TW202345023A - 數據安全保護方法、設備、系統、安全控制框架及儲存媒介 - Google Patents
數據安全保護方法、設備、系統、安全控制框架及儲存媒介 Download PDFInfo
- Publication number
- TW202345023A TW202345023A TW112117416A TW112117416A TW202345023A TW 202345023 A TW202345023 A TW 202345023A TW 112117416 A TW112117416 A TW 112117416A TW 112117416 A TW112117416 A TW 112117416A TW 202345023 A TW202345023 A TW 202345023A
- Authority
- TW
- Taiwan
- Prior art keywords
- data
- file
- storage device
- mode
- storage
- Prior art date
Links
- 238000003860 storage Methods 0.000 title claims abstract description 1107
- 230000004224 protection Effects 0.000 title claims abstract description 843
- 238000000034 method Methods 0.000 title claims abstract description 239
- 230000003993 interaction Effects 0.000 claims abstract description 363
- 238000004891 communication Methods 0.000 claims abstract description 81
- 238000005192 partition Methods 0.000 claims description 270
- 230000004044 response Effects 0.000 claims description 82
- 230000008569 process Effects 0.000 claims description 65
- 230000002452 interceptive effect Effects 0.000 claims description 51
- 238000012790 confirmation Methods 0.000 claims description 48
- 238000012545 processing Methods 0.000 claims description 41
- 238000012986 modification Methods 0.000 claims description 39
- 230000004048 modification Effects 0.000 claims description 39
- 230000006870 function Effects 0.000 claims description 36
- 238000013507 mapping Methods 0.000 claims description 30
- 238000002360 preparation method Methods 0.000 claims description 30
- 238000000638 solvent extraction Methods 0.000 claims description 27
- 238000012795 verification Methods 0.000 claims description 21
- 238000004590 computer program Methods 0.000 claims description 18
- 230000005856 abnormality Effects 0.000 claims description 15
- 230000002159 abnormal effect Effects 0.000 claims description 12
- 238000012217 deletion Methods 0.000 claims description 12
- 230000037430 deletion Effects 0.000 claims description 12
- 230000001681 protective effect Effects 0.000 claims description 10
- 230000001960 triggered effect Effects 0.000 claims description 10
- 230000036961 partial effect Effects 0.000 claims description 6
- 238000001914 filtration Methods 0.000 claims description 2
- 238000005516 engineering process Methods 0.000 abstract description 16
- 230000015654 memory Effects 0.000 abstract description 10
- 238000010586 diagram Methods 0.000 description 58
- 230000005540 biological transmission Effects 0.000 description 13
- 241000700605 Viruses Species 0.000 description 10
- 241000699666 Mus <mouse, genus> Species 0.000 description 9
- 230000008901 benefit Effects 0.000 description 9
- 230000000694 effects Effects 0.000 description 8
- 238000004364 calculation method Methods 0.000 description 7
- 238000005520 cutting process Methods 0.000 description 6
- 238000012546 transfer Methods 0.000 description 6
- 238000004458 analytical method Methods 0.000 description 5
- 230000008859 change Effects 0.000 description 5
- 238000012360 testing method Methods 0.000 description 5
- 238000004422 calculation algorithm Methods 0.000 description 4
- 238000013500 data storage Methods 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 239000002245 particle Substances 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- 230000002155 anti-virotic effect Effects 0.000 description 3
- 230000010354 integration Effects 0.000 description 3
- 238000011084 recovery Methods 0.000 description 3
- 101000941170 Homo sapiens U6 snRNA phosphodiesterase 1 Proteins 0.000 description 2
- 102100031314 U6 snRNA phosphodiesterase 1 Human genes 0.000 description 2
- 230000001133 acceleration Effects 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 2
- 238000006243 chemical reaction Methods 0.000 description 2
- 239000002131 composite material Substances 0.000 description 2
- 238000013523 data management Methods 0.000 description 2
- 230000009977 dual effect Effects 0.000 description 2
- 238000000605 extraction Methods 0.000 description 2
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 2
- 238000002955 isolation Methods 0.000 description 2
- 230000000670 limiting effect Effects 0.000 description 2
- 238000013486 operation strategy Methods 0.000 description 2
- 230000002441 reversible effect Effects 0.000 description 2
- 241000699670 Mus sp. Species 0.000 description 1
- 238000012550 audit Methods 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000033228 biological regulation Effects 0.000 description 1
- 230000001413 cellular effect Effects 0.000 description 1
- QVFWZNCVPCJQOP-UHFFFAOYSA-N chloralodol Chemical compound CC(O)(C)CC(C)OC(O)C(Cl)(Cl)Cl QVFWZNCVPCJQOP-UHFFFAOYSA-N 0.000 description 1
- 238000007405 data analysis Methods 0.000 description 1
- 238000013075 data extraction Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000001514 detection method Methods 0.000 description 1
- 238000013209 evaluation strategy Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 230000009191 jumping Effects 0.000 description 1
- 230000005923 long-lasting effect Effects 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 230000014759 maintenance of location Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000004806 packaging method and process Methods 0.000 description 1
- 230000002829 reductive effect Effects 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 230000001052 transient effect Effects 0.000 description 1
- 238000011269 treatment regimen Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/14—Protection against unauthorised use of memory or access to memory
- G06F12/1458—Protection against unauthorised use of memory or access to memory by checking the subject access rights
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Software Systems (AREA)
- Storage Device Security (AREA)
Abstract
本案涉及訊息安全技術領域，提供了一種數據安全保護方法、設備、系統、安全控制框架及儲存媒介，透過在目標設備設置保護模組，以控制電腦設備在儲存設備上的讀寫權限，從而保障儲存設備之間的通訊安全，避免惡意儲存設備接入電腦設備而造成電腦安全風險，以及避免電腦設備惡意存取儲存設備的數據而造成儲存設備的數據洩露。同時，本案根據目標設備的當前保護模式，對電腦設備發送的數據互動指令進行權限控制，若數據互動指令滿足當前保護模式對應的權限要求，對數據互動指令做出響應，以保證電腦設備在目標設備的當前保護模式下存取儲存設備，避免對儲存設備造成數據破壞和數據洩露，提高儲存設備的數據安全性。
Description
本案引用於2022年05月10日遞交的名稱為「數據安全保護方法、裝置、保護設備及存儲介質」的第202210504332.8號中國專利申請，以及2022年07月04日遞交的名稱為「數據安全保護方法、裝置、目標設備及存儲介質」的第202210781724.9號中國專利申請，其透過引用被全部併入本案。
本案涉及資訊安全技術領域，尤其涉及一種數據安全保護方法、設備、系統、安全控制框架及儲存媒介。
行動儲存設備在日常工作生活中的應用十分廣泛，但在使用行動儲存設備接入電腦進行數據拷貝等數據處理操作時，容易產生數據風險問題。行動儲存設備與電腦之間可能對彼此的數據安全產生威脅。
本案實施例提供了一種數據安全保護方法、設備、系統、安全控制框架及儲存媒介，可以保護儲存設備與電腦設備的數據安全。
第一方面，本案提供了一種數據安全保護方法，應用於目標設備，目標設備設有保護模組，保護模組包含至少一種保護模式，保護模式用以控制電腦設備在儲存設備上的讀寫權限，方法包括：根據目標設備的當前保護模式，對電腦設備發送的數據互動指令進行權限控制，數據互動指令用以電腦設備與儲存設備進行數據互動；若數據互動指令滿足當前保護模式對應的權限要求，對數據互動指令做出響應。
具體的，所述數據安全保護方法，適用於保護模組，包括：接收到電腦設備發送的數據互動指令時，確定當前保護模式，其中，所述當前保護模式是所述保護模組預置的至少一種保護模式中的一個；所述數據互動指令針對的數據來源是所述當前保護模式指定的至少一個數據來源中的一個，且所述數據互動指令對所述數據來源內數據的操作類型符合所述當前保護模式規定的操作類型時，對所述數據互動指令做出響應；其中，所述保護模組設置在所述電腦設備的用以連接儲存設備的介面，或所述儲存設備上，或中繼設備上；所述中繼設備連接所述電腦設備與所述儲存設備。
第二方面，本案還提供一種數據安全保護模組，應用於目標設備，目標設備設置有保護模組，保護模組包含至少一種保護模式，保護模式用以控制電腦設備在儲存設備上的讀寫權限，裝置包括：控制單元，用以根據目標設備的當前保護模式，對電腦設備發送的數據互動指令進行權限控制，數據互動指令用以電腦設備與儲存設備進行數據互動；響應單元，用以若數據互動指令滿足當前保護模式對應的權限要求，對數據互動指令做出響應。
第三方面，本案還提供一種目標設備，設置有保護模組和用以連接儲存設備的第一介面，以及用以連接電腦的第二介面，所述保護模組包含至少一種保護模式，所述保護模式用以配置電腦設備在儲存設備上的讀寫權限；所述目標設備包括一個或多個處理器，以及儲存裝置；所述儲存裝置用以儲存電腦程式，所述電腦程式被所述處理器執行時實現如第一方面所述之數據安全保護方法的步驟。
第四方面，本案還提供一種目標設備，設置有集成於處理器的保護模組，所述保護模組包含至少一種保護模式，所述保護模式用以配置電腦設備在儲存設備上的讀取權限；所述目標設備包括一個或多個處理器，以及儲存裝置；所述儲存裝置用以儲存電腦程式，所述電腦程式被所述處理器執行時實現如第一方面所述之數據安全保護方法的步驟。
第五方面，本案還提供一種電腦可讀儲存媒介，其儲存有電腦程式，所述電腦程式被處理器執行時實現如第一方面所述之數據安全保護方法的步驟。
第六方面，本案還提供一種電腦程式產品，當電腦程式產品在電腦設備上運行時，使得電腦設備執行時實現第一方面的數據安全保護方法的步驟。
本案還一實施例提供一種中繼設備。所述中繼設備包括：第一埠，用以連接電腦設備；第二埠，用以連接儲存設備；互動模組，包括如下中的至少一種：觸控式螢幕、語音互動裝置、多個按鍵、滑動開關、具有至少兩個選擇的互動控制項；以及保護模組，連接在所述第一埠和所述第二埠之間，用以實現上述實施例提供的數據安全保護方法中的步驟。
本案還一實施例提供一種設備系統，所述系統包括：電腦設備，儲存設備以及上述實施例提供的中繼設備。
本案還一實施例提供一種儲存設備，所述儲存設備包括：第一埠，用以連接電腦設備；保護晶片，用以實現上述實施例提供的所述數據安全保護方法中的步驟；控制晶片，透過所述保護晶片與所述第一埠連接；儲存晶片，與所述控制晶片連接，用以在所述控制晶片的控制下，對儲存空間內的數據進行儲存管理。
本案還一實施例提供一種儲存設備，所述儲存設備包括：第一埠，用以連接電腦設備；控制晶片，其上設置有保護模組，用以實現上述實施例提供的所述數據安全保護方法中的步驟；儲存晶片，透過所述控制晶片與所述第一埠連接，用以在所述控制晶片的控制下，對儲存空間內的數據進行儲存管理。
本案又一實施例提供了一種儲存設備。所述儲存設備包括：第一埠，用以連接電腦設備；控制晶片，與第一埠連接，用以基於所述電腦設備發送的數據互動指令，產生相應的控制指令；儲存晶片，與所述控制晶片連接；其中，所述儲存晶片上設置有保護模組，用以採用上述實施例所述數據安全保護方法中的步驟，處理所述控制晶片發送的控制指令。
本案還一實施例提供了一種安全控制框架。所述安全控制框架包括：配置模組，用以配置保護場景；產生模組，用以產生保護場景的配置訊息或帶有所述保護場景的軟體；其中，一種保護場景對應至少一種保護模式；將所述配置訊息或帶有所述保護場景的軟體部署在硬體設備上，使得所述硬體設備具有上述實施例所述數據安全保護方法中的步驟對應的功能。
與現有技術相比，本案具備以下有益效果：本案透過在目標設備設置保護模組，以控制電腦設備在儲存設備上的讀寫權限，從而保障儲存設備之間的通訊安全，避免惡意儲存設備接入電腦設備而造成電腦數據安全風險，以及避免電腦設備惡意存取儲存設備的隱私數據而造成儲存設備的數據洩露。同時，本案根據目標設備的當前保護模式，對電腦設備發送的數據互動指令進行權限控制，若數據互動指令滿足當前保護模式對應的權限要求，對數據互動指令做出響應，以保證電腦設備在目標設備的當前保護模式下存取儲存設備，避免電腦設備上的病毒對儲存設備造成數據破壞，也避免儲存設備因被直接存取而造成數據洩露，從而提高儲存設備的數據安全性。
下面將結合本案實施例中的圖式，對本案實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本案一部分實施例，而不是全部的實施例。基於本案中的實施例，本領域技術領域具有通常知識者在沒有做出創造性勞動前提下所獲得的所有其他實施例，都屬於本案保護的範圍。
如相關技術記載，當前儲存設備與電腦設備之間可能對彼此的數據安全產生威脅。對於電腦設備：1、儲存設備可能存在惡意程式碼，當電腦設備上的殺毒軟體等安全軟體無法查殺時，電腦設備會誤拷貝並運行木馬、病毒等惡意程式；2、儲存設備可能存在惡意的硬體參數，在電腦讀取時造成有漏洞的安全軟體的緩衝區溢位，從而執行預設的惡意指令；3、儲存設備可能偽裝成鍵盤和滑鼠等輸入裝置，在接入電腦時執行預設的鍵盤或滑鼠的輸入操作，向電腦拷貝並運行惡意程式或進行其他惡意輸入操作。
對於儲存設備：1、電腦設備能夠篡改或刪除儲存設備的數據，或者向儲存設備寫入木馬或病毒等惡意程式；2、一些隱私檔案數據能夠被電腦設備讀取和拷貝，甚至一些已經刪除、隱藏的檔案數據也有可能被電腦設備讀取和拷貝，導致儲存設備數據洩露；3、還有可能由於儲存設備使用者保存不善，儲存設備中的數據被竊取的問題。
在保護電腦設備方面，現有技術通常是在電腦中安裝病毒查殺軟體，對接入儲存設備的檔案進行掃描；或者安裝儲存設備接入控制軟體，對沒有預先登記的儲存設備不予接入。不論是在電腦安裝病毒查殺軟體還是控制軟體等，一是成本較高；對於電腦使用者來說，安裝軟體就需要佔用一部分電腦資源，也需要花費軟體費用；對於儲存設備使用者來說，接入一個電腦時為了使用安全，需要接入的電腦上安裝相應的軟體，不太現實。二是，軟體也是有局限性的，一些病毒木馬等不能有效查殺。三是，安裝軟體的過程，也存在危險性。例如，軟體來源出現問題，其中預先被捆綁了一些惡意程式，形成新的安全風險點。四是，軟體需要對接入的設備的硬體特徵參數進行判斷，如果軟體本身存在代碼編寫漏洞（例如存在緩衝區溢位等），惡意的設備可以透過發送惡意的硬體特徵參數攻擊軟體，以惡意控制電腦設備。五是，現有的一些安全軟體難以判斷接入的設備是儲存設備，還是鍵鼠設備，設備類型由接入設備自行上報（例如，外觀為USB隨身碟的設備可以上報為大容量儲存設備類型、或是滑鼠設備類型、或是鍵盤設備類型，或是以上設備類型的集合），一些惡意設備向電腦設備上報鍵鼠類型，來惡意操作電腦設備。
現有技術主要偏向保護電腦設備，針對儲存設備的保護方案較少。主要原因是：儲存設備控制晶片的設計，一般無法對儲存設備進行安全性功能的修改或安裝安全軟體。市面上有一種唯讀功能的儲存設備，雖不能篡改儲存設備中的數據，但數據還是可以被讀取到的。還一種具有數據加密功能的儲存設備，所述儲存設備具備的加密功能，容易被逆向技術破解。
在介紹本案各實施例之前，先對本文中的一些技術術語進行簡單的說明。
USB通訊規則，USB分為主機模式（電腦）和從機模式（USB隨身碟）。主機主動向從機發送數據互動指令，從機根據數據互動指令進行被動響應。
關於列舉的原理，對USB隨身碟等儲存設備來說，列舉就是電腦讀取儲存設備的過程。對於行動儲存設備（大容量儲存設備），一是讀取硬體基本參數，包括硬體描述子、配置描述子、埠描述子、端點描述子的參數，並按照不同的參數載入驅動訊息，實現硬體能夠連接。二是讀取行動儲存設備參數，例如容量大小、是否為唯讀等等；三是讀取檔案系統訊息，使之能夠在電腦作業系統上顯示硬碟代號。但是，在保護模組使用過程中，不一定嚴格遵守作業系統的列舉過程，但是一定是讀取了行動儲存設備列舉所必要的數據。
檔案、資料夾的區別：根據部分的檔案系統協定（例如FAT32、ExFAT等檔案系統），上述提及的根目錄與特定資料夾本質上是一樣的，根目錄為特殊的資料夾。資料夾與檔案本質上是一樣的，資料夾只是一種特殊的檔案。例如，檔名為A.txt的檔案，儲存的內容可以為「123456」；名為showdir的資料夾，儲存的內容是其目錄下的資料夾或檔案訊息。例如，test.txt檔案的屬性和數據的起始磁區位址，或者test2資料夾的屬性和起始磁區位址。當進一步讀取test.txt檔案的起始磁區位址數據時，能讀取到檔案內容為「123456」。
表1以FAT32檔案系統為例（A.txt檔案訊息）：起始群組號為0x1d，根據檔案系統的計算，可得到起始磁區（開始磁區位址）；在FAT表中可得到對應的群組鏈，並根據群組鏈進行計算，可得到檔案數據的磁區位址集合。磁區位址集合的數據為A.txt檔案的內容數據，例如123456字串的二進位數據。
[表1]
| 位元組位置 | 0-7 | 8-10 | 11 | 12 | 13-15 | 16-17 | 18-19 | 20-21 | 22-23 | 24-25 | 26-27 | 28-31 |
| 參數 | 檔名 | 副檔名 | 保留 | 檔案屬性 | 建立時間 | 建立日期 | 最後存取日期 | 開始群組高位元組 | 最後修改時間 | 最後修改日期 | 開始群組低位元組 | 檔案大小 |
| 範例 數據 0x | 41 20 20 20 20 20 20 20 | 54 58 54 | 20 | 10 | a4 0a b4 | a8 56 | a8 56 | 00 00 | c8 b3 | a8 56 | 1d 00 | 06 00 00 00 |
表2以FAT32檔案系統為例（showdir資料夾）：showdir資料夾起始群組號為0x09，根據本測試儲存設備的檔案系統計算，得到對應的起始磁區（開始磁區位址）為：0x00010038（注：不同的檔案系統、儲存設備計算得到的磁區位址不同）。在FAT表中可得到對應的群組鏈，並根據群組鏈進行計算，可得到檔案數據的磁區位址集合。磁區位址集合的數據為showdir資料夾包含的子資料夾和檔案訊息，例如A.txt檔案的訊息或者與showdir資料夾數據結構一致的子資料夾訊息。
[表2]
| 位元組位置 | 0-7 | 8-10 | 11 | 12 | 13-15 | 16-17 | 18-19 | 20-21 | 22-23 | 24-25 | 26-27 | 28-31 |
| 參數 | 檔名 | 副檔名 | 保留 | 檔案屬性 | 建立時間 | 建立日期 | 最後存取日期 | 開始群組高位元組 | 最後修改時間 | 最後修改日期 | 開始群組低位元組 | 檔案大小 |
| 範例 數據 0x | 53 48 4f 57 44 49 52 20 | 20 20 20 | 10 | 08 | 53 91 b1 | a8 56 | a8 56 | 00 00 | 92 b1 | a8 56 | 09 00 | 00 00 00 00 |
