CN111343132B - 文件传输检测方法及装置、存储介质 - Google Patents

Abstract

本申请公开了一种文件传输检测方法及装置、存储介质，属于网络技术领域。所述方法包括：通过操作系统中的网络过滤驱动，获取第一数据集合，该第一数据集合包括：通过网络传输的多个第一数据；通过操作系统中的文件过滤驱动，获取第二数据集合，该第二数据集合包括：已被操作文件中的多个第二数据，该第二数据用于表征已被操作文件的文件内容；当第一数据集合与第二数据集合中存在相同的目标数据时，将该目标数据所属文件确定为已通过网络传输的文件。本申请有效地提高检测的准确性。

Description

文件传输检测方法及装置、存储介质

技术领域

本发明涉及网络技术领域，尤其涉及一种文件传输检测方法及装置、存储介质。

背景技术

随着互联网技术的飞速发展，人们对信息安全的关注度日益增强。其中，企业对企业的技术文档等机密资料的信息安全尤为关注。通常的，在检测员工是否将机密资料传输至企业外部时，需要先检测是否通过网络传输了文件。

相关技术中，可以获取网络使用过程中的网络流量，并判断该网络流量是否满足指定条件，当该网络流量满足指定条件时，确定使用网络传输了文件。其中，网络流量为通过网络传输的数据量。但是，该检测方法的准确性较低。

发明内容

本申请提供了一种文件传输检测方法及装置、存储介质，可以提高文件传输检测的准确性，本申请提供的技术方案如下：

第一方面，本申请示例性实施例提供了一种文件传输检测方法，方法包括：通过操作系统中的网络过滤驱动，获取第一数据集合，第一数据集合包括：通过网络传输的多个第一数据。通过操作系统中的文件过滤驱动，获取第二数据集合，第二数据集合包括：已被操作文件中的多个第二数据，第二数据用于表征已被操作文件的文件内容。当第一数据集合与第二数据集合中存在相同的目标数据时，将目标数据所属文件确定为已通过网络传输的文件。

本申请实施例提供的文件传输检测方法，通过网络过滤驱动获取第一数据集合，通过文件过滤驱动获取第二数据集合，当第一数据集合与第二数据集合中存在相同的目标数据时，将目标数据所属文件确定为已通过网络传输的文件，相较于相关技术，由于通过网络过滤驱动获取的数据具有较好的完备性，能够较好地反映对网络的使用情况，且由于通过文件过滤驱动获取的数据具有较好的完备性，能够较好地反映对文件的操作情况，因此，通过将第一数据集合和第二数据集合中的数据进行对比实现对文件传输的检测时，能够有效地提高检测的准确性。

其中，数据由字符表征时，在通过操作系统中的文件过滤驱动，获取第二数据集合之后，方法还包括：将从第二数据集合中截取的第一字符段与第一数据集合中的第一数据进行比较。当第一数据集合中存在与第一字符段相同的字符段时，确定第一数据集合与第二数据集合中存在相同的目标数据，且目标数据为第一字符段。通过将第二数据集合中的数据段与第一数据集合中的第一数据进行比较，可以减少比较过程中的计算量。

可选地，将从第二数据集合中截取的第一字符段与第一数据集合中的数据进行比较的实现过程，可以包括：在第二数据集合中每个文件的第二数据中截取第一字符段。分别将从每个文件的数据中截取的第一字符段与第一数据集合中的第一数据进行比较。

在一种可实现方式中，在第二数据集合中每个文件的第二数据中截取第一字符段的实现过程，可以包括：在第二数据集合中每个文件的第二数据中随机截取第一字符段。通过在文件的数据中随机截取第一字符段，使得较难确定该截取数据段的规律，能够避免通过篡改代码等方式对该检测过程进行干预，能够进一步保证检测结果的准确性。

可选地，第一字符段的大小为128字节或256字节。

并且，在通过操作系统中的网络过滤驱动，获取第一数据集合之后，方法还包括：删除第一数据集合中数据操作类型为除发送操作外的第一数据，得到更新后的第一数据集合。和/或，删除第二数据集合中数据操作类型为除读操作外的第二数据，得到更新后的第二数据集合。

通过对集合中的数据进行筛选，能够减少对应数据集合中对检测无用的数据，以减少文件传输检测过程中的计算量，进而加速检测过程。并且，通过对数据进行筛选能够降低终端的负载，使终端能够支持更多进程的数据分析，以更有效地对文件传输进行检测。

进一步地，方法还包括：获取第一数据集合中各个第一数据所属进程的标识。获取第二数据集合中各个第二数据所属进程的标识。相应的，当第一数据集合与第二数据集合中存在相同的目标数据时，将目标数据所属文件确定为已通过网络传输的文件的实现过程，可以包括：将第一数据集合中与第二数据集合中属于相同进程的数据进行比较。当所第一数据集合与第二数据集合中存在相同的目标数据，且目标数据在第一数据集合中所属进程与目标数据在第二数据集合中所属进程相同时，将目标数据所属文件确定为已通过网络传输的文件。

