CN112988630A - 一种基于微过滤器的移动存储设备的读写控制方法及系统 - Google Patents

Abstract

本发明公开了一种基于微过滤器的移动存储设备的读写控制方法及系统，属于信息安全技术领域。包括：在文件系统的I/O管理器中注册微过滤器，将微过滤器设置成自动绑定终端设备上所有卷设备；获取微过滤器的句柄，并根据句柄，注册文件的IRP操作所对应的回调函数；其中，微过滤器用于监控IRP操作，在对文件进行读写操作之前，文件系统优先调用回调函数；在回调函数中，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制。由于是从文件层面上考虑，并基于该层面对移动存储设备的读写控制进行改进，从而相对于硬件层面的改进，能够有效降低成本。

Description

一种基于微过滤器的移动存储设备的读写控制方法及系统

技术领域

本发明属于信息安全技术领域，更具体地，涉及一种基于微过滤器的移动存储设备的读写控制方法及系统。

背景技术

由于信息化的日益发展，移动存储设备作为文件的转储和转移工具，其在日常生活中的重要作用日益凸显出来，为人们的生活带来了极大的便利。与此同时，也为不法分子作案提供了便利。不法分子可以在主机上随意插拔移动存储介质并拷贝重要的文件和运行恶意病毒程序。由于移动存储设备的读写得不到有效控制，不仅泄露敏感信息和重要数据的失窃，还会使主机的安全性受到极大的威胁，其造成的影响十分恶劣，导致的损失更是相当巨大。因此，针对主机信息安全这一问题的研究显得非常重要。

如今，国内外研究对于移动存储设备的读写控制均是从移动存储设备硬件本身来考虑，而硬件本身成本通常更高，从而增加了经济成本。

发明内容

针对现有技术的以上缺陷或改进需求，本发明提供了一种基于微过滤器的移动存储设备的读写控制方法及系统，其目的在于，解决现有由于移动存储设备的读写控制均是从移动存储设备硬件本身来考虑，而硬件本身成本通常更高，从而增加了经济成本。Casper匿名算法中由于需要维护四叉树的节点信息，从而需要的存储空间大的技术问题，以及由于需要预知空间目标所覆盖的范围，导致服务拓展性较差的技术问题。

为实现上述目的，按照本发明的第一个方面，提供了一种基于微过滤器的移动存储设备的读写控制方法，包括以下步骤：

在文件系统的I/O管理器中注册微过滤器，将微过滤器设置成自动绑定终端设备上所有卷设备；

获取微过滤器的句柄，并根据句柄，注册文件的IRP操作所对应的回调函数；其中，微过滤器用于监控IRP操作，在对文件进行读写操作之前，文件系统优先调用回调函数；

在回调函数中，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制。

优选地，在文件系统的I/O管理器中注册微过滤器这一过程进一步包括：

编写微过滤器的驱动程序，并基于驱动程序，根据微过滤器文件系统框架，在驱动程序的DriverEntry函数中，调用FltRegisterFilter函数，以在文件系统的I/O管理器中注册微过滤器。

优选地，IRP操作可以为IRP_MJ_CREATE、IRP_MJ_READ或IRP_MJ_WRITE。

优选地，根据句柄，注册文件的IRP操作所对应的回调函数进一步包括：

基于句柄，将IRP操作作为参数输入至微过滤器的Callbacks结构体，并设置FsFilterPreOperation回调函数，以对IRP操作进行监控。

优选地，该方法进一步包括在根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制之前的如下过程：

若文件系统触发回调函数，传递PFLT_CALLBACK_DATA结构体，以通过调用FltGetFileNameInformation函数获取文件的文件信息，并调用FltParseFileNameInformation解析文件信息，以得到解析结果；

根据解析结果获取文件所处的盘符，根据盘符与设备标识之间的对应关系，确定文件所属的设备标识，并作为移动存储设备的设备标识；

根据移动存储设备的读写权限管理策略，获取设备标识对应的读写权限标签，并作为移动存储设备的权限标签。

优选地，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制这一过程进一步包括：

若权限标签为允许读写，则设置移动存储设备所拦截的IRP操作的完成状态为FLT_PREOP_SUCCESS_NO_CALLBACK，并设置移动存储设备所拦截的IRP操作的返回权限为STATUS_SUCCESS；

