CN118504024A - 数据保护系统 - Google Patents

Abstract

根据本发明的实施例，提供一种数据保护存储装置，其包括：标准网络文件服务器，通过与安装在客户终端操作系统中的标准网络驱动器通信联动，接收来自用户的文件访问请求；数据保护处理部，作为所述标准网络文件服务器的存储所，从映射的文件系统接收所述文件访问请求时，根据在政策部中设置的数据保护政策对所请求的文件进行数据保护处理，将经数据保护处理的文件提供到客户终端。

Description

数据保护系统

技术领域

本发明涉及数据保护技术，更具体而言涉及一种可防止勒索软件和数据窃取等外部攻击的数据保护存储装置。

背景技术

过去，作为一种预防勒索软件的存储技术，是在Windows或Linux操作系统中安装客户端程序，在单独的文件服务器中安装预防勒索软件的文件服务器守护进程后，当安装有所述客户端程序的PC或服务器上发生与同所述预防勒索软件的文件服务器守护进程连接的网络驱动器中的文件相关的文件事件时，所述客户端程序将该文件事件传达至文件服务器，当文件服务器根据所述文件事件传递请求的文件时，存在一种可以对该文件进行加密而提供的技术。

然而，上述现有技术从用户的角度来看需要在PC或服务器上安装如上所述的单独的客户端程序的过程，并且从服务提供商的角度来看，产生了针对例如Windows、Mac和Linux的上述每个操作系统的功能以及针对每个操作系统版本每次都需要开发执行的客户端程序的负担。

发明内容

技术问题

本发明是为了解决上述问题而导出的，其目的在于提供一种储存在文件服务器中的资料可安全地防范勒索软件等的恶意软件的攻击的数据保护存储装置。在一个实施例中，所述标准网络文件服务器将根据通过所述客户终端的标准网络驱动器接收到的文件访问请求的文件访问事件(创建、读取、修改、删除、移动等)传送给所述文件系统，所述文件系统根据接收到的文件访问事件调用预定的程序函数，而与所述数据保护处理部联动，所述数据保护处理部根据调用的函数处理所述文件访问事件时，使得能够根据所述数据保护政策对所请求的文件进行数据保护处理。

此时，所述文件系统可以不是存储真实文件的数据存储装置，而是虚拟文件系统或自定义文件系统。

在一个实施例中，所述文件系统可以通过包括请求文件的目录路径，根据所述文件访问事件调用预定的程序函数，而与所述数据保护处理部进行联动。所述数据保护处理部根据调用的文件的每个目录的文件保护政策处理所述文件访问事件，使得能够根据每个所述目录的数据保护政策对所请求的文件进行数据保护处理。

在一个实施例中，所述标准网络文件服务器获取能够识别发送所述文件访问事件的客户终端或用户账号的信息并发送给所述政策部，所述数据保护处理部从政策部确认当前发生的文件访问事件是否为客户终端或用户账号请求的文件访问事件，使得能够根据数据保护政策对文件访问事件进行数据保护处理。

在一个实施例中，所述数据保护处理部在内核区域的所述文件系统中一体地实现功能，从而构成所述自定义文件系统。。

根据本发明的另一个方面，提供一种作为包括与安装在客户终端操作系统中的标准网络驱动器通信联动的自定义网络文件服务器的数据保护存储装置。在此，所述自定义网络文件服务器可包括：文件服务器对应部，与所述标准网络驱动器通信联动，接收所述客户终端用户请求的文件访问事件；数据保护处理部，当接收到根据所述文件访问事件的请求时，根据政策部中设置的数据保护政策对所请求的文件进行数据保护处理，将经数据保护处理的文件提供给客户终端。

发明效果

根据本发明实施例，按原样使用安装在操作系统中的标准网络驱动器技术，通过提供数据保护存储装置,使得存储在连接到操作系统的文件服务器中的资料可安全地防备勒索软件等各种恶意软件的攻击，具有消除了为防备每个操作系统受勒索软件等各种恶意软件攻击而每次针对每个操作系统及其版本开发客户端程序的负担的效果。