本案第一個實施例提供的一種保護模組，所述保護模組可以是一個獨立設備（又可稱為中繼設備），用以連接儲存設備與電腦設備。例如，可攜式設備，還可以是固定在電腦設備上的USB防護介面。它可稱為：可攜式USB隨身碟硬體防火牆，行動儲存媒介數據擺渡設備（人工確認模式），安全USB HUB等。其中，行動儲存媒介可包括：USB隨身碟、TF卡、SD卡、行動硬碟等等。所述保護模組還可以是具有本案各實施例提供的保護方法對應功能的儲存設備，所述儲存設備可以稱為：新型的安全USB隨身碟或行動硬碟、可以磁碟分割的USB隨身碟或是對應的記憶卡（如TF卡、SD卡等）。所述儲存設備還可以為：中間保護（USB介面）、讀卡機（SD、TF卡介面）和儲存晶片同時存在的設備，可透過滑動開關、觸控式螢幕、按鍵、至少兩個選擇的互動控制項等選擇接入的物理數據來源。所述儲存設備還可以是網路儲存硬碟形態，可以切換不同的網路數據來源。本案各實施例提供的技術方案中，在軟體形態上做了創新，如保護模組可具有至少一種保護模式，例如，唯讀模式、特定檔案模式、空白檔案模式、邏輯磁碟分割模式、磁區限制模式、檔案類型限制模式、加密寫入模式、解密讀取模式、人工確認模式、硬體類型接入保護模式、儲存設備的數據訊息保護模式、設備隱私保護模式、備份模式等中的至少一個。
所述保護模組可以小體積，使用者能夠隨身攜帶或者長期固定在電腦設備的數據介面（USB介面）上或固定在儲存設備的介面上。所述保護模組可為電腦設備與儲存設備之間物理通訊傳輸的中繼設備，並按照使用者的設置對通訊傳輸封包進行安全限制或安全修改等控制，保護電腦或接入的儲存設備；還可以在儲存設備中集成採用本案實施例提供的技術方案對應的保護模組，無需上述中繼設備。集成有保護模組或安全主控晶片的儲存設備，可按照使用者的設置，保護儲存設備的數據安全。
本案實施例提供的技術方案，儲存設備與電腦設備的通訊數據收發經過中繼設備控制後再進行傳輸，將電腦設備與儲存設備之間隔離開，互相不能直接從對方處獲取數據。其中，中繼設備可以採用無作業系統的韌體形式，帶有惡意程式的電腦設備或儲存設備難以透過漏洞修改中繼設備的工作邏輯。中繼設備可以採用標準通訊協定，能夠匹配作業系統自帶的大容量儲存設備驅動運行，接入電腦設備時可以無需安裝驅動程式，同時能夠連通大部分儲存設備。
中繼設備使用者可透過操作中繼設備上的按鈕或開關等可選擇的互動控制項的方式，按照向行動儲存設備寫入數據或讀取數據等的不同使用場景，進行儲存設備的唯讀模式、特定檔案模式、空白檔案模式、邏輯磁碟分割模式、磁區限制模式、檔案類型限制模式、加密寫入模式、解密讀取模式、人工確認模式、硬體類型接入保護模式、儲存設備的數據訊息保護模式、設備隱私保護模式、備份模式等保護模式的設置。同時，中繼設備還帶有檔案內容數據加密、記錄檔留存和擴展設置等三種輔助設置。
即本案提供一種數據安全保護方法，透過在目標設備設置保護模組，以配置電腦設備在儲存設備上的讀寫權限，從而保障儲存設備之間的通訊安全，避免惡意儲存設備接入電腦設備而造成電腦數據安全風險，以及避免電腦設備惡意存取儲存設備的隱私數據而造成儲存設備的數據洩露，並且可以無需電腦設備安裝安全軟體，有效規避安裝安全軟體所存在的安全風險。同時，本案根據目標設備的當前保護模式，對電腦設備發送的數據互動指令進行權限控制，若數據互動指令滿足當前保護模式對應的權限要求，對數據互動指令做出響應，以保證電腦設備在目標設備的當前保護模式下存取儲存設備，避免電腦設備上的病毒對儲存設備造成數據破壞，也避免儲存設備因被直接存取而造成數據洩露，以及保護模組設於目標設備，能夠有效規避惡意程式從電腦作業系統層面破解保護模組的保護模式，進一步提高儲存設備的數據安全性。
請參照圖1，圖1為本案實施例提供的一種數據安全保護方法的流程示意圖。本案實施例的數據安全保護方法可應用於目標設備，所述目標設備設置有保護模組，所述保護模組包含至少一種保護模式，所述保護模式用以控制電腦設備在儲存設備上的讀寫權限。
可選地，目標設備為具有保護模組的中繼設備，以作為儲存設備與電腦設備建立通訊連接時的中間連接節點。可以理解的是，通訊連接包括有線連接和無線連接。示例性地，在一種有線連接場景下，如圖2a揭示的一種中繼設備的結構示意圖，中繼設備200設置有第一介面201和第二介面202，第一介面201用以連接儲存設備，第二介面202用以連接電腦設備。在將儲存設備與電腦設備需要建立通訊連接時，將儲存設備與中繼設備200的第一介面201連接，並將中繼設備200的第二介面202與電腦設備連接。需要說明的是，第一介面的數量可以為多個，以使中繼設備能夠同時接入多個儲存設備；第一介面和第二介面可以為通用序列匯流排（Universal Serial Bus，USB）介面。第一介面還可以包括eMMC （Embedded Multi Media Card）介面，以直接接入SD卡和TF卡等，以及可以包括SATA（Serial Advanced Technology Attachment）介面、NVMe（NVM Express）、M.2等數據介面，以直接接入硬碟、快閃記憶體、SSD儲存設備等。應理解，圖2a所示中繼設備的結構僅用作示例而非限定，在其他實施例中可以包含更多或更少的部件，如圖2b所示的結構等等，在此不再贅述。圖2b中第一介面201可以為插槽型介面。圖2c揭示了集成有保護模組的儲存設備的一種結構形態示例圖。使用者可透過互動控制項（例如操作儲存設備上的控制項）選擇保護模組的當前保護模式。
可選地，目標設備為具有保護模組的儲存設備，保護模組可集成於儲存設備的晶片（處理器）、積體電路或硬體內部中，以使儲存設備具備本案實施例的數據安全保護方法的功能。可以理解的是，對於目標設備為中繼設備時，由中繼設備將電腦設備（或儲存設備）發送的數據轉發至儲存設備（或電腦設備），對於目標設備為具有保護模組的儲存設備時，則由電腦設備（或儲存設備）直接向儲存設備（或電腦設備）發送數據，但需要由儲存設備中的保護模組對接收到（或待發送）的數據進行權限控制等處理。對此，後續不再贅述。需要說明的是，當目標設備為具有保護模組的中繼設備時，儲存設備可以為不具有保護模組的儲存設備。
可選地，儲存設備包括但不限於USB隨身碟（USB快閃記憶體）、行動硬碟、硬碟、讀卡機（SD卡、TF卡）、外接式光碟機等，儲存設備還可以具備網路功能；電腦設備包括但不限於筆記型電腦、桌上型電腦、嵌入式設備、物網路設備和工業控制設備等。
可選的，所述保護模組還可設置在所述電腦設備的用以連接儲存設備的介面處。
本案另一實施例提供一種連接在電腦和行動儲存設備之間的中繼設備（或模組），解決行動儲存設備（例如，USB隨身碟、SD卡、外接式光碟機、行動硬碟等），在接入電腦進行拷貝數據時，由於目前通訊協議和相關技術沒有對數據權限進行限制，從而產生數據風險的問題。
可見，本案實施例提供的方案存在兩種互動邏輯：一是作為中繼設備的互動邏輯：電腦設備發送指令→中繼設備權限控制→儲存設備響應→讀寫內部儲存媒介。
另一種是作為集成設備（例如具有保護模組的儲存設備），互動邏輯縮減為：電腦設備發送指令→儲存設備的控制晶片篩選和響應（硬體集成：保護晶片+控制晶片；軟體集成：控制晶片具有保護方法模組+控制讀寫模組）→讀寫內部儲存媒介。
如圖1所示，本案實施例的數據安全保護方法包括步驟S101至步驟S102，詳述如下：
步驟S101，根據所述目標設備的當前保護模式，對所述電腦設備發送的數據互動指令進行權限控制，所述數據互動指令用以所述電腦設備與所述儲存設備進行數據互動。
即上述步驟S101之前可包括：接收到電腦設備發送的數據互動指令時，確定當前保護模式，其中，所述當前保護模式是所述保護模組預置的至少一種保護模式中的一個。
其中，「對所述數據互動指令進行權限控制」可具體為：
判斷所述數據互動指令針對的數據來源是否是所述當前保護模式指定的至少一個數據來源中的一個；
判斷所述數據互動指令對所述數據來源內數據的操作類型是否符合所述當前保護模式規定的操作類型。
所述數據互動指令針對的數據來源是當前保護模式指定的至少一個數據來源中的一個，且所述數據互動指令對所述數據來源內數據的操作類型符合當前保護模式規定的操作類型時，所述數據互動指令滿足當前保護模式對應的權限要求。
在具體實施時，若所述保護模組為中繼設備或儲存設備，所述中繼設備或儲存設備上帶有互動裝置時，本實施例提供的所述方法還可包括如下步驟：
A、響應於使用者在一第一設備的互動裝置上的操作，獲取使用者在所述至少一個保護模式中選出的目標保護模式；
B、將所述目標保護模式作為所述保護模組的當前保護模式；
其中，所述互動裝置包括如下中的至少一種：觸控式螢幕、語音互動裝置、多個按鍵、滑動開關、具有至少兩個選擇的互動控制項。
其中，上述具有至少兩個選擇的互動控制項，如旋鈕開關、具有多個停止檔位的開關、具有多個撥動姿態的開關等等。
可選地，中繼設備或具有所述保護模組的儲存設備上也可沒有互動裝置。當前保護模式可以預先設置，也可以即時設置。具體地，其可以透過撥動開關、遠端遙控、電腦配置的方式進行設置。示例性地，在一種可能實施的方式中，目標設備（如上文中提及的中繼設備或具有保護模組的儲存設備）設置有用以選中保護模式的物理開關，透過撥動物理開關以選中當前保護模式。在另一種可能實施的方式中，目標設備設置有如藍牙、紅外線或超寬頻的通訊單元，以用以與遠端遙控設備進行連接，從而透過遠端遙控設備選中當前保護模式。在又一種可能實施的方式中，目標設備與具有全域權限的電腦設備通訊連接，透過所述電腦設備選中當前保護模式。需要說明的是，對於電腦配置方式，其應當在儲存設備與電腦設備進行數據互動前進行設置。
在本步驟中，保護模式包括但不限於全硬碟唯讀模式、特定檔案讀寫模式、限制讀寫模式、檔案限制讀寫模式、解密讀取模式、加密寫入模式和邏輯磁碟分割模式。全硬碟唯讀模式表示允許讀取儲存設備中的所有檔案，特定檔案讀寫模式表示允許讀寫儲存設備中的特定檔案，限制讀寫模式表示允許讀寫儲存設備中目標磁區位址對應的檔案，檔案限制讀寫模式表示允許讀寫儲存設備中具有目標檔案特徵的檔案，解密讀取模式表示對讀取過程的數據進行解密，加密寫入模式表示對寫入過程的數據進行加密，邏輯磁碟分割模式表示對儲存設備進行磁碟分割並接入到電腦的模式。
更具體的，所述至少一個保護模式可包括但不限於：唯讀模式、特定檔案模式、空白檔案模式、磁區限制模式、檔案類型限制模式、加密寫入模式、解密讀取模式、人工確認模式、邏輯磁碟分割模式、硬體類型接入保護模式、儲存設備的數據訊息保護模式、設備隱私保護模式、備份模式等等。
其中，唯讀模式，所述唯讀模式指定的數據來源為儲存設備的全硬碟數據，規定的操作類型為唯讀類型；上文中的全硬碟唯讀模式可以理解為唯讀模式。
特定檔案模式，所述特定檔案模式指定的數據來源為儲存設備中的至少一個特定檔案，規定的操作類型為讀類型、或寫類型、或讀寫類型。
空白檔案模式，所述空白檔案模式指定的數據來源為儲存設備中自動建立及/或人工建立的至少一個空白檔案，規定的操作類型為寫類型或讀寫類型。
磁區限制模式，所述磁區限制模式指定的數據來源為儲存設備中的至少一個特定磁區區間，規定的操作類型為讀類型、或寫類型、或讀寫類型。
檔案類型限制模式，檔案類型限制模式指定的數據來源為儲存設備中的至少一種特定類型的檔案，規定的操作類型為讀類型、或寫類型、或讀寫類型。
加密寫入模式，所述加密寫入模式指定的數據來源為儲存設備中的至少一個第一磁區區間內的數據、至少一個第一檔案及/或至少一種類型的檔案，規定的操作類型為寫類型。
解密讀取模式，所述解密讀取模式指定的數據來源為儲存設備中的至少一個第二磁區區間內的數據、至少一個第二檔案及/或至少一種類型的檔案，規定的操作類型為讀類型。
人工確認模式，所述人工確認模式指定的數據來源為儲存設備中的至少一個第三磁區區間內的數據、至少一個第三檔案及/或至少一種類型的檔案，規定的操作類型為讀寫類型。
邏輯磁碟分割模式，所述邏輯磁碟分割模式指定的數據來源為儲存設備中的至少一個磁碟分割區，規定的操作類型為讀類型，或寫類型，或讀寫類型。
硬體類型接入保護模式，所述硬體類型接入保護模式無指定數據來源，在所述硬體類型接入保護模式下判定儲存設備是否為指定的設備類型；
儲存設備的數據訊息保護模式，所述儲存設備的數據訊息保護模式無指定數據來源，在所述儲存設備的數據訊息保護模式下，對向電腦設備發送的儲存設備的數據訊息進行保護性處理，在列舉階段將保護性處理後的儲存設備的數據訊息發送至所述電腦設備。
設備隱私保護模式，所述設備隱私保護模式無指定數據來源，在所述設備隱私保護模式下，對向電腦設備發送的設備隱私訊息進行保護性處理。
其中，保護性處理可包括但不限於：對儲存設備的硬體特徵參數進行保護性處理（如包裝、刪減等）、對儲存設備的儲存訊息相關參數進行保護性處理、對儲存設備的設備訊息（如廠商訊息等）進行保護性處理以保護儲存設備的設備隱私等等。
備份模式，所述備份模式無指定數據來源，在備份模式下，對電腦設備寫入的數據同步寫入至指定的備份儲存區域內，及/或保護模組在執行寫入指令之前讀取所述電腦設備寫入的磁區位址數據並寫入至指定的備份儲存區域內，及/或將接入的儲存設備的重要數據磁區的數據備份儲存至指定的備份儲存區域內；若觸發還原，則將所述指定的備份儲存區域內的數據讀取，寫入至所述儲存設備原有的數據磁區內。
上述各保護模式也可以多種模式組合。例如，邏輯磁碟分割模式、特定檔案模式、磁區限制模式，這三種模式可組合，這樣當前保護模式為這三種模式組合後的組合模式。在所述組合模式下，可以邏輯磁碟分割後，限定操作特定檔案，並透過磁區限制，對特定檔案之外的檔案不可進行讀寫。
這裡需要補充的是：本實施例中的權限控制為基於當前保護模式對應的讀寫範圍，對電腦設備與儲存設備之間的數據互動進行控制的過程。其應理解為廣義上的權限控制，即只要能達到對數據互動進行控制的目的，則屬於本案實施例定義的權限控制。
可選地，讀寫權限包括唯讀權限、只寫權限和可讀可寫權限。在不同保護模式下，讀寫權限可以是針對不同物件的唯讀權限、只寫權限或可讀可寫權限。例如，對於全硬碟唯讀模式，其讀寫權限為針對儲存設備的所有檔案的唯讀權限；對於特定檔案讀寫模式，其讀寫權限為針對特定檔案的唯讀權限、只寫權限和可讀可寫權限中的至少一種。可以理解的是，其他模式的讀寫權限可以基於上述舉例思想得出，在此不再贅述。
步驟S102，若所述數據互動指令滿足所述當前保護模式對應的權限要求，對所述數據互動指令做出響應。
具體的，所述數據互動指令針對的數據來源是所述當前保護模式指定的至少一個數據來源中的一個，且所述數據互動指令對所述數據來源內數據的操作類型符合所述當前保護模式規定的操作類型時，對所述數據互動指令做出響應。
在本步驟中，數據互動指令包括電腦設備發送的用以讀取儲存設備中的數據的數據讀取指令，和用以向儲存設備中寫入數據的數據寫入指令。可以理解的是，當讀寫權限為讀取權限時，可支援數據讀取指令；當讀寫權限為寫入權限時，可支援數據寫入指令；當讀寫權限為可讀可寫權限時，可支援數據讀取指令和數據寫入指令。
在一種可能實施的方式中，若目標設備為具有保護模組的中繼設備，中繼設備接收電腦設備發送的數據互動指令，並基於當前保護模式對所述數據互動指令進行權限控制，若數據互動指令符合權限要求，則將所述數據互動指令轉發至儲存設備，以使儲存設備執行所述數據互動指令對應的讀寫操作。在另一種可能實施的方式中，若目標設備為具有保護模組的儲存設備，所述儲存設備接收電腦設備發送的數據互動指令，並透過保護模組的當前保護模式對所述數據互動指令進行權限控制，若數據互動指令符合權限要求，則儲存設備執行所述數據互動指令對應的讀寫操作。
需要說明的是，本案透過多種保護模式對電腦設備和儲存設備進行保護，能夠滿足使用者在不同保護場景的應用需求；同時透過目標設備的保護模型進行權限控制，提高電腦設備和儲存設備的安全性。
在一些實施例中，在圖1所示實施例的基礎上，圖3揭示了第二實施例的數據安全保護方法的流程示意圖。與圖1相同的步驟在此不再贅述。圖3所示，所述方法還包括：
步驟S301，若檢測到所述電腦設備與所述儲存設備之間的通訊連接請求，則識別所述第一介面的設備類型；
步驟S302，若所述設備類型為預設允許通訊類型，則建立所述電腦設備與所述儲存設備之間的通訊連接。
在本實施例中，預設允許通訊類型包括但不限於大容量儲存設備類型或其他預設的安全類型。可選地，第一介面的設備類型可以透過讀取到的描述子參數進行確定。可以理解的是，對於目標設備為具有保護模組的中繼設備，透過中繼設備的第一介面向儲存設備讀取儲存設備的描述子參數。對於目標設備為具有保護模組的儲存設備，則所述儲存設備可以調取其預先儲存的描述子參數。
在一些實施例中，若所述目標設備為具有保護模組的中繼設備，所述中繼設備設置有用以連接儲存設備的第一介面，和用以連接電腦設備的第二介面；所述步驟S301之前，還包括：
當所述第一介面接入所述儲存設備，且所述第二介面接入所述電腦設備時，檢測所述電腦設備與所述儲存設備之間的通訊連接請求。
在本實施例中，當中繼設備分別接入儲存設備和電腦設備時，中繼設備上電，中繼設備在對儲存設備的數據訊息進行分析後判定符合要求（如判定儲存設備屬於當前保護模式指定的設備類型）後向電腦設備發送可以列舉訊號，此時電腦設備才會發起列舉動作，以獲取儲存設備中的數據訊息。中繼設備基於當前保護模式，將儲存設備的數據訊息進行保護處理，將保護處理後的儲存設備的數據訊息回饋給電腦設備，以便建立電腦設備與儲存設備間的通訊連接。
在一些實施例中，若所述目標設備為具有保護模組的儲存設備，所述步驟S301之前，還包括：
在所述儲存設備接入所述電腦設備時，檢測與所述電腦設備之間的通訊連接請求。
在本實施例中，當儲存設備與電腦設備進行物理連接後，為了實現兩者間的數據互動，則電腦設備向儲存設備發送通訊連接請求，或者儲存設備向電腦設備發送通訊連接請求，並透過所述儲存設備上的保護模組監聽所述通訊連接請求。
需要說明的是，由於儲存設備可能因某些原因被其他方式植入了木馬病毒等惡意程式，而儲存設備自身在未上電狀態時並未發現所述惡意程式，所以在儲存設備與電腦設備進行物理連接，使得儲存設備上電後，為保證電腦設備的安全性，監聽電腦設備與儲存設備之間的通訊連接請求，以便於後續識別儲存設備。
在一些實施例中，所述步驟S301之後，還包括：
若所述設備類型為預設禁止通訊類型，則中斷所述通訊連接請求。
在本實施例中，預設禁止通訊類型包括但不限於人體學介面設備（HID）、具有大容量儲存設備（Mass Storage）和HID的複合設備或其他功能的複合型設備類型。其中，人體學介面設備是一種設備類定義，HID設備如鍵盤、滑鼠、遊戲控制器、操作桿、條碼讀取機、耳機/揚聲器上的音量控制、輔助顯示器、感測器等。可選地，若所述設備類型為預設禁止通訊類型，還回饋攔截訊息，所述攔截訊息用以提示儲存設備為禁止通訊設備。
可選地，攔截訊息用以指示電腦設備透過硬碟代號字串進行提示，例如，電腦設備上顯示接入的設備名為「非法設備」。目標設備上設置有指示燈，攔截訊息可以透過指示燈進行展示，例如指示燈閃爍（或者亮紅燈等方式）表示當前接入的儲存設備為禁止接入設備。
需要說明的是，本實施例透過驗證儲存設備的設備類型能夠避免非法設備偽裝成鍵鼠設備等接入到電腦設備，以避免非法設備對電腦設備造成安全風險，提高電腦設備的安全性。
在一些實施例中，所述步驟S302，包括：
將所述儲存設備的目標硬體特徵參數發送至所述電腦設備，所述目標硬體特徵參數用以建立所述電腦設備與所述儲存設備之間的通訊連接。
在本實施例中，對於目標設備為中繼設備時，獲取儲存設備的目標硬體特徵參數，並將所述目標硬體特徵參數轉發至電腦設備；對於目標設備為具有保護模組的儲存設備時，將其預存的目標硬體特徵參數發送至電腦設備。
可選地，硬體特徵參數是用以代表儲存設備特徵的參數，其包括但不限於設備廠商與產品ID、設備屬性、介面使用的類型（例如大容量儲存設備）、端點屬性（例如批量傳輸）、字串、傳輸速率、用電需求等。在設備接入時需要對硬體特徵參數進行驗證，當判定硬體特徵參數符合建立通訊連接的要求時，電腦設備根據硬體特徵參數與儲存設備建立通訊連接。
在一實施例中，目標硬體特徵參數可以為從儲存設備直接獲取的硬體特徵參數；在另一實施例中，目標硬體特徵參數可以為對儲存設備直接獲取的硬體特徵參數進行篩選後的特徵參數；在又一實施例中，目標硬體特徵參數可以為與儲存設備直接獲取的硬體特徵參數匹配的預設硬體特徵參數。在又一實施例中，目標硬體特徵參數還可以由保護模組直接進行預設。
在一些實施例中，所述將所述儲存設備的目標硬體特徵參數發送至所述電腦設備，包括：
根據所述儲存設備的設備類型，從預設的參數模板中，獲取與所述設備類型對應的目標硬體特徵參數；
將所述目標硬體特徵參數發送至所述電腦設備。
在本實施例中，根據儲存設備的設備類型從預設的參數模板中，獲取對應於所述設備類型的預設硬體特徵參數，將所述預設硬體特徵參數替代從儲存設備獲取的硬體特徵參數，以作為目標硬體特徵參數。可選地，預設的參數模板包括有對應於不同設備類型的能夠被電腦讀取並允許建立通訊的預設硬體特徵參數。
需要說明的是，本實施例根據對應於設備類型的硬體特徵參數，對儲存設備的硬體特徵參數進行替換修改，以在接入電腦設備進行列舉時，可以保護儲存設備的硬體特徵參數不被採集，從而實現安全接入的同時，保護儲存設備的隱私性。
在另一些實施例中，所述將所述儲存設備的目標硬體特徵參數發送至所述電腦設備，包括：
獲取所述儲存設備的硬體特徵參數；
根據預設的參數類型，對所述硬體特徵參數進行篩選，以確定與所述參數類型對應的目標硬體特徵參數；
將所述目標硬體特徵參數發送至所述電腦。
在本實施例中，透過對硬體特徵參數進行篩選，以保留預設參數類型對應的目標硬體特徵參數，並將篩選出的符合預設參數類型的目標硬體特徵參數發送至電腦設備，其他參數作為未知參數不予發送至電腦設備，以避免將儲存設備的非法參數發送至電腦設備，從而保證電腦設備的數據安全性。
為避免將儲存設備的非法參數發送至電腦設備，從而保證電腦設備的數據安全性，本案實施例提供一種機制，對儲存設備的特徵參數進行類比，即本實施例提供的所述方法還可包括如下步驟：
步驟11、所述電腦設備與所述儲存設備透過所述保護模組建立通訊連接之前，類比所述電腦設備的控制指令，以獲取所述儲存設備的第一特徵參數；
步驟12、基於所述第一特徵參數，判定所述儲存設備是否是所述當前保護模式指定的設備類型；若是，執行步驟13；若否，執行步驟15（見下文）；
步驟13、基於所述第一特徵參數，產生類比所述儲存設備的第二特徵參數；
步驟14、將所述第二特徵參數發送至所述電腦設備，以便建立所述電腦設備與所述儲存設備間的通訊連接。
其中，上述步驟13中「基於所述第一特徵參數，產生類比所述儲存設備的第二特徵參數」，包括：
131、獲取預設的參數模板；根據所述第一特徵參數反映出的所述儲存設備的設備類型，從所述預設的參數模板中獲取能代表所述設備類型的至少一個參數項，以得到所述第二特徵參數；或者
132、對所述第一特徵參數中的參數項進行篩選，基於篩選出的至少一個參數項，得到所述第二特徵參數。
上述參數模板替換進一步保護電腦設備和硬體特徵。即在正式接入電腦之前，使用參數模板替換或篩選。使用固定的模板，可以防止接入的儲存設備的硬體描述子出現惡意或未知的、存在風險的參數，攻擊電腦。例如，儲存設備可能帶有惡意的硬體參數，在電腦接入時，有緩衝區溢位漏洞的安全軟體在檢測描述子時，可能會執行這個帶有惡意的硬體參數中含有的惡意指令。透過對參數特徵的替換，也可以將接入儲存設備的廠商ID、設備ID、字串等硬體參數值透過保護模組進行修改，在接入後電腦設備在USB1中讀取到的是修改後的參數。這種通常有兩種使用場景：一是保護儲存設備的硬體特徵參數不洩露，例如廠商ID、設備ID、字串等；二是一些電腦設備安全軟體可以識別到保護模組的存在，並進行USB設備的接入控制，非特定的USB硬體參數不允許接入，將保護模組設置硬體參數進行接入放行，可以強制儲存設備的接入必須透過保護模組才能接入電腦設備，不允許儲存設備直接進行接入，從而保護電腦設備的數據安全。
本實施例提供的所述方法還包括：
步驟15、基於所述第一特徵參數判定所述儲存設備不是所述當前保護模式指定的設備類型時，終止與所述儲存設備的通訊；
步驟16、向所述電腦設備發送第一訊息，以便所述電腦設備基於所述第一訊息顯示虛擬硬碟標識及/或非正常設備提示訊息；
其中，若顯示有虛擬硬碟標識，所述第一訊息還包含有所述第一特徵參數對應的文字，所述文字在所述虛擬硬碟標識對應的根資料夾中保存。
這裡需要補充的是：上述步驟11~16可以是電腦設備與保護模組間的互動過程中的列舉階段中的步驟。當然，在列舉階段除對儲存設備的第一特徵參數進行保護性處理外，還可對給儲存設備的第一儲存訊息相關參數進行保護性處理。此部分內容採用技術點拆解的方式，對單技術點進行的說明。下文中將有一個整體的實施例，對本案實施例提供的方案進行詳細說明。例如，所述電腦設備與所述保護模組間的互動過程包括：準備階段、列舉階段和數據交換階段；根據所述目標設備的當前保護模式，對所述電腦設備發送的數據互動指令進行權限控制，若所述數據互動指令滿足所述當前保護模式對應的權限要求，對所述數據互動指令做出響應，為所述數據互動階段中的步驟。
在一些實施例中，在圖1所示實施例的基礎上，圖4揭示了步驟S101的具體流程示意圖。如圖4所示，步驟S101包括：
步驟S401，識別所述數據互動指令的指令類型；
步驟S402，若所述指令類型為所述權限要求對應的預設指令類型，則判定所述數據互動指令滿足所述當前保護模式對應的權限要求。
在本實施例中，指令類型包括電腦設備發送的用以讀取儲存設備中的數據的數據讀取指令，或者用以向儲存設備中的目標位置寫入數據的數據寫入指令。可選地，透過保護模組基於預設解析規則，對數據互動指令進行解析，以識別出數據互動指令的實際互動功能，並根據實際互動功能確定指令類型，從而能夠以指令類型為識別依據，直接有效的針對電腦設備發送的數據互動指令進行權限控制，避免數據互動指令透過偽裝等方式對儲存設備進行非法讀寫，從而提高儲存設備的安全性。
示例性地，當前保護模式是針對檔案A的唯讀模式，唯讀模式對應的指令類型應當為數據讀取指令，所以若指令類型為針對檔案A的數據寫入指令，則所述指令類型無法滿足當前保護模式的權限要求；若指令類型為針對檔案A的數據讀取指令，則所述指令類型滿足當前保護模式的權限要求。
在一些實施例中，在圖1所示實施例的基礎上，所述保護模式為唯讀模式，圖5揭示了第三實施例的數據安全保護方法的流程示意圖。與圖1相同的步驟不再贅述。如圖5所示，所述方法還包括：
步驟S501，響應於所述電腦設備發送的參數讀取請求，將唯讀參數返回至所述電腦設備，所述唯讀參數用以使所述電腦設備將所述儲存設備識別為唯讀設備。
在本實施例中，唯讀參數用以使電腦設備將儲存設備識別為唯讀設備。示例性地，當電腦設備與儲存設備建立通訊連接後，向儲存設備讀取設備的讀寫狀態時，在唯讀模式下，目標設備向電腦設備回饋唯讀參數，以表示儲存設備為唯讀設備，從而使電腦設備識別為唯讀設備，並使得電腦設備在正常情況下僅會向儲存設備發送數據讀取指令，而減少發送除數據讀取指令之外的其他無效指令。
可選地，上述唯讀模式可以相容其他讀寫模式，例如全硬碟唯讀模式，特定檔案讀寫模式下的唯讀模式，限制讀寫模式下的唯讀模式，以及檔案限制讀寫模式下的唯讀模式中的任意一種。