若权限标签为禁止读写，则设置移动存储设备所拦截的IRP操作的完成状态为FLT_PREOP_COMPLETE，并设置移动存储设备所拦截的IRP操作的返回权限为STATUS_ACCESS_DENIED。

优选地，设备标识由供应商标识、产品识别码及序列号所构成。

优选地，该方法还包括在根据读写权限管理策略，获取设备标识对应的读写权限标签，并作为移动存储设备的权限标签之前的如下过程：

安装并加载微过滤器的驱动程序，加载预设的读写权限管理策略，并枚举当前终端所接入的移动存储设备并获取每一所接入的移动存储设备的设备标识；其中，每一设备标识唯一标识一个移动存储设备。

优选地，该方法还包括如下过程：

显示移动存储设备的设备标识及权限标签，若检测到对移动存储设备的权限修改指令，则根据权限修改指令对移动存储设备的权限标签进行修改，并将移动存储设备的设备标识及修改后的权限标签发送至驱动程序中。

按照本发明的第二个方面，提供了一种基于微过滤器的移动存储设备的读写控制系统，包括：

第一模块，用于在文件系统的I/O管理器中注册微过滤器，将微过滤器设置成自动绑定终端设备上所有卷设备；

第二模块，用于获取微过滤器的句柄，并根据句柄，注册文件的输入输出请求包IRP操作所对应的回调函数；其中，微过滤器用于监控IRP操作，在对文件进行读写操作之前，文件系统优先调用回调函数；

第三模块，用于在回调函数中，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制。

本发明实施例提供的基于微过滤器的移动存储设备的读写控制方法及系统，通过本发明所构思的以上技术方案与现有技术相比，能够取得如下有益效果：

(1)由于是从文件层面上考虑，并基于该层面对移动存储设备的读写控制进行改进，从而相对于硬件层面的改进，能够有效降低成本。

(2)由于能够从文件层面，基于不同需求及相应策略，有效地管理移动存储设备的使用，从而使得使用者无法运行移动存储设备自带的病毒程序，进而提高主机本身运行环境的安全性，保护了重要数据的隐私性。

(3)由于能够从文件层面，基于不同需求及相应策略，有效地管理移动存储设备的使用，从而能够防止用户对移动存储设备的文件进行任意读写，从而能够有力保障文件的安全性。

(4)由于预先注册了监听模块，从而当有移动存储设备接到终端上时，能够及时发现移动存储设备，并且获取移动存储设备的设备信息，也即设备标识及权限标签，并根据设备标识进行权限标签的判别，可以及时发现新接入的设备并进行读写权限控制，以保证及时响应。

附图说明

图1是本发明实施例提供的一种基于微过滤器的移动存储设备的读写控制方法的流程示意图；

图2为本发明实施例提供的一种基于微过滤器的移动存储设备的读写控制系统示意图；

图3为本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

由于信息化的日益发展，移动存储设备作为文件的转储和转移工具，其在日常生活中的重要作用日益凸显出来，为人们的生活带来了极大的便利。与此同时，也为不法分子作案提供了便利。不法分子可以在主机上随意插拔移动存储介质并拷贝重要的文件和运行恶意病毒程序。由于移动存储设备的读写得不到有效控制，不仅泄露敏感信息和重要数据的失窃，还会使主机的安全性受到极大的威胁，其造成的影响十分恶劣，导致的损失更是相当巨大。因此，针对主机信息安全这一问题的研究显得非常重要。

如今，国内外研究对于移动存储设备的读写控制均是从移动存储设备硬件本身来考虑，没有从文件层面来考虑，而硬件本身成本通常更高，从而增加了经济成本。针对上述技术问题，本发明实施例提供了一种基于微过滤器的移动存储设备的读写控制方法，如图1所示，该方法包括：

