方法实施例的描述是类似的，具有同方法实施例相似的有益效果。对于本申请装置实施例中未披露的技术细节，请参照本申请方法实施例的描述而理解。

需要说明的是，本申请实施例中，如果以软件功能模块的形式实现上述的对移动存储设备进行保护的方法，并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对相关技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是台式计算机、笔记本电脑、服务器等)执行本申请各个实施例所述方法的全部或部分。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read Only Memory，ROM)、磁碟或者光盘等各种可以存储程序代码的介质。这样，本申请实施例不限制于任何特定的硬件和软件结合。

对应地，本申请实施例提供一种计算机设备，包括存储器和处理器，所述存储器存储有可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述实施例提供的方法中的步骤。

对应地，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例提供的方法中的步骤。

这里需要指出的是：以上存储介质和设备实施例的描述，与上述方法实施例的描述是类似的，具有同方法实施例相似的有益效果。对于本申请存储介质和设备实施例中未披露的技术细节，请参照本申请方法实施例的描述而理解。

需要说明的是，图9为本申请实施例中计算机设备的一种硬件实体示意图，如图9所示，该计算机设备900的硬件实体包括：处理器910、通信接口920和存储器930，其中

处理器910通常控制计算机设备900的总体操作。

通信接口920可以使计算机设备通过网络与其他终端或服务器通信。

存储器930配置为存储由处理器910可执行的指令和应用，还可以缓存待处理器910以及计算机设备900中各模块待处理或已经处理的数据，可以通过闪存(FLASH)或随机访问存储器(Random Access Memory，RAM)实现。

应理解，说明书通篇中提到的“一个实施例”或“一实施例”意味着与实施例有关的特定特征、结构或特性包括在本申请的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元；既可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本申请各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动移动存储设备、只读存储器(Read Only Memory，ROM)、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本申请上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对相关技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本申请各个实施例所述方法的全部或部分。而前述的存储介质包括：移动移动存储设备、ROM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (9)

1.一种对移动存储设备进行保护的方法，其特征在于，所述方法包括：

当终端有插入设备时，通过获得系统设备信息系列函数，获取所述插入设备的设备信息与本地卷之间的关联关系；

根据所述关联关系确定所述插入设备的类型；

当所述插入设备的类型为移动存储设备，终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行挂钩，得到挂钩结果；

根据所述挂钩结果，确定所述移动存储设备的保护状态；

输出所述移动存储设备的保护状态。

2.如权利要求1所述 的方法，其特征在于，所述挂钩结果，包括：管控状态码和/或操作错误码；其中，所述管控状态码和/或操作错误码用于表示移动存储设备处于保护状态。

3.如权利要求1所述 的方法，其特征在于，所述终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行挂钩，得到挂钩结果，包括：

如果终端系统的当前进程对所述移动存储设备中文件进行编辑时，通过注入到所述进程的挂钩函数，对所述当前进程进行挂钩；所述挂钩函数用于对所述移动存储设备的读写功能进行挂钩；

从本地获取系统内核级文件中编辑函数的入口点；

将所述编辑函数的入口点的地址指向挂钩函数，实现调用所述挂钩函数，得到挂钩结果。

4.如权利要求3所述的方法，其特征在于，所述终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行挂钩，得到挂钩结果，还包括：

在所述如果终端系统的进程对所述移动存储设备中文件进行编辑之前，将所述终端的插入设备映射成本地卷，得到所述本地卷卷标的路径；

根据所述本地卷卷标的路径确定所述插入设备中的文件类型，为移动存储设备的文件类型。

5.如权利要求3所述的方法，其特征在于，所述方法还包括：

接收服务器下发的保护策略，所述保护策略用于对至少一台终端进行保护控制；

根据所述保护策略确定所述移动存储设备处于保护状态时，对所述终端系统中的每一进程注入所述挂钩函数，对对应的进程进行挂钩。

6.如权利要求1所述的方法，其特征在于，所述移动存储设备包括U盘、移动硬盘。

7.一种对移动存储设备进行保护的装置，其特征在于，所述装置包括：

挂钩模块，用于当终端有插入设备时，通过获得系统设备信息系列函数，获取所述插入设备的设备信息与本地卷之间的关联关系；根据所述关联关系确定所述插入设备的类型；当所述插入设备的类型为移动存储设备，终端对所述移动存储设备中文件进行编辑时，对所述移动存储设备的读写功能进行挂钩，得到挂钩结果；

确定模块，用于根据所述挂钩结果，确定所述移动存储设备的保护状态；

输出模块，用于输出所述移动存储设备的保护状态。

8.一种对移动存储设备进行保护的设备，包括存储器和处理器，所述存储器存储有可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至6任一项所述方法中的步骤。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1至6任一项所述方法中的步骤。

Images