由于数据集合中的相同数据可能属于不同的进程，且通过网络传输文件时，该被传输的文件的数据与文件过滤驱动操作的数据应属于相同的进程，因此，在将第一数据集合中的第一数据与第二数据集合中的第二数据进行比较时，可以将该第一数据集合和该第二数据集合中属于相同进程的数据进行比较，以减少待比较的数据量，进而加速文件传输检测的检测过程。

可选地，通过操作系统中的网络过滤驱动，获取第一数据集合的实现过程，可以包括：监控网络过滤驱动，得到监控数据。对监控数据进行解析，得到第一数据集合。

第二方面，本申请示例性实施例提供了一种文件传输检测装置，装置包括：第一获取模块，用于通过操作系统中的网络过滤驱动，获取第一数据集合，第一数据集合包括：通过网络传输的多个第一数据。第二获取模块，用于通过操作系统中的文件过滤驱动，获取第二数据集合，第二数据集合包括：已被操作文件中的多个第二数据，第二数据用于表征已被操作文件的文件内容。检测模块，用于当第一数据集合与第二数据集合中存在相同的目标数据时，将目标数据所属文件确定为已通过网络传输的文件。

可选地，数据由字符表征，装置还包括：比较模块，用于将从第二数据集合中截取的第一字符段与第一数据集合中的第一数据进行比较。确定模块，用于当第一数据集合中存在与第一字符段相同的字符段时，确定第一数据集合与第二数据集合中存在相同的目标数据，且目标数据为第一字符段。

可选地，比较模块，包括：截取子模块，用于在第二数据集合中每个文件的第二数据中截取第一字符段。比较子模块，用于分别将从每个文件的数据中截取的第一字符段与第一数据集合中的第一数据进行比较。

可选地，截取子模块，用于：在第二数据集合中每个文件的第二数据中随机截取第一字符段。

可选地，第一字符段的大小为128字节或256字节。

可选地，装置还包括：删除模块，用于删除第一数据集合中数据操作类型为除发送操作外的第一数据，得到更新后的第一数据集合。和/或，删除模块，用于删除第二数据集合中数据操作类型为除读操作外的第二数据，得到更新后的第二数据集合。

可选地，装置还包括：第三获取模块，用于获取第一数据集合中各个第一数据所属进程的标识。第四获取模块，用于获取第二数据集合中各个第二数据所属进程的标识。检测模块，用于：将第一数据集合中与第二数据集合中属于相同进程的数据进行比较。当所第一数据集合与第二数据集合中存在相同的目标数据，且目标数据在第一数据集合中所属进程与目标数据在第二数据集合中所属进程相同时，将目标数据所属文件确定为已通过网络传输的文件。

可选地，第一获取模块，用于：监控网络过滤驱动，得到监控数据。对监控数据进行解析，得到第一数据集合。

第三方面，本申请示例性实施例提供了一种文件传输检测装置，包括处理器和存储器。

在处理器执行存储器存储的计算机程序时，文件传输检测执行第一方面任一的文件传输检测方法。

第四方面，本申请示例性实施例提供了一种存储介质，存储介质内存储有计算机程序，计算机程序指示文件传输检测装置执行第一方面任一的文件传输检测方法。

本申请示例性实施例提供的技术方案带来的有益效果是：

本申请实施例提供的文件传输检测方法及装置、存储介质，通过网络过滤驱动获取第一数据集合，通过文件过滤驱动获取第二数据集合，当所述第一数据集合与所述第二数据集合中存在相同的目标数据时，将所述目标数据所属文件确定为已通过网络传输的文件，相较于相关技术，由于通过网络过滤驱动获取的数据具有较好的完备性，能够较好地反映对网络的使用情况，且由于通过文件过滤驱动获取的数据具有较好的完备性，能够较好地反映对文件的操作情况，因此，通过将第一数据集合和第二数据集合中的数据进行对比实现对文件传输的检测时，能够有效地提高检测的准确性。

并且，通过对第一数据集合和第二数据集合中的数据进行筛选，以及，通过将在第二数据集合中截取的数据与第一数据集合中的数据进行比较，能够减少文件传输检测过程中的计算量，进而加速检测过程，以便于能够根据检测结果及时阻断文件的传输，保证文件的信息安全。

同时，由于该文件传输检测具有较大的适用范围，其能够更好地应用于当前复杂的网络环境。

附图说明

图1是本申请示例性实施例提供的一种文件传输检测方法所涉及到的终端的结构示意图。

图2是本申请示例性实施例提供的一种文件传输检测方法的流程图。

图3是本申请示例性实施例提供的一种将第二数据集合中的数据段与第一数据集合中的第一数据进行比较的方法流程图。

图4是本申请示例性实施例提供的一种文件传输检测方法的实现过程示意图。

图5是本申请示例性实施例提供的一种文件传输检测装置的结构框图。

图6是本申请示例性实施例提供的另一种文件传输检测装置的结构框图。

图7是本申请示例性实施例提供的一种比较模块的结构框图。

图8是本申请示例性实施例提供的一种文件传输检测装置的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

相关技术中，可以通过数据防泄露(data leakage prevention，DLP)客户端等工具获取网络使用过程中的网络流量，并判断该网络流量是否满足指定条件，当该网络流量满足指定条件时，确定使用网络传输了文件。但是，该方法的判断粒度较低，无法精确到文件级，通常会将请求信息(例如打开网页的请求信息)等的传输操作误判为文件的传输操作，因此，该检测方法的准确性较低。且当根据该误检的检测结果对请求信息进行拦截时，会造成网络使用者的困扰，导致用户体验较差。