唯讀模式具體實現效果：讓電腦設備識別為唯讀設備，當電腦發送獲取設備讀寫狀態的請求時，保護模組回饋唯讀狀態的參數。例如，電腦設備發送獲取儲存設備的配置命令（MODE 6）時，保護模組返回儲存設備為唯讀設備的響應訊息。電腦設備會在驅動層將設備設置為唯讀設備，不允許數據寫入。
具體的，在保護模組收到電腦設備發送的SCSI（一種智慧的通用介面標準）或UFI（命令區塊協定）命令為0x1A（MODE 6）的請求時，回覆帶有唯讀狀態的參數數據。例如，作為普通的儲存設備（如USB隨身碟）會回覆「0x03 0x00 0x00 0x00」狀態為可讀可寫。在唯讀保護模式下，將第2位（從0位起計算）替換為0x08，回覆「0x03 0x00 0x08 0x00」。在電腦設備識別後，將其設置為唯讀設備，例如介面沒有建立資料夾的按鈕、電腦設備的檔案無法拖曳複製到儲存設備中。
使電腦設備無法發送寫數據指令。保護模組對電腦設備發送的所有通訊命令進行白名單過濾，只允許相關初始化、讀數據有關的訊息轉發至儲存設備。其他非白名單（例如SCSI或UFI命令編碼為0x28（寫入指令））的訊息直接丟棄；或者禁止寫入操作（例如SCSI或UFI命令編號為0x28（寫入指令））的訊息發送至儲存設備，保證儲存設備在通訊層始終不可寫狀態，有效防止惡意軟體繞過作業系統的限制，向儲存設備強行寫入數據。
圖6a揭示了USB隨身碟無限制（可讀可寫）狀態下的一個示例圖。在無限制（可讀可寫）狀態下，可以對磁碟中的檔案內容進行刪除、新增和編輯。例如圖6a揭示的，有選擇「新建」檔案的功能表按鈕，並可以選擇建立的檔案。
圖6b、6c和6d揭示了全硬碟唯讀模式對應的示例圖。參見圖6b所示，在全硬碟唯讀模式下（中繼設備將接入的行動儲存媒介設置為唯讀），調出的功能表中（如點擊滑鼠右鍵等），功能表中沒有「建立」檔案的功能表按鈕。如圖6c所示，在全硬碟唯讀模式下，調出的菜單中也沒有了「刪除」功能表按鈕。在全硬碟唯讀模式下，也無法對檔案進行編輯和寫入，參見圖6d所示，顯示提示視窗。圖6b、6c和6d對應的示例，是在作業系統層面的，根據唯讀參數進行的唯讀配置。如果使用者強行寫入，保護模組也對寫入的數據互動指令進行攔截。全硬碟唯讀的「全硬碟」有比較特殊的含義，並非指真的整個硬碟，而是指接入數據來源的「全硬碟」，例如在以下邏輯磁碟分割和特定資料夾模式下，也可以設置為唯讀。
在一些實施例中，在圖1所示實施例的基礎上，圖7揭示步驟S102的具體步驟示意圖。如圖7所示，所述步驟S102，包括：
步驟S601，響應於所述數據互動指令，對所述儲存設備中的目標檔案進行讀寫操作，所述讀寫操作包括讀取操作和寫入操作中的至少一種。
在本實施例中，讀取操作包括讀取目標檔案中的檔案數據（即對應磁區位址數據），並向電腦設備返回所述檔案數據；寫入操作包括將數據互動指令中攜帶的數據寫入到目標檔案中（即對應磁區位址）。目標檔案為顯示於電腦設備且允許電腦設備讀寫的檔案，其包括但不限於基於磁區映射的特定檔案、預設磁區位址對應的檔案和具有預設檔案特徵的檔案等。
可選地，對於目標設備為中繼設備時，若數據互動指令為數據讀取指令，則中繼設備將滿足權限要求的數據讀取指令轉發至儲存設備，以在儲存設備中的目標檔案進行讀取操作。對於目標設備為具有保護模組的儲存設備時，若數據互動指令為數據讀取指令，則儲存設備根據所述數據讀取指令在其目標檔案中執行讀取操作。
需要說明的是，本實施例將目標檔案作為讀寫操作的對象，以將電腦設備的讀寫限制在當前保護模式下的讀寫範圍內，從而實現讀寫操作的有效控制，提高電腦設備與儲存設備的安全性。
在一些實施例中，若所述保護模式為特定檔案讀寫模式，所述步驟S601，包括：
響應於所述數據互動指令，將所述目標檔案的磁區位址映射至目標位址，所述目標檔案為顯示於所述電腦設備的檔案；
基於所述目標位址，對所述目標檔案進行讀寫操作。
在本步驟中，目標檔案為特定檔案，特定檔案為使用者預先選定或保護模組自動建立的允許電腦設備讀寫的檔案，其能夠在電腦設備上展示給使用者。將特定檔案映射至目標位址是指將儲存設備中的特定檔案的磁區位址映射到目標位址。
可選地，目標位址可以是目標設備中的某個磁區位址，也可以是儲存設備中與特定檔案不同的某磁區位址，或是與目標設備連接的其他儲存設備的某個磁區位址，以使電腦設備僅能識別到特定檔案的存在（即在電腦設備上僅將特定檔案顯示給使用者），從而只能對特定檔案進行讀寫。可以理解的是，特定檔案應做擴大解釋，特定檔案可以是一個最小層級的檔案（例如一個A.txt文字檔案），特定檔案也可以是一個資料夾。
可選地，特定檔案可以預先選定，例如使用者可以透過具有全域權限的電腦設備對檔案進行選定，特定檔案也可以是由目標設備自動建立；在一些實施例中，可以在將儲存設備透過目標設備接入至具有全域權限的電腦設備時，將特定檔案放入至目標設備建立的臨時磁區區域中以完成檔案選定，使得特定檔案能夠與儲存設備建立映射。
特定檔案讀寫模式包括針對特定檔案的唯讀模式、只寫模式和可讀可寫模式中的至少一種。示例性地，若特定檔案讀寫模式為針對特定檔案的唯讀模式，則目標設備對電腦設備發送的數據互動指令的指令類型進行篩選，僅執行數據讀取指令，對於數據互動指令中包括讀取指令以外的其他類型指令，則不執行所述其他類型指令，並向電腦設備回饋已執行完畢的訊息。若特定檔案讀寫模式為針對特定檔案的可讀可寫模式，則目標設備對電腦設備發送的數據互動指令中的讀取指令和寫入指令均予以響應。
示例地，在特定檔案讀寫模式下，準備階段，目標設備預先讀取儲存設備的根目錄磁區位址區間（包含磁區起始位址至結尾位址，位址位置的排序可以非連續）和特定檔案的數據磁區位址區間。數據互動階段，當接收到數據互動指令時，若保護模組分析出所述數據互動指令所要讀寫的磁區位址在根目錄位址區間內，則在特定檔案對應的位址區間內進行讀寫，而原根目錄的數據無法被存取。
可選地，特定檔案的讀寫可透過讀寫限制實現：目標設備透過建立讀寫限制區域，對於非特定檔案的數據區域禁止讀取和寫入，對於特定檔案以外，只允許在空白數據區域寫入。
需要說明的是，本實施例透過選定特定檔案並映射於目標設備中，以使電腦設備僅能夠識別到特定檔案的存在，避免電腦設備直接對儲存設備中的非特定檔案的數據進行讀取或寫入，從而保護儲存設備的數據安全性。
即在當前保護模式為特定檔案模式時，本實施例提供的所述方法還包括如下各步驟：
步驟31、當所述當前保護模式為特定檔案模式時，確定所述儲存設備中的至少一個特定檔案或資料夾；
步驟32、獲取所述至少一個特定檔案或資料夾的位址訊息；
步驟33、建立所述至少一個特定檔案或資料夾的位址訊息與根目錄位址的映射關係。
當設置為特定檔案讀寫時，由使用者先行在儲存設備中建立，或保護模組自動在儲存設備中建立固定的特定資料夾，並可預先存放需要被電腦設備讀取的資料夾或檔案數據，使電腦設備能夠讀取數據、修改數據或拷貝檔案，也可以設置為唯讀模式。當設置為空白資料夾讀寫時，保護模組在儲存設備中自動建立一個新的資料夾，並作為特定資料夾，使電腦設備讀取根目錄時得到一個「空白硬碟」的數據。可以使電腦設備智慧讀寫使用者允許操作的特定檔案或資料夾，或者可以自動建立新的空白資料夾用以電腦設備只能寫入新的檔案，無法讀取已有的檔案等。其中，可用空間為實際儲存設備的剩餘空間。
參見對比圖8，未連接中繼設備的儲存設備或沒有集成保護模組的儲存設備直接接入電腦設備，先顯示儲存設備根目錄下的所有檔案。再點擊打開「根目錄/SAFEDIR.NEW/THEDIR.NEW」資料夾後，顯示所述資料夾內的檔案：THEFILE_1.txt、THEFILE_2.txt。假設採用本案實施例提供的方案，「根目錄/SAFEDIR.NEW/THEDIR.NEW/」資料夾被設置為特定資料夾。儲存設備透過保護模組接入電腦設備後，電腦設備上只能顯示「根目錄/SAFEDIR.NEW/THEDIR.NEW/」資料夾內的檔案：THEFILE_1.txt、THEFILE_2.txt的兩個檔案，其上級目錄和其他檔案不可顯示。
由此可知，本實施例提供的所述方法還可包括如下步驟：
電腦設備與儲存設備建立通訊後，接收到所述電腦設備請求讀取所述儲存設備的根目錄位址時，基於所述映射關係，確定與所述根目錄位址存在映射關係的至少一個特定檔案或資料夾的位址訊息，以讀取所述位址訊息對應的數據。
為了更方便理解，此處對上文中提及的保護模組建立特定資料夾映射的流程進行說明：
1、保護模組預先讀取儲存設備的訊息，獲取根目錄起始磁區位址以及磁區位址集合；
2、如果為特定資料夾模式，則分析根目錄磁區位址，按照檔案系統協定，根據特定資料夾的檔名、檔案路徑等檔案特徵，尋找特定資料夾的起始磁區位址以及磁區位址集合；
3、如果為空白的特定資料夾模式，則按照檔案系統協定，根據預設的檔案路徑、檔名等規則，建立新的資料夾，並作為特定資料夾的起始磁區位址以及磁區位址集合；
4、建立特定資料夾磁區位址（或儲存數據空間位址集合）與根目錄磁區位址（或儲存數據空間位址集合）的映射關係。當電腦設備在請求讀取根目錄磁區位址數據時，返回映射的特定資料夾磁區對應的位址數據。例如，在FAT檔案系統中，磁區位址集合為特定資料夾或根目錄的群組鏈對應的所有磁區位址集合。具體的：
4.1、基於磁區位址之間的映射。例如，儲存設備的根目錄起始磁區位址為：17348磁區。特定資料夾的起始磁區位址為：17396磁區時，當電腦設備發送讀取17348磁區指令時，保護模組讀取儲存設備的17396磁區數據並返回。例如，儲存設備的根目錄的第2磁區位址為：17349磁區。特定資料夾的第2磁區位址為：17397磁區時，當電腦設備發送讀取17349磁區指令時，保護模組讀取儲存設備的17397磁區數據並返回。
4.2、基於檔案分配表的替換。檔案分配表是用以記錄具體檔案內容數據所在磁區位址（具體的記錄為檔案系統劃分的群組或區塊）的所有集合。一般為鏈式結構（群組位置固定，上一群組記錄下一群組的群組號）。電腦設備基於檔案分配表記錄的磁區位址進行檔案數據的讀寫。
例如，儲存設備的根目錄數據記錄的位址為：第3群組（記錄第4群組）、第4群組（記錄第5群組）、第5群組（記錄終止標記）。特定資料夾數據記錄的位址為：第6群組（記錄第7群組）、第7群組（記錄第8群組）、第8群組（記錄終止標記）。當電腦設備發送讀取檔案分配表磁區數據指令時，保護模組讀取儲存設備的檔案分配表數據，替換為在第3群組（記錄第7群組），返回。例如當電腦讀取根目錄數據的群組鏈表第2群組時（第一群組的數據可以透過磁區位址之間的映射），直接跳轉到特定資料夾數據的群組鏈（特定資料夾的第2群組），進一步讀取特定資料夾數據的磁區位址。
4.3、基於檔案系統引導訊息的替換。檔案系統引導訊息一般儲存有起始目錄內容數據的位址（例如群組號）。當電腦設備發送讀取檔案系統引導訊息磁區數據指令時，保護模組讀取儲存設備的引導訊息磁區數據，將起始目錄位址替換為在第6群組（記錄第7群組）並返回，使電腦直接以第6群組（特定資料夾數據的起始群組）開始的數據作為根目錄數據。
由此可知，所述至少一個特定檔案或資料夾的位址訊息包括：至少一個特定檔案或資料夾的起始磁區位址；或者檔案分配表中至少一個特定檔案或資料夾被記錄的群組或區塊訊息。
上述的檔案系統引導訊息磁區位址、檔案分配表磁區位址是基於檔案系統，由保護模組的預先讀取儲存設備的數據分析得到的。
在一些實施例中，所述目標檔案包括所述儲存設備已有的特定檔案或預設檔案，或者在所述電腦設備與所述儲存設備建立通訊連接前自動產生的檔案。
在本實施例中，已有的特徵檔案為固定存在於儲存設備的檔案，預設檔案可以為空白檔案，即預設檔案中不會顯示儲存設備中的任何現存數據；預設檔案也可以為包含非重要數據的預設檔案。預設檔案可以在儲存設備在接入電腦設備前自動建立，也可以是儲存設備原有的空白資料夾，也可以是目標設備產生的臨時資料夾。
在一種可能實施的方式中，對於預設檔案為空白檔案，其不存在可讀檔案數據，所以讀取不到相應檔案數據。在接收到寫入指令時，根據寫入指令在空白檔案（即對應的磁區位址）寫入數據，對於電腦設備在本次數據互動中成功寫入到空白檔案的數據，其可被電腦設備識別和讀取。本實施例透過建立空白檔案與目標設備之間的映射，使電腦設備無法讀取到儲存設備中的原有數據區的檔案數據，而對空白檔案進行讀取與寫入，從而限制電腦設備的讀寫權限，保護儲存設備的數據安全性。
可選地，在向預設檔案中寫入數據時，電腦設備顯示所寫入的數據，也可以不顯示寫入的數據。
還有如上文中提及到的：當設置為特定檔案讀寫時，由使用者先行在儲存設備中建立，或保護模組自動在儲存設備中建立固定的特定資料夾。其中，對使用者先行建立不作說明。這裡對保護模組自動在儲存設備中建立固定的特定資料夾進行說明。即本案實施例提供的所述方法的執行主體保護模組還具有自動建立特定資料夾的功能。具體的，本實施例提供的所述方法還包括如下步驟：
步驟21、當所述當前保護模式為特定檔案模式時，輸出是否設置空白檔案或資料夾的提示訊息；
步驟22、響應於使用者針對所述設置空白檔案或資料夾的提示訊息的確認指令，在所述儲存設備中建立一個檔案或資料夾，作為所述特定檔案模式對應的特定檔案或資料夾；
步驟23、響應於使用者針對所述設置空白檔案或資料夾的提示訊息的否定指令，獲取使用者指定的至少一個檔案或資料夾，將使用者指定的至少一個檔案或資料夾作為所述特定檔案模式對應的特定檔案或資料夾。
舉一個具體場景，特定檔案模式被選中後，所述保護模組的載體，如儲存設備、中繼設備、電腦設備、可信任設備等這些帶有互動模組的設備，就會輸出是否設置空白檔案或資料夾的提示訊息。若使用者針對所述設置空白檔案或資料夾的提示訊息做出確認指示，則所述儲存設備中建立一個檔案或資料夾，作為所述特定檔案模式對應的特定檔案或資料夾。若使用者針對所述設置空白檔案或資料夾的提示訊息觸發否定指示，則等待使用者指定儲存空間中的至少一個檔案或資料夾作為所述特定檔案模式對應的特定檔案或資料夾。
也就是說，在特定檔案模式被選中後，保護模組給使用者提供了選擇建立空白檔案作為特定檔案或資料夾，還是使用者指定檔案或資料夾作為特定檔案或資料夾的選擇機會，保護模組根據使用者指令確定儲存區域中的所述特定檔案模式對應的特定檔案或資料夾。當然，保護模組也可隨機確定一個已有的檔案或資料夾作為特定檔案模式對應的特定檔案或資料夾。例如，保護模組基於預置的選擇策略或演算法，自儲存空間中選出至少一個符合所述策略或演算法的檔案或資料夾作為特定檔案模式對應的特定檔案或資料夾；也可以根據預設策略（例如檔案路徑和檔名），自動完成建立特定檔案或資料夾，可以不需要人為干預。其中，本實施例對選擇策略或演算法的具體實現不作限定。
圖9b和9c揭示了特定檔案模式下特定資料夾對應的示例圖。圖9a和9d揭示了全域權限（即未進行特定資料夾映射，未開啟特定資料夾模式）視角下可看見的情況，目的是為了產生對比效果，體現本案方案的區別。參見圖9a，如果在全域權限（即未進行特定資料夾映射，未開啟特定資料夾模式）視角下，可以看到根目錄下有SAFEDIR.NEW資料夾（特定資料夾），資料夾內有NEWDIR.NEW（空白資料夾根目錄）、THEDIR.NEW資料夾（固定的特定資料夾）。所述資料夾可以由使用者建立，也可以由保護模組自動產生。THEDIR.NEW資料夾有2個檔案。如圖9b，在特定檔案模式下，映射至固定的特定資料夾，具有保護模組的儲存設備或儲存設備透過中繼設備接入電腦設備後，在電腦設備上只能看到根目錄下有2個檔案（THEDIR.NEW），並且可以讀、或寫、或讀寫等等，看不到SAFEDIR.NEW資料夾及資料夾內的NEWDIR.NEW根目錄，也看不到其他檔案，包括USB隨身碟根目錄下的其他檔案。圖9c揭示了在特定檔案模式（映射到固定的特定檔案）下，繼續新增一個檔案THEFILE_3_NEW.txt的示例。圖9d揭示了在全域權限（即未進行特定資料夾映射，未開啟特定資料夾模式）視角下可以看到THEDIR.NEW資料夾內，新增的THEFILE_3_NEW.txt檔案的情況。
圖10a、10b、10c和10d揭示了特定檔案模式下空白資料夾為特定檔案對應的示例圖。如圖特定檔案模式下特定檔案為空白資料夾時，在電腦設備的介面上顯示的所述USB隨身碟內為空，如圖10a所示。當然，所述USB隨身碟是有數據的，只是因為特定資料夾為空白資料夾，映射到所述空白資料夾，致使從電腦設備的使用者角度來看所述USB隨身碟內為空，沒有數據。圖10b揭示了在當前保護模式為特定檔案模式下空白資料夾時，自動建立或使用者建立的NEWFILE_1檔案的情況。圖10b為USB隨身碟第一次運行時對應的情況，使用者可看見新建立的空白檔案。圖10c揭示了在當前保護模式為特定檔案模式下空白資料夾時，USB隨身碟第二次運行（即具有保護模組的USB隨身碟或連接中繼設備的USB隨身碟再次連接電腦設備），上述圖10b中的NEWFILE_1檔案看不見了。圖10d揭示了在當前保護模式為特定檔案模式下空白資料夾時，自動建立或使用者建立的NEWFILE_2檔案的情況。因為，此次是新建立的，使用者是可以看見NEWFILE_2檔案的。
圖11a和11b揭示了全域權限視角下瀏覽NEWFILE_1檔案和NEWFILE_2檔案，這兩個建立的檔案對應的目錄。參見圖11a揭示的例子，在USB隨身碟的NEWDIR.NEW目錄下自動建立了1.NEW子目錄，並有第1次運行「空白資料夾模式」建立的NEWFILE_1檔案。參見圖11b揭示的例子，在USB隨身碟的NEWDIR.NEW目錄下自動建立了2.NEW子目錄，並有第2次運行「空白資料夾模式」建立的NEWFILE_2檔案。
另外需要說明的是：因為特定資料夾模式，只是將資料夾映射到根目錄，不影響原有的儲存空間，這與下文中提及邏輯磁碟分割模式不同。邏輯磁碟分割模式在磁碟分割時會對儲存設備的儲存空間（如可用空間）進行劃分。
在一些實施例中，若所述保護模式為限制讀寫模式，所述步驟S601，包括：
響應於所述數據互動指令，基於預設磁區位址區間，對所述數據互動指令對應的目標磁區位址進行驗證，所述目標磁區位址為所述儲存設備基於所述數據互動指令執行讀寫操作時的磁區位址；
若所述目標磁區位址在所述預設磁區位址區間內，則在所述儲存設備的目標磁區位址進行讀寫操作。
透過磁區限制讀寫模式，對於儲存設備使用者來說，可以保護儲存設備的特定磁區區間的數據不被讀取、修改或寫入（基於磁區區間）。對於電腦設備使用者來說，特定磁區數據無法進行讀取，可以保護電腦設備免遭惡意數據的攻擊。
具體實現方式為：電腦設備向保護模組發送讀取磁區數據或寫入磁區數據的互動指令時，保護模組判斷所述互動指令操作的磁區位址是否符合預設的特定磁區區間規則，如果符合就執行，如果不符合就不執行。
另外，在不符合的情況下，必然會響應寫入或讀取的失敗狀態。電腦設備會認為儲存設備存在問題繼而反復進行無效的操作。為此，保護模組可以返回執行成功的響應、響應空白數據、響應其他非真實的數據，使電腦認為執行成功。實際上保護模組沒有真正的操作儲存設備的數據，防止電腦設備認為操作失敗，不斷嘗試操作。
上述特定磁區區間規則的設置。一種可實現的技術方案是，特定磁區區間可以人工預先設置，例如設置0~9999磁區區間唯讀，50000~69999磁區區間只能寫入，80000~99999磁區區間不可讀也不可寫，其他磁區區間可讀可寫。另一種可實現的技術方案是：特定磁區區間也可以是透過保護模組或外部設備自動設置的。例如，在進一步保護特定檔案數據的讀寫權限時（例如在準備階段）：
一、建立儲存設備引導區、檔案系統引導區的保護磁區位址區間。保護模組預先讀取儲存設備，尋找儲存設備引導區、檔案系統引導磁區區間，建立對應的磁區區間集合，並設置所述磁區區間為唯讀權限。防止電腦惡意寫入破壞其數據，導致檔案數據無法被正常讀取。
二、建立特定資料夾、檔案的保護磁區位址區間。保護模組預先讀取儲存設備，透過對特定檔案、資料夾的檔案數據特徵或檔案屬性（例如檔案類型）特徵進行判斷，再根據檔案系統規則尋找特定檔案、資料夾對應的磁區位址數據，並建立對應的特定檔案數據磁區區間數據集合。並設置所述磁區集合可讀可寫權限，在檔案系統數據區（檔案系統引導區除外）的磁區位址不能讀寫權限。防止非特定資料夾數據被透過磁區掃描（從0磁區至結尾磁區）的方式讀取到。
三、建立未使用磁區位址的可讀防止寫入區間。保護模組預先讀取儲存設備，透過檔案系統的規則，分析出未分配使用的磁區位址區間。例如，在FAT檔案系統中（包括FAT32、exFAT等），讀取檔案分配表的未分配使用的群組號，可以進一步轉換未分配使用磁區位址區間的集合。並設置可讀寫權限，在特定資料夾模式中，可以使電腦建立檔案和寫入數據；也可以設置為只寫權限，也防止讀取未分配使用磁區位址的舊數據（例如已刪除的檔案數據）。其中，檔案刪除原理大體為：電腦設備一般只會將刪除的檔案標記為刪除狀態，並將數據儲存的空間標記為未分配使用（例如清空群組鏈），但是儲存空間的數據仍存在，如果沒有被覆蓋寫入，刪除檔案的數據可以被讀取。
在本實施例中，限制讀寫模式包括針對預設磁區位址區間內的檔案的唯讀模式、只寫模式和可讀可寫模式。預設磁區位址區間包括允許電腦設備讀寫的所有磁區位址，其可以預先設置得到。
可選地，保護模組對數據互動指令中所要執行讀寫操作的目標磁區位址進行識別，並在所述目標磁區位址在預設磁區位址區間內時，執行讀寫操作，從而控制電腦設備可以讀寫數據的磁區位址，以保護儲存設備的數據安全性。例如，數據互動指令所要讀寫的檔案的目標磁區位址為儲存設備的第0至499磁區，若當前限制讀寫模式僅允許讀寫儲存設備的第500至999磁區，則目標磁區位址不在預設磁區位址區間內，若當前限制讀寫模式允許讀寫儲存設備第0至499磁區，則目標磁區位址在預設磁區位址區間內。
需要說明的是，本實施例透過限制讀寫模式，能夠將儲存設備允許的讀寫範圍限制在預設磁區位址區間內，以滿足在某些需要限制讀寫的場景。
在一些實施例中，在所述保護模式為檔案限制讀寫模式時，所述步驟S601，包括：
響應於所述數據互動指令，基於預設檔案特徵，對所述數據互動指令對應的目標檔案特徵進行驗證，所述目標檔案特徵為所述儲存設備基於所述數據互動指令執行讀寫操作時對應的檔案特徵；
若所述目標檔案特徵符合所述預設檔案特徵，則對所述儲存設備中的所述目標檔案進行讀寫操作。
透過檔案限制讀寫模式，限制電腦設備向儲存設備讀取或寫入符合預設規則的檔案，檔案的預設規則有檔名、檔案類型（如檔名命名規則、檔案尾碼、檔案內容對應的特定位置的特徵值等。
對於儲存設備使用者來說，可以保護儲存設備的特定檔案類型檔案的數據不被讀取（例如只能讀取DOC文件，或者禁止讀取PDF類型的檔案）、修改（例如只能修改DOC文件，或者禁止讀取PDF類型的檔案）、刪除（例如禁止刪除DOC文件，或者只能刪除PDF類型的檔案）、建立（例如禁止寫入檔案類型為EXE可執行檔案類型的檔案，只能建立DOC文件）。對於電腦設備使用者來說，可以保護電腦設備免遭惡意程式的攻擊，例如日常工作場景只需要拷貝PDF和DOC檔案，僅允許讀取或寫入儲存設備的PDF和DOC格式的檔案，其他檔案類型（如EXE可執行檔案）禁止讀取，避免先進的木馬病毒檔案繞過安全軟體限制，攻擊電腦設備。
具體實現方法：
1、在限制電腦設備讀取（包括複製）或修改檔案內容數據時：
1.1、尋找需要控制的檔案。保護模組在儲存設備中，預先尋找出禁止存取或者允許存取的檔案，以及檔案內容數據對應的磁區位址區間（例如起始磁區等）。
1.2、判斷讀寫數據互動指令。當電腦的互動指令為讀寫控制檔案的磁區位址時，根據可讀、或者可寫權限做出判斷。
1.3、根據設置的權限做出響應。在磁區位址具有讀取或寫入權限時，讀取或寫入儲存設備對應磁區的數據並返回；在磁區位址禁止讀取或寫入時，可以返回錯誤的狀態響應，也可以返回執行成功的響應、或者響應空白數據、或者響應其他非真實的數據，使電腦認為執行成功，實際上保護模組沒有真正的操作儲存設備的數據，防止電腦設備認為操作失敗，不斷嘗試操作。
即上述過程可總結為：
所述數據互動指令滿足所述當前保護模式對應的權限要求，且所述數據互動指令為讀取或修改檔案內容數據時，確定磁區位址，讀取或寫入儲存設備對應磁區的數據並返回；
所述數據互動指令不滿足所述當前保護模式對應的權限要求時，返回錯誤的狀態響應、或返回執行成功響應、或響應空白數據、或將預設數據作為回饋數據進行響應。
2、在限制電腦設備建立新檔案、刪除檔案或修改檔案屬性時：
2.1、尋找資料夾數據磁區位址集合（例如在準備階段）。保護模組在儲存設備中的情況，預先尋找根目錄，讀取根目錄下子目錄和檔案訊息，基於子目錄繼續讀取下級目錄和檔案訊息，直至找出具有需要控制的資料夾（可以為至少一個特定檔案、特定資料夾集合或包括根目錄的全部資料夾），以及資料夾數據對應的磁區位址區間（例如起始磁區等）。
2.2、判斷讀寫數據互動指令。當電腦設備寫入的磁區位址為資料夾數據位址時，對比讀取儲存設備對應的磁區位址的數據，判斷電腦設備操作的動作（建立檔案、修改檔案屬性、刪除檔案）和檔案類型（根據檔名規則、檔案尾碼、檔案具體數據等）。例如：
電腦設備寫入的數據為包含檔案訊息的A.txt、B.txt、C.txt三個數據，但是儲存設備對應磁區位址現有的數據為A.txt、B.txt，則判斷電腦設備要將建立C.txt檔案；
電腦設備寫入的數據為包含檔案訊息的為A.txt、B.txt（標記為刪除狀態），或者寫入的數據為僅包含檔案訊息的為A.txt，則判斷電腦設備要將刪除B.txt檔案；
電腦設備寫入的數據為包含檔案訊息的為A.txt、C.txt（檔案其他屬性不變），或寫入的數據為包含檔案訊息的為A.txt、B.txt（刪除狀態）、C.txt（其他檔案屬性與B.txt一致），則判斷電腦設備要將B.txt檔名修改為C.txt；
電腦設備寫入的數據為包含檔案訊息的為A.txt、B.txt（檔案建立時間等數據與儲存設備現有的數據不一致），則判斷電腦設備要將修改B.txt的檔案屬性訊息。
具體的，表3-表6的判斷建立檔案、判斷刪除檔案、判斷修改檔名、判斷修改檔案屬性示例所示。例如：保護模組先預先記錄showdir資料夾（可以為至少一個或多個或全部資料夾，包括根目錄等）磁區位址集合（至少一個磁區位址）。當電腦發送的數據互動指令匹配到showdir資料夾的磁區位址集合時，保護模組在執行寫入操作前，前預先讀取對應磁區數據進行對比判定，並根據保護模式的預設執行下一步操作。
[表3] 判斷建立檔案示例
[表4] 判斷刪除檔案示例
[表5] 判斷修改檔名示例
[表6] 判斷修改檔案屬性示例
| 1.保護模組預先記錄showdir資料夾磁區位址集合 | 記錄的磁區位址集合包括：0x00010038 | 設置需要進行檔案操作識別的磁區位址集合 |
| 2.電腦設備發送的數據互動指令 | 寫入磁區位址包括：0x00010038 寫入磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 42202020202020205458542010a10ab4 a856a8560000cdb3a8561c0007000000 41202020202020205458542010a40ab4 a856a8560000c8b3a8561d0006000000 432020202020202054585420109a8cb4 a856a85600008db4a85626000d00000000000000000000000000000000000000 ...空位元組至512位元組 | 命中識別的磁區位址 寫入的數據有： A.txt、 B.txt、 C.txt共3個檔案數據 |