101、在文件系统的I/O管理器中注册微过滤器，将微过滤器设置成自动绑定终端设备上所有卷设备。

102、获取微过滤器的句柄，并根据句柄，注册文件的IRP操作所对应的回调函数；其中，微过滤器用于监控IRP操作，在对文件进行读写操作之前，文件系统优先调用回调函数。

103、在回调函数中，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制。

其中，文件系统可以为windows的文件系统。计算机由各种设备组成，它们提供与外部世界之间(I/O)的输入和输出，典型设备包括键盘、鼠标、音频控制器、视频控制器、磁盘驱动器及网络端口等，设备驱动程序在设备和操作系统之间提供软件连接。出于此原因，I/O对设备驱动程序编写器非常重要，而I/O管理器用于管理应用程序与设备驱动程序所提供的接口之间的通信。另外，IRP指的是I/O Request Package，其含义为输入输出请求包。

本发明实施例提供的方法，可以带来如下有益效果：

(1)由于是从文件层面上考虑，并基于该层面对移动存储设备的读写控制进行改进，从而相对于硬件层面的改进，能够有效降低成本。

(2)由于能够从文件层面，基于不同需求及相应策略，有效地管理移动存储设备的使用，从而使得使用者无法运行移动存储设备自带的病毒程序，进而提高主机本身运行环境的安全性，保护了重要数据的隐私性。

(3)由于能够从文件层面，基于不同需求及相应策略，有效地管理移动存储设备的使用，从而能够防止用户对移动存储设备的文件进行任意读写，从而能够有力保障文件的安全性。

(4)由于预先注册了监听模块，从而当有移动存储设备接到终端上时，能够及时发现移动存储设备，并且获取移动存储设备的设备信息，也即设备标识及权限标签，并根据设备标识进行权限标签的判别，可以及时发现新接入的设备并进行读写权限控制，以保证及时响应。

基于上述实施例的内容，作为一种可选实施例，在文件系统的I/O管理器中注册微过滤器这一过程进一步包括：编写微过滤器的驱动程序，并基于驱动程序，根据微过滤器文件系统框架，在驱动程序的DriverEntry函数中，调用FltRegisterFilter函数，以在文件系统的I/O管理器中注册微过滤器。

具体地，编写的windows驱动程序可基于据微软提供的微过滤器文件系统框架，在驱动程序入口DriverEntry函数中，调用FltRegisterFilter函数则可以在系统的I/O管理器中注册一个过滤器，调用FltStartFiltering函数则启动已注册的微过滤器。

基于上述实施例的内容，作为一种可选实施例，IRP操作可以为IRP_MJ_CREATE、IRP_MJ_READ及IRP_MJ_WRITE。其中，这里可以指的是IRP操作至少包括如下操作中的任意一项，如下操作分别为IRP_MJ_CREATE、IRP_MJ_READ及IRP_MJ_WRITE。

具体地，结合上述步骤102的内容，获取步骤101中微过滤器的句柄，根据微过滤器的句柄可以为文件的IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_WRITE等操作注册回调函数。其中，在对文件进行读写操作前，系统会优先调用该回调函数。进一步地，注册的微过滤器能够拦截I/O管理器发送到硬件设备驱动的输入输出请求包(I/O Request Package)，以下简称IRP。因此，微过滤器可以监控所有文件的IRP操作。为了提高微过滤器监控IRP的效率性，则只在微过滤器中监控和读写有关的IRP操作。如IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION、IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_WRITE等IRP操作。

基于上述实施例的内容，作为一种可选实施例，根据句柄，注册文件的IRP操作所对应的回调函数进一步包括：基于句柄，将IRP操作作为参数输入至微过滤器的Callbacks结构体，并设置FsFilterPreOperation回调函数，以对IRP操作进行监控。

具体地，在获取到步骤101生成的句柄后，将上述提到的IRP操作作为参数输入到微过滤器的Callbacks结构体，并设置回调函数FsFilterPreOperation()，即可完成对特定IRP操作进行监控。