根据本发明实施例，由于在接收文件打开请求时实时创建虚拟文件并仅通过通信传输，相比于现有技术中使用的方式(例如，复制并替换与真实文件夹或文件相对应的虚拟文件夹或虚拟文件的方式)有可节省存储空间的作用。

现有技术情况下，存在为每个文件或文件夹提供虚拟的设置会发生管理的负担，但是根据本发明的实施例，不是为每个文件或文件夹提供虚拟文件，而是对已安装的驱动器上包含的所有文件一次性提供虚拟文件，因此从用户的角度来看具有易于管理的效果。

另外，根据本发明实施例，因为通过网络驱动器提供虚拟文件，所以比通过在PC内置的本地文件系统中运行虚拟文件系统的文件保护方法更安全。即，当恶意软件运行在PC上时，容易使PC内安装的保护方式无效化，而网络驱动器方式的判断单元位于PC外的文件服务器上，因此安全性更高。这是因为如IC芯片卡，在PC和介质分离的空间运行判断单元可具有更高的安全效果。如果恶意软件直接攻击与PC联网的网络驱动器，网络驱动器会作为内核的一部分而操作，因此会出现蓝屏或PC操作系统中断，若操作系统死机，则恶意软件也会中断。

附图说明

图1是用于说明安装在客户终端的操作系统中的与标准网络驱动器联动的一般远程数据存储装置的图。

图2是用于说明根据本发明第一实施例的与安装在客户终端的操作系统中标准网络驱动器联动的数据保护存储装置的图。

图3是用于说明根据本发明第二实施例的与安装在客户终端的操作系统中标准网络驱动器联动的数据保护存储装置的图。

图4是用于说明根据本发明第三实施例的与安装在客户终端的操作系统中标准网络驱动器联动的数据保护存储装置的图。

具体实施方式

由于本发明可以进行各种变形，可具有多种实施例，因此将特定实施例在附图中示出并在详细描述中进行详细的说明。但应理解为并不是要将本发明限制于特定实施例的形态，而是包括所有落入本发明的思想和技术范围内的变换、均等物乃至替代物。

在描述本发明时，如果确定相关已知技术的详细描述可能不必要地模糊本发明的主题，则将省略详细描述。另外，本说明书描述过程中使用的数字(例如，第一、第二等)仅为区分一个构成要素与另一个构成要素的标识记号。

另外，在本说明书中，当一个构成要素涉及“连接”或“结合”到其他构成要素时，应理解为所述构成要素与其他构成要素可直接连接或直接结合，除非有特别相反的记载，否则应理解可以通过中间或其他构成要素进行连接或结合。另外，在整个说明书中当特定部分“包括”特定构成要素时，除非另有特别地相反的记载，否则意味着可以进一步包括其他构成要素，而不是排除其他构成要素。另外，说明书中所描述的“单元”、“模块”等术语是指处理至少一种功能或操作的单元，这意味着它可以由一个或多个硬件或软件或者硬件和软件的组合来实现。

在下文中，将参考附图对本发明的每个实施例的数据保护存储装置进行详细描述。

在此，图1是用于说明安装在客户终端的操作系统中的与标准网络驱动器联动的一般远程数据存储装置的图，图2是用于说明根据本发明第一实施例的与安装在客户终端的操作系统中标准网络驱动器联动的数据保护存储装置的图，图3是用于说明根据本发明第二实施例的与安装在客户终端的操作系统中标准网络驱动器联动的数据保护存储装置的图，图4是用于说明根据本发明第三实施例的与安装在客户终端的操作系统中标准网络驱动器联动的数据保护存储装置的图。

在下文中，将基于图1至图4描述存储在远程数据存储装置中的文件夹以网络驱动器的形式安装在诸如PC或笔记本电脑等客户终端100上的情况，本发明同样可以应用于存储在远程数据存储装置中的文件夹以网络驱动器的形式安装在服务器中的情况。

[图1-通常网络驱动器的安装方式]

参考图1，在客户终端100中，根据设置的操作系统嵌入(built-in)的标准网络驱动器(参考图1的“标准网络驱动客户端”)启动，在远程数据存储装置设置与所述标准网络驱动器通信联动的标准网络文件服务器(参考图1的“标准网络文件服务器”)。因此，网络驱动器安装在客户终端100上。