| 3.保護模組在執行寫入操作前，前預先讀取對比數據 | 讀取磁區位址包括：0x00010038； 磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 42202020202020205458542010a10ab4 a856a8560000cdb3a8561c0007000000 41202020202020205458542010a40ab4 a856a8560000c8b3a8561d000600000000000000000000000000000000000000 ...空位元組至512位元組 | 對比數據有： A.txt、 B.txt共2個檔案 對比結果：在原儲存磁區空間（或showdir資料夾）將新增C.txt檔案數據 |
| 4.保護模組判定操作 | 電腦設備要向showdir資料夾中建立C.txt檔案 | |
| 5.保護模組根據保護模式執行下一步操作：是否允許建立等，或者觸發其他保護模式等 |
| 1.保護模組預先記錄showdir資料夾磁區位址集合 | 記錄的磁區位址集合包括：0x00010038 | 設置需要進行檔案操作識別的磁區位址集合 |
| 2.電腦設備向保護模組發送的數據互動指令（類型1） | 寫入磁區位址包括：0x00010038 寫入磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 e5 202020202020205458542010a10ab4 a856a8560000cdb3a8561c0007000000 41202020202020205458542010a40ab4 a856a8560000c8b3a8561d0006000000 432020202020202054585420109a8cb4 a856a8560000d1b3a85626000d00000000000000000000000000000000000000 ...空位元組至512位元組 | 命中識別的磁區位址 寫入的數據有： A.txt、 C.txt共2個正常檔案數據， 1 個標記為刪除（0xE5 ）的檔案數據 |
| 2.電腦設備向保護模組發送的數據互動指令（類型2） | 寫入磁區位址包括：0x00010038 寫入磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 41202020202020205458542010a40ab4 a856a8560000c8b3a8561d0006000000 432020202020202054585420109a8cb4 a856a8560000d1b3a85626000d00000000000000000000000000000000000000 ...空位元組至512位元組 | 命中識別的磁區位址 寫入的數據有： A.txt、 C.txt共2個檔案數據 |
| 3.保護模組在執行寫入操作前，前預先讀取對比數據 | 讀取磁區位址包括：0x00010038； 磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 42202020202020205458542010a10ab4 a856a8560000cdb3a8561c0007000000 41202020202020205458542010a40ab4 a856a8560000c8b3a8561d0006000000 432020202020202054585420109a8cb4 a856a85600008db4a85626000d00000000000000000000000000000000000000 ...空位元組至512位元組 | 對比數據有： A.txt、 B.txt、 C.txt共3個檔案數據 對比結果：在原儲存磁區空間（或showdir 資料夾）的B.txt 檔案將被標記為刪除（類型1 ）或者B.txt 檔案數據被清空（類型2 ） |
| 4. 保護模組判定 | 電腦設備要在showdir 資料夾中刪除B.txt 檔案 | |
| 5. 保護模組根據保護模式執行下一步操作：是否允許刪除，或者觸發其他保護模式等 |
| 1.保護模組預先記錄showdir資料夾磁區位址集合 | 記錄的磁區位址集合包括：0x00010038 | 設置需要進行檔案操作識別的磁區位址集合 |
| 2.電腦設備向保護模組發送的數據互動指令 | 寫入磁區位址包括：0x00010038 寫入磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 4320202020202020545854201095d31d a956a9560000cdb3a856370007000000 4120202020202020545854201098d31d a956a9560000c8b3a85638000600000000000000000000000000000000000000 ...空位元組至512位元組 | 命中識別的磁區位址， 寫入的數據有： A.txt、 C.txt共2個檔案數據 |
| 3.寫入前預先讀取對比數據 | 讀取磁區位址包括：0x00010038； 磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 4220202020202020545854201095d31d a956a9560000cdb3a856370007000000 4120202020202020545854201098d31d a956a9560000c8b3a85638000600000000000000000000000000000000000000 ...空位元組至512位元組 | 對比數據有： A.txt、 B.txt共2個檔案數據 對比結果：在原儲存磁區空間（或showdir 資料夾）的B.txt 檔案訊息要被清除，並添加了C.txt 檔案訊息。C.txt 檔案訊息除了檔名與原檔案B.txt 不一致外，其他訊息一致。 |
| 4.判定電腦設備操作 | 將B.txt檔案的檔名修改為C.txt | |
| 5.根據保護模式執行下一步操作：是否允許修改檔名，或者觸發其他保護模式等 |
| 1.保護模組預先記錄showdir資料夾磁區位址集合 | 記錄的磁區位址集合包括：0x00010038 | 設置需要進行檔案操作識別的磁區位址集合 |
| 2.電腦設備向保護模組發送的數據互動指令 | 寫入磁區位址包括：0x00010038 寫入磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 4120202020202020545854201063b2b5 a856a8560000c8b3a856270006000000 4220202020202020545854201068b2b5 a856a856000095b6a8562e000a00000000000000000000000000000000000000 ...空位元組至512位元組 | 命中識別的磁區位址， 寫入的數據有： A.txt、 C.txt共2個檔案數據 |
| 3.寫入前預先讀取對比數據 | 讀取磁區位址包括：0x00010038； 磁區位址0x00010038的數據為： 2e202020202020202020201000a5f5b3 a856a8560000f6b3a8561b0000000000 2e2e2020202020202020201000a5f5b3 a856a8560000f6b3a856000000000000 4120202020202020545854201063b2b5 a856a8560000c8b3a856270006000000 4220202020202020545854201068b2b5 a856a8560000cdb3a8562e000700000000000000000000000000000000000000 ...空位元組至512位元組 | 對比數據有： A.txt、 B.txt共2個檔案數據 對比結果：在原儲存磁區空間（或showdir 資料夾）的B.txt 檔案屬性要被修改，修改的屬性為檔案大小和修改時間。修改檔案大小和修改時間屬性，可能要進行檔案數據修改 |
| 4.判定電腦設備操作 | 修改B.txt檔案的檔案屬性，進一步判斷為要修改檔案數據 | |
| 5.根據保護模式執行下一步操作：是否允許修改檔案屬性或數據，或者觸發其他保護模式等 |
即上述過程可總結為：
所述數據互動指令滿足所述當前保護模式對應的權限要求，且所述數據互動指令為建立新檔案、刪除檔案或修改檔案時，確定磁區位址；
若所述數據互動指令包含多個檔案的訊息，所述儲存設備對應的所述磁區位址含有所述多個檔案中的部分檔案，則確定所述電腦設備要在所述磁區位址建立至少一個檔案；其中，建立的至少一個檔案為所述多個檔案中除已有的部分檔案之外的剩餘檔案；
若所述數據互動指令包含多個檔案的訊息，且所述多個檔案中至少部分檔案帶有刪除標記，則查找所述儲存設備對應所述磁區位址內與所述多個檔案中帶有刪除標記的部分檔案關聯的至少一個預刪除檔案；確定所述電腦設備要將所述至少一個預刪除檔案刪除；
若所述數據互動指令包含第一檔案集合，所述儲存設備對應的所述磁區位址含有第二檔案集合，且所述第一檔案集合為所述第二檔案集合的子集，則確定所述電腦設備要將所述第二檔案集合中不屬於所述第一檔案集合的至少一個檔案刪除；
若所述數據互動指令包含的第一檔案的除檔名外的屬性訊息與所述儲存設備對應的所述磁區位址內的第二檔案的除檔名外的屬性訊息相同，則確定所述電腦設備要將所述磁區位址內的所述第二檔案的檔名修改為所述第一檔案的檔名；
若所述數據互動指令包含的第一檔案的檔名與所述儲存設備對應磁區位址內的第二檔案的檔名相同，且所述第一檔案的除檔名外的屬性訊息與所述第二檔案的除檔名外的屬性訊息不同，則確定所述電腦設備要將所述第二檔案的除檔名外的屬性訊息修改為所述第一檔案的除檔名外的屬性訊息。
這裡需要補充的：在修改的屬性訊息可以為檔案大小、時間等屬性，還可能要進行檔案數據的修改。即上述步驟「若所述數據互動指令包含的第一檔案的檔名與所述儲存設備對應磁區位址內的第二檔案的檔名相同，且所述第一檔案的除檔名外的屬性訊息與所述第二檔案的除檔名外的屬性訊息不同，則確定所述電腦設備要將所述第二檔案的除檔名外的屬性訊息修改為所述第一檔案的除檔名外的屬性訊息」，可具體為：
若所述數據互動指令包含的第一檔案的檔名與所述儲存設備對應磁區位址內的第二檔案的檔名相同，且所述第一檔案的除檔名外的屬性訊息與所述第二檔案的除檔名外的屬性訊息不同，則確定所述電腦設備要將所述第二檔案的除檔名外的屬性訊息修改為所述第一檔案的除檔名外的屬性訊息；
若電腦設備要修改的屬性訊息包括檔案大小和時間，則確定電腦設備要修改所述第二檔案的檔案數據。
3、根據預設的權限做出響應。
即本案實施例提供的所述方法還包括如下步驟：
基於當前保護模式，對所述電腦設備要執行的操作進行權限判定或觸發其他保護模式。
例如，在確定電腦設備要在所述磁區位址建立至少一個檔案時，保護模組基於當前保護模式判定是否允許建立，或觸發其他保護模式。
在確定所述電腦設備要將所述至少一個預刪除檔案刪除或確定所述電腦設備要將所述第二檔案集合中不屬於所述第一檔案集合的至少一個檔案刪除時，保護模組基於當前保護模式判定是否允許刪除，或觸發其他保護模式。
確定所述電腦設備要將所述磁區位址內的所述第二檔案的檔名修改為所述第一檔案的檔名時，保護模組基於當前保護模式判定是否允許修改檔名，或觸發其他保護模式。
確定所述電腦設備要將所述第二檔案的除檔名外的屬性訊息修改為所述第一檔案的除檔名外的屬性訊息及/或修改所述第二檔案的檔案數據時，保護模組基於當前保護模式判定是否允許修改屬性訊息及/或修改檔案數據，或觸發其他保護模式。
其中，上文中觸發的其他保護模式可以是與當前保護模式組合在一起的至少一個保護模式，如加密寫入模式、人工確認模式等等。
在寫入的檔案類型具有建立檔案、修改檔案屬性、刪除檔案等限制時：一是，可以返回錯誤的狀態響應，也可以返回執行成功的響應，或者響應空白數據、或者響應其他非真實的數據（例如電腦進一步讀取驗證時，保護返回其寫入的數據），使電腦設備認為執行成功，實際上保護模組沒有真正的操作儲存設備的數據，防止電腦設備認為操作失敗，不斷嘗試操作。二是，無權限建立檔案時，在資料夾數據中正常寫入，但是寫入的檔案內容數據為非真實數據，使電腦設備認為執行成功，儲存設備也真實建立所述檔案，但是檔案的內容數據非真實，可以避免惡意程式碼的執行，防止電腦設備認為操作失敗，不斷嘗試操作。響應還可以包括人工確認模式、加解密模式、檔案異常模式等至少一種保護模式的判斷。
其中，在限制電腦設備讀取資料夾中的檔案屬性數據時：按照檔案讀取規則，判斷數據互動指令。在儲存設備中的檔案不符合檔案讀取規則時，向電腦設備響應非真實的數據，將檔案在電腦設備中進行隱藏，例如：一是將檔案屬性替換為已刪除狀態，向電腦設備返回，以使電腦設備認為檔案已刪除，不再顯示；二是將檔案屬性中的起始磁區位址（或者檔案系統中稱的起始群組、起始區塊）替換為0x00、檔案大小替換為0位元組，使電腦設備無法直接讀取到檔案的數據；三是可以以空白數據等非真實的數據代替檔案對應的數據，使電腦設備無法讀取真實的數據，防止電腦設備認為操作失敗，不斷嘗試操作。使電腦設備無法讀取檔案的正確屬性，無法在電腦上進行顯示，以及進一步檔案內容數據的讀取等操作。
在本實施例中，檔案限制讀寫模式包括針對具有預設檔案特徵的檔案的唯讀模組、只寫模式和可讀可寫模式。預設檔案特徵是指預先配置的允許電腦設備進行讀寫的檔案所具有的特徵參數，其包括但不限於檔名、檔案尾碼、檔案類型、檔案大小、檔案內容數據中預設磁區數據對應的雜湊值、檔案中預設磁區數據中特定位置對應預設的位元組值（類似關鍵字比對命中的，例如判斷第5頁第10個字是否為0x88，相當於：判斷第5磁區第10個位元組為0x88）等檔案特徵。可選地，透過預設黑名單檔案特徵或白名單特徵，禁止或允許對應檔案的讀寫。例如，若檔案限制讀寫模式具體為針對PDF檔案類型的唯讀模式，則在執行讀取操作時，唯讀取儲存設備中的PDF檔案，其他檔案類型無法被讀取。
示例性地，當儲存設備與電腦設備建立通訊時，目標設備按照對應檔案系統的預設規則，自動抓取儲存設備內允許被電腦設備存取的所有檔案的屬性（如檔名、起始磁區位址等），並建立檔案唯一標識和起始磁區位址的對應關係。對於讀取操作：當電腦設備讀取磁區位址為某個檔案的起始位址時，則認為要讀寫所述檔案，則查詢所述檔案是否具備預設檔案特徵。對於讀取操作：當電腦設備寫入某個檔案時，先將所述檔案的屬性（檔名、起始磁區位址等）更新寫入至對應的資料夾數據，透過寫入的資料夾數據進行比對，判斷出所要寫入的檔案的屬性，再判斷所述檔案是否具備預設檔案特徵。
需要說明的是，本實施例透過檔案限制讀寫模式，以滿足使用者希望電腦設備只能讀取具有預設檔案特徵的檔案的場景需求，從而提高儲存設備的數據安全性。
在一些實施例中，所述預設檔案特徵包括檔案中預設磁區數據對應的第一雜湊值；所述基於預設檔案特徵，對所述數據互動指令對應的目標檔案特徵進行驗證，包括：
計算所述目標檔案中預設磁區數據的第二雜湊值；
若所述第二雜湊值與所述第一雜湊值一致，則判定所述目標檔案特徵符合所述預設檔案特徵；
若所述第二雜湊值與所述第一雜湊值不一致，則判定所述目標檔案特徵不符合所述預設檔案特徵。
在本實施例中，預設磁區數據為預先選定的磁區中的數據，例如預設磁區為第一磁區，則計算電腦設備所要讀寫的目標檔案所在的第一磁區部分數據的第二雜湊值。在第二雜湊值與第一雜湊值一致時，則判定所述目標檔案特徵符合所述預設檔案特徵。示例性地，檔案A中預設磁區數據B的第一雜湊值為533c3057ec5801aa39e9257066890928，當需要讀寫檔案A中的預設磁區數據B時，計算讀寫到的檔案A中的磁區數據的第二雜湊值，並判斷第二雜湊值是否為533c3057ec5801aa39e9257066890928，若是，則說明讀寫的是檔案A中的預設磁區數據B，符合預設檔案特徵，若否，則說明讀寫的不是檔案A中的預設磁區數據B，不符合預設檔案特徵。本實施例透過雜湊值對比方式驗證檔案特徵，能夠更加精準地對某些檔案數據進行讀取控制。
在一些實施例中，所述對所述數據互動指令對應的目標檔案特徵進行驗證之後，還包括：若所述目標檔案特徵不符合所述預設檔案特徵，則對所述目標檔案進行隱藏。
在本實施例中，隱藏檔案是指使電腦設備識別到檔案。隱藏目標檔案的方式可以是在返回封包過程中透過修改目標檔案的真實磁區位址（包括起始磁區位址、群組（區塊）鏈數據等）和檔案大小，以使電腦設備將其識別為檔案大小為0位元組的空檔案，而無法直接讀取到目標檔案的內容數據；也可以在返回封包過程中透過空白數據等非真實數據替代目標檔案中的內容數據；還可以將目標檔案修改為刪除狀態，以使電腦設備將其識別為檔案已刪除，而不顯示所述檔案。可以理解的是，本實施例的替代或修改僅為偽裝，並非對數據進行真實修改，而僅僅是對展示給電腦設備的數據進行替代或修改。
需要說明的是，在電腦設備與儲存設備建立通訊後，電腦設備需要讀取儲存設備的檔案數據，以在計算設備上展示，則本實施例在電腦設備展示前，透過識別檔案的預設檔案特徵，以對檔案進行隱藏，其能夠相容本案的所有保護模式，即在所有保護模式均可以隱藏檔案，以使所有保護模式在隱藏檔案後的儲存設備進行權限配置，從而只對儲存設備中未隱藏的檔案進行讀寫，進而保護儲存設備的隱私數據的安全性。
在一些實施例中，若保護模式為加密寫入模式，所述步驟S601，包括：
響應於所述數據互動指令，對所述數據互動指令攜帶的待寫入數據進行加密處理，得到第一目標數據；
向所述儲存設備中的所述目標檔案寫入所述第一目標數據。
在本實施例中，保護模組儲存有用以數據加密的金鑰。對於電腦設備需要在儲存設備寫入數據的場景，電腦設備發送攜帶有待寫入數據的寫入指令，透過保護模組對待寫入數據進行加密處理，得到第二目標數據，再向儲存設備寫入所述第二目標數據。
可選地，對於目標設備為中繼設備時，中繼設備響應於寫入指令，並透過保護模組對待寫入數據進行加密，得到第二目標數據，再將第二目標數據和寫入指令轉發至儲存設備，由儲存設備根據寫入指令寫入所述第二目標數據。對於目標設備為具有保護模組的儲存設備時，保護模組在數據寫入前驗證使用者身份（應理解，在其他實施例中也可以不用驗證），如使用者輸入保護模組的解鎖密碼，以使保護模組能夠在寫入操作時調用其預存的加密金鑰，當儲存設備接收到寫入指令時，儲存設備響應於寫入指令，並透過保護模組對待寫入數據進行加密，得到第二目標數據，對第二目標數據進行寫入操作。
需要說明的是，本實施例透過保護模組對待寫入數據進行加密，以能夠獨立保護儲存設備的數據安全，同時將加密金鑰儲存於保護模組，以實現金鑰和數據分離保管。即使在儲存設備丟失後，數據難以被破解，進一步提高數據安全性。
在一些實施例中，若保護模式為解密讀取模式，所述響應於所述數據互動指令，對所述儲存設備進行讀取操作及/或寫入操作，包括：
響應於所述數據互動指令，向所述電腦設備回饋第二目標數據，所述第二目標數據為對所述儲存設備響應於所述數據互動指令返回的數據進行解密後的數據。
在本實施例中，保護模組儲存有用以數據解密的金鑰。對於電腦設備需要讀取儲存設備中的數據的場景，電腦設備發送讀取指令，根據所述讀取指令獲取儲存設備中的目標數據，並透過保護模組對所述目標數據進行解密處理，得到第三目標數據。
可見，本案實施例提供的技術方案還可透過加密寫入或解密讀取，實現儲存設備特定磁區位址數據的加密或解密。
具體實現方法：
1、對特定磁區位址的數據進行加密或解密，類似磁區限制讀寫模式的流程，預先配置（手動或自動）需要加密或解密的特定磁區區間集合。
2、當電腦發送的數據互動指令的讀取或寫入操作符合特定的加解密磁區區間，保護模組進行加密或解密：1）如果是讀取到特定加密磁區區間的數據時，保護模組讀取到儲存設備的數據後，進行解密並向電腦響應；2）如果是寫入到特定加密磁區區間的數據時，保護模組將電腦寫入的數據進行加密，再向儲存設備寫入。
具體應用場景：
1、手動配置加密磁區區間。例如，配置0~9999磁區區間為加密磁區區間。當讀取到所述磁區區間時，保護模組進行解密響應；當寫入到所述磁區區間時，保護模組進行加密寫入。
2、電腦設備讀寫過程中的自動加密解密。例如，預先配置需要進行加密或解密的檔案類型，保護模組再預先讀取需要加密或解密的特定檔案數據的起始磁區位址及磁區位址集合。
3、保護模組的預先自動加密，電腦讀寫過程中自動加密解密。例如由保護模組自動加密引導磁區。類似磁區限制讀寫模式的流程，保護模組根據儲存設備引導磁區和檔案系統的協定或規則，預先讀取儲存設備的MBR、GPT等引導磁區、檔案系統引導磁區、檔案分配表的磁區位址集合或磁區位址區間集合，並讀取數據進行加密，並將加密數據按照原磁區位址進行寫入，使儲存設備儲存的是加密後的引導磁區、檔案系統相關的數據。
4、保護模組結合對特定檔案讀寫過程的加解密。例如，對指定讀寫的特定資料夾內的檔案讀寫操作進行加解密，例如將test.txt檔案寫入至safedir資料夾內自動進行加密，讀取自動解密。其他資料夾不進行加密或解密操作。對指定讀寫的特定檔案類型進行加解密，例如對txt檔案類型進行加解密控制，當test.txt檔案寫入時，自動進行加密，讀取時進行解密。
這樣做的優點：加密或解密的金鑰數據儲存在保護模組中，也由保護模組執行加密或解密的操作。一是，保護模組與儲存設備可以在物理上分離保管，當儲存設備丟失時，無法被惡意逆向獲取金鑰數據（現有技術，將金鑰與儲存設備為物理一體化設計容易被逆向提取金鑰數據，例如帶有加密功能的USB隨身碟）；二是，金鑰不經過電腦加密或解密，電腦無法獲得金鑰數據，防止電腦被惡意控制後，金鑰被竊取（現有技術，將金鑰儲存在電腦中，由電腦執行加密或解密的操作，例如加密USB隨身碟，需要在電腦安裝USB隨身碟的加密或解密軟體）；三是，具體的加密磁區位址區間，只有保護模組知曉，電腦直接透過儲存設備讀取難以分析，從而難以發現加密數據的存在。四是，加解密過程無需電腦設備參與，電腦無法獲知或控制加解密的過程。
可選地，對於目標設備為中繼設備時，電腦設備發送讀取指令，中繼設備將讀取指令轉發至儲存設備，儲存設備根據所述讀取指令獲取目標數據，並轉發至中繼設備，中繼設備的保護模組對所述目標數據進行解密，得到第三目標數據，並將第三目標數據轉發至電腦設備。對於目標設備為具有保護模組的儲存設備時，保護模組在數據讀取前驗證使用者身份（應理解，在其他實施例中也可以不用驗證），如使用者輸入保護模組的解鎖密碼，以使保護模組能夠在讀取操作時調用其預存的解密金鑰；在電腦設備發送讀取指令後，儲存設備根據所述讀取指令獲取目標數據，並透過保護模組對所述目標數據進行解密處理，得到第三目標數據，再將第三目標數據返回至電腦設備。
需要說明的是，本實施例透過保護模組對儲存設備獲取到的數據進行解密，以能夠獨立保護儲存設備的數據安全，同時將解密金鑰儲存於保護模組，以實現金鑰和數據分離保管。即使在儲存設備丟失後，數據難以被破解，進一步提高數據安全性。
可以理解的是，解密讀取模式和加密寫入模式能夠相容其他保護模式，例如當前保護模式可以同時為特定檔案讀寫模式、解密讀取模式和加密寫入模式。
在一些實施例中，若所述保護模式為人工確認模式，所述步驟S601，包括：
響應於所述數據互動指令，提示使用者是否確認執行所述數據互動指令；
若接收到所述數據互動指令的確認執行指令，則繼續對所述儲存設備中的目標檔案進行讀寫操作。
基於預設的規則，對電腦發送的數據互動指令，例如讀、寫特定磁區位址進行人工確認，如果確認就繼續在儲存設備中執行數據互動指令，如果不確認則不執行。
具體實現方法：基於預設的數據互動指令的規則，保護模組判斷所述互動指令是否需要進行人工確認。
預設的數據互動指令的規則可以有但不限於：
1、基於磁區位址讀寫操作時的人工確認。例如：一是類似磁區限制讀寫模式的流程，建立儲存設備引導區、檔案系統引導區的磁區區間集合，或者建立特定檔案數據的磁區區間集合。作為需要人工確認的磁區區間。
2、基於檔案屬性操作時的人工確認。例如：類似檔案限制讀寫模式的流程，一是建立針對特定檔案類型（根據檔案尾碼、檔案內容數據特徵等）的建立、刪除、修改檔案屬性，以及讀寫檔案內容數據的規則；二是建立針對不特定檔案的建立檔案、修改檔案屬性、刪除檔案的規則。例如，設置exe可執行程式讀寫需要確認時，當電腦讀取或寫入儲存設備的檔名為abc.exe的檔案時，中繼設備或者保護模組監聽到這個動作，不馬上進行響應，而是透過亮燈、或者螢幕顯示的方式，要求人工對此操作進行確認。經過人工確認後，中繼設備或保護模組才會進行響應，繼續檔案的讀寫操作。
3、基於設備接入操作時的人工確認。例如，保護模組發現電腦設備開始連接列舉儲存設備了（讀取設備描述子、配置描述子、介面描述子、端點描述子、字串描述子、設備容量訊息等等），進行人工確認連接。保護模組發現電腦設備發送特定的指令（例如帶有標記、密碼、金鑰的描述子請求），在人工確認符合約定後，再進行人工確認連接。
這樣做的優點：儲存設備使用者可以知曉數據或具體檔案的寫入或讀取的傳輸過程，進一步對儲存設備內的磁區數據或具體檔案傳輸具有的精細化控制權（現有技術無法實現，僅能夠透過唯讀控制）；防止電腦設備對儲存設備進行使用者不知曉的操作，例如惡意格式化儲存設備，或者盜取複製敏感檔案，或者惡意修改敏感檔案，或者寫入惡意程式檔案等。同時，讓電腦設備使用者顯性的知曉檔案數據傳輸的內容，可以無需透過電腦軟體進行控制或殺毒軟體的方式，避免電腦或電腦控制軟體、殺毒軟體的不可靠性。
在本實施例中，人工確認模式為在數據互動過程需要使用者參與確認的模式。即針對電腦設備發送的數據互動指令，需要人工方式在中繼設備或者帶有保護模組的儲存設備上進行確認。例如，對於exe可執行程式，電腦設備需要讀寫儲存設備中的abc.exe檔案時，保護模組監聽到所述讀寫操作時，透過亮燈或者螢幕顯示等方式，提示使用者對此所述讀寫操作進行確認。經過人工確認後，再執行對應的讀寫操作。可以理解的是，人工確認模式能夠與其他保護模式相容。
示例性地，目標設備以中繼設備為例，如圖12所示的中繼設備的示意圖，當電腦設備需要向儲存設備中的abc.exe檔案寫入數據時，中繼設備顯示對應操作訊息，當使用者點擊確認選項時，表示觸發確認執行指令，則允許電腦設備向儲存設備中的abc.exe檔案寫入數據，當點擊取消選項時，則中斷所述操作。
需要說明的是，本實施例透過人工確認模式能夠對一些場景下的非法行為進行監控，以避免電腦設備在使用者不知情時非法讀寫儲存設備而造成數據洩露或者安全隱患，從而提高儲存設備和電腦設備的安全性。