或者，可以在应用层中获取网络传输流量包，并将该流量包还原，然后将还原后的流量包的数据与应用层中操作文件的数据进行对比，并在两者涉及相同内容时，确定使用网络传输了对应的文件。但是，对流量包的还原操作会大幅度地增加终端的负载，且该方法仅能对应用层中的部分进进行监控，获取的数据量较少，导致该检测方法的适用范围较小且无法有效检测到文件的传输操作，难以适用于当前复杂的网络环境。

或者，可以获取操作文件的特征数据和通过网络传输的数据的关键字，并将该特征数据与该关键字进行匹配，当两者匹配时，确定通过网络传输了对应的文件。但是，该检测方法仅能对通过超文本传输协议(hyper text transfer protocol，HTTP)和文件传输协议(file transfer protocol，FTP)等应用层协议传输的文件进行检测，导致该检测方法的适用范围较小，难以适用于当前复杂的网络环境。

为此，本申请实施例提供了一种文件传输检测方法，通过该方法检测是否通过网络传输文件时，可以有效地提高检测的准确性。图1为该文件传输检测方法涉及的终端的结构示意图。如图1所示，该终端10可以为：膝上型计算机、台式计算机、移动电话、智能手机、平板电脑、多媒体播放器、电子阅读器或可穿戴式设备等。

如图1所示，该终端10可以包括：应用层101和驱动层102。该驱动层102中可以部署有网络过滤驱动1021和文件过滤驱动1022。其中，网络过滤驱动1021可以获取通过网络传输的第一数据，并将该第一数据传输至应用层101。文件过滤驱动1022可以获取已被操作文件中的第二数据，并将该第二数据传输至应用层101。应用层101可以将该第一数据和该第二数据进行对比，以确定是否通过网络传输了第二数据所属的文件。

由于网络过滤驱动通常用于对操作系统中所有网络传输进程进行分析，记录和管理，因此，该网络过滤驱动几乎能够获得通过网络传输的全量数据，能够保证通过该网络过滤驱动获取的第一数据的完备性。且由于操作系统中所有涉及文件操作的进程均需要调用文件过滤驱动，使得该文件过滤驱动几乎能够获得所有被操作文件的数据，能够保证通过该文件过滤驱动获取的第二数据的完备性。并且，由于第一数据具有较好的完备性，该第一数据能够较好地反映对网络的使用情况，以及，由于第二数据具有较好的完备性，能够较好地反映对文件的操作情况，通过将该第一数据和第二数据进行对比能够提高对网络传输的文件进行检测的准确性。

下面对本申请实施例提供的文件传输检测方法的实现过程进行说明。如图2所示，该方法可以包括：

步骤201、通过操作系统中的网络过滤驱动，获取第一数据集合。

其中，第一数据集合可以包括：通过网络传输的多个第一数据。例如，该第一数据可以为消息的数据、请求信息的数据和/或文件的数据等。

可选地，该步骤201的实现过程可以包括：监控网络过滤驱动，得到监控数据，并对监控数据进行解析，得到第一数据集合。例如，可以采用抓包软件(一种查看在网络中传输的”数据包内容的软件)对网络过滤驱动进行监控，并对该抓包软件获取的抓包数据进行协议解析，以得到该第一数据集合。

由于网络过滤驱动通常用于对操作系统中所有网络传输进程进行分析，记录和管理，使得该网络过滤驱动几乎能够获得通过网络传输的全量数据，能够保证通过该网络过滤驱动获取的第一数据的完备性，及该文件传输检测方法的适用性。并且，通过该网络过滤驱动能够对基于传输控制协议(Transmission Control Protocol，TCP)及用户数据报协议(User Datagram Protocol，UDP)传输层以上的传输协议进行网络流量的捕捉，能够进一步保证获取的数据的完备性，及该文件传输检测方法的适用范围。

步骤202、通过操作系统中的文件过滤驱动，获取第二数据集合。

其中，第二数据集合可以包括：已被操作文件中的多个第二数据，该第二数据用于表征已被操作文件的文件内容。且该第二数据集合中还记载有每个第二数据所属的文件的标识，以便于区分每个第二数据所属的文件。

在对文件进行操作的过程中，文件过滤驱动中通常会记载被操作的文件的数据，该被记录的数据即为第二数据。例如，通过文件过滤驱动对文件进行操作时，通常会将被操作的文件的数据记载在文件过滤驱动的日志文件中，因此，可以通过读取该日志文件中记载的数据，以得到该第二数据集合。