此时，所述标准网络文件服务器通过远程数据存储装置中的文件系统接口(参考图1的“文件系统接口”，通常称之为文件系统，在操作系统中作为已安装的驱动器或目录而操作)储存或读取文件。文件系统接口通过在内核区域(内核空间)操作的数据存储装置(参考图1的“数据存储装置”)，将根据用户的文件访问请求(file access request)(例如创建文件、读取(打开)文件、写(变更)文件、复制文件、移动文件等)的磁盘I/O传输给在用户空间运行的标准网络文件服务器。标准网络文件服务器从所述数据存储装置获取所述文件访问请求的对象文件，将获取的对象文件返还给客户终端100的标准网络驱动器。

[图2-第一实施例]

参考图2，根据本发明第一实施例的数据保护存储装置200A可以通过包括标准网络文件服务器210、虚拟文件系统220、数据保护处理部230和政策部240来实现。

如上所述，标准网络文件服务器210与安装在客户终端100的操作系统中的标准网络驱动器(参考图2的“标准网络驱动客户端”)通信联动，接收用户请求的文件访问事件。

根据本发明的实施例，标准网络文件服务器210不直接连接到数据存储装置250，而是通过作为介质的虚拟文件系统220与实际存储文件的数据存储装置250联动。为此，在本发明的实施中，标准网络文件服务器210使用的存储所被映射到虚拟文件系统220(在操作系统中识别为驱动器或目录)。

上述虚拟文件系统220是一种能够实现自定义文件系统驱动器的技术，在Unix或Linux操作系统中可以使用用户空间文件系统(Filesystemin Userspace)实现，在Windows操作系统中可以使用回调文件系统(Callback File system)实现。据此，可以在不改变操作系统内核的情况下，在用户程序中创建自己的文件系统(即，通过向内核接口提供桥梁作用，在用户程序中创建一般的文件系统不提供的虚拟文件系统)系统。

在此情况下，实际安装在客户终端100上的网络驱动器成为虚拟文件系统220的文件夹或驱动器。由此，作为自定义文件系统的虚拟文件系统220被安装为网络驱动器之后，当相应区域接收到诸如读/写等的文件I/O请求时，可在用户空间的程序(即，后续的数据保护处理部230)中处理。

标准网络服务器210将根据通过客户终端100的标准网络驱动器接收的文件访问请求(file access request)的文件访问事件(创建、读取、写、复制、移动、修改等)传输给虚拟文件系统220。虚拟文件系统220根据接收到的文件访问事件仅执行调用预定的用户空间的函数(参考图2的虚拟文件系统库(Virtual File system Lib))，实际文件访问事件的处理根据所述函数的调用由与虚拟文件系统200联动的数据保护处理部230进行。

此时，数据保护处理部230可以根据政策部240中设置的数据保护政策来处理文件访问事件。

例如，当数据保护政策为只读模式(Read-only Mode)时，数据保护处理部230从数据存储装置250接收对象文件后，将对象文件的属性更改为只读，将变更为只读的对象文件处理成可以返还到客户终端100的标准网络驱动器。

又例如，当数据保护政策为假模式(Fake Mode)时，数据保护处理部230创建虚拟文件而不是被请求的文件本身，可将创建的虚拟文件处理成能够返还客户终端100的标准网络驱动器。在此情况下，虚拟文件可提供为只读。

即使在现有技术的情况下，也存在为数据保护提供虚拟文件的技术(例如，IBM的诱骗文件系统(Decoy FS(file system))等)。但是如果提供一个可读/写的状态的虚拟文件，恶意软件将虚拟文件中的数据加密存储而产生无法阻止该文件存储路径中的现有文件(即原始文件)被篡改的情况的问题。最终，为了解决这样的原始文件被篡改的问题，上述Decoy FS将系统配置为将原始文件与虚拟文件分开存储在独立的存储空间(即相互分离文件)中。与此不同，在本发明的实施例中，提供不是原始文件的虚拟文件时，通过提供具有只读属性的虚拟文件，在单个文件系统内(即，即使没有上述的存储空间的分离)，防止发生更改原始文件的问题。