也就是說：當前保護模式是人工確認模式時，上文中提及的「所述數據互動指令針對的數據來源是所述當前保護模式指定的至少一個數據來源中的一個，且所述數據互動指令對所述數據來源內數據的操作類型符合所述當前保護模式規定的操作類型時，對所述數據互動指令做出響應」，可具體為：
所述數據互動指令針對的數據來源是人工確認模式指定的至少一個數據來源中的一個，且所述數據互動指令對所述數據來源內的操作類型為讀寫類型時，顯示預寫入或讀取數據的相關訊息；
響應於使用者針對所述相關訊息觸發確認操作，基於所述數據互動指令向儲存設備寫入或讀取所述數據。
本文中提及的唯讀模式可包括但不限於全硬碟唯讀模式、部分硬碟唯讀模式等等。下面的實施例中將以全硬碟唯讀模式為例，即在一些實施例中，若所述保護模式為全硬碟唯讀模式，所述步驟S601，包括：
響應於所述數據互動指令，向所述電腦設備回饋第三目標數據，所述數據互動指令為讀取指令，所述第一目標數據為所述儲存設備響應於所述讀取指令返回的數據。
在本實施例中，全硬碟唯讀模式為允許電腦設備讀取儲存設備中的所有檔案數據的模式。電腦設備在希望與儲存設備進行數據互動時會發送數據互動指令，但在全硬碟唯讀模式下，只有讀取指令滿足權限要求，目標設備也只會響應讀取指令，並向電腦設備回饋第一目標數據，第一目標數據為從儲存設備中讀取到的數據。
示例性地，目標設備對數據互動指令的指令類型進行識別，並根據讀寫權限進行驗證，在全硬碟唯讀模式下，當數據互動指令為讀取指令時，目標設備根據讀取指令調取儲存設備中的第一目標數據，並將第一目標數據發送至電腦設備。當數據互動指令不為讀取指令時，例如寫入指令（如SCSI協定的指令2A，代表寫）或其他類型的指令時，則所述數據互動指令不會轉發至目標設備。可選地，對於數據互動指令不為讀取指令的情況，保護模組不轉發數據互動指令，並且會向電腦發送已執行完畢的回饋訊息，實現對電腦讀寫權限的限制。
本實施例透過全硬碟唯讀模式對儲存設備與電腦設備之間的數據互動進行控制，以避免電腦設備對儲存設備的數據進行修改或刪除，從而保護儲存設備的數據安全性。
在一些實施例中，在圖1所示實施例的基礎上，圖12揭示了第四實施例提供的數據安全保護方法的流程示意圖。與圖1相同的步驟不再贅述，如圖12所示，針對讀寫操作的執行過程，所述方法還包括：
步驟S701，基於預設讀寫規則，對所述讀寫操作進行異常驗證；
步驟S702，若所述讀寫操作不符合所述預設讀寫規則，則判定所述讀寫操作異常。
基於預設規則，對電腦發送的數據互動指令（例如讀取或寫入磁區位址）進行自動驗證，如果不符合規則，不執行，或者進入人工確認模式判斷。
具體實現方法主要建立規則，規則主要有但不限於：
1、基於電腦正常列舉，讀寫檔案系統的規則。例如，電腦讀寫的規則是：先讀取0磁區位址（分析引導磁區數據，讀取檔案系統引導磁區位址）→讀取檔案系統引導磁區位址（分析檔案系統的檔案分配表和起始目錄磁區位址）→讀取檔案分配表磁區位址數據→讀取起始目錄磁區位址數據。
以上的規則是有規律和跳躍式的，從0磁區位址開始，是非連續式的，一般為跳轉的。如果惡意讀取，分析讀取時，則直接從磁區至特定磁區區間位址連續讀取，且沒有電腦正常讀寫檔案系統的規律，則認為是異常。
2、基於電腦正常讀寫檔案的上下文規則。例如電腦在讀取檔案內容數據時，會有先讀取其檔案所在的資料夾數據的記錄（獲取檔案開始磁區位址（或稱起始群組、起始區塊等））；寫入檔案數據時，會有先寫入檔案所在的資料夾數據的記錄（記錄檔案開始磁區位址（或稱起始群組、起始區塊等））。如果沒有所述上下文操作則認為是異常。
3、基於檔案系統數據管理的規則。例如檔案系統一般將多個磁區位址劃分為一個磁區區間進行管理（FAT檔案系統中的「群組」，或者其他檔案系統中的「區塊」）。電腦正常操作檔案系統時，應所述是從所述群組或區塊的起始磁區位址開始執行讀取或寫入的操作。如果沒有從群組或區塊的起始磁區位址開始操作讀取或寫入，操作的磁區位址為群組的其他位置，則認為是異常。
4、基於業務習慣的規則。例如電腦在預設的時間內（或者一次接入內）向儲存設備讀取了多個檔案（超過預設數量），則認為是異常。
根據異常做出相應處理可包括但不限於：禁止操作時，保護模組可以返回執行成功的響應、或者響應空白數據、或者響應其他非真實的數據，使電腦認為執行成功，實際上保護模組沒有真正的操作儲存設備的數據，防止電腦認為操作失敗，不斷嘗試操作。二是轉入人工確認模式的流程。
在本實施例中，預設讀寫規則包括但不限於磁區位址的通用讀寫規則和檔案讀寫數量等。示例性地，對於磁區位址的通用讀寫規則，通常從起始磁區位址開始讀寫，若當前讀寫操作未從檔案的起始磁區位址開始讀寫，而是在其他磁區開始讀寫，如在數據區的第100磁區連續讀寫至9999磁區，則認為讀寫操作異常行為。對於檔案讀寫數量，由於爬蟲式讀取是對儲存設備的所有檔案進行掃描並批量讀取，所以透過設置檔案的讀取數量，例如10個，若超過10個則認為讀寫操作異常。
進一步的，本實施例提供的方法中步驟「對所述數據互動指令做出響應」可包括：
步驟41、將所述數據互動指令發送至儲存設備，以便儲存設備基於所述數據互動指令讀取數據及/或寫入數據；
步驟42、獲取所述儲存設備基於所述數據互動指令讀取數據及/或寫入數據的過程訊息；
步驟43、基於過程訊息，確定是否存在異常；
步驟44、若存在異常，則向儲存設備發送停止指令。
基於上文中提及的有關電腦設備正常讀取檔案的規則中的相應內容，上述步驟43「基於過程訊息，確定是否存在異常」，可包括如下中的至少一項：
若所述儲存設備基於所述數據互動指令讀取數據的過程不符合設定過程規律，則確定存在異常；
若所述儲存設備基於所述數據互動指令讀取數據及/或寫入數據的過程沒有指定上下文操作，則確定存在異常；其中，讀取數據時，指定上下文操作為讀取所述數據所在資料夾的操作；寫入數據時，指定上下文操作為獲取所述數據所在資料夾的操作；
若所述儲存設備基於所述數據互動指令讀取數據及/或寫入數據的過程沒有從所述數據所在群組或區塊的磁區起始位址開始讀取或寫入操作，則確定存在異常；
若所述儲存設備基於所述數據互動指令在預設時長內讀取了超過設定數量個檔案，則確定存在異常。
可選地，讀寫操作異常時可以結合人工確認模式進行人工確認，或是向電腦設備回饋訊息。例如，本案實施例提供的方法還可包括如下步驟：
步驟51、若存在異常，則向電腦設備發送回饋訊息；其中，所述回饋訊息包括：模擬寫入成功的虛假訊息，或將預設數據作為成功從儲存設備讀取的數據；及/或
步驟52、若存在異常，則輸出人工確認提示訊息，以便使用者基於所述人工確認提示訊息確定是否繼續執行。
在一些實施例中，在圖1所示實施例的基礎上，圖13揭示了第五實施例提供的數據安全保護方法的流程示意圖。與圖1相同的步驟不再贅述，如圖13所示，所述方法還包括：
步驟S801，將目標磁區區間作為儲存數據來源接入到所述電腦設備，所述目標磁區區間透過切割所述儲存設備的儲存空間得到，所述儲存數據來源包含所述目標檔案。
在本實施例中，保護模式為邏輯磁碟分割模式時，對儲存設備進行邏輯磁碟分割，邏輯磁碟分割為基於儲存設備的磁區位址對儲存設備進行儲存空間切割的過程，其區別於當前僅在電腦設備上顯示多個分區而實際上檔案儲存於同一個磁區區間的系統磁碟分區。例如，將硬碟1的磁區位址區間為0-999，對硬碟1進行系統磁碟分區，以在電腦設備上顯示磁碟1和磁碟2，但磁碟1和磁碟2的數據實際上還是儲存於硬碟1中0-999磁區位址區間，也可以同時存取磁碟1或磁碟2的數據。而本實施例的邏輯磁碟分割模式是將硬碟1的磁區位址區間分為0-499和500-999兩個磁區位址區間，並分別對應A磁碟和B磁碟，則A磁碟的數據儲存於0-499的磁區位址區間，B磁碟的數據儲存於500-999的磁區位址區間，從而使A磁碟數據和B磁碟數據在底層邏輯上也互不影響，例如可以分別格式化為不同的檔案系統。可選地，對於切割後的多個磁區區間，可以獨立磁碟分割區形式接入到電腦設備，也可以檔案形式接入到電腦設備。
即當前保護模式為邏輯磁碟分割模式時，相應的，本案實施例提供的所述方法還可包括如下步驟：
步驟61、若使用者選出的當前保護模式為邏輯磁碟分割模式，則對所述儲存設備的特定儲存空間進行劃分，得到至少一個磁碟分割區；
步驟62、從所述至少一個磁碟分割區中選定一個磁碟分割區作為目標磁碟分割區，接入所述電腦設備。
進一步的，本案實施例提供的所述方法還可包括如下步驟中的至少一個：
步驟a、響應於使用者的設置，確定所述特定儲存空間；所述特定儲存空間可以是儲存設備的全部或部分空間；
步驟b、基於所述邏輯磁碟分割模式中特定儲存空間的選定規則，確定所述特定儲存空間。
其中，上述步驟61中「對所述儲存設備進行磁碟分割操作，得到至少一個磁碟分割區」，可包括：
響應於使用者的劃分指令，讀取所述特定儲存空間的磁區訊息，基於所述磁區訊息，對所述特定儲存空間進行劃分；或者
讀取所述特定儲存空間的磁區訊息，基於所述磁區訊息並利用預置的劃分策略，對所述特定儲存空間進行劃分；或者
在儲存設備的檔案系統中，產生至少一個鏡像檔案，以所述至少一個鏡像檔案分別對應的位址區間，對所述儲存設備的特定儲存空間進行劃分。
具體的，「預置磁碟分割策略」可在一主機獲取所述預置磁碟分割策略；或者從網路側之伺服器端，獲取所述預置磁碟分割策略。
需要說明的是，本案中的伺服器端為使用網路連接（如使用TCP/IP等連接）或非網路連接（如使用藍牙、LoRA等的點對點連接）的終端。舉個例子來說，兩個終端建立數據互動關係，第一終端向第二終端提供了可供讀寫操作的數據來源，那麼第一終端即可理解為是伺服器端。當然，伺服器端還可以理解為如部署在網路側伺服器、虛擬伺服器、雲端、伺服器集群等等。另外，本案的磁區應理解為廣義上的儲存空間位址，即為對儲存設備的儲存空間進行劃分的區域，磁區訊息包括但不限於磁區總數（磁區位址區間）和各磁區位元組數等。邏輯磁碟分割模式能夠相容所有保護模式，即其他保護模式針對的是在邏輯磁碟分割後接入到電腦設備的目標磁碟分割區，對於未接入到電腦設備的其他磁碟分割區，電腦設備無法識別到其他磁碟分割區，所以電腦設備所發送的數據互動指令只能面向目標磁碟分割區。
透過邏輯磁碟分割模式，實現效果類似於電腦的「電腦雙硬碟雙系統」，透過兩個硬碟物理隔離卡切換硬碟選擇內網系統或外網系統，儲存區與系統之間各自獨立。這裡的磁碟分割，是將只有1個物理儲存區、或邏輯上為1個物理儲存區的儲存設備進行劃分，在邏輯劃分成任意數量和容量大小的2個以上的儲存區。
具體實現方法：
1、預先劃分磁碟分割區，並選定磁碟分割區。預先在儲存設備中劃分多個磁區區間，並選擇對應的磁區區間。例如儲存設備的可用總磁區為2000個，平均分為2個磁碟分割區，每個硬碟可用磁區總數為1000個。此外，可以對每個磁碟分割區自動分配、或手動分配：廠商ID（Vendor ID）、設備ID（Product ID）、字串訊息等硬體特徵參數。
2、響應電腦請求硬體特徵參數。一是響應磁碟分割區容量參數。當電腦設備在發送請求容量參數的指令時，響應選定磁碟分割區的容量的相關總數。例如，當電腦發送SCSI或UFI指令代碼為：0x25（READ CAPACITY）時，保護模組響應所述邏輯磁碟分割區的最後邏輯區塊位址。當電腦發送SCSI或UFI指令代碼為：0x23（SCSI_READ_FORMAT_CAPACITIES）時，保護模組響應可用的磁區（或者稱可用區塊）的數量以及單個磁區（或者區塊）的位元組數。從而使電腦認為儲存設備的容量值為邏輯磁碟分割區的容量值。二是響應磁碟分割區的廠商ID（Vendor ID）、設備ID（Product ID）等硬體特徵參數。當電腦發送請求硬體特徵參數的指令時，響應磁碟分割區對應的硬體特徵參數。例如，當電腦發送USB協定中的設備描述子（0x80 0x06 0x00 0x01 0x00 0x00 0x12 0x00）請求時，保護模組在設備描述子中，響應對應的廠商ID（Vendor ID）、產品ID參數。三是響應磁碟分割區的字串訊息參數。當電腦發送請求字串描述子的指令時，響應磁碟分割區對應的字串訊息。例如，當電腦發送USB協議中的字串描述子的（0x8006010309040200、0x8006020309041200、0x8006030309042800）請求時，保護模組在字串描述子中，響應對應的字串訊息。
3、讀寫映射。當電腦發送數據互動指令時，保護模組偏移映射到對應的磁區區間。當選擇磁碟1時，電腦讀取0磁區，則讀取行動儲存設備的0磁區並返回；電腦讀取1磁區，則讀取儲存設備的1磁區並返回，依此類推，最大可讀為磁區999；當選擇磁碟2時，電腦讀取0磁區，則偏移1000磁區，讀取行動儲存設備1000磁區並返回；電腦讀取1磁區，則讀取儲存設備的1001磁區並返回，依此類推，最大可讀為磁區1999，無法讀取儲存設備0-999磁區數據。電腦寫0磁區位址、1磁區位址也與上述讀的偏移映射的磁區位置一致，以此類推。當電腦讀取或寫入的磁區位址超出磁碟分割區的範圍時，返回讀取或寫入錯誤的狀態。
如果儲存設備的容量為2000k位元組，假設所述儲存設備磁碟分割後有兩個磁碟分割區，分別為磁碟分割區1和磁碟分割區2。磁碟分割區1和磁碟分割區2的容量相同，例如均為1000k位元組。在選擇磁碟分割區2時，電腦顯示的總容量則為1000k位元組。將磁碟分割區2進行格式化和數據拷貝等操作，不影響磁碟分割區1的所有數據。這裡需要補充的是：以上磁區區間、總容量數據舉例是為了便於理解，實際場景下數量會大得多。
邏輯磁碟分割與特定資料夾讀寫的不同。邏輯磁碟分割實現思路與特定檔案讀寫、空白資料夾大致一致，主要是將電腦讀寫互動指令的磁區位址映射到儲存設備的相關磁區位址。特定資料夾讀寫、空白資料夾主要是將一個檔案的磁區位址映射到另外一個檔案的磁區位址，檔案系統、儲存的總容量與剩餘空間與原硬碟一致，檔案系統不能被格式化。磁碟分割模式則是不考慮具體的檔案，直接對一段磁區位址區間進行映射，儲存的總容量與剩餘空間為各自獨立的，檔案系統可以各自格式化。
儲存設備磁碟分割的具體場景：
一是自動進行外部儲存的劃分邏輯磁碟分割（儲存媒介磁碟分割區）。作為中繼設備或讀卡機的形式，對任意接入的儲存設備進行磁碟分割。保護模組預先讀取儲存設備（接入的USB隨身碟、SD卡、TF卡）的基本訊息：磁區總數、各個磁區位元組數、廠商與設備ID、字串訊息等。例如，當儲存設備（例如USB隨身碟等）容量為16G，如果默認將儲存設備平均為2個磁碟分割區，則自動分為2個8G的磁碟分割區；如果默認將儲存設備分成3個磁碟分割，分為1個8G的磁碟分割區，2個4G的磁碟分割區，32G則為16G和2*8G，64G則為32G和2*16G等等。
二是自動進行內部儲存空間的劃分（儲存媒介磁碟分割區）。作為集成在行動儲存設備的形式，可內部儲存（FLASH）一個或者多個物理儲存區進行邏輯上的磁碟分割區。由於儲存媒介固定在設備內部，儲存物理容量是出產時就已知且固定的，所以免去上述預先讀取儲存設備的基本訊息的步驟。預設好儲存媒介設備的基本訊息：磁區總數、各個磁區位元組數、廠商ID與設備ID、字串描述子等。
三是透過檔案鏡像形式進行磁碟分割。在儲存媒介的檔案系統中，產生鏡像檔案，以鏡像檔案的內容數據作為磁碟分割區的磁區區間進行磁碟分割。將磁碟分割區的所有的磁區直接映射到某個特定檔案的內容數據內。磁碟分割區的大小可以透過檔案佔位的方式進行預先設置，例如產生16G大小的空白「磁碟分割區1.dd」檔案，這時候磁碟分割區大小為16G；也可以不透過預先佔位，而是在有讀寫需要時，透過在檔案數據追加的方式寫入，這時候磁碟分割區大小為磁碟分割區已有數據的大小加上USB隨身碟的總剩餘空間（或者叫空白數據區域），能夠充分利用儲存設備的數據空間。進一步具體的，例如磁碟分割區鏡像檔案路徑為「我的USB隨身碟\我的資料夾\磁碟分割區1.dd」。並預設磁碟分割區對應的基本訊息（磁區總數、各個磁區位元組數、廠商ID與設備ID、字串訊息等）。
在使用所述磁碟分割區1時，在電腦列舉時，保護模組返回磁碟分割區的基本訊息，電腦在讀寫數據時，保護模組實際讀寫「磁碟分割區1.dd」的檔案內容數據進行映射。例如電腦讀取0磁區時，則返回「磁碟分割區1.dd」檔案內容數據的起始磁區位址；電腦讀取100磁區位址數據時，則返回「磁碟分割區1.dd」檔案的100磁區位址數據；電腦將數據寫入200-300磁區時，則將數據寫入「磁碟分割區1.dd」檔案的200-300磁區位址數據。
四是透過網路服務的方式進行磁碟分割（實際上為網路數據來源接入了）。同檔案鏡像形式進行磁碟分割的原理，在儲存設備之主機或伺服器端預設好磁碟分割區對應的基本訊息：磁區總數、各個磁區位元組數、廠商ID和設備ID、字串訊息等。不同之處是產生和使用的鏡像檔案儲存在伺服器端中。網路保護模組（網路USB隨身碟）本身可以不儲存數據、或者儲存少量數據（用以優化啟動方式，或者連接網路伺服器端的網路配置），網路USB隨身碟透過有線或無線等方式，連接網路伺服器，並發送網路USB隨身碟的標識訊息。後臺伺服器根據網路USB隨身碟的標識訊息關聯對應的鏡像檔案（如「磁碟分割區1.dd」）。在電腦在向USB隨身碟發送互動指令時（例如讀取磁區），向伺服器轉發互動指令的讀寫要求（命令主要訊息為：讀取或寫入操作，開始的磁區位址，連續讀取或寫入磁區的長度）。伺服器接到USB隨身碟的發送的請求後，返回關聯對應的鏡像檔案（如「磁碟分割區1.dd」對應硬碟A）檔案對應的磁區位址數據。此外，標識號可以綁定「磁碟分割區1.dd」對應硬碟A、「磁碟分割區2.dd」對應硬碟B、「磁碟分割3.dd」對應硬碟C3個檔案，可以根據進行數據來源的切換。
另外，對於上述邏輯磁碟分割模式（對接入儲存設備（如USB隨身碟）進行劃分、內部儲存媒介劃分、以檔案進行儲存的鏡像檔案劃分、網路鏡像檔案劃分）都需要能夠自訂描述子的參數，以讓電腦能夠區分為不同的儲存設備（例如不同的USB隨身碟），實現的方式為「配置訊息」加上「數據來源」。配置訊息包括：描述子集合和基本訊息。描述子集合包括：設備描述子、配置描述子、介面描述子、端點描述子等，基本訊息包括：磁區總數、各個磁區位元組數等容量訊息，唯讀或可讀寫狀態等大容量儲存設備的參數。此外，「配置訊息」可以儲存在數據來源的隱藏位置，例如最後一個磁區並不能被電腦當作USB隨身碟數據存取；也可以在伺服器端的數據庫中儲存；也可以是保護模組內置儲存的某個磁區或者檔案進行儲存等等。
這樣做的優點是：可以充分發揮儲存設備的儲存空間，相比使用多個儲存設備或儲存晶片進行切換以實現隔離的方式有效減低了硬體成本，做到一個儲存設備或儲存晶片滿足多種不同的需求，例如可以在磁碟分割模式中格式化不同的檔案系統，實現不同場景的使用。另外，可實現更安全的保護，各個磁碟分割區直接相互獨立（數據來源獨立，硬體特徵也可以不同），在數據通訊層進行控制，電腦僅認為接入的儲存設備為磁碟分割區的容量，不會超範圍進行磁區讀取。如果強行超磁碟分割範圍磁區讀取，保護模組也不會執行所述指令。還有，本案實施例提供的方案，可以不依賴儲存設備的類型、種類和所格式化的檔案系統，只要能與保護模組建立通訊連接和讀寫控制，就能實現邏輯磁碟分割。
數據儲存在伺服器端中，保護模組可以根據不同的場景隨時切換數據來源。數據讀取和寫入都保存在伺服器端中，保護模組本質上只是一個前端設備。當保護模組丟失後，數據還保存在伺服器端中。此外，電腦設備無法獲知數據來源，保護模組可以不透過電腦的網路網路，使用自帶的行動蜂巢式網路，或保護模組使用者的wifi等，網路流量不經過電腦。還有，對於電腦來說，無法直觀的管制儲存設備的數據是存在伺服器端，還是在保護模組之主機的儲存媒介中。另外，本案實施例的保護模組不同於現有網路USB隨身碟，現有技術是先將伺服器端的檔案下載的網路USB隨身碟儲存設備中，再透過電腦讀取儲存設備的檔案系統的檔案進行下載；或者電腦先將檔案寫入到USB隨身碟的儲存設備的檔案系統中，再由網路USB隨身碟上傳到伺服器端。這樣的話，需要佔用網路USB隨身碟自身儲存空間的容量，例如16G的網路USB隨身碟無法傳輸32G的檔案，或者剩餘空間不足4G的網路USB隨身碟，無法傳輸大於4G的檔案。本發明透過數據轉發，不存在檔案限制的問題。另一方面，無法對整個儲存磁碟分割區的數據進行切換。而在本發明基於磁區位址的讀寫，硬碟A對應可以格式化為FAT32檔案系統，檔案有A.txt、B.txt；硬碟B可以格式化為ExFAT檔案系統，檔案有C.txt、D.txt，並可以直接接入電腦進行顯示。而現有的網路USB隨身碟只能選擇特定的檔案進行拷貝。另外，伺服器端的映射的「磁碟分割區1.dd」等鏡像檔案，在基於分散式儲存技術、優化儲存和CDN網路加速的情況下，可以為數據庫的數據，或者多個檔案的組合、拼接、映射等等。
選擇數據來源的方式：
1、物理按鈕選擇，透過保護模組物理按鈕切換（如圖2b和2c中的對應磁碟分割數據來源選擇的物理切換按鈕），選擇對應的磁碟分割數據來源（如儲存媒介磁碟分割區、鏡像檔案磁碟分割區、網路鏡像檔案磁碟分割區等）。
2、近場通訊選擇。透過保護模組的藍牙、wifi、串口介面等通訊模組，向其發送選擇磁碟分割數據來源的指令。保護模組收到指令後，選擇對應的磁碟分割數據來源。
3、遠端通訊選擇。透過保護模組網路的方式，在伺服器端獲取磁碟分割數據來源的指令，並選擇對應的磁碟分割數據來源。伺服器端的指令由使用者透過APP、小程式、網頁等程式連接伺服器端進行設置。
4、由電腦發送的金鑰（或特徵值）進行選擇。磁碟分割區在切割建立時，其基本訊息中帶有對應的金鑰訊息。保護模組在接入到電腦後，電腦發送帶有金鑰（或特徵值）訊息的互動指令，保護模組根據金鑰匹配磁碟分割區基本訊息集合。當匹配命中時，選擇對應的磁碟分割數據來源，例如，磁碟分割區1對應金鑰A，磁碟分割區2對應金鑰B，同時接入所有磁碟分割的金鑰為C，當驗證指令攜帶金鑰A時，確認將磁碟分割區1接入到電腦設備；當驗證指令攜帶金鑰B時，確認將磁碟分割區2接入到電腦設備；當驗證指令攜帶金鑰C時，確認將磁碟分割區1和磁碟分割區2同時接入到電腦設備。在接入電腦設備時，透過電腦發送的金鑰進行驗證，以確定接入選中的目標儲存數據來源，從而提高儲存數據來源的安全性。
基於上述選擇數據來源的方式可知，本案實施例提供的所述方法中步驟「從所述至少一個磁碟分割區中選定一個磁碟分割區作為目標磁碟分割區」可包括：
響應於使用者透過互動裝置對所述至少一個磁碟分割區的選擇操作，將使用者選定的一個磁碟分割區作為目標磁碟分割區；或者
接收到指定設備發送的磁碟分割選擇指令時，將所述磁碟分割選擇指令指示的磁碟分割區作為目標磁碟分割區；其中，指定設備透過近場通訊或遠端通訊方式與保護模組通訊；
其中，所述指定設備與所述電腦設備為不同的設備；或者
接收電腦設備發送的攜帶有硬碟金鑰的訊息，對所述硬碟金鑰進行驗證，驗證通過後，將所述至少一個磁碟分割區中具有所述硬碟金鑰的磁碟分割區作為目標磁碟分割區。
可選地，目標磁碟分割區的接入方式可以為透過撥動開關、遠端遙控、電腦配置的方式進行設置。示例性地，在一種可能實施的方式種，目標設備設置有用以選中磁碟分割區的物理開關，透過撥動物理開關以選中目標磁碟分割區。在另一種可能實施的方式中，目標設備設置有如無線區域網路、藍牙、紅外線或超寬頻的通訊單元，以用以與遠端遙控設備進行連接，從而透過遠端遙控設備選中目標磁碟分割區。在又一種可能實施的方式中，透過電腦設備通訊連接，以透過所述電腦設備選中目標磁碟分割區。
可選地，電腦設備讀取儲存設備的磁區總數時，向電腦設備返回選中磁碟分割區的磁區總數；電腦設備發送讀寫磁區的數據互動指令時，按照磁碟分割磁區的真實磁區位置進行映射。
這裡需要補充的是：上文中提及的「目標磁區區間透過切割儲存設備的儲存空間」中的「切割」，以及上文中提及的「對儲存設備的特定儲存空間進行劃分」中的「劃分」，在實際的技術本質上可以理解為是一種映射策略。所述映射策略可預先配置好。對於儲存媒介（或儲存設備）來說實際上沒有任何的改變，其磁碟容量訊息、磁區位址讀寫沒有變化；只是在保護模組中基於這個映射策略，使得使用者在電腦設備側看到的是磁碟分割的效果。換句話說，保護模組對儲存媒介的特定儲存空間的劃分，是虛擬的、概念上的磁碟分割，在電腦設備側呈現給使用者的是磁碟分割效果，儲存媒介上沒有任何變化。
在一些實施例中，在圖13所示實施例的基礎上，步驟S801之前還包括：
讀取所述儲存設備的磁區訊息；
基於所述磁區訊息，切割所述儲存設備的儲存空間，得到所述儲存設備對應的多個磁區區間，所述目標磁區區間為多個所述磁區區間中的至少一個。
在本實施例中，基於預設磁碟分割區數量，對所述儲存設備的磁區位址區間進行切割，得到每個儲存空間的磁區位址區間。預設磁碟分割區數量可以為預設值，也可以在邏輯磁碟分割前使用者即時選擇的數量。區間劃分方式可以為基於預設區間大小對儲存設備進行磁區位址劃分的方式，也可以為基於使用者即時選擇的區間大小對儲存設備進行磁區位址劃分的方式。
可選地，若預設分配數量為預設值，當電腦設備與儲存設備通訊連接後，當目標設備在邏輯磁碟分割模式下，按照預設值對儲存設備的磁區訊息進行區間劃分，以實現隨插隨用。
示例性地，若預設分配數量為即時選擇的數量，當電腦設備與儲存設備通訊連接後，當目標設備在邏輯磁碟分割模式下，在電腦設備上顯示用以提供給使用者選擇磁碟分割區數量和各個磁碟分割區大小的選項，基於使用者即時選擇的磁碟分割區數量和磁碟分割區大小，對儲存設備進行邏輯磁碟分割。例如，儲存設備的磁區位址區間為0-1999，在電腦設備上顯示磁碟分割區數量選項和磁碟分割區大小選項，如使用者選擇磁碟分割區數量為2，每個磁碟分割區大小相同，則得到磁區位址區間0-999對應的磁碟分割區，以及磁區位址區間1000-1999對應的磁碟分割區。
可以理解的是，對於目標設備為中繼設備時，中繼設備同時接入多個儲存設備，可以對多個儲存設備進行邏輯磁碟分割，也可以基於每個儲存設備進行物理磁碟分割，得到與儲存設備數量相同的磁碟分割區數量。
圖14a、14c、14e和14g揭示了邏輯磁碟分割模式對應的一個示例圖。圖14a揭示儲存媒介（如具有保護模組的USB隨身碟或連接有中繼設備的USB隨身碟）的可用空間顯示值為14.9GB（理論上可用空間約16GB左右）。圖14b是從物理視角揭示了對可用空間未進行邏輯磁碟分割前的儲存空間對應的示意圖，如從0x00磁區位置至結束磁區位置間（即可用空間對應的磁區數或可用空間最後邏輯區塊位址+1）。假設要分為1個8GB（理論值）的磁碟分割區、2個4GB（理論值）的磁碟分割區，共3個邏輯磁碟分割區。參見圖14c揭示了第1個邏輯磁碟分割區相關的訊息，如容量、檔案系統、磁碟分割區單元大小、備註等等，還可對格式化選項中的快速格式化進行勾選，還可透過「還原設備的預設值」控制觸發還原預設值的操作，等等。如圖14c所示的示例，顯示有第1個邏輯磁碟分割區的容量7.47GB（理論上可以是8GB），檔案系統為FAT32（預設），分配單元大小為4096位元組等。圖14c所示的視窗是在選擇第1個邏輯磁碟分割區後顯揭示的格式化頁面。所述格式化頁面中顯示所述第1個邏輯磁碟分割區的容量為7.47GB（理論值8G），使用者點擊「開始」控制項後，便可對第1個邏輯磁碟分割區進行重新格式化。圖14d是從物理視角揭示了第1個磁碟分割區對應的8GB儲存空間的示意圖。參見圖14e和14g，顯示了另第2個邏輯磁碟分割區的屬性訊息，即兩個4GB的邏輯磁碟分割區，disk_02和disk_03。圖14f是從物理視角揭示了第2個磁碟分割區對應的4GB儲存空間的示意圖。圖14h是從物理視角揭示了第3個磁碟分割區對應的4GB儲存空間的示意圖。