并且，由于操作系统中所有涉及文件操作的进程均需要调用文件过滤驱动，使得该文件过滤驱动几乎能够获得所有被操作文件的数据，因此，在文件操作过程中，通过该文件过滤驱动获取第二数据，能够保证获取的第二数据的完备性，及该文件传输检测方法的适用性。

步骤203、对第一数据集合和第二数据集合中至少一个数据集合中的数据进行筛选。

在获取第一数据集合和/或第二数据集合后，可以根据指定规则对集合中的数据进行筛选，能够减少对应数据集合中对检测无用的数据，以减少文件传输检测过程中的计算量，进而加速检测过程。并且，通过对数据进行筛选能够降低终端的负载，使终端能够支持更多进程的数据分析，以更有效地对文件传输进行检测。

网络过滤驱动对数据的操作类型通常包括：发送操作和接收操作，也即是，在步骤201中获取的第一数据集合中通常会包括：数据操作类型为发送操作的第一数据，及数据操作类型为接收操作的第一数据等。并且，由于本申请实施例提供的文件传输检测方法的目标为检测是否通过网络将终端上的文件传输至其他接收端，在该检测过程中需要的数据应为数据操作类型为发送操作的数据。因此，对数据进行筛选的实现方式可以包括：删除第一数据集合中数据操作类型为除发送操作外的第一数据，以得到更新后的第一数据集合。

文件过滤驱动对数据的操作类型通常包括：打开操作、关闭操作、读操作和写操作等。也即是，在步骤202中获取的第二数据集合中通常会包括：数据操作类型为读操作的第二数据，及数据操作类型为写操作的第二数据。且在对文件进行传输时，文件过滤驱动会读取该文件中的数据，可知在该检测过程中需要的数据主要为数据操作类型为读操作的数据。因此，对数据进行筛选的实现方式可以包括：删除第二数据集合中数据操作类型为除读操作外的第二数据，得到更新后的第二数据集合。

并且，在对第一数据集合和第二数据集合中的数据进行筛选时，还可以删除对应数据集合中的一些临时文件及重复文件的数据，以进一步减少对应数据集合中对检测无用的数据。

步骤204、获取第一数据集合中各个第一数据所属进程的标识，及第二数据集合中各个第二数据所属进程的标识。

可选的，可以在网络过滤驱动的驱动程序中添加钩子(hook)函数，以通过该钩子函数在网络过滤驱动的运行过程中，得到通过网络传输的数据所属的进程的标识。类似的，可以在文件过滤驱动的驱动程序中添加钩子函数，以通过该钩子函数在文件过滤驱动的运行过程中，得到通过该文件过滤驱动对文件进行操作时，该被操作的文件所属的进程的标识。并且，每个数据所属的进程的标识可以携带在对应的数据集合中，可以通过在该数据所在的数据集合中查找对应的标识，以获取该数据所属的进程的标识。

步骤205、将第一数据集合中与第二数据集合中属于相同进程的数据进行比较。

由于数据集合中的相同数据可能属于不同的进程，且通过网络传输文件时，该被传输的文件的数据与文件过滤驱动操作的数据应属于相同的进程，因此，在将第一数据集合中的第一数据与第二数据集合中的第二数据进行比较时，可以将该第一数据集合和该第二数据集合中属于相同进程的数据进行比较，以减少待比较的数据量，进而加速文件传输检测的检测过程。

并且，在对第一数据集合中的第一数据与第二数据集合中的第二数据进行比较时，可以将第二数据集合中属于同一文件的所有第二数据与第一数据集合中的第一数据进行比较。或者，也可以将第二数据集合中的数据段与第一数据集合中的第一数据进行比较。

可选地，如图3所示，当文件中的数据由字符表征时，将第二数据集合中的数据段与第一数据集合中的第一数据进行比较的实现过程，可以包括：

步骤2051、在第二数据集合中每个文件的数据中截取第一字符段。

当第二数据集合中包括至少一个文件的第二数据时，在需要对某个文件进行文件传输检测时，可以在属于该某个文件的第二数据中截取第一字符段，并将第一字符段与第一数据集合中的第一数据进行比较，以判断是否通过网络传输该某个文件。

当第二数据集合中包括多个文件的第二数据时，在需要对多个文件进行文件传输检测时，可以分别在每个文件的数据中截取第一字符段，然后，分别将属于每个文件的第一字符段与第一数据集合中的第一数据进行比较，以判断是否通过网络传输对应第一字符段所属的文件。并且，将多个文件中每个文件对应的第一字符段与第一数据集合中的第一数据进行比较的过程可以并行执行，也可以串行执行，本申请实施例对其不做具体限定。

在执行该步骤2051时，可以按照指定方式在每个文件的数据中截取第一字符段。例如，由于文件过滤驱动在对文件执行读操作时，该文件过滤驱动通常会记载读取到的数据在文件中的位置，因此，可以在文件的指定位置处截取指定长度的字符段。且该指定位置和该指定长度可以根据实际需要确定。例如，该指定位置的起始位置可以位于文件中第512个字符所在的位置，该第一字符段的大小可以为128字节或256字节。