基于上述实施例的内容，作为一种可选实施例，该方法进一步包括在根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制之前的如下过程：若文件系统触发回调函数，传递PFLT_CALLBACK_DATA结构体，以通过调用FltGetFileNameInformation函数获取文件的文件信息，并调用FltParseFileNameInformation解析文件信息，以得到解析结果；根据解析结果获取文件所处的盘符，根据盘符与设备标识之间的对应关系，确定文件所属的设备标识，并作为移动存储设备的设备标识；根据移动存储设备的读写权限管理策略，获取设备标识对应的读写权限标签，并作为移动存储设备的权限标签。

具体地，在上述步骤102的回调函数中，可根据移动存储设备的DeviceID和权限标签来实现对该移动存储设备的读写访问控制；

进一步地，文件系统在触发回调函数FsFilterPreOperation时，会传递结构体PFLT_CALLBACK_DATA，通过调用FltGetFileNameInformation来获取文件信息，调用FltParseFileNameInformation来解析此文件信息。解析后便可以得到详细的文件信息，如包括文件名称等。与此同时，也能得到是哪一类型IRP操作触发的回调函数。

根据解析的文件信息，可以得到文件对应的盘符，根据盘符和DeviceID的对应关系，可以唯一确定文件是属于哪一个DeviceID，并根据读写权限管理策略来获取DeviceID对应的读写权限标签。获取到权限标签后，根据权限标签来设置拦截的IRP的完成状态和返回权限。

基于上述实施例的内容，作为一种可选实施例，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制这一过程进一步包括：若权限标签为允许读写，则设置移动存储设备所拦截的IRP操作的完成状态为FLT_PREOP_SUCCESS_NO_CALLBACK，并设置移动存储设备所拦截的IRP操作的返回权限为STATUS_SUCCESS；

若权限标签为禁止读写，则设置移动存储设备所拦截的IRP操作的完成状态为FLT_PREOP_COMPLETE，并设置移动存储设备所拦截的IRP操作的返回权限为STATUS_ACCESS_DENIED。

具体地，当允许读写时，设置权限为STATUS_SUCCESS，设置IRP操作的完成状态为FLT_PREOP_SUCCESS_NO_CALLBACK。当禁止读写时，设置权限为STATUS_ACCESS_DENIED，设置IRP操作完成状态为FLT_PREOP_COMPLETE。

基于上述实施例的内容，作为一种可选实施例，设备标识由供应商标识、产品识别码及序列号所构成。

基于上述实施例的内容，作为一种可选实施例，该方法还包括在根据读写权限管理策略，获取设备标识对应的读写权限标签，并作为移动存储设备的权限标签之前的如下过程：

安装并加载微过滤器的驱动程序，加载预设的读写权限管理策略，并枚举当前终端所接入的移动存储设备并获取每一所接入的移动存储设备的设备标识；其中，每一设备标识唯一标识一个移动存储设备。

基于上述实施例的内容，作为一种可选实施例，该方法还包括如下过程：显示移动存储设备的设备标识及权限标签，若检测到对移动存储设备的权限修改指令，则根据权限修改指令对移动存储设备的权限标签进行修改，并将移动存储设备的设备标识及修改后的权限标签发送至驱动程序中。

结合上述方法实施例的内容，结合windows文件系统本身自带的功能，本发明实施例还提供了一种基于微过滤器的移动存储设备的读写控制系统，为了便于理解，现就该系统每个部分划分所对应的功能进行说明：

(1)安装和加载微过滤器驱动程序，加载预设的权限管理策略，并枚举当前终端上接入的移动存储设备并获取设备的DeviceID值，该DeviceID值唯一标识一个移动存储设备；

具体而言，通过微过滤器的设备信息文件来安装和加载驱动程序，预设的权限管理策略可以为空。

本步骤的DeviceID值是由移动存储设备的PID、VID和SerialNumber值三部分来构成的。根据USB规范的规定，VID是供应商ID，PID是产品识别码，SerialNumber是序列号。VID是供应商向USB执行论坛申请，每个供应商的VID是惟一的。PID由供应商自行决定，一般来说，不同产品、相同产品的不同型号、相同型号的不同设计的产品会采用不同的PID。