經過磁碟分割後，各硬碟對應的磁區區間相互獨立，互不干擾，數據相互隔離。例如上述的3個邏輯磁碟分割區的檔案目錄完全不同，也無法互相存取。
圖14i揭示了在保護模組未進行邏輯磁碟分割時特定資料夾模式下響應電腦讀寫儲存空間的示意圖。參見圖14i所示，虛線指向的是電腦設備欲讀取/寫入根目錄磁區數據，實際上保護模組在接收到電腦發送的讀取/寫入根目錄磁區數據的數據互動指令後，保護模組讀取/寫入特定資料夾目錄磁區數據並返回。
圖14j揭示了保護模組當前保護模式為邏輯磁碟分割模式與空白資料夾模式的組合模式，並在邏輯磁碟分割模式和空白資料夾模式的組合模式下將儲存空間分出3個邏輯磁碟分割區的情況下響應電腦讀寫儲存設備的示意圖。如圖14j所示，虛線指向的是電腦設備欲讀取/寫入根目錄磁區數據，所述根目錄磁區位置可偏移至第2個邏輯磁碟分割區對應的磁區位置。電腦設備發送讀取/寫入根目錄磁區數據的數據互動指令後，保護模組選擇磁碟分割區2，保護模組讀取/寫入磁碟分割區2上特定資料夾目錄磁區數據並返回。
在一些實施例中，在圖1所示實施例的基礎上，圖15揭示了第六實施例提供的數據安全保護方法的流程示意圖。與圖1相同的步驟不再贅述，如圖15所示，所述方法還包括：
步驟S901，將鏡像檔案作為所述儲存數據來源接入到所述電腦設備，所述鏡像檔案基於預設鏡像策略產生得到。
在本實施例中，預設鏡像策略可以透過建立空白鏡像檔案的方式得到；也可以複製已有鏡像檔案的方式得到，還可以透過對所述儲存設備的數據區間進行鏡像的方式得到。
示例性地，對於建立空白鏡像檔案的方式：在儲存設備上產生一個預設儲存鏡像檔案（可以是16G大小的空白檔案「磁碟分割區1.dd」），得到鏡像檔案。對於複製已有鏡像檔案的方式：將另一儲存設備A硬碟的所有磁區區間的數據保存為「A硬碟鏡像檔案.dd」的儲存檔案，則「A硬碟鏡像檔案.dd」稱為A硬碟的鏡像檔案，再將「A硬碟鏡像檔案.dd」拷貝到具備儲存空間能力的儲存設備中。透過保護模組，可以將上述「磁碟分割區1.dd」或者「A硬碟鏡像檔案.dd」作為數據來源接入電腦設備。
可選地，對於對所述儲存設備的數據區間進行鏡像的方式，數據區間的大小可以透過檔案佔位的方式進行預先設置，例如產生16G大小的空白「磁碟分割區1.dd」檔案，則數據區間的大小為16G；也可以在有讀寫需要時，透過檔案數據追加的方式寫入，則數據區間的大小為數據區間已有數據的大小加上儲存設備的總剩餘空間（或稱空白數據區域），從而能夠充分利用儲存設備的數據空間。
示例地，電腦設備對以檔案形式的儲存數據來源進行讀寫：數據區間對應的檔案路徑為USB隨身碟中的「E:\我的資料夾\磁碟分割區1.dd」，當讀寫所述磁碟分割區1時，目標設備實際讀寫「磁碟分割區1.dd」的檔案數據進行映射。電腦設備讀取第0數據區塊時，則返回「磁碟分割區1.dd」檔案數據的起始位址的0至後面的512個位元組數據（單一磁區大小為512位元組），即返回檔案數據區塊0的數據，以電腦設備操作的（磁區位址×512）為偏移量等方式，對檔案數據進行讀寫。如果電腦能夠直接讀寫檔案對應的磁區數據，則直接讀寫對應的檔案磁區。
需要說明的是，對於本實施例的檔案磁碟分割區和下述實施例的網路磁碟分割區，磁區位址應擴大解釋為「檔案數據區塊」，即一個檔案數據區塊對應一個磁區。例如：在單一磁區大小為512個位元組的情況下，讀入磁區0，則對應檔案數據區塊0，即讀取檔案的起始位址至後面511位元組的共512個位元組數據；寫入磁區1，則對應檔案數據區塊1，等於從檔案偏移量的512位元組開始至後面的511個位元組寫入共512個位元組數據。後續步驟不再贅述。
在一些實施例中，在圖1所示實施例的基礎上，圖16揭示了第七實施例提供的數據安全保護方法的流程示意圖。與圖1相同的步驟不再贅述，所述儲存設備為網路儲存設備，所述網路儲存設備與伺服器端連接，所述伺服器端包含多個網路鏡像檔案，如圖16所示，所述方法還包括：
步驟S1001，將目標網路鏡像檔案作為儲存數據來源接入到所述電腦設備，所述目標網路鏡像檔案為多個所述網路鏡像檔案中的至少一個，所述儲存數據來源包含所述目標檔案。
在本實施例中，所述儲存設備為網路儲存設備，網路儲存設備可以不儲存數據，也可以儲存數據，其透過有線方式或無線方式與伺服器端通訊連接，所述伺服器端包含多個網路鏡像檔案。可選地，在基於分散式儲存技術、優化儲存和CDN網路加速的情況下，網路鏡像檔案可以為數據庫的數據，或者多個檔案的組合、拼湊和映射等。
可選地，網路儲存設備連接伺服器端，並向伺服器端發送標識訊息，伺服器端根據網路儲存設備的標識訊息關聯對應的網路鏡像檔案，在電腦設備發送數據互動指令時，向伺服器端轉發數據互動指令的讀寫要求（例如讀取或寫入操作，操作開始的磁區位址，連續讀取磁區的長度），伺服器端接收到網路儲存設備發送的讀寫要求後，返回網路鏡像檔案對應的磁區檔案數據區塊位址，以實現網路儲存設備的數據空間擴展。
可選地，根據網路儲存設備的標識訊息，在伺服器端切換控制網路儲存設備對應的目標網路鏡像檔案，以將目標網路鏡像檔案接入到電腦設備。例如根據網路儲存設備的標識號（或者使用者的標識訊息（透過帳號登錄綁定））綁定「磁碟分割區1.dd」、「磁碟分割區2.dd」和「磁碟分割3.dd」3個網路鏡像檔案，以在所述3個網路鏡像檔案中切換接入到電腦設備的數據來源。
示例性地，目標設備連接伺服器端，將伺服器端儲存的「磁碟分割區1.dd」的網路鏡像檔案接入到電腦設備，電腦設備以單一磁區大小為512位元組的方式發送數據互動指令，若所述數據互動指令用以讀取第0磁區位址的數據、向第1磁區位址寫入數據，則保護模組向伺服器端發送請求，伺服器端將第0磁區轉換為「磁碟分割區1.dd」的起始位址，將第1磁區轉換為「磁碟分割區1.dd」的第512個位元組偏移量位址。伺服器端根據轉換後的位址，返回鏡像檔案「磁碟分割區1.dd」起始位址的0至後面的511個位元組數據。向「磁碟分割區1.dd」的第512個位元組為偏移量位址至後面的511個位元組數據寫入數據，網路儲存設備再將伺服器端返回的結果返回至電腦設備。
本實施例的網路儲存設備能夠在電腦設備無需安裝軟體工具的情況下隨意切換不同的儲存數據來源，數據來源的真實位址對電腦來說不可見，數據來源保存在雲端，當網路儲存設備丟失時可以遠端取消數據來源，提高數據儲存設備的數據安全性。同時，本實施例直接讀寫取伺服器端關聯檔案的特定偏移位址數據（或者檔案對應的磁區位址數據，並以轉發方式將數據直接轉發至伺服器端或電腦設備，從而不受儲存設備本身儲存空間的限制，提高效率和增大適用場景。
在一些實施例中，採用描述子集合（及相關配置檔案）區別以獨立磁碟分割區形式、檔案形式和網路形式等不同形式的數據來源，從而讓電腦設備能夠區分不同的儲存設備。「描述子集合」可以儲存在數據來源的隱藏位置，例如最後一個磁區並不能被電腦當作儲存設備數據存取，也可以儲存於伺服器端，還可以是儲存於保護模組內置儲存的某個磁區或者檔案。
若保護模組設置在所述中繼設備上；所述中繼設備具有網路功能，以連接雲端或伺服器端的儲存模組。相應的，本案實施例提供的方案中步驟「對所述數據互動指令做出響應」，包括：
將所述數據互動指令發送至網路側儲存模組，以便所述儲存模組基於所述數據互動指令讀取及/或寫入相應的數據。
在一些實施例中，在圖13、15和16任一實施例的基礎上，所述方法還包括：
響應於使用者輸入的驗證指令，將與所述驗證指令的指令類型對應的目標儲存數據來源接入到所述電腦設備，所述目標儲存數據來源為磁區區間、鏡像檔案和網路鏡像檔案中的至少一種。
在本實施例中，驗證指令為確定選中的目標儲存數據來源接入到電腦設備的指令，其可以攜帶有目標儲存數據來源對應密碼訊息。例如，目標儲存數據來源以磁碟分割區形式接入電腦設備為例，磁碟分割區1對應密碼A，磁碟分割區2對應密碼B，同時接入所有磁碟分割的密碼為C，當驗證指令攜帶密碼A時，確認將磁碟分割區1接入到電腦設備；當驗證指令攜帶密碼B時，確認將磁碟分割區2接入到電腦設備；當驗證指令攜帶密碼C時，確認將磁碟分割區1和磁碟分割區2同時接入到電腦設備。本實施例透過在接入目標磁區區間時可以透過密碼驗證使用者身份，以確定接入選中的目標儲存數據來源，從而提高儲存數據來源的安全性。
在一些實施例中，在圖1所示實施例的基礎上，圖17揭示了第八實施例提供的數據安全保護方法的流程示意圖。與圖1相同的步驟不再贅述，如圖17所示，所述方法還包括：
步驟S1101，讀取所述儲存設備的用電需求訊息；
步驟S1102，根據所述用電需求訊息，配置所述儲存設備的電路限流保護策略，所述電路保護策略用以控制所述儲存設備的用電狀態。
在本實施例中，用電需求訊息包括但不限於用電電流、用電電壓和電路狀態等，電路保護策略包括針對儲存設備的保護策略和針對電腦設備的保護策略。
可選地，為了防止電腦設備輸入大電流導致儲存設備燒壞，所以根據儲存設備的用電電流，配置保護策略，例如，中繼設備連接電腦設備的第二介面與連接儲存設備的第一介面之間的通路電流不超過用電電流，或不超過用電需求的預設允許上限（如10%），又或者不超過預設固定值（如500毫安培）。為了防止儲存設備屬於短路電路而導致電腦設備燒壞，所以根據儲存設備的電路狀態，配置保護策略，例如儲存設備的電路狀態為短路或者存在暫態大電流時，中繼設備斷開與儲存設備連接的第一介面的連接通路，或者增大與第一介面的電阻。
在一些實施例中，所述方法還包括：
產生互動記錄檔，所述記錄檔用以記錄對於所述電腦發送的數據互動指令的處理記錄。
在本實施例中，將電腦設備發送的數據互動指令的處理記錄（例如記錄轉發情況、執行情況的相關數據）儲存到互動記錄檔中，以便於事後審計。可選地，互動記錄檔讀取時可以配置為唯讀模式，使其無法被篡改，保證互動記錄檔儲存記錄的可靠性。
在一些實施例中，若當前保護模式為備份模式，相應的，步驟「對所述數據互動指令進行響應」可包括：
所述數據互動指令為寫入指令時，將所述電腦設備寫入的數據同步寫入至指定的備份儲存區域內；及/或
所述數據互動指令為寫入指令時，保護模組在執行寫入指令前，讀取所述電腦設備寫入的磁區位址數據並寫入至指定的備份儲存區域內。
上述「將電腦設備寫入的數據同步寫入至指定的備份儲存區域」這樣做的優點是：在電腦設備拷貝了重要數據，發現重要數據被另一個電腦設備惡意寫入破壞的情況，此時就可以透過備份恢復進行數據恢復。
上述「保護模組在執行寫入指令前，讀取電腦設備寫入的磁區位址數據並寫入至指定的備份儲存區域內」這樣做的優點是：相當於在寫入前保留原有的數據，在被電腦惡意刪除或修改後，可以從備份儲存區域內恢復。例如在引導磁區、FAT表、檔案項訊息等數據在電腦寫入數據前預先進行備份，當發現被電腦惡意寫入破壞後，在儲存設備無法正常接入（如提示需要重新格式化）或檔案將無法被正常顯示或讀寫操作時，這時候可以透過備份恢復數據。
進一步的，當前保護模式為備份模式時，本案實施例提供的數據保護方法還可包括如下步驟：
將接入儲存設備的重要數據磁區的數據備份儲存至指定的備份儲存區域內；
當觸發還原時，將所述指定的備份儲存區域內的數據讀取，寫入至所述儲存設備原有的數據磁區內。
其中，重要數據磁區可人為設定，例如使用者可透過互動裝置進行指定，被使用者指定的數據磁區可標記為重要磁區。或者，重要數據磁區是保護模組自行設定；又或者，重要數據磁區是基於預置的重要性評判策略選定的，等等，本實施例對此不作具體限定。
參見圖18a所示中繼設備的一種結構形態實例。或者圖18b所示的集成有具有本案各實施例提供的保護方法對應功能的保護模組的儲存設備。圖18a和18b所示的中繼設備在處於人工確認模式下可顯示需人工確認的訊息，如檔名、檔案類型、檔案大小、操作等等。使用者可透過「確認」控制項進行確認操作，也可透過「取消」控制項進行取消操作。按照不同的使用場景，使用者可在如圖18a或18b所示的中繼設備或儲存設備的面板上手動操作：
一：選擇保護模式。選擇全硬碟唯讀，特定資料夾只寫（空白資料夾）、特定資料夾唯讀、特定資料夾讀寫等保護模式對應的保護開關，完成中繼設備當前保護模式的設置。
二、選擇物理數據來源。選擇數據來源為USB儲存設備、SD卡、內置儲存晶片或外部網路儲存設備等等。
三、選擇邏輯磁碟分割區數據來源。進一步的將物理數據來源的磁區位址進行切分，形成多個數據來源進行選擇，選擇其中一個磁碟分割區作為數據來源。例如，一個USB隨身碟16G，可以切割成8G、4G、4G的3個數據來源。
四、中繼設備接入電腦設備。將儲存設備的USB公頭介面插入到中繼設備的USB母頭介面，中繼設備的USB公頭插入到電腦設備的USB母頭介面，使用電腦設備的USB介面為中繼設備及儲存設備供電。
圖19揭示了幾種場景：
場景1：電腦設備與儲存設備之間透過中繼設備連接，中繼設備將電腦設備和儲存設備隔離開。所述場景1對應的中繼設備的產品形態可以是一個類似於圖2a、2b或18a所示的類似於一個介面轉換器的硬體設備。
場景2：中繼設備的產品形態為讀卡機，讀卡機用以連接卡片類、晶片類儲存設備（如SD卡）。讀卡機具有控制功能和保護功能，控制功能和保護功能可以是純軟體形式被集成在一顆晶片中，也可以是讀卡機中的兩個獨立晶片。
場景3、儲存設備具有保護模組及內置至少一個或多個儲存晶片（或儲存顆粒），還有用以連接至少一個或多個外部儲存設備的介面（如TF Card介面用以接入SD卡、TF卡，USB介面用以接入USB隨身碟等）。其中，保護模組可以是獨立晶片形式（如場景4），也可以是類似於場景5中的純軟體形式被配置在儲存設備的控制晶片上，還可以是場景6中的純軟體形式被配置在儲存晶片上等等，本實施例對此不作限定。若外部儲存介面連接有儲存設備，保護模組可根據需要切換物理數據來源，如選擇某個外部儲存設備或某個儲存晶片（或儲存顆粒）。
場景4、保護模組為行動儲存設備硬體的一部分，但在硬體內部以保護晶片方式獨立存在。例如，普通行動儲存設備透過硬體升級，可以變為本發明申請的設備。
場景5：數據安全保護方法的保護功能以軟體方式集成在控制晶片中，即保護模組為軟體形態。例如，普通行動儲存設備透過控制晶片的軟體（韌體）升級，並安裝外部按鈕開關，可以變為本發明申請的設備。
場景6：保護模組直接作為儲存晶片的一部分，思路上可以按照場景4、場景5的軟硬方式進行保護。目前有儲存晶片帶有保護功能的，例如可以設置唯讀的SD卡。
場景7：數據安全保護方法的保護功能以軟體方式集成在控制晶片中，即保護模組為軟體形態。同場景5不同的是，數據儲存設備沒有控制晶片，所有的讀寫操作均由控制晶片直接完成。
這裡需要補充說明的是：上文中提及了一種保護模式為邏輯磁碟分割模式，在邏輯磁碟分割模式下，保護模組會基於當前保護模式確定接入電腦設備的邏輯磁碟分割區（即邏輯意義上的數據來源）。對於上述場景3，保護模組設置在第一儲存設備上，且第一儲存設備上設置有至少一個或多個儲存晶片以及用以連接至少一個或多個外部第二儲存設備的介面，所述第一儲存設備上的至少部分介面連接有外部第二儲存設備；相應的，保護模組當前保護模式指定的至少一個數據來源可包括但不限於：
所述至少一個或多個儲存晶片、所述第一儲存設備上至少部分介面連接的外部第二儲存設備中的至少一個物理數據來源；及/或
所述至少一個或多個儲存晶片中的至少一個邏輯磁碟分割區；及/或
所述第一儲存設備上連接的外部第二儲存設備中的至少一個邏輯磁碟分割區。
上文中有提及本案各實施例提供的技術方案中電腦設備與保護模組間互動過程可包括但不限於：準備階段、列舉階段及數據互動階段。參見圖20a和20b所示，可簡單總結出保護模組的基本運行邏輯如下：
第一階段、物理儲存數據來源（儲存設備）連接階段。按照選擇物理數據來源，建立物理連接。如果保護模組為中繼設備，則建立與儲存設備的通訊連接。如果儲存設備為SD卡、TF卡、內置儲存晶片等，根據其介面（例如SDI0、SPI、HSPI等）建立通訊連接。如果儲存設備為USB隨身碟，保護模組根據其USB介面建立通訊連接。如果儲存設備為硬碟等，保護模組根據其SATA、M.2等介面進行連接。
第二階段、保護模組讀取物理儲存數據來源（儲存設備）階段，即上文中提及的準備階段。在準備階段，可預先分析儲存設備。一種情況是：中繼設備具有保護模組，電腦設備與儲存設備透過中繼設備連接；所述情況下，保護模組讀取儲存設備數據並進行分析。另一種情況是：儲存設備集成有保護模組，此時就不需要讀取，直接對儲存設備數據進行分析即可。如上文中對應的實施例，對儲存設備的數據訊息進行分析。更具體的，一是，讀取描述子。如當保護模組為中繼設備，物理數據來源為USB介面的儲存設備時，讀取儲存設備的設備描述子、配置描述子、介面描述子、埠描述子和字串描述子，並判斷是否為合法的設備類型，例如，大容量儲存設備硬體類型。二是，讀取儲存設備的儲存訊息相關參數。如當物理數據來源為USB設備、SD卡、TF卡、內置儲存晶片等時，讀取儲存空間容量（或者為可用磁區大小）、讀寫權限等。三是、若保護模式為邏輯磁碟分割模式時，按照儲存空間建立磁區偏移關係。四是，當保護模式涉及檔案系統時，進一步讀取相關儲存空間數據，如特定資料夾讀寫時，獲取根目錄起始磁區位址和特定資料夾起始磁區位址。例如，保護模式為特定檔案模式時，根據檔案系統的規則，尋找儲存設備的特定資料夾的起始磁區位址（或新建空白資料夾）、根目錄（起始目錄）位址等用以映射的相關數據。
當第一階段和第二階段完成，且保護模組連接的設備的設備類型為允許接入的設備類型時，準備步驟成功，介面向電腦設備發送列舉訊號，以進入列舉階段。參見圖20a所示，基於儲存設備的數據訊息判定儲存設備的設備類型，所述步驟為電腦設備與儲存設備之間透過具有保護模組的中繼設備特有的。
即在本案的一個具體的實施例中，所述目標設備為中繼設備時，本案提供的保護方法還可包括：在準備階段，所述目標設備讀取所述儲存設備的數據訊息並分析。若所述目標設備為儲存設備時，所述方法還可包括：在準備階段，所述保護模組對所述儲存設備的數據訊息進行分析。
參見圖20a所示，在電腦設備向保護模組提供供電訊號或保護模組啟動時，便可進入準備階段。若所述目標設備為中繼設備，相應的上述步驟中「所述目標設備讀取所述儲存設備的數據訊息」可包括：
在所述準備階段，所述保護模組類比所述電腦設備向所述儲存設備發送控制指令；
接收所述儲存設備回饋的所述儲存設備的數據訊息。
在一具體的可實施的技術方案中，「對數據訊息進行分析」可包括：
基於所述數據訊息，判定儲存設備是否是所述當前保護模式指定的設備類型；
若是，則向電腦設備發送可以列舉訊號，以進入列舉階段。
第三階段、列舉階段。3.1、在列舉階段，基於當前保護模式，對所述儲存設備的數據訊息進行處理，得到處理後訊息；3.2、將處理後訊息發送至所述電腦設備，以便建立所述電腦設備與儲存設備間的通訊連接。
其中，3.1「基於當前保護模式，對所述儲存設備的數據訊息進行處理，得到處理後訊息」可具體包括：
3.1.1、根據當前保護模式，對所述數據訊息進行處理，產生模擬所述儲存設備的第二特徵參數；及/或
3.1.2、根據當前保護模式，對所述數據訊息進行處理，產生模擬所述儲存設備的第二儲存訊息相關參數；
3.1.3、將所述第二特徵參數及/或所述第二儲存訊息相關參數發送至所述電腦設備，以便建立所述電腦設備與所述儲存設備間的通訊連接。
上述3.1.1，在具體實施時可具體包括：獲取所述當前保護模式對應的預設參數模板；根據所述數據訊息中的第一特徵參數反映出的所述儲存設備的設備類型，從所述預設參數模板中獲取能代表所述設備類型的至少一個參數項，以得到所述第二特徵參數；或者利用所述當前保護模式對應的篩選策略，對所述第一特徵參數中的參數項進行篩選，基於篩選出的至少一個參數項，得到所述第二特徵參數。
其中，所述第一特徵參數可包括但不限於：描述子數據；其中，描述子數據包括如下中的至少一項：硬體描述子、介面描述子、埠描述子、端點描述子、字串描述子等。
進一步的，所述數據訊息包括第一儲存訊息相關參數，所述第一儲存訊息相關參數包括但不限於：儲存設備可讀寫狀態、可格式化區塊總數、最後邏輯區塊位址、單一磁區位元組數、最大邏輯單元數、設備訊息。
上述3.1.2，在具體實施時可具體包括：
3.1.2a、根據當前保護模式規定的操作類型，修改所述第一儲存訊息相關參數中的讀寫狀態參數。
如圖21所示的實例，②為保護模組向電腦設備返回的封包，③是保護模組向電腦設備返回的狀態包。其中，封包中，保護模組對儲存設備的讀寫狀態參數進行了修改，如將讀寫狀態0x00參數修改為：0x80（代表唯讀）。或者，保護模組直接向電腦設備返回唯讀（即防止寫入）狀態。
這裡需要補充說明的是：保護模組在數據互動過程中將讀寫狀態參數進行了修改，這個修改位於保護模組的記憶體，並不修改儲存設備的原始讀寫狀態參數，也無需儲存設備具有讀寫狀態的修改權限（例如普通的USB隨身碟難以透過修改改變其讀寫狀態）。
讀寫狀態參數改為唯讀（防寫）狀態後，電腦設備「認為」儲存設備（例如USB隨身碟）為唯讀（防寫）狀態，從而在人機互動介面中，禁止寫入操作。
3.1.2b、若所述當前保護模式為邏輯磁碟分割模式，則根據當前保護模式規定的可接入電腦設備的目標磁碟分割區的參數，修改所述第一儲存訊息相關參數中的可格式化區塊總數及/或最後邏輯區塊位址。
如圖22所示的實例，②為保護模組向電腦設備返回的封包，③是保護模組向電腦設備返回的狀態包。其中，封包中，保護模組對儲存設備的可格式化區塊總數進行了修改，如把0x01 DE 20 00修改為0x00 EF 10 00。圖22所示的實例，是在邏輯磁碟分割模式下，保護模組對儲存設備的磁碟容量參數進行的修改。同樣的，也可不修改，保護模組執行向電腦設備回饋含有0x00 EF 10 00的封包。
其中，可格式化區塊總數可用以計算可格式化最大容量。例如，可格式化最大容量=可格式化區塊總數*每區塊位元組長度。
這裡需要補充的是：圖22所示的實例可與圖14d對應著看。圖22從數據處理過程視角，圖14d是從物理視角來解釋磁碟分割區1的情況。可見，在磁碟分割區1的情況下，將原有16G的儲存空間的可格式化區塊總數進行修改，並返回給電腦，讓電腦「認為」所述儲存設備僅有8G。同樣的，保護模組在數據互動過程中進行修改，修改數據僅位於保護模組的記憶體，並不修改儲存設備的原始數據，也無需儲存設備具有容量訊息的修改權限（例如普通的USB隨身碟難以透過修改改變其容量訊息）。
另外，圖23揭示了修改最後邏輯區塊位址的實例。如圖23所示的實例，②為保護模組向電腦設備返回的封包，③是保護模組向電腦設備返回的狀態包。其中，封包中，保護模組對儲存設備的最後邏輯區塊位址進行了修改，如將0x01 DE 1F FF修改為0x00 EF 0F FF。圖22所示的實例，是在邏輯磁碟分割模式下，保護模組對儲存設備的磁碟容量參數進行的修改。同樣的，也可不修改，保護模組執行向電腦設備回饋含有0x00 EF 0F FF的封包。
3.1.2c、根據當前保護模式，修改所述第一儲存訊息相關參數中的設備訊息，以保護儲存設備的隱私訊息。
圖24揭示了修改設備隱私訊息的實例。如圖24所示的實例，②為保護模組向電腦設備返回的封包，③是保護模組向電腦設備返回的狀態包。其中，在設備隱私保護模式下，封包中的有關廠商訊息字串、產品訊息字串、產品版本訊息字串等，均可改為00……00。同樣的，也可不修改，保護模組執行向電腦設備回饋廠商訊息字串、產品訊息字串、產品版本訊息字串等為00……00的封包。
參見圖20a和20b所示的列舉步驟中，電腦設備發送數據互動指令，以向保護模組請求獲取硬體特徵參數（即對應上文中提及的儲存設備的第一特徵參數）。具體的，所述硬體特徵參數可以包括但不限於：硬體描述子、介面描述子、埠描述子、端點描述子、字串描述子等。保護模組基於在準備階段獲取到的數據訊息，結合當前保護模式對數據訊息中的第一特徵參數進行數據處理，得到第二特徵參數並向電腦設備返回所述第二特徵參數。進一步的，電腦設備繼續發送數據互動指令，以向保護模組請求獲取儲存設備的儲存訊息相關參數。其中，儲存訊息相關參數可包括但不限於：設備可讀寫狀態、可格式化最大容量及/或可格式化區塊總數（圖中未揭示）、最後磁區位址、單一磁區位元組數、最大邏輯單元數、設備訊息（圖中未揭示）等等。保護模組基於在準備階段獲取的數據訊息，結合當前保護模式對數據訊息中的第一儲存訊息相關參數進行數據處理，得到第二儲存訊息相關參數並向電腦設備返回所述第二儲存訊息相關參數。
參見圖20b所示，列舉階段又可細分為：建立介面連接子階段和讀取儲存設備訊息子階段。在建立介面連接子階段：1、存取控制，根據預設存取控制規則，讀取儲存設備的描述子數據（即上文中提及的第一特徵參數），判斷是否符合預設要求。若符合預設要求，允許電腦設備與儲存設備建立連接；否則，禁止電腦設備與儲存設備建立連接。2、內容修改，根據內容修改規則（如上文中提及的3.1.1），向電腦設備返回已修改或替換後的描述子數據。在讀取儲存設備訊息子階段：1、存取控制，根據預設存取控制規則，讀取儲存設備的儲存訊息數據（即上文中提及的儲存訊息相關參數），判斷是否符合預設要求。若符合預設要求，允許電腦設備與儲存設備建立連接；否則，禁止電腦設備與儲存設備建立連接。2、內容修改，根據內容修改規則（如上文中提及的3.1.2a~3.1.2c），向電腦設備返回已修改或替換後的儲存訊息數據。
第四階段：數據互動階段。參見圖20a所示，電腦設備向保護模組發送數據互動指令（如讀取指令），所述數據互動指令可包括：讀取指令及磁區位址。如果所述磁區位址禁止讀，則保護模組不發送數據互動指令至儲存設備。如果所述磁區位址在符合規則的情況下（即可讀取），將磁區位址修改為規則預設的磁區位址（如邏輯磁碟分割區、特定資料夾讀等）。儲存設備返回修改後的磁區位址對應的數據（讀取數據+讀狀態）。保護模組將儲存設備返回的數據發送至電腦設備。繼續參見圖20a，電腦設備向保護模組發送數據互動指令（如寫入指令），所述數據互動指令可包括：寫入指令、磁區位址及寫入數據。如果所述磁區位址禁止寫，則保護模組不發送數據互動指令至儲存設備。如果所述磁區位址在符合規則的情況下（即可寫入），將磁區位址修改為規則預設的磁區位址（如邏輯磁碟分割區、特定資料夾讀寫等）。若當前保護模組為加密寫入模式，還需要對要寫入的數據進行加密處理後再寫入修改後的磁區位址對應的位置。儲存設備返回寫狀態。保護模組將儲存設備返回的寫狀態發送至電腦設備。
圖20b是從三方面對數據互動階段進行的說明。參見圖2b所示的實施例，在數據互動階段：判斷電腦的讀取/寫入磁區位址是否符合預設要求（如上文中提及的是否禁止寫入、禁止讀取等），來進行存取控制。若符合存取控制規則，則允許電腦設備對磁區位址進行讀取/寫入操作；否則，禁止電腦設備對磁區位址進行讀取/寫入操作。隨後，進行位址映射，根據位址映射規則，即上文中提及的磁區位址修改規則，讀寫儲存設備相應的被映射磁區位址的數據，並向電腦設備直接返回讀數據或寫狀態。或者，還可進行內容修改，即根據內容修改規則，讀取/寫入儲存設備相應磁區位址的數據進行修改，並向電腦設備返回讀數據或寫狀態。
下面舉一個具體實例，在電腦設備被允許與儲存設備建立連接後，電腦列舉讀取儲存設備的流程可包括但不限於如下內容：