或者，可以在文件的数据中随机截取第一字符段。且该随机截取的含义可以包括：截取的字符段的起始位置和字符段的长度中的至少一个参数是随机确定的。并且，在随机确定对应的参数时，可以通过指定的随机算法得到该对应的参数。例如：可以采用随机算法随机地在文件中确定待截取的字符段的起始位置，然后，从该起始位置截取指定长度的字符段，以得到该第一字符段。且该指定长度也可以根据实际需要确定。

通过将第二数据集合中的数据段与第一数据集合中的第一数据进行比较，可以减少比较过程中的计算量。并且，通过在文件的数据中随机截取第一字符段，使得较难确定该截取数据段的规律，能够避免通过篡改代码等方式对该检测过程进行干预，能够进一步保证检测结果的准确性。

步骤2052、分别将从每个文件的数据中截取的第一字符段与第一数据集合中的数据进行比较。

可选地，第一数据集合中的字符可以视为按照指定顺序排列的字符队列，在将该第一字符段与第一数据集合中的数据进行比较时，可以通过滑窗的方式将第一字符段与该字符队列中具有相同长度的第二字符段进行比较。也即是，在第一次比较过程中，可以将该第一字符段(长度为M)中第一个字符与第一数据集合中第一个字符进行比较，将该第一字符段中第二个字符与第一数据集合中第二个字符进行比较，将该第一字符段中第三个字符与第一数据集合中第三个字符进行比较，以此类推，直至完成该第一字符段中第M个字符与第一数据集合中第M个字符进行比较，其中，该第一个字符至该第M个字符组成该第一次比较过程中的第二字符段。经过该第一次比较过程后，当确定该第一字符段与该第一次比较过程中的第二字符段不同时，执行第二次比较过程。在第二次比较过程中，可以将该第一字符段中第一个字符与第一数据集合中第二个字符进行比较，将该第一字符段中第二个字符与第一数据集合中第三个字符进行比较，将该第一字符段中第三个字符与第一数据集合中第四个字符进行比较，以此类推，直至完成该第一字符段中第M个字符与第一数据集合中第M+1个字符进行比较，其中，该第二个字符至该第M+1个字符组成该第二次比较过程中的第二字符段。以此类推，直至确定第一数据集合中存在与第一字符段相同的字符段后，结束该比较过程，或者，直至将该第一数据集合中的所有字符与第一字符段进行比较，并确定该第一数据集合中不存在与第一字符段相同的字符段后，结束该比较过程。

在将第一字符段与第一数据集合中的数据进行比较后，若第一数据集合中存在与第一字符段相同的字符段，可以确定该第一数据集合与该第二数据集合中存在相同的目标数据，且该目标数据为第一字符段。

步骤206、当第一数据集合与第二数据集合中存在相同的目标数据，且目标数据在第一数据集合中所属进程与目标数据在第二数据集合中所属进程相同时，将目标数据所属文件确定为已通过网络传输的文件。

由于通过网络传输文件时，被传输的文件的数据与文件过滤驱动操作的数据应属于相同的进程，因此，当第一数据集合与第二数据集合中存在相同的目标数据，且目标数据在第一数据集合中所属进程与目标数据在第二数据集合中所属进程相同时，可以将目标数据所属文件确定为已通过网络传输的文件。

需要说明的是，上述步骤201和步骤202可以在驱动层中执行，上述步骤203至步骤206可以在应用层中执行。示例地，其实现过程中请参考图4，在通过驱动层中的网络过滤驱动1021获取第一数据集合后，可将该第一数据集合发送至应用层中的驱动消息接收单元1011，类似的，在通过驱动层中的文件过滤驱动1022获取第二数据集合后，可将该第二数据集合发送至驱动消息接收单元1011。驱动消息接收单元1011在接收到该第一数据集合和第二数据集合后，可将其保存在应用层的消息队列中。应用层中的驱动消息过滤单元1012可获取该消息队列中的数据，并对该第一数据集合和该第二数据集合中的数据进行筛选，即执行上述步骤203。然后通过驱动消息转发单元1013将筛选后的数据发送至文件检测单元1014，该文件检测单元用于对该第一数据集合和该第二数据集合中的数据进行比较，以确定是否通过网络传输了文件，即执行上述步骤204至步骤206。且该文件检测单元还可以包括：数据接收子单元1014a、数据整合子单元1014b、行为分析子单元1014c和数据分析子单元1014d。该数据接收子单元1014a用于接收驱动消息转发单元1013发送的数据。该数据整合子单元1014b用于获取第一数据所属的进程的标识和第二数据所属的进程的标识，并将数据和进程标识的对应关系发送至行为分析子单元1014c和数据分析子单元1014d，以供行为分析子单元1014c和数据分析子单元1014d根据该第一数据和第二数据判断是否通过网络传输了文件。