数据保护政策可以通过设置在数据保护存储装置200A的预定硬件开关(未示出)的开/关(ON/OFF)来设置。当然，用户可以通过使用移动终端(参考图2附图标记10)等来设置政策部240的数据保护政策(软件切换方式)。通过硬件开关的ON/OFF设置数据保护政策的情况下，对数据存储装置250中的所有文件夹将统一设置相同的数据保护政策，但利用软件切换方式时，也可以为每个人和每个文件夹设置不同的数据保护政策。

当上述数据保护存储装置200A被多个用户公用时，可以基于请求的文件的目录来设置上述数据保护政策。在此情况下，标准网络文件服务器210向虚拟文件系统发出包含文件路径的文件请求，数据保护处理部将相应文件路径中包含的文件夹中设置的政策作为政策部240参考，可以根据每个文件夹或目录的数据保护政策来处理该文件访问请求。

另外，上述数据保护存储装置200A被多个用户共用时，上述数据保护政策也可以按用户而不是按文件夹设置。在此情况下，标准网络文件服务器210可以设计成可以识别已经传输文件访问事件的客户终端或用户账户的信息(例如，用户ID、标准网络驱动器的设备固有值、IP地址、通信会话值等)并传输给政策部240。相应地，数据保护处理部230从政策部240确认当前发生的文件访问请求与哪个用户请求的文件访问事件相关，可根据按用户的数据保护政策处理该文件访问请求。

例如，数据保护政策中的用户ID是“Woo”时，则可以将政策设置成文件仅以只读方式提供，是“Kim”时，则该政策可以是仅提供只读虚拟文件的设置。

[图3-第二实施例]

参考图3，根据本发明第二实施例的数据保护存储装置200B可以通过包括标准网络文件服务器210、虚拟文件系统220(也实现了数据保护处理部230的功能)、政策部240来实现。

在上述图2的第一实施例的情况下，虚拟文件系统220是安装在内核区域，数据保护处理部230是安装在用户区域而分开构成，而图3的第二实施例的情况下，在内核区域构成同时实现了数据保护处理部230的功能的虚拟文件系统220。从政策部240传输的整个网络文件服务器政策(或者在多个用户的情况下，按文件夹或按用户的政策等)可被设置为可利用Procfs等与作为内核级别程序的自定义文件系统通信。

根据图3的第二实施例，与图2的第一实施例相比，由于直接在内核段进行服务处理，因此具有可以减少并快速处理从内核模式到用户模式中不必要的文件访问请求和文件输入/输出的优点。

[图4-第3实施例]

参考图4，根据本发明第3实施例的数据保护存储装置200C可以通过包括文件服务器对应部215/数据保护处理部230、政策部240的自定义网络文件服务器210C来实现。此时，文件服务器对应部215执行前述的图2及图3中的标准网络文件服务器的功能。

即，在图4的第3实施例的情况下，通过设计自定义网络文件服务器210C，其执行标准网络文件服务器的功能同时还增加了上述数据保护处理部和政策部的功能，与图2的第一实施例相比，优点在于可以减少和快速处理从内核模式到用户模式的不必要的文件访问请求和文件输入/输出。

在具有如图所示的配置的同时，也可以配置成用户的数据保护存储装置，但在相同配置下，也可以配置成根据服务器管理员的服务器用数据保护存储装置。例如服务器管理员在对数据文件(文件可以在每特定时间周期规则地创建，也可以是不定期地根据文件上传事件创建的文件)进行保护时，将数据保护存储装置作为标准网络驱动器接入服务服务器后，即可在相应的驱动器上创建数据文件。此时，数据保护存储装置根据政策部创建的文件可更改的时间设置或创建后阅读及可修改时间的设置，与最初创建文件的时点相比，当达到文件可更改时间或可访问(阅读及修改)时间时，可提供只读的文件以防止进一步更改文件，还可以提供只读的虚拟文件，使得连读取都不可以。为了使与初始文件创建时间相比无法更改，数据保护处理部根据文件请求时间比较(与初始文件创建时间相比对当前文件的读取、修改和删除等的请求时间)，若在允许更改时间内则允许更改，若超出就仅以只读文件提供，从而使文件创建后无法更改。另外，为了与初始文件创建时间相比无法访问，数据保护处理部根据文件请求时间比较(与初始文件创建时间相比对当前文件的读取、修改和删除等的请求时间)，若在允许更改时间内则允许更改，若超出就仅以只读的虚拟文件应对。