1、電腦設備讀取儲存設備的0磁區，分析MBR或GPT磁區或檔案系統引導磁區的數據，獲取檔案系統磁碟分割訊息的磁區位址；
2、讀取檔案系統磁碟分割訊息的磁區位址，根據檔案系統的協定，分析出根目錄（或稱為起始目錄）起始磁區位址；
3、根據檔案系統協定，讀取根目錄磁區位址數據；
4、分析根目錄磁區位址數據的檔案和資料夾訊息；
5、在電腦設備中顯示根目錄的檔案和資料夾列表。
參見圖28a~28d分別揭示了存取控制過程的示例。圖28a揭示了數據處理過程視角下控制「讀取指令（單一磁區讀）」磁區位址、封包或者狀態的示意圖。圖28b揭示了數據處理過程視角下控制「讀取指令（多磁區連續讀）」磁區位址、封包或者狀態的示意圖。圖28c揭示了數據處理視角下控制「寫入指令（單一磁區寫）」磁區位址、封包或狀態。圖28d揭示了數據處理視角下控制「寫入指令（多磁區連續寫）」磁區位址、封包或狀態。
具體的，參見圖28a所示，電腦設備發送的指令（或指令包、CBW包），以SCSI協議為例，0x28代表：READ（10）指令，請求讀取磁區位址數據。所述指令中還包含有操作磁區位址00 00 00 00及操作磁區數量00 01。保護模組結合操作磁區位址00 00 00 00及操作磁區數量00 01，若判斷所述磁區位址對應的讀權限在當前保護模式下為禁止讀，則不進行實際讀取操作，例如磁區限制模式、邏輯磁碟分割模式等。若保護模組當前保護模式為邏輯磁碟分割模式、特定檔案模式、空白檔案模式等，則調整實際操作磁區位址（如上文中提及的映射方式）。若保護模組當前保護模式還組合有其他模式或判斷，則觸發其他模式，如解密讀取模式、異常判斷等。如圖28a所示保護模組在響應電腦設備發送的指令時，判斷所述指令欲讀取磁區的數據是否符合當前保護模式要求，例如檔案類型限制模式中限定的檔案類型等。保護模組可基於當前保護模式，全區塊修改或逐字修改，所述修改可以不修改所述磁區原有的數據，例如解密讀取模式、檔案類型限制模式等。進一步的，保護模組還可基於其他模式對欲返回給電腦設備的數據（或封包、DATA包）進行輔助修改，例如特定檔案模式下修改根目錄位址等。保護模組除向電腦設備返回數據外，還返回狀態包（或CSW包）。具體的，若操作磁區位址不具備操作權限，則可以不返回真實封包，可以將所述位元組為非0x00，並直接返回狀態包；或者返回非真實的封包，並直接返回所述位元組0x00的狀態包，使電腦設備認為讀取成功。參見圖28b所示，電腦設備發送的指令（或指令包、CBW包），以SCSI協議為例，0x28代表：READ（10）指令，請求讀取磁區位址數據。所述指令中還包含有操作磁區位址00 00 00 00及操作磁區數量00 02。即圖28b為多磁區連續讀取指令對應的控制。保護模組的控制過程同上述圖28a，區別僅在於：圖28b在多磁區連續讀取過程中，可進行逐磁區操作。
參見圖28c所示，電腦設備發送的指令（或指令包、CBW包），以SCSI協議為例，0x2A代表：WRITE（10）指令，請求將數據寫入磁區位址。在全硬碟唯讀模式下，不執行所述指令（即所述指令被禁止）。所述指令中包含有操作磁區位址00 00 08 D8及操作磁區數量00 01。保護模組結合操作磁區位址00 00 08 D8及操作磁區數量00 01，若判斷所述磁區位址對應的寫權限在當前保護模式下為禁止寫，則不進行實際寫入操作，例如磁區限制模式、邏輯磁碟分割模式等。若保護模組當前保護模式為邏輯磁碟分割模式、特定檔案模式、空白檔案模式等，則調整實際操作磁區位址（如上文中提及的映射方式）。若保護模組當前保護模式還組合有其他模式或判斷，則觸發其他模式，如解密讀取模式、異常判斷等。如圖28c所示保護模組在響應電腦設備發送的封包（或DATA包）時，判斷所述欲寫入數據的磁區的數據是否符合當前保護模式要求，例如檔案類型限制模式中限定的檔案類型等。保護模組可基於當前保護模式，全區塊修改或逐字修改，例如加密寫入模式、檔案類型限制模式等。保護模組還向電腦設備返回狀態包（或CSW包）。具體的，若操作磁區位址不具備寫入操作權限，則可以不返回真實封包，可以將所述位元組為非0x00，並直接返回狀態包；或者直接返回所述位元組0x00的狀態包，使電腦認為寫入成功。參見圖28d所示，電腦設備發送的指令（或指令包、CBW包），以SCSI協議為例，0x2A代表：WRITE（10）指令，請求將數據寫入磁區位址。所述指令中還包含有操作磁區位址00 00 08 D8及操作磁區數量00 02。即圖28d為多磁區連續寫入指令對應的控制。保護模組的控制過程同上述圖28c，區別僅在於：圖28d在多磁區連續寫入過程中，可進行逐磁區操作。
總結一下，本案各實施例提供的技術方案的優勢在於：
優勢一、應用場景方面
通用性強，能夠對市面上通用的行動儲存設備進行保護，例如USB隨身碟、USB光碟機、SD轉接器、SD卡等，保護的設備相容性高。
可行性高，在電腦設備無需安裝特定軟體就能保護，對於儲存設備使用來說，保護的可行性高。
應用廣，可以廣泛應用在內網環境、工業控制設備、印表機設備、物網路設備等眾多場景的設備中，並無需對已有的系統或軟體進行升級，能夠使用現有嵌入式設備或作業系統自帶的驅動程式，保護的電腦設備場景多。
優勢二、安全性方面
保護模組按照設置採用接入設備的硬體參數特徵，電腦設備的惡意程式無法發現保護模組的存在，無法對保護模組的接入進行限制。
保護模組的軟體為無作業系統、韌體的方式，對保護模組進行提權，無法對軟體進行篡改和刪除。
保護的方式位於設備間通訊的底層，惡意程式無法饒過保護措施。
保護的過程可以被記錄檔審計，可以將電腦設備與儲存設備的所有的操作命令和封包在保護模組內置儲存進行保存，可以進行事後審計。
保護持久穩定性強，保護是基於底層的通訊協定進行控制，在保護模組出廠後即可完成保護功能，不需要進行病毒庫的升級和後期維護工作。
優勢三、保護模式方面
保護的覆蓋面廣，從實體層、通訊層、檔案系統層均能夠進行保護；
保護的方式多，可以分為唯讀、只寫或自訂模式；
保護的顆粒度細，能具體到特定檔案、資料夾或磁區位址區間進行保護。
具體保護模式的實現方式：
具體實施方式：基本保護，接入設備類型判斷。
在儲存設備接入保護模組，保護模組接入電腦設備通電後，保護模組透過USB0介面，類比電腦設備的控制傳輸指令，讀取儲存設備的設備描述子、配置描述子、介面描述子、端點描述子。如果獲取上述描述子成功，就按照正常大容量儲存設備（USB隨身碟、外接式光碟機等儲存設備的標準設備類型）的特徵進行判斷，例如判斷（判斷可以是單一條件或組合條件）：
1.1、判斷設備的介面類型是否為「Mass Storage Class」（USB標準協定，大容量儲存設備類型），具體為判斷介面描述子的第6個位元組，確認是否為0ⅹ08（大容量儲存設備）。
1.2、判斷設備的介面子類是否為「SCSI transparent command set」（SCSI傳輸協定，根據儲存設備的不同有所不同），具體為判斷介面描述子的第7個位元組，確認是否為0ⅹ06（SCSI通訊子類）。
1.3、判斷設備的介面協定是否為「Bulk Only Transport」（USB標準協定，批量傳輸協定），具體為判斷介面描述子的第8個位元組，確認是否為0ⅹ05（批量傳輸）。
1.4、判斷設備的所有端點是否為「Bulk」（USB標準協定中的批量傳輸協定），具體為判斷介面描述子的第4個位元組，確認是否為0ⅹ02（批量傳輸）。
如果不符合大容量儲存設備的設備描述子特徵的，接入的「儲存設備」可能實際上為單一功能的鍵鼠等輸入裝置，或者是帶有鍵鼠功能和大容量儲存功能的設備，這種情況下，中繼設備終止與儲存設備進行進一步的通訊。
同時，在後續環節透過產生虛擬「虛擬行動硬碟」設備的方式，在作業系統顯示「非正常設備」的字串硬碟代號，並在虛擬行動硬碟的根檔案保存讀取的所述「儲存設備」的原始硬體參數數據的文字文件以供分析。
在符合正常大容量儲存設備的設備描述子的情況下，透過類比行動儲存設備的硬體參數和特徵，使電腦設備讀取保護模組的數據與原始的行動儲存設備完全一致，電腦設備不會識別出中繼設備的存在，避免惡意程式對中繼設備進行攔截。
舉例來說，如圖25所示，中繼設備的USB0有設備接入時，判斷是否符合正常的大容量儲存設備特徵，若符合，則對應上述圖19中的場景3~6直接獲取硬體特徵參數，而對應上述圖19中的場景1~2獲取大容量儲存設備的硬體特徵參數。隨後，將內置的設備描述子、配置描述子模板，將USB0設備（即儲存媒介）的廠商ID、設備ID、字串等進行替換填充；最後按照硬體特徵參數向USB1端連接電腦設備類比USB0接入設備（即儲存媒介）。若不符合，則終止與儲存設備或儲存媒介的通訊；並透過「虛擬硬碟」的硬碟名稱向USB1埠的電腦設備顯示硬碟代號，提示為非正常設備。在「虛擬硬碟」的根目錄保存讀取的所述「行動儲存設備」的原始硬體參數數據的文字文件；硬體初始化失敗。
圖26a揭示了本案各實施例提供的技術方案相關技術點的整理圖。圖26b揭示了採用本案各實施例提供的技術方案帶來的一些效果。
圖27揭示了另一個具體實例，場景1對應儲存媒介磁碟分割區場景。電腦設備向中繼設備發送數據互動指令，例如發送讀取位址0數據，讀取數據長度512位元組；寫入位址1數據，寫入數據為0x1212...（512位元組），寫入數據長度512位元組。中繼設備接收到後，將數據互動指令操作磁區位址進行轉化，例如將位址0轉化1000，位址1轉換為1001，對轉化後位址對應的磁區進行操作，如返回位址1000的數據，向位址1001寫入數據...（512位元組）。若場景1中與電腦設備連接的是具有保護模組的儲存設備，則中間方框對應的可以是儲存設備中的保護模組，圖27中最右側的框為儲存設備（如USB隨身碟、TF卡、SD卡等）或儲存媒介（如儲存晶片、儲存顆粒等）。
場景2對應儲存媒介檔案磁碟分割區場景。電腦設備向中繼設備發送數據互動指令，例如發送讀取位址0數據，讀取數據長度512位元組；寫入位址1數據，寫入數據為...（512位元組），寫入數據長度512位元組。中繼設備接收到後，結合位址、單個磁區位元組數（例如為512位元組）、數據長度計算，將數據互動指令操作磁區位址轉換成檔案數據對應的位址，例如轉化為對U.dd檔案數據的讀寫操作。例如，位址0轉化為U.dd檔案數據的0磁區位址，位址1轉換為U.dd檔案數據的1磁區位址，轉化後對U.dd檔案數據進行操作，如返回U.dd檔案位址0磁區的數據，向U.dd檔案數據磁區位址1寫入數據0x1212...（512位元組）。同樣的，若場景2中與電腦設備連接的是具有保護模組的儲存設備，則中間方框對應的可以是儲存設備中的保護模組，圖27中最右側的框為儲存設備（如USB隨身碟、TF卡、SD卡等）或儲存媒介（如儲存晶片、儲存顆粒等）。
場景3對應儲存媒介檔案磁碟分割區（網路）場景。電腦設備向中繼設備發送讀寫互動指令，例如發送讀取位址0數據，讀取數據長度512位元組；寫入位址1數據，寫入數據為0x1212...（512位元組），寫入數據長度512位元組。中繼設備接收到後，結合位址、單個磁區位元組數（例如為512位元組）、數據長度計算，將數據互動指令操作磁區位址轉換成伺服器端數據對應的位址（或者由伺服器端根據轉發的數據互動指令，按照預設的規則進行轉換），例如轉化為對伺服器端的U.dd檔案數據的讀寫操作。例如，位址0轉化為伺服器端的U.dd檔案數據的磁區0位址，位址1轉換為伺服器端的U.dd檔案數據的磁區1位址，轉化後對伺服器端的U.dd檔案數據進行操作，如返回伺服器端的U.dd檔案數據位址0的數據，向伺服器端的U.dd檔案數據磁區位址1寫入數據0x1212...（512位元組）。同樣的，若場景3中與電腦設備連接的是具有保護模組的儲存設備，則中間方框對應的可以是具有網路能力的儲存設備。
再有，本案實施例還提供一種安全控制框架。按照圖20a、20b、21-24以及圖28a~圖28d讀寫控制，根據業務場景對準備階段、列舉階段、數據交換階段的數據互動指令、數據和狀態進行允許禁止控制、編輯修改等，以達到控制的目的。
安全控制框架是位於電腦設備與儲存設備中間的保護模組，可以根據保護場景（或業務場景）需要，配置不同的保護方式，並根據實際情況進行切換。在準備階段、列舉階段、數據互動階段中，實現對電腦設備、儲存設備或電腦設備和儲存設備的訊息安全保護。同時，安全控制框架的保護場景可以基於本發明的保護模式進行單獨使用或者組合使用，也可以按照實際需要建立出新的保護場景（保護模式）；多個保護場景同時組合保護，或者由保護場景觸發啟動另一保護場景。
需要說明的是，本案的保護方法、保護模式以及相關實施例，可以基於安全控制框架進行配置建立，也可以根據保護方法獨立存在。
在一個具體的實施例中，所述安全控制框架包括：
配置模組，用以配置保護場景；
產生模組，用以產生保護場景的配置訊息或帶有所述保護場景的軟體；
其中，一種保護場景對應至少一種保護模式；將所述配置訊息或帶有所述保護場景的軟體部署在硬體設備上，使得所述硬體設備具有本說明書中所述數據安全保護方法中的步驟對應的功能。
進一步的，配置模組在配置保護場景時，具體用以：
配置保護場景標識訊息；以及
配置所述保護場景對應的保護操作的策略。
上述「配置所述保護場景對應的保護操作的策略」，可包括但不限於至少一個或多個：
配置所述保護場景下準備階段內保護操作的策略；
配置所述保護場景下列舉階段內保護操作的策略；及/或
配置所述保護場景下數據互動階段內保護操作的策略。
再進一步的，本實施例提供的所述安全控制框架還可包括：編譯模組，用以根據所述配置訊息執行相應的軟體編譯策略得到安全控制軟體；其中，硬體設備運行所述安全控制軟體，使得硬體設備具有上述請求項1~44中任一項所述數據安全保護方法中的步驟對應的功能。當然，安全控制框架也可沒有編譯模組。保護場景的配置訊息可導入至硬體設備（如新型USB隨身碟或如圖2a所示的中繼設備等），硬體設備具有編譯能力，根據配置訊息執行相應的軟體編譯策略以產生安全控制軟體（或可成為安全控制程式），以便於執行實現如上文各實施例中提及的保護模組對應的功能。
具體的：
一、配置保護場景
保護場景的配置包括：
（一）保護場景訊息，如名稱、編號、二進位值等，用以作為選定保護場景的唯一標識；如備註訊息、字串訊息等，用以場景數據的管理等。
（二）配置保護操作的策略，包括以下至少一個或者多個的組合：
1.在準備階段的策略。保護模組對儲存設備的讀取，經過提取、分析、修改等方式，獲取保護場景所需的數據。
配置用以準備階段向連接的儲存設備的數據互動指令（相當於保護模組向儲存設備發送哪些數據互動指令），用以向儲存設備請求數據或寫入數據。配置匹配符合儲存設備返回的數據的判斷、修改或響應方案（相當於當匹配到的儲存設備返回的數據要進一步怎麼做）。
在準備階段的策略可包括但不限於：數據互動指令發送策略、數據互動指令執行結果策略等。
（1）配置數據互動指令發送策略。設置用以模擬電腦控制儲存設備的至少一個或多個數據互動指令。數據互動指令包括不限於：USB標準請求（例如獲取設備描述子、配置描述子、介面描述子、埠描述子、字串描述子請求等），類特殊請求（例如Bulk-Only Mass Storage Reset、Get Max LUN請求等），SCSI命令集和UFI命令集請求（例如INQUIRY請求、READ FORMAT CAPACITIES請求、READ CAPACITY請求、READ（10）命令、WRITE（10）命令等），以及自訂請求或命令等等。
（2）配置匹配數據互動指令執行結果策略。設置用以識別數據互動指令執行結果返回數據的至少一個或多個數據特定位置的位元組值，並綁定匹配後的處理策略。數據互動指令執行結果封包括不限於：USB標準請求返回數據（例如設備描述子、配置描述子、介面描述子、埠描述子、字串描述子等），類特殊請求返回結果（例如最大LUN數量等），SCSI命令集和UFI命令集請求（例如可格式化區塊總數、最後邏輯區塊位址、單一磁區位元組數、磁區位置讀取的數據和狀態、磁區位置寫入數據的狀態等），以及自訂請求或命令等等。
處理策略包括：
①數據是/否判斷。預設數據互動指令規則並發送，對預設返回數據的至少一個或多個特定位置（例如特定位置的位元組值）的數據進行判斷，如果符合預設則進行操作A，如果不符合則進行操作B。例如，在硬體類型接入保護模式（保護場景）中，可以透過讀取描述子等數據進行判定是否符合接入要求，當不符合時斷開與儲存設備通訊；當符合時向電腦設備發送可以列舉的訊號。
②數據修改/保存。預設數據互動指令規則，實現對預設返回數據的至少一個或多個特定位置（例如特定位置的位元組值）的數據進行修改保存。例如，儲存設備的數據訊息保護模式或設備隱私保護模式（保護場景）中，可以透過讀取描述子等數據進行修改並在保護模組中保存。
③數據提取/分析。預設數據互動指令規則並發送，實現對至少一條或多條數據互動指令返回數據的上下文分析，提取或計算最終數值。例如，在特定檔案模式、檔案類型限制模式、人工確認模式等模式（保護場景）中，可以透過讀取檔案系統的數據，分析根目錄或者相關檔案的磁區位址區間。
④數據寫入。預設數據互動指令規則並發送，實現結合數據提取/分析的結果，對特定磁區位址寫入預設的數據。例如空白檔案模式中，在特定磁區位址空間寫入檔案項相關的數據，以實現自動建立資料夾的目的。
2.在接入階段的策略。電腦設備與保護模組建立通訊連接（電腦主機列舉），為數據交換做準備。
配置用以匹配接入階段的數據互動指令（相當於哪些互動指令需要進行響應），配置符合匹配結果時的判斷、修改或響應方案（相當於當匹配到的數據互動指令要進一步怎麼做）。
（1）配置電腦設備發送的數據互動指令匹配策略：設置用以識別數據互動指令的至少一個或多個數據特定位置的位元組值，並綁定匹配後的處理策略。數據互動指令包括指令數據和封包數據，例如指令請求包和回覆封包。當讀取數據互動指令數據時，判斷至少一個或多個數據位置的位元組值，當數據互動指令符合匹配項時，執行綁定的處理策略。
判斷的數據互動指令為：配置電腦設備發送的用以建立連接的請求。例如USB標準請求，以及用以獲取設備描述子、配置描述子、介面描述子、埠描述子、字串描述子、或其他自訂描述子的數據互動指令。具體的，例如USB標準請求數據共有8個位元組，分為5個部分。
| 標準請求數據 | 第0位元組 | 第1位元組 | 第2-3位元組 | 第4-5位元組 | 第6-7位元組 |
| 數據項名稱 | RequestType | Request | Value | Index | Length |
| 示例數據 | 0x80 | 0x60 | 0x00 0x01 | 0x00 0x00 | 0x12 0x00 |
按照USB標準請求規定，當Request（第1位元組位置）為0x06時，則為獲取設備描述子。為此可以判斷第1位元組位置是否為0x06，當匹配時，執行綁定請求設備描述子的處理策略。USB標準請求（例如獲取設備描述子、配置描述子、介面描述子、埠描述子、字串描述子等）或非標準請求（獲取自訂的描述子等）以此類推。
（2）配置匹配數據互動指令執行策略，主要包括：
①指令是/否執行判斷。預設數據互動指令規則，實現選擇進行操作A，或選擇進行操作B。例如，在數據互動指令為請求設備描述子時，回覆設備描述子數據；數據互動指令不符合時，不回覆數據。
②數據不修改/修改/替換回覆。預設數據互動指令規則，實現回覆儲存設備原數據、或者回覆經預設規則修改的數據、或者回覆預設固定的替換數據。例如，在儲存設備的數據訊息保護模式（保護場景）、數據訊息保護模式或設備隱私保護模式（保護場景）等模式中，回覆修改或替換後的描述子等數據；在唯讀模式（保護場景）等模式中，修改讀寫狀態訊息（如圖21所示）；在邏輯磁碟分割模式（保護場景）等模式中，修改容量相關訊息（如圖22、圖23所示）。
④執行對儲存設備、儲存媒介的數據讀取/寫入操作。預設數據互動指令規則，實現執行對儲存設備預設的讀取/寫入操作。例如，當接收到預設的數據互動指令（可能具有危險性的數據互動指令）時，優先執行對儲存設備磁區數據的讀取/寫入操作，提前做好數據保護。
⑤執行觸發啟動保護模式。預設數據互動指令規則，實現執行啟動保護模式的操作。例如，當接收到預設的數據互動指令（可能具有危險性的數據互動指令）時，啟動備份模式，防止數據遭到破壞；啟動記錄檔記錄，保存數據互動指令記錄檔訊息。
⑥執行斷開電腦設備操作。預設數據互動指令規則，實現執行斷開電腦設備連接操作。例如，當接收到預設的數據互動指令（可能具有危險性的數據互動指令）時，斷開電腦設備連接。
⑦執行虛擬儲存媒介操作。預設數據互動指令規則，實現在數據交換階段連接至虛擬儲存媒介。例如，當接收到預設的數據互動指令（可能具有危險性的數據互動指令、或者為禁止連接的設備類型）時，在後續數據交換階段，將數據操作連接至虛擬儲存媒介（非真實數據的儲存媒介）進行響應，其中虛擬儲存媒介可以為帶有相關提醒訊息的「虛擬硬碟」，也可以為有普通儲存媒介形態的「虛擬硬碟」。
⑧執行觸發選定數據來源。預設數據互動指令規則，實現選定儲存設備、儲存媒介或者邏輯磁碟分割區。例如，當接收到預設的數據互動指令時，選定預設的儲存設備、儲存媒介或者邏輯磁碟分割區，作為接入數據來源。
3.在數據互動階段的策略。電腦設備與保護模組進行數據交換，主要為電腦設備向保護設備發送讀取/寫入磁區位址相關的數據互動指令。
配置用以匹配數據交換階段的數據互動指令（相當於對讀取/寫入數據互動指令或者其他用以數據交換階段的數據互動指令的響應），配置符合匹配結果時的判斷、修改或響應方案（相當於匹配到的數據交換指令（讀取/寫入等）要進一步怎麼做）。
（1）配置電腦設備發送的數據互動指令匹配策略：設置用以識別數據互動指令的至少一個或多個數據特定位置（或參數）的位元組值，並綁定匹配後的處理策略。
數據互動指令包括指令數據、封包數據和狀態包數據，例如讀取指令和回覆的封包、回覆的狀態包；寫入指令、寫入的封包和回覆的封包。
判斷的數據互動指令主要對應的至少一個或多個數據特定位置（或參數）的位元組值。如圖28a~28d中的①②③或①②③④的所有數據。對於指令①（電腦設備發送指令（指令包）（CBW包））來說，根據不同的場景主要判斷傳輸的總位元組數、傳輸方向、操作的LUN、命令區塊長度、操作指令代碼、操作LUN、操作磁區位址、操作磁區數量。對於一個或多個封包來說，根據不同的場景判斷特定位置的位元組值，或者特定數據區間的多個位元組值或雜湊值。對於狀態包來說，主要判斷剩餘位元組數、執行的錯誤代碼。
參見圖28a~28d，圖28a揭示了數據處理過程視角下控制「讀取指令（單一磁區讀）」磁區位址、封包或者狀態的示意圖。圖28b揭示了數據處理過程視角下控制「讀取指令（多磁區連續讀）」磁區位址、封包或者狀態的示意圖。圖28c揭示了數據處理視角下控制「寫入指令（單一磁區寫）」磁區位址、封包或狀態。圖28d揭示了數據處理視角下控制「寫入指令（多磁區連續寫）」磁區位址、封包或狀態。
上述圖28a~28d揭示的數據處理過程涉及的CBW、DATA、CSW、操作指令代碼均屬於SCSI協定。圖29揭示了電腦設備、保護模組及儲存設備（如USB隨身碟、記憶卡或儲存晶片）的連接示意圖。對於保護模組與儲存設備的連接，其實只是介面和協議不同，本質上都是「中繼設備或讀卡機」原理。包括我們現有的USB隨身碟、行動硬碟等，實際上也是內置儲存晶片的讀卡機而已，技術邏輯是控制晶片將接收到的SCSI指令轉換成能夠讀取/寫入儲存媒介的SDIO或SPI的指令，並操作儲存媒介的數據。但是，如果是控制+儲存是分離式的，例如USB隨身碟、讀卡機，中繼設備需要在準備階段預先獲取儲存訊息。對於USB介面的USB隨身碟也需要對描述子進一步判斷，確定USB隨身碟的設備類型（單純的大容量儲存設備類型），確保沒有HID等功能；如果是控制+儲存是集成式的，例如本發明的新型USB隨身碟，儲存訊息預先是固定的，準備階段就無需再獲取，但如果為邏輯磁碟分割模式，也需要修改容量訊息，如果為特定資料夾讀寫模式，也需要進行檔案位址的讀取。
（2）配置匹配數據互動指令執行策略，主要包括：
①指令數據是/否執行判斷。預設數據互動指令規則，實現選擇進行操作A，或選擇進行操作B等判斷。例如，在唯讀模式（保護場景）等模式中，當電腦設備發送數據互動指令寫入數據時（如操作指令代碼為0x2A（寫數據）），保護模組不執行寫入操作。例如，在磁區限制模式（保護場景）等模式中，當電腦設備發送數據互動指令操作磁區位址（結合操作磁區數量計算，可以同時對多組數據進行綜合判斷）處於預設的唯讀/只寫限制時，保護模組不執行相應的操作。
②指令數據修改/替換。預設數據互動指令規則，實現修改或替換指令數據，再將指令數據發送至儲存設備。例如，在邏輯磁碟分割模式、特定檔案模式、空白檔案模式中，根據預設修改操作磁區位址並讀寫對應的儲存設備磁區位址。
③封包是/否轉發判斷。預設封包規則，實現選擇進行操作A，或選擇進行操作B等判斷。例如，在檔案限制讀寫中，可以預設關鍵字比對規則，封包內容命中比對規則的轉發/或不轉發至電腦設備/或儲存設備。
④封包數據修改/替換。預設封包規則，實現修改或替換封包數據，再將封包發送至電腦設備/或儲存設備。例如，在加密寫入或解密讀取模式中，按照預設規則對封包數據進行修改，再轉發至電腦設備/或儲存設備。例如，在磁區限制讀寫模式中，可以按照預設規則，當電腦設備讀取的磁區位址不符合預設規則時，直接返回預設用以替換的封包（例如空白封包）。
⑤狀態包是/否轉發判斷。預設封包規則，實現選擇進行操作A，或選擇進行操作B等判斷。例如，判斷狀態錯誤代碼並非0x00時，是否將狀態包轉發至電腦設備。
⑥狀態包數據修改/替換。預設封包規則，實現修改或替換狀態包數據，再將狀態包發送至電腦設備/或儲存設備。例如，在磁區限制讀寫模式中，可以按照預設規則，當電腦設備讀取的磁區位址不符合預設規則時，直接返回預設用以替換的狀態包（例如非0x00錯誤狀態的封包）。
⑦執行對儲存設備、儲存媒介的數據讀取/寫入操作。預設數據互動指令判斷規則，實現執行對儲存設備預設的讀取/寫入操作。例如，當接收到預設的數據互動指令（例如可能是具有危險性的指令、封包或狀態包）時，優先執行對儲存設備磁區數據的讀取/寫入操作，提前做好數據保護。
⑧執行觸發啟動保護模式。預設數據互動指令判斷規則，實現執行啟動保護模式的操作。例如，當接收到預設的數據互動指令（例如可能是具有危險性的指令、封包或狀態包）時，啟動備份模式，防止數據遭到破壞；啟動記錄檔記錄，保存數據互動指令記錄檔訊息。
⑨執行斷開電腦設備操作。預設數據互動指令判斷規則，實現執行斷開電腦設備連接操作。例如，當接收到預設的數據互動指令（例如可能具有危險性的指令、封包或狀態包）時，斷開與電腦設備連接。
⑩執行觸發選定數據來源。預設數據互動指令判斷規則，實現重新選定儲存設備、儲存媒介或者邏輯磁碟分割區。例如，當接收到預設的數據互動指令（例如可能是具有危險性的指令、封包或狀態包）時，重新選定預設的儲存設備、儲存媒介或者邏輯磁碟分割區，或者虛擬儲存媒介（非真實數據的儲存媒介），並斷開設備重新進行列舉作為接入數據來源。
二、產生保護場景的配置訊息或者帶有保護場景的軟體
針對上述配置的保護場景訊息和保護操作策略：
一方面可以產生配置訊息。產生匯出配置訊息，透過數據傳輸（例如網路傳輸、點對點傳輸、複製拷貝）等方式進行共用。根據不同使用場景可以進一步進行修改配置訊息。配置訊息能夠導入安全控制框架軟體或安全控制框架硬體設備中，由安全控制框架執行相應安全控制策略。