其中，数据分析子单元1014d在判断是否通过网络传输了文件的过程中，可以对第一数据集合和第二数据集合进行比较，当第一数据集合与第二数据集合中存在相同的目标数据时，确定通过网络传输了文件。且该数据分析子单元1014d对第一数据集合和第二数据集合进行比较的实现过程可以相应参考步骤205的实现过程。行为分析子单元1014c在判断是否通过网络传输了文件的过程中，若根据第一数据集合和第二数据集合，确定进程对文件执行了读操作，且进程执行了网络传输操作，即可确定通过网络传输了文件，以降低漏报率。并且，在检测过程中，也可以根据实际需要确定是否在文件检测单元1014中设置行为分析子单元1014c，本申请实施例对此不作具体限定。

综上所述，本申请实施例提供的文件传输检测方法，通过网络过滤驱动获取第一数据集合，通过文件过滤驱动获取第二数据集合，当所述第一数据集合与所述第二数据集合中存在相同的目标数据时，将所述目标数据所属文件确定为已通过网络传输的文件，相较于相关技术，由于通过网络过滤驱动获取的数据具有较好的完备性，能够较好地反映对网络的使用情况，且由于通过文件过滤驱动获取的数据具有较好的完备性，能够较好地反映对文件的操作情况，因此，通过将第一数据集合和第二数据集合中的数据进行对比实现对文件传输的检测时，有效地提高了检测的准确性。

并且，通过对第一数据集合和第二数据集合中的数据进行筛选，以及，通过将在第二数据集合中截取的数据与第一数据集合中的数据进行比较，能够减少文件传输检测过程中的计算量，进而加速检测过程，以便于能够根据检测结果及时阻断文件的传输，保证文件的信息安全。

同时，由于该文件传输检测方法具有较大的适用范围，使得该方法能够更好地应用于当前复杂的网络环境。

需要说明的是，本申请实施例提供的文件传输检测方法步骤的先后顺序可以进行适当调整，步骤也可以根据情况进行相应增减，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化的方法，都应涵盖在本发明的保护范围之内，因此不再赘述。

下述为本申请的装置实施例，可以用于执行本申请的方法实施例。对于本申请装置实施例中未披露的细节，请参照本申请方法实施例。

请参考图5，其示出了本申请示例性实施例提供的一种文件传输检测装置500的框图，如图5所示，该装置500可以包括：

第一获取模块501，用于通过操作系统中的网络过滤驱动，获取第一数据集合，第一数据集合可以包括：通过网络传输的多个第一数据。

第二获取模块502，用于通过操作系统中的文件过滤驱动，获取第二数据集合，第二数据集合可以包括：已被操作文件中的多个第二数据，第二数据用于表征已被操作文件的文件内容。

检测模块503，用于当第一数据集合与第二数据集合中存在相同的目标数据时，将目标数据所属文件确定为已通过网络传输的文件。

可选地，数据由字符表征时，如图6所示，装置500还可以包括：

比较模块504，用于将从第二数据集合中截取的第一字符段与第一数据集合中的第一数据进行比较。

确定模块505，用于当第一数据集合中存在与第一字符段相同的字符段时，确定第一数据集合与第二数据集合中存在相同的目标数据，且目标数据为第一字符段。

可选地，如图7所示，比较模块504，可以包括：

截取子模块5041，用于在第二数据集合中每个文件的第二数据中截取第一字符段。

比较子模块5042，用于分别将从每个文件的数据中截取的第一字符段与第一数据集合中的第一数据进行比较。

可选地，截取子模块5041，用于：在第二数据集合中每个文件的第二数据中随机截取第一字符段。

可选地，第一字符段的大小为128字节或255字节。

可选地，如图6所示，装置500还可以包括：

删除模块506，用于删除第一数据集合中数据操作类型为除发送操作外的第一数据，得到更新后的第一数据集合。

和/或，

删除模块506，用于删除第二数据集合中数据操作类型为除读操作外的第二数据，得到更新后的第二数据集合。

可选地，如图6所示，装置500还可以包括：

第三获取模块507，用于获取第一数据集合中各个第一数据所属进程的标识。

第四获取模块508，用于获取第二数据集合中各个第二数据所属进程的标识。

相应的，检测模块503，用于：

将第一数据集合中与第二数据集合中属于相同进程的数据进行比较。

当所第一数据集合与第二数据集合中存在相同的目标数据，且目标数据在第一数据集合中所属进程与目标数据在第二数据集合中所属进程相同时，将目标数据所属文件确定为已通过网络传输的文件。

可选地，第一获取模块501，用于：

监控网络过滤驱动，得到监控数据。

对监控数据进行解析，得到第一数据集合。

综上所述，本申请实施例提供的文件传输检测装置，第一获取模块通过网络过滤驱动获取第一数据集合，第一获取模块通过文件过滤驱动获取第二数据集合，当所述第一数据集合与所述第二数据集合中存在相同的目标数据时，检测模块将所述目标数据所属文件确定为已通过网络传输的文件，相较于相关技术，由于通过网络过滤驱动获取的数据具有较好的完备性，能够较好地反映对网络的使用情况，且由于通过文件过滤驱动获取的数据具有较好的完备性，能够较好地反映对文件的操作情况，因此，通过将第一数据集合和第二数据集合中的数据进行对比实现对文件传输的检测时，有效地提高了检测的准确性。