除了将当前访问时间与文件创建时间进行比较的方法外，服务器数据保护存储装置的政策部在创建文件的情况下文件事件中接收EOF(End of File)时，则将其认为是最终文件无法更改的状态，数据保护处理部可以将其设置为只读文件或只读虚拟文件。为此，当数据保护处理部接收EOF事件时，为了保存该文件不可更改的状态信息，可以将文件不可更改的状态信息记录到文件的属性值中，以后可以与文件请求的时间进行比较，也可以构成单独的数据库，可以对不能更改状态信息进行管理也是不言而喻的。

在构成用于服务器的数据保护存储装置时，其可以配置成只有向政策部输入一次性密码时才可以删除数据，以防止数据保护存储装置管理者任意操纵存储的信息。

上述根据本发明实施例的数据保护存储装置可以安装在单独的服务器中，上述数据保护方法基于云服务，可以以网络存储的形式实现，或者以便携性最大化的个人便携式存储装置(例如外置USB存储装置)的形态制作，使上述数据保护方法得以实现。

以上，参考本发明的实施例进行了说明，但可以容易地理解的是，本领域的普通技术人员可以在不脱离权利要求所记载的本发明的精神和领域的范围的情况下，对本发明进行各种修改及变更。

Claims (7)

1.一种数据保护存储装置，包括：

标准网络文件服务器，通过与安装在客户终端操作系统中的标准网络驱动器通信联动，接收来自用户的文件访问请求；

数据保护处理部，作为所述标准网络文件服务器的存储所，从映射的文件系统接收所述文件访问请求时，根据在政策部中设置的数据保护政策对所请求的文件进行数据保护处理，将经数据保护处理的文件提供到客户终端。

2.根据权利要求1所述的数据保护存储装置，其特征在于，

所述标准网络文件服务器将根据通过所述客户终端的标准网络驱动器接收到的文件访问请求的文件访问事件传送给所述文件系统，

所述文件系统根据接收到的文件访问事件调用预定的程序函数，而与所述数据保护处理部联动，

所述数据保护处理部根据调用的函数处理所述文件访问事件时，使得能够根据所述数据保护政策对所请求的文件进行数据保护处理。

3.根据权利要求2所述的数据保护存储装置，

所述文件系统不是存储真实文件的数据存储装置，而是虚拟文件系统或自定义文件系统，

所述文件系统通过包括请求文件的目录路径，根据所述文件访问事件调用预定的程序函数，而与所述数据保护处理部进行联动。

4.根据权利要求3所述的数据保护存储装置，其特征在于，

所述数据保护处理部根据调用的文件的每个目录的文件保护政策处理所述文件访问事件，使得能够根据每个所述目录的数据保护政策对所请求的文件进行数据保护处理。

5.根据权利要求2所述的数据保护存储装置，其特征在于，

所述标准网络文件服务器获取能够识别发送所述文件访问事件的客户终端或用户账号的信息并发送给所述政策部，

所述数据保护处理部从政策部确认当前发生的文件访问事件是否为客户终端或用户账号请求的文件访问事件，使得能够根据数据保护政策对文件访问事件进行数据保护处理。

6.根据权利要求2所述的数据保护存储装置，其特征在于，

所述数据保护处理部在内核区域的所述文件系统中一体地实现功能，从而构成所述自定义文件系统。

7.一种数据保护存储装置，作为包括与安装在客户终端操作系统中的标准网络驱动器通信联动的自定义网络文件服务器的数据保护存储装置，其特征在于，

所述自定义网络文件服务器包括：文件服务器对应部，与所述标准网络驱动器通信联动，接收所述客户终端用户请求的文件访问事件；数据保护处理部，当接收到根据所述文件访问事件的请求时，根据政策部中设置的数据保护政策对所请求的文件进行数据保护处理，将经数据保护处理的文件提供给客户终端。