若移动存储设备为同一批次，则SerialNumber记录着设备的信息，也会不同。因此，由VID、PID和SerialNumber组成的DeviceID唯一标识一个移动存储设备。

(2)对(1)部分获取的移动存储设备的DeviceID值，根据此值在(1)部分中加载的权限管理策略查找其是否存在对应的读写权限标签。若存在权限标签，则将DeviceID和对应的权限标签发送到驱动程序并进行读写访问控制。若不存在权限标签，则将移动存储设备的权限标签指定为禁止读写访问。与此同时，将DeviceID和权限标签更新到权限管理策略中并将DeviceID值和匹配的权限标签发送到驱动程序；

具体地，将(1)部分获取到的DeviceID和指定的读写访问权限标签加密后，可更新到权限管理策略中，并将DeviceID和权限标签发送到驱动程序处。与此同时，使用FilterSendMessage函数可以将应用层的消息发送到驱动程序中。

(3)注册监听函数，能够实时监控移动存储设备接入终端并获取该设备的DeviceID值，根据此DeviceID值按照(2)部分提供的方法来查找权限标签，并将DeviceID值和权限标签发送到驱动程序。

具体而言，在windows操作系统中，当有移动存储设备接入到终端上或拔出时，系统会发送WM_DEVICECHANGE消息，此消息中的DBT_DEVICEREMOVECOMPLETE表示有移动存储设备拔出，DBT_DEVICEARRIVAL表示设备接入。

在本步骤中，使用RegisterDeviceNotification函数来注册一个监听函数WndProc，以用来接收系统发出的WM_DEVICECHANGE消息，并关注移动存储设备接入的消息DBT_DEVICEARRIVAL。

在设备接入时，可以获取移动存储设备的盘符。根据盘符，便可以获取设备的VID、PID和SerialNumber并组成DeviceID。与此同时，根据DeviceID按照(2)部分的方法即可完成对新接入的移动存储设备的读写访问控制。

(4)部分主要是可显示当前终端上移动存储设备权限管理策略，即移动存储设备的DeviceID和对应的权限标签，可根据DeviceID手动修改特定移动存储设备的权限标签，并将DeviceID和权限标签更新到权限管理策略中和将DeviceID和权限标签发送到驱动程序处。

基于上述实施例的内容，本发明实施例提供了一种基于微过滤器的移动存储设备的读写控制系统，该系统用于执行上述方法实施例中提供的基于微过滤器的移动存储设备的读写控制系统。参见图2，该系统包括：

第一模块201，用于在文件系统的I/O管理器中注册微过滤器，将微过滤器设置成自动绑定终端设备上所有卷设备；

第二模块202，用于获取微过滤器的句柄，并根据句柄，注册文件的IRP操作所对应的回调函数；其中，微过滤器用于监控IRP操作，在对文件进行读写操作之前，文件系统优先调用回调函数；

第三模块203，用于在回调函数中，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制。

图3示例了一种电子设备的实体结构示意图，如图3所示，该电子设备可以包括：处理器(processor)310、通信接口(Communications Interface)320、存储器(memory)330和通信总线340，其中，处理器310，通信接口320，存储器330通过通信总线340完成相互间的通信。处理器310可以调用存储器330中的逻辑指令，以执行如下方法：在文件系统的I/O管理器中注册微过滤器，将微过滤器设置成自动绑定终端设备上所有卷设备；获取微过滤器的句柄，并根据句柄，注册文件的IRP操作所对应的回调函数；其中，微过滤器用于监控IRP操作，在对文件进行读写操作之前，文件系统优先调用回调函数；在回调函数中，根据移动存储设备的设备标识及权限标签，对移动存储设备进行读写访问控制。

此外，上述的存储器330中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，电子设备，或者网络设备等)执行本发明各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域的技术人员容易理解，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于微过滤器的移动存储设备的读写控制方法，其特征在于，包括：