并且，通过对第一数据集合和第二数据集合中的数据进行筛选，以及，通过将在第二数据集合中截取的数据与第一数据集合中的数据进行比较，能够减少文件传输检测过程中的计算量，进而加速检测过程，以便于能够根据检测结果及时阻断文件的传输，保证文件的信息安全。

同时，由于该文件传输检测具有较大的适用范围，其能够更好地应用于当前复杂的网络环境。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置、模块和子模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

以上装置中的各个模块可以通过软件或硬件或软硬件结合的方式来实现。当所述模块是硬件的时候，该硬件可以是逻辑集成电路模块，可具体包括晶体管、逻辑门阵列或算法逻辑等。

本申请示例性实施例还提供了一种文件传输检测装置，可以包括处理器和存储器。在处理器执行存储器存储的计算机程序时，文件传输检测执行第一方面任一的文件传输检测方法。例如，该文件传输检测装置用于执行上述方法实施例中的步骤201至步骤206。

示例地，请参考图8，该文件传输检测装置40可以包括：处理器42、信号接口44、存储器46和总线48等部件。其中，存储器46与信号接口44分别通过总线48与处理器42相连。

处理器42可以包括一个或者一个以上处理核心。处理器42通过运行软件程序以及模块，从而执行各种功能应用以及数据处理。处理器42可以包括中央处理单元、数字信号处理器、微处理器、微控制器或人工智能处理器中的一种或多种，还可以进一步选择性地可以包括执行运算所需的硬件加速器，如各种逻辑运算电路。

信号接口44可以为多个，该信号接口44用于与其它装置或模块建立连接，例如：可以通过该信号接口44与收发机进行连接。因此，可选地，该文件传输检测装置40还可以包括收发机(图中未示出)。该收发机具体执行信号收发，例如，该收发机可以用于向服务器发送图层和图像的采集地点间的相对位移。当处理器42需要执行信号收发操作的时候可以调用或驱动收发机执行相应收发操作。因此，当文件传输检测装置40进行信号收发的时候，处理器42用于决定或发起收发操作，相当于发起者，而收发机用于具体收发执行，相当于执行者。该收发机也可以是收发电路、射频电路或射频单元，本实施例对此不限定。

存储器46可用于存储计算机程序以及模块。该计算机程序可以是应用程序或驱动程序。示例地，存储器46可存储至少一个功能所需的程序模块462。其中，该程序模块462可以包括：

第一获取单元4621，具有与第一获取模块601相同或相似的功能。例如，该第一获取单元4621用于执行上述方法实施例中的步骤201。

第二获取单元4622，具有与第二获取模块602相同或相似的功能。例如，该第二获取单元4622用于执行上述方法实施例中的步骤202。

检测单元4623，具有与检测模块603相同或相似的功能。例如，该第三获取单元4623用于执行上述方法实施例中的步骤203至步骤206。

本申请实施例还提供了一种存储介质，该存储介质可以为非易失性计算机可读存储介质，存储介质内存储有计算机程序，计算机程序指示文件传输检测装置执行本申请实施例提供的文件传输检测方法。该存储介质可以包括：只读存储器(read-only memory，ROM)或随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可存储程序代码的介质。

本申请实施例还提供了一种包含指令的计算机程序产品，当计算机程序产品在计算机上运行时，使得计算机执行本申请实施例提供的文件传输检测方法。该计算机程序产品可以包括一个或多个计算机指令。在计算机上加载和执行该计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。该计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。该计算机指令可以存储在计算机可读存储介质中，或者通过该计算机可读存储介质进行传输。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如，固态硬盘(solid state disk，SSD))等。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本申请的可选实施例，并不用以限制本申请，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (18)