在文件系统的I/O管理器中注册微过滤器，将所述微过滤器设置成自动绑定终端设备上所有卷设备；

获取所述微过滤器的句柄，并根据所述句柄，注册文件的IRP操作所对应的回调函数；其中，所述微过滤器用于监控所述IRP操作，在对所述文件进行读写操作之前，所述文件系统优先调用所述回调函数；

在所述回调函数中，根据移动存储设备的设备标识及权限标签，对所述移动存储设备进行读写访问控制。

2.如权利要求1所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述在文件系统的I/O管理器中注册微过滤器这一过程进一步包括：

编写所述微过滤器的驱动程序，并基于所述驱动程序，根据微过滤器文件系统框架，在所述驱动程序的DriverEntry函数中，调用FltRegisterFilter函数，以在所述文件系统的I/O管理器中注册所述微过滤器。

3.如权利要求1所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述IRP操作可以为IRP_MJ_CREATE、IRP_MJ_READ或IRP_MJ_WRITE。

4.如权利要求1所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述根据所述句柄，注册文件的IRP操作所对应的回调函数进一步包括：

基于所述句柄，将所述IRP操作作为参数输入至所述微过滤器的Callbacks结构体，并设置FsFilterPreOperation回调函数，以对所述IRP操作进行监控。

5.如权利要求2所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述方法进一步包括在根据移动存储设备的设备标识及权限标签，对所述移动存储设备进行读写访问控制之前的如下过程：

若所述文件系统触发所述回调函数，传递PFLT_CALLBACK_DATA结构体，以通过调用FltGetFileNameInformation函数获取所述文件的文件信息，并调用FltParseFileNameInformation解析所述文件信息，以得到解析结果；

根据所述解析结果获取所述文件所处的盘符，根据所述盘符与设备标识之间的对应关系，确定所述文件所属的设备标识，并作为所述移动存储设备的设备标识；

根据所述移动存储设备的读写权限管理策略，获取所述设备标识对应的读写权限标签，并作为所述移动存储设备的权限标签。

6.如权利要求1所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述根据移动存储设备的设备标识及权限标签，对所述移动存储设备进行读写访问控制这一过程进一步包括：

若所述权限标签为允许读写，则设置所述移动存储设备所拦截的IRP操作的完成状态为FLT_PREOP_SUCCESS_NO_CALLBACK，并设置所述移动存储设备所拦截的IRP操作的返回权限为STATUS_SUCCESS；

若所述权限标签为禁止读写，则设置所述移动存储设备所拦截的IRP操作的完成状态为FLT_PREOP_COMPLETE，并设置所述移动存储设备所拦截的IRP操作的返回权限为STATUS_ACCESS_DENIED。

7.如权利要求1所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述设备标识由供应商标识、产品识别码及序列号所构成。

8.如权利要求5所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述方法还包括在根据读写权限管理策略，获取所述设备标识对应的读写权限标签，并作为所述移动存储设备的权限标签之前的如下过程：

安装并加载所述微过滤器的驱动程序，加载预设的读写权限管理策略，并枚举当前终端所接入的移动存储设备并获取每一所接入的移动存储设备的设备标识；其中，每一设备标识唯一标识一个移动存储设备。

9.如权利要求2所述的基于微过滤器的移动存储设备的读写控制方法，其特征在于，所述方法还包括如下过程：

显示所述移动存储设备的设备标识及权限标签，若检测到对所述移动存储设备的权限修改指令，则根据所述权限修改指令对所述移动存储设备的权限标签进行修改，并将所述移动存储设备的设备标识及修改后的权限标签发送至所述驱动程序中。

10.一种基于微过滤器的移动存储设备的读写控制系统，其特征在于，包括：

第一模块，用于在文件系统的I/O管理器中注册微过滤器，将所述微过滤器设置成自动绑定终端设备上所有卷设备；

第二模块，用于获取所述微过滤器的句柄，并根据所述句柄，注册文件的IRP操作所对应的回调函数；其中，所述微过滤器用于监控所述IRP操作，在对所述文件进行读写操作之前，所述文件系统优先调用所述回调函数；

第三模块，用于在所述回调函数中，根据移动存储设备的设备标识及权限标签，对所述移动存储设备进行读写访问控制。

Images