1.一种文件传输检测方法，其特征在于，所述方法包括：

通过操作系统中的网络过滤驱动，获取第一数据集合，所述第一数据集合包括：通过网络发送的多个第一数据；

通过所述操作系统中的文件过滤驱动，获取第二数据集合，所述第二数据集合包括：已被操作文件中的多个第二数据，所述第二数据用于表征已被操作文件的文件内容；

当所述第一数据集合与所述第二数据集合中存在相同的目标数据时，将所述目标数据所属文件确定为已通过网络发送的文件。

2.根据权利要求1所述的方法，其特征在于，所述第一数据和所述第二数据均由字符表征，在所述通过所述操作系统中的文件过滤驱动，获取第二数据集合之后，所述方法还包括：

将从所述第二数据集合中截取的第一字符段与所述第一数据集合中的第一数据进行比较；

当所述第一数据集合中存在与所述第一字符段相同的字符段时，确定所述第一数据集合与所述第二数据集合中存在相同的目标数据，且所述目标数据为所述第一字符段。

3.根据权利要求2所述的方法，其特征在于，所述将从所述第二数据集合中截取的第一字符段与所述第一数据集合中的数据进行比较，包括：

在所述第二数据集合中每个文件的第二数据中截取所述第一字符段；

分别将从每个文件的数据中截取的第一字符段与所述第一数据集合中的第一数据进行比较。

4.根据权利要求3所述的方法，其特征在于，所述在所述第二数据集合中每个文件的第二数据中截取所述第一字符段，包括：

在所述第二数据集合中每个文件的第二数据中随机截取所述第一字符段。

5.根据权利要求2所述的方法，其特征在于，所述第一字符段的大小为128字节或256字节。

6.根据权利要求1至5任一所述的方法，其特征在于，在所述通过操作系统中的网络过滤驱动，获取第一数据集合之后，所述方法还包括：

删除所述第一数据集合中数据操作类型为除发送操作外的第一数据，得到更新后的第一数据集合；

和/或，

在所述通过所述操作系统中的文件过滤驱动，获取第二数据集合之后，所述方法还包括：

删除所述第二数据集合中数据操作类型为除读操作外的第二数据，得到更新后的第二数据集合。

7.根据权利要求1至5任一所述的方法，其特征在于，

在所述通过操作系统中的网络过滤驱动，获取第一数据集合之后，所述方法还包括：

获取所述第一数据集合中各个第一数据所属进程的标识；

在所述通过所述操作系统中的文件过滤驱动，获取第二数据集合后，所述方法还包括：

获取所述第二数据集合中各个第二数据所属进程的标识；

所述当所述第一数据集合与所述第二数据集合中存在相同的目标数据时，将所述目标数据所属文件确定为已通过网络发送的文件，包括：

将所述第一数据集合中与所述第二数据集合中属于相同进程的数据进行比较；

当所第一数据集合与所述第二数据集合中存在相同的目标数据，且所述目标数据在所述第一数据集合中所属进程与所述目标数据在所述第二数据集合中所属进程相同时，将所述目标数据所属文件确定为已通过网络发送的文件。

8.根据权利要求1至5任一所述的方法，其特征在于，所述通过操作系统中的网络过滤驱动，获取第一数据集合，包括：

监控所述网络过滤驱动，得到监控数据；

对所述监控数据进行解析，得到所述第一数据集合。

9.一种文件传输检测装置，其特征在于，所述装置包括：

第一获取模块，用于通过操作系统中的网络过滤驱动，获取第一数据集合，所述第一数据集合包括：通过网络发送的多个第一数据；

第二获取模块，用于通过所述操作系统中的文件过滤驱动，获取第二数据集合，所述第二数据集合包括：已被操作文件中的多个第二数据，所述第二数据用于表征已被操作文件的文件内容；

检测模块，用于当所述第一数据集合与所述第二数据集合中存在相同的目标数据时，将所述目标数据所属文件确定为已通过网络发送的文件。

10.根据权利要求9所述的装置，其特征在于，所述第一数据和所述第二数据均由字符表征，所述装置还包括：

比较模块，用于将从所述第二数据集合中截取的第一字符段与所述第一数据集合中的第一数据进行比较；

确定模块，用于当所述第一数据集合中存在与所述第一字符段相同的字符段时，确定所述第一数据集合与所述第二数据集合中存在相同的目标数据，且所述目标数据为所述第一字符段。

11.根据权利要求10所述的装置，其特征在于，所述比较模块，包括：

截取子模块，用于在所述第二数据集合中每个文件的第二数据中截取所述第一字符段；

比较子模块，用于分别将从每个文件的数据中截取的第一字符段与所述第一数据集合中的第一数据进行比较。

12.根据权利要求11所述的装置，其特征在于，所述截取子模块，用于：

在所述第二数据集合中每个文件的第二数据中随机截取所述第一字符段。

13.根据权利要求10所述的装置，其特征在于，所述第一字符段的大小为128字节或256字节。

14.根据权利要求9至13任一所述的装置，其特征在于，所述装置还包括：

删除模块，用于删除所述第一数据集合中数据操作类型为除发送操作外的第一数据，得到更新后的第一数据集合；

和/或，

所述删除模块，用于删除所述第二数据集合中数据操作类型为除读操作外的第二数据，得到更新后的第二数据集合。

15.根据权利要求9至13任一所述的装置，其特征在于，所述装置还包括：

第三获取模块，用于获取所述第一数据集合中各个第一数据所属进程的标识；

第四获取模块，用于获取所述第二数据集合中各个第二数据所属进程的标识；

所述检测模块，用于：

将所述第一数据集合中与所述第二数据集合中属于相同进程的数据进行比较；

当所第一数据集合与所述第二数据集合中存在相同的目标数据，且所述目标数据在所述第一数据集合中所属进程与所述目标数据在所述第二数据集合中所属进程相同时，将所述目标数据所属文件确定为已通过网络发送的文件。

16.根据权利要求9至13任一所述的装置，其特征在于，所述第一获取模块，用于：

监控所述网络过滤驱动，得到监控数据；

对所述监控数据进行解析，得到所述第一数据集合。

17.一种文件传输检测装置，其特征在于，包括处理器和存储器；

在所述处理器执行所述存储器存储的计算机程序时，所述文件传输检测装置执行权利要求1至8任一所述的文件传输检测方法。

18.一种存储介质，其特征在于，所述存储介质内存储有计算机程序，所述计算机程序指示文件传输检测装置执行权利要求1至8任一所述的文件传输检测方法。

Images