另一方面可以產生軟體（或韌體）。在安全控制框架的軟體或硬體設備中，根據自行編寫或從外部導入的配置訊息執行相應的軟體編譯策略，將配置訊息中的保護場景產生安全控制軟體（或韌體）。透過將安全控制軟體（或韌體）在作業系統或硬體設備上運行，執行相應安全控制策略。
三、執行保護場景安全控制
安全控制軟體（或韌體）或安全控制框架軟體（或韌體）成為保護模組，在作業系統、硬體設備、控制晶片、儲存晶片等設備上運行。
在準備階段，根據保護場景配置，向儲存設備發送數據互動指令。
在列舉階段、數據互動階段中，根據保護模組當前的保護場景（保護模式），對電腦設備發送的數據互動指令進行權限控制，所述數據互動指令用以所述電腦設備與所述儲存設備進行數據互動；
若所述數據互動指令滿足所述當前保護模式對應的權限要求，對所述數據互動指令做出響應。
另外，本案還一實施例提供一種中繼設備。所述中繼設備包括：
第一埠，用以連接電腦設備；
第二埠，用以連接儲存設備；
互動模組，包括如下中的至少一種：觸控式螢幕、語音互動裝置、多個按鍵、滑動開關（或具有至少兩個選擇的互動控制項）；以及
保護模組，連接在所述第一埠和所述第二埠之間，用以實現上述實施例提供的數據安全保護方法中的步驟。
本案還一實施例提供一種設備系統，所述系統包括：電腦設備，儲存設備以及上述實施例提供的中繼設備。
本案還一實施例提供一種儲存設備，所述儲存設備包括：
第一埠，用以連接電腦設備；
保護晶片，用以實現上述實施例提供的所述數據安全保護方法中的步驟；
控制晶片，透過所述保護晶片與所述第一埠連接；
儲存晶片，與所述控制晶片連接，用以在所述控制晶片的控制下，對儲存空間內的數據進行儲存管理。
本案還一實施例提供一種儲存設備，所述儲存設備包括：
第一埠，用以連接電腦設備；
控制晶片，其上設置有保護模組，用以實現上述實施例提供的所述數據安全保護方法中的步驟；以及
儲存晶片，透過所述控制晶片與所述第一埠連接，用以在所述控制晶片的控制下，對儲存空間內的數據進行儲存管理。
本案又一實施例提供了一種儲存設備。所述儲存設備包括：
第一埠，用以連接電腦設備；
控制晶片，與第一埠連接，用以基於所述電腦設備發送的數據互動指令，產生相應的控制指令；以及
儲存晶片，與所述控制晶片連接；
其中，所述儲存晶片上設置有保護模組，用以採用上述實施例所述數據安全保護方法中的步驟，處理所述控制晶片發送的控制指令。
為了執行上述方法實施例對應的數據安全保護方法，以實現相應的功能和技術效果。參見圖30，圖30揭示了本案實施例提供的一種數據安全保護模組的結構框圖。為了便於說明，僅揭示了與本實施例相關的部分，本案實施例提供的數據安全保護模組，應用於目標設備，所述目標設備設置有保護模組，所述保護模組包含至少一種保護模式，所述保護模式用以控制電腦設備在儲存設備上的讀寫權限，所述裝置包括：
控制單元1301，用以根據所述目標設備的當前保護模式，對所述電腦設備發送的數據互動指令進行權限控制，所述數據互動指令用以所述電腦設備與所述儲存設備進行數據互動；
響應單元1302，用以若所述數據互動指令滿足所述當前保護模式對應的權限要求，對所述數據互動指令做出響應。
在一些實施例中，所述裝置還包括：
識別單元，用以若檢測到所述電腦設備與所述儲存設備之間的通訊連接請求，則識別所述第一介面的設備類型；以及
建立單元，用以若所述設備類型為預設允許通訊類型，則建立所述電腦設備與所述儲存設備之間的通訊連接。
在一些實施例中，若所述目標設備為具有保護模組的中繼設備，所述中繼設備設置有用以連接儲存設備的第一介面，和用以連接電腦設備的第二介面；所述裝置，還包括：
第一檢測單元，用以當所述第一介面接入所述儲存設備，且所述第二介面接入所述電腦設備時，檢測所述電腦設備與所述儲存設備之間的通訊連接請求。
在一些實施例中，所述裝置，還包括：
中斷單元，用以若所述設備類型為預設禁止通訊類型，則中斷所述通訊連接請求。
在一些實施例中，所述建立單元，包括：
發送子單元，用以將所述儲存設備的目標硬體特徵參數發送至所述電腦設備，所述目標硬體特徵參數用以建立所述電腦設備與所述儲存設備之間的通訊連接。
在一些實施例中，所述發送子單元，具體用以：
根據所述儲存設備的設備類型，從預設的參數模板中，獲取與所述設備類型對應的目標硬體特徵參數；以及
將所述目標硬體特徵參數發送至所述電腦設備。
在一些實施例中，所述發送子單元，具體還用以：
獲取所述儲存設備的硬體特徵參數；
根據預設的參數類型，對所述硬體特徵參數進行篩選，以確定與所述參數類型對應的目標硬體特徵參數；以及
將所述目標硬體特徵參數發送至所述電腦。
在一些實施例中，所述控制單元1301，包括：
識別子單元，用以識別所述數據互動指令的指令類型；以及
判定子單元，用以若所述指令類型為所述權限要求對應的預設指令類型，則判定所述數據互動指令滿足所述當前保護模式對應的權限要求。
在一些實施例中，所述保護模式為唯讀模式，所述裝置還包括：
返回單元，用以響應於所述電腦設備發送的參數讀取請求，將唯讀參數返回至所述電腦設備，所述唯讀參數用以使所述電腦設備將所述儲存設備識別為唯讀設備。
在一些實施例中，所述響應單元1302，包括：
響應子單元，用以響應於所述數據互動指令，對所述儲存設備中的目標檔案進行讀寫操作，所述讀寫操作包括讀取操作和寫入操作中的至少一種。
在一些實施例中，若所述保護模式為全硬碟唯讀模式，所述響應子單元，具體用以：
響應於所述數據互動指令，向所述電腦設備回饋第三目標數據，所述數據互動指令為讀取指令，所述第三目標數據為所述儲存設備響應於所述讀取指令返回的數據。
在一些實施例中，若所述保護模式為特定檔案讀寫模式，所述響應子單元，具體用以：
響應於所述數據互動指令，將所述目標檔案的磁區位址映射至目標位址，所述目標檔案為顯示於所述電腦設備的檔案；以及
基於所述目標位址，對所述目標檔案進行讀寫操作。
在一些實施例中，所述目標檔案包括所述儲存設備已有的特定檔案或預設檔案，或者在所述電腦設備與所述儲存設備建立通訊連接前自動產生的檔案。
在一些實施例中，若所述保護模式為限制讀寫模式，所述響應子單元，具體用以：
響應於所述數據互動指令，基於預設磁區位址區間，對所述數據互動指令對應的目標磁區位址進行驗證，所述目標磁區位址為所述儲存設備基於所述數據互動指令執行讀寫操作時的磁區位址；以及
若所述目標磁區位址在所述預設磁區位址區間內，則在所述儲存設備的目標磁區位址進行讀寫操作。
在一些實施例中，在所述保護模式為檔案限制讀寫模式時，所述響應子單元，具體用以：
響應於所述數據互動指令，基於預設檔案特徵，對所述數據互動指令對應的目標檔案特徵進行驗證，所述目標檔案特徵為所述儲存設備基於所述數據互動指令執行讀寫操作時對應的檔案特徵；以及
若所述目標檔案特徵符合所述預設檔案特徵，則對所述儲存設備中的所述目標檔案進行讀寫操作。
在一些實施例中，所述響應子單元，具體還用以：
若所述目標檔案特徵不符合所述預設檔案特徵，則對所述目標檔案進行隱藏。
在一些實施例中，所述預設檔案特徵包括檔案中預設磁區數據對應的第一雜湊值；響應子單元，具體還用以：
計算所述目標檔案中預設磁區數據的第二雜湊值；
若所述第二雜湊值與所述第一雜湊值一致，則判定所述目標檔案特徵符合所述預設檔案特徵；以及
若所述第二雜湊值與所述第一雜湊值不一致，則判定所述目標檔案特徵不符合所述預設檔案特徵。
在一些實施例中，若保護模式為加密寫入模式，所述響應子單元，具體用以：
響應於所述數據互動指令，對所述數據互動指令攜帶的待寫入數據進行加密處理，得到第一目標數據；以及
向所述儲存設備中的所述目標檔案寫入所述第一目標數據。
在一些實施例中，若保護模式為解密讀取模式，所述響應子單元，具體用以：
響應於所述數據互動指令，向所述電腦設備回饋第二目標數據，所述第二目標數據為對所述儲存設備響應於所述數據互動指令返回的數據進行解密後的數據。
在一些實施例中，若所述保護模式為人工確認模式，所述響應子單元，具體用以：
響應於所述數據互動指令，提示使用者是否確認執行所述數據互動指令；以及
若接收到所述數據互動指令的確認執行指令，則對所述儲存設備中的目標檔案進行讀寫操作。
在一些實施例中，所述響應子單元，具體還用以：
基於預設讀寫規則，對所述讀寫操作進行異常驗證；以及
若所述讀寫操作不符合所述預設讀寫規則，則判定所述讀寫操作異常。
在一些實施例中，所述裝置還包括：
第一接入單元，用以將目標磁區區間作為儲存數據來源接入到所述電腦設備，所述目標磁區區間透過切割所述儲存設備的儲存空間得到，所述儲存數據來源包含所述目標檔案。
在一些實施例中，所述裝置還包括：
第一讀取單元，用以讀取所述儲存設備的磁區訊息；以及
切割單元，用以基於所述磁區訊息，切割所述儲存設備的儲存空間，得到所述儲存設備對應的多個磁區區間，所述目標磁區區間為多個所述磁區區間中的至少一個。
在一些實施例中，所述裝置還包括：
第二接入單元，用以將鏡像檔案作為所述儲存數據來源接入到所述電腦設備，所述鏡像檔案基於預設鏡像策略產生得到。
在一些實施例中，所述儲存設備為網路儲存設備，所述網路儲存設備與伺服器端連接，所述伺服器端包含多個網路鏡像檔案，所述裝置還包括：
第三接入單元，用以將目標網路鏡像檔案作為儲存數據來源接入到所述電腦設備，所述目標網路鏡像檔案為多個所述網路鏡像檔案中的至少一個，所述儲存數據來源包含所述目標檔案。
所述裝置還包括：
驗證單元，用以響應於使用者輸入的驗證指令，將與所述驗證指令的指令類型對應的目標儲存數據來源接入到所述電腦設備，所述目標儲存數據來源為磁區區間、鏡像檔案和網路鏡像檔案中的至少一種。
在一些實施例中，所述裝置還包括：
第二讀取單元，用以讀取所述儲存設備的用電需求訊息；以及
配置單元，用以根據所述用電需求訊息，配置所述儲存設備的電路保護策略，所述電路保護策略用以控制所述儲存設備的用電狀態。
在一些實施例中，所述裝置還包括：
產生單元，用以產生互動記錄檔，所述記錄檔用以記錄對於所述電腦發送的數據互動指令的處理記錄。
上述的數據安全保護模組可實施上述方法實施例的數據安全保護方法。上述方法實施例中的可選項也適用於本實施例，這裡不再詳述。本案實施例的其餘內容可參照上述方法實施例的內容，在本實施例中，不再進行贅述。
圖31為本案一實施例提供的目標設備的結構示意圖。如圖31所示，所述實施例的目標設備14包括：至少一個處理器140（圖14中僅揭示一個）處理器、儲存裝置141以及儲存在所述儲存裝置141中並可在所述至少一個處理器140上運行的電腦程式142，所述處理器140執行所述電腦程式142時實現上述任意方法實施例中的步驟。
所述目標設備14可以是具有保護模組的中繼設備或儲存設備。所述目標設備可包括但不僅限於處理器140、儲存裝置141。本領域技術人員可以理解，圖31僅僅是目標設備14的舉例，並不構成對目標設備14的限定，可以包括比圖示更多或更少的部件，或者組合某些部件，或者不同的部件，例如還可以包括輸入輸出設備、網路接入設備等。
所述處理器140可以是中央處理單元（Central Processing Unit，CPU），所述處理器140還可以是其他通用處理器、數位訊號處理器 （Digital Signal Processor，DSP）、專用積體電路 （Application Specific Integrated Circuit，ASIC）、現成可程式設計閘陣列 （Field-Programmable Gate Array，FPGA） 或者其他可程式設計邏輯裝置、離散元件或者電晶體邏輯裝置、離散硬體元件等。通用處理器可以是微處理器或者所述處理器也可以是任何常規的處理器等。
所述儲存裝置141在一些實施例中可以是所述目標設備14的內部儲存單元，例如目標設備14的硬碟或記憶體。所述儲存裝置141在另一些實施例中也可以是所述目標設備14的外部儲存設備，例如所述目標設備14上配備的插接式硬碟，智慧記憶卡（Smart Media Card，SMC），安全數位（Secure Digital，SD）卡，快閃記憶體卡（Flash Card）等。進一步地，所述儲存裝置141還可以既包括所述目標設備14的內部儲存單元也包括外部儲存設備。所述儲存裝置141用以儲存作業系統、應用程式、引導程式（BootLoader）、數據以及其他程式等，例如所述電腦程式的程式碼等。所述儲存裝置141還可以用以暫時地儲存已經輸出或者將要輸出的數據。
另外，本案實施例還提供一種電腦可讀儲存媒介，所述電腦可讀儲存媒介儲存有電腦程式，所述電腦程式被處理器執行時實現上述任意方法實施例中的步驟。
本案實施例提供了一種電腦程式產品，當電腦程式產品在目標設備上運行時，使得目標設備執行時實現上述各個方法實施例中的步驟。
在本案所提供的幾個實施例中，可以理解的是，流程圖或框圖中的每個方框可以代表一個模組、程式段或代碼的一部分，所述模組、程式段或代碼的一部分包含一個或多個用以實現規定的邏輯功能的可執行指令。也應當注意的是，在有些作為替換的實現方式中，方框中所標注的功能也可以以不同於圖式中所標注的順序發生。例如，兩個連續的方框實際上可以基本並行地執行，它們有時也可以按相反的循序執行，這依所涉及的功能而定。
所述功能如果以軟體功能模組的形式實現並作為獨立的產品銷售或使用時，可以儲存在一個電腦的可讀取儲存媒介中。基於這樣的理解，本案的技術方案本質上或者說對現有技術做出貢獻的部分或者技術方案的部分可以以軟體產品的形式體現出來，電腦軟體產品儲存在一個儲存媒介中，包括若干指令用以使得一台目標設備執行本案各個實施例所述方法的全部或部分步驟。而前述的儲存媒介包括：USB隨身碟、行動硬碟、唯讀記憶體（ROM，Read-Only Memory）、隨機存取記憶體（RAM，Random Access Memory）、硬碟、SD卡、TF卡、磁碟或者光碟片等各種可以儲存程式碼的媒介。
以上所述之具體實施例，對本案的目的、技術方案和有益效果進行了進一步的詳細說明，應當理解，以上所述僅為本案的具體實施例而已，並不用以限定本案的保護範圍。特別指出，對於本領域技術人員來說，凡在本案的精神和原則之內，所做的任何修改、等同替換、改進等，均應包含在本案的保護範圍之內。
1301:控制單元
1302:響應單元
14:目標設備
140:處理器
141:儲存裝置
142:電腦程式
200:中繼設備
201:第一介面
202:第二介面
S101-S102,S301-S302,S401-S402:步驟
S501,S601,S701-S702,S801:步驟
S901,S1001,S1101-S1102:步驟
為了更清楚地說明本案實施例或現有技術中的技術方案，下面將對實施例或現有技術描述中所需要使用的圖式作簡單地介紹，顯而易見地，下面描述中的圖式僅僅是本案的一些實施例，對於本領域技術領域具有通常知識者來講，在不付出創造性勞動性的前提下，還可以根據這些圖式獲得其它的圖式。
圖1為本案實施例揭示的數據安全保護方法的流程示意圖；
圖2a為本案實施例揭示的目標設備的第一種結構形態對應的示意圖；
圖2b為本案實施例揭示的目標設備的第二種結構形態對應的示意圖；
圖2c為本案實施例揭示的目標設備的第三種結構形態對應的示意圖；
圖3為本案第二實施例揭示的數據安全保護方法的流程示意圖；
圖4為本案實施例揭示的步驟S101的具體流程示意圖；
圖5為本案第三實施例揭示的數據安全保護方法的流程示意圖；
圖6a揭示了USB隨身碟無限制（可讀可寫）狀態下的一個示例圖；
圖6b~6d揭示了將外部USB隨身碟設置為全硬碟唯讀模式對應的示意圖；
圖7為本案實施例揭示的步驟S102的具體流程示意圖；
圖8為對比圖，上部分為無保護模組的儲存設備直接接入電腦設備在電腦設備上檔案展示情況，下部分為具有保護模組的儲存設備接入電腦設備後在電腦設備上檔案展示情況；
圖9a揭示了在全域權限視角下可以看到根目錄下檔案的示意圖；
圖9b揭示了在特定檔案模式下映射至固定的特定資料夾只能看到特定檔案的示意圖；
圖9c揭示了在特定檔案模式下繼續新增一個檔案的示意圖；
圖9d揭示了在全域權限視角下可以看到根目錄檔案及新增檔案的實施例；
圖10a~10d揭示了特定檔案模式下空白檔案為特定檔案對應的示意圖；
圖11a和11b揭示了全域權限視角下瀏覽NEWFILE_1檔案和NEWFILE_2檔案，這兩個瀏覽的檔案對應的目錄；
圖12為本案第四實施例揭示的數據安全保護方法的流程示意圖；
圖13為本案第五實施例揭示的數據安全保護方法的流程示意圖；
圖14a、14c、14e和14g揭示了邏輯磁碟分割模式對應的一個示例圖；
圖14b是從物理視角揭示了對可用空間未進行邏輯磁碟分割前的儲存空間對應的示意圖；
圖14d是從物理視角揭示了第1個磁碟分割區對應的8GB儲存空間的示意圖；
圖14f是從物理視角揭示了第2個磁碟分割區對應的4GB儲存空間的示意圖；
圖14h是從物理視角揭示了第3個磁碟分割區對應的4GB儲存空間的示意圖；
圖14i揭示了在保護模組未進行邏輯磁碟分割時特定資料夾模式下響應電腦讀寫儲存空間的示意圖；
圖14j揭示了保護模組當前保護模式為邏輯磁碟分割模式與特定資料夾模式的組合模式，並在邏輯磁碟分割模式和特定資料夾模式的組合模式下選擇邏輯磁碟分割區2的示意圖；
圖15為本案第六實施例揭示的數據安全保護方法的流程示意圖；
圖16為本案第七實施例揭示的數據安全保護方法的流程示意圖；
圖17為本案第八實施例揭示的數據安全保護方法的流程示意圖；
圖18a揭示了中繼設備的一種結構形態實例；
圖18b揭示了集成有具有本案各實施例提供的保護方法對應功能的保護模組的儲存設備的示意圖；
圖19揭示了7個具體場景的示意圖；
圖20a和20b揭示了電腦設備與保護模組互動多個階段的示意圖；
圖21揭示了保護模組修改第一儲存訊息相關參數中的讀寫狀態參數的示意圖；
圖22揭示了保護模組修改第一儲存訊息相關參數中的可格式化總區塊數及/或最後邏輯區塊位址的示意圖；
圖23揭示了保護模組修改最後邏輯區塊位址對應的示意圖；
圖24揭示了保護模組修改設備隱私訊息對應的示意圖；
圖25揭示了儲存設備硬體初始化過程的示意圖；
圖26a揭示了本案各實施例提供的技術方案相關技術點的整理圖；
圖26b揭示了採用本案各實施例提供的技術方案帶來的一些效果；
圖27揭示了分三種具體場景對響應電腦設備的讀寫互動指令的過程進行舉例展示；
圖28a揭示了數據處理過程視角下控制「讀取指令（單一磁區讀）」、磁區位址、封包或者狀態的示意圖；
圖28b揭示了數據處理過程視角下控制「讀取指令（多磁區連續讀）」、磁區位址、封包或者狀態的示意圖；
圖28c揭示了數據處理視角下控制「寫入指令（單一磁區寫）」、磁區位址、封包或狀態；
圖28d揭示了數據處理視角下控制「寫入指令（多磁區連續寫）」、磁區位址、封包或狀態；
圖29揭示了電腦設備、保護模組及儲存設備（如USB隨身碟、記憶卡或儲存晶片）的連接示意圖；
圖30為本案實施例揭示的數據安全保護模組的結構示意圖；
圖31為本案實施例揭示的目標設備的結構示意圖。
S101-S102:步驟
Claims (55)
- 一種數據安全保護方法，應用於一保護模組，該保護模組包含至少一保護模式，該保護模式用以對一電腦設備與一儲存設備之間的互動進行控制，以對該電腦設備及該儲存設備進行安全性保護； 該方法包括： 根據該保護模組的一當前保護模式，對該電腦設備所發送之一數據互動指令進行權限控制，該數據互動指令用以對該電腦設備與該儲存設備進行數據互動；以及 若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應； 其中，該保護模組設置在該電腦設備中用以連接該儲存設備的介面上，或該儲存設備上，或一中繼設備上； 該中繼設備連接該電腦設備與該儲存設備。
- 如請求項1所述之方法，其中若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應的步驟包括： 該數據互動指令針對的數據來源是該當前保護模式指定的至少一數據來源中的一個，且該數據互動指令對該數據來源內之數據的操作類型符合該當前保護模式所規定的操作類型時，對該數據互動指令做出響應。
- 如請求項2所述之方法，其中該保護模組設置在一第一儲存設備上，且該第一儲存設備上設置有至少一儲存晶片以及用以連接至少一外部第二儲存設備的至少一介面，該第一儲存設備上的該至少一介面連接該至少一外部第二儲存設備； 該當前保護模式指定的該至少一數據來源包括： 該至少一儲存晶片、該第一儲存設備的該至少一介面連接的該至少一外部第二儲存設備中的至少一物理數據來源；及/或 該至少一儲存晶片中的至少一邏輯磁碟分割區；及/或 該第一儲存設備連接的該至少一外部第二儲存設備中的至少一邏輯磁碟分割區。
- 如請求項1所述之方法，其中該電腦設備與該保護模組之間的互動包括：一準備階段、一列舉階段及一數據互動階段； 根據該保護模組的該當前保護模式，對該電腦設備發送的該數據互動指令進行權限控制，若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應，為該數據互動階段中的步驟。
- 如請求項4所述之方法，其中該保護模組設置在該中繼設備上時，該方法還包括：在該準備階段中，該中繼設備讀取該儲存設備的一數據訊息並分析； 該保護模組設置在該儲存設備上時，該方法還包括：在該準備階段中，該保護模組對該儲存設備的該數據訊息進行分析； 其中，該數據訊息包括如下中的至少一個：該儲存設備的一第一特徵參數、該儲存設備的一第一儲存資訊相關參數及一位址資訊。
- 如請求項5所述之方法，其中該當前保護模式為一特定檔案模式時，該位址資訊包括：一根目錄起始磁區位址、至少一特定檔案或至少一特定資料夾的一起始磁區位址。
- 如請求項5所述之方法，更包括： 響應於該電腦設備的一供電訊號，進入該準備階段；以及 在該準備階段中，該中繼設備讀取該儲存設備的該數據訊息，包括： 在該準備階段中，該中繼設備模擬該電腦設備向該中繼設備發送一控制指令；以及 接收該儲存設備回饋的該儲存設備的該數據訊息。
- 如請求項5所述之方法，其中對該數據訊息進行分析的步驟，包括： 基於該數據訊息，判定該儲存設備是否是該當前保護模式所指定的一設備類型；以及 若是，則向該電腦設備發送一可以列舉訊號，以進入該列舉階段。
- 如請求項4所述之方法，更包括： 在該列舉階段中，基於該當前保護模式，對該儲存設備的一數據訊息進行處理，得到一處理後訊息；以及 將該處理後訊息發送至該電腦設備，以便建立該電腦設備與該儲存設備之間的通訊連接。
- 如請求項9所述之方法，其中基於該當前保護模式，對該儲存設備的該數據訊息進行處理，得到處理後訊息的步驟包括： 根據該當前保護模式，對該數據訊息進行處理，產生模擬該儲存設備的一第二特徵參數；及/或 根據該當前保護模式，對該數據訊息進行處理，產生模擬該儲存設備的一第二儲存訊息相關參數；以及 將該第二特徵參數及/或該第二儲存訊息相關參數發送至該電腦設備，以便建立該電腦設備與該儲存設備之間的通訊連接。
- 如請求項10所述之方法，其中根據當前保護模式，對該數據訊息進行處理，產生模擬該儲存設備的該第二特徵參數的步驟包括： 獲取該當前保護模式對應的一預設參數模板；根據該數據訊息中的一第一特徵參數反映出的該儲存設備的一設備類型，從該預設參數模板中獲取能代表該設備類型的至少一參數項，以得到該第二特徵參數；或者 利用該當前保護模式對應的一篩選策略，對該第一特徵參數中的該參數項進行篩選，基於篩選出的該至少一參數項，以得到該第二特徵參數。
- 如請求項11所述之方法，其中該第一特徵參數包括：一描述子數據；其中，該描述子數據包括如下中的至少一個：一硬體描述子、一介面描述子、一埠描述子、一端點描述子及一字串描述子。
- 如請求項10所述之方法，其中該數據訊息包括一第一儲存訊息相關參數，該第一儲存訊息相關參數包括如下中的至少一個：一儲存設備可讀寫狀態、一可格式化區塊總數、一最後邏輯區塊位址、一單一磁區位元組數量、一最大邏輯單元數量及一設備訊息。
- 如請求項13所述之方法，其中根據該當前保護模式，對該數據訊息進行處理，產生模擬該儲存設備的該第二儲存訊息相關參數的步驟包括： 根據該當前保護模式規定的操作類型，修改該第一儲存訊息相關參數中的一讀寫狀態參數； 若該當前保護模式為一邏輯磁碟分割模式，則根據該當前保護模式規定的一可接入電腦設備的一目標磁碟分割的參數，修改該第一儲存訊息相關參數中的該可格式化區塊總數及/或該最後邏輯區塊位址；以及 根據該當前保護模式，修改該第一儲存訊息相關參數中的該設備訊息，以保護該儲存設備的一隱私訊息。
- 如請求項8所述之方法，更包括： 基於該數據訊息判定該儲存設備不是該當前保護模式指定的該設備類型時，終止與該儲存設備的通訊；以及 向該電腦設備發送一第一訊息，以便該電腦設備基於該第一訊息顯示一虛擬硬碟標識及/或一非正常設備提示訊息； 其中，若顯示有該虛擬硬碟標識，該第一訊息還包含有該第一特徵參數對應的一文字，該文字在該虛擬硬碟標識對應的根資料夾中保存。
- 如請求項1至15中任一項所述之方法，其中對該數據互動指令做出響應的步驟，包括： 根據該數據互動指令，按照一位址映射規則，確定一目標位址； 獲取該目標位址的數據； 按照預設的一內容修改規則，對該目標位址的數據進行數據修改；以及 將修改後的該目標位址的數據，回饋至該電腦設備。
- 如請求項1至15中任一項所述之方法，更包括： 響應於一使用者在一第一設備的一互動裝置上的操作，獲取該使用者在該至少一保護模式中選出的一目標保護模式；以及 將該目標保護模式作為該保護模組的該當前保護模式； 其中，該互動裝置包括如下中的至少一個：一觸控螢幕、一語音互動裝置、多個按鍵、一滑動開關及具有至少兩個選擇的一互動控制項。
- 如請求項17所述之方法，其中該至少一保護模式包括如下中的至少一個： 一唯讀模式，該唯讀模式指定的數據來源為該儲存設備的一全硬碟數據，該當前保護模式規定的操作類型為一唯讀類型； 一特定檔案模式，該特定檔案模式指定的數據來源為該儲存設備中的該至少一特定檔案，該當前保護模式規定的操作類型為一讀類型、或一寫類型、或一讀寫類型； 一空白檔案模式，該空白檔案模式指定的數據來源為該儲存設備中自動建立及/或人工建立的至少一空白檔案，該當前保護模式規定的操作類型為該寫類型或該讀寫類型； 一磁區限制模式，該磁區限制模式指定的數據來源為該儲存設備中的至少一特定磁區區間，該當前保護模式規定的操作類型為該讀類型、或該寫類型、或該讀寫類型； 一檔案類型限制模式，該檔案類型限制模式指定的數據來源為該儲存設備中的至少一特定類型的檔案，該當前保護模式規定的操作類型為該讀類型、或該寫類型、或該讀寫類型； 一加密寫入模式，該加密寫入模式指定的數據來源為該儲存設備中的至少一第一磁區區間內的數據、至少一第一檔案及/或至少一類型的檔案，該當前保護模式規定的操作類型為該寫類型； 一解密讀取模式，該解密讀取模式指定的數據來源為該儲存設備中的至少一第二磁區區間內的數據、至少一第二檔案及/或該至少一類型的檔案，該當前保護模式規定的操作類型為該讀類型； 一人工確認模式，該人工確認模式指定的數據來源為該儲存設備中的至少一第三磁區區間內的數據、至少一第三檔案及/或該至少一類型的檔案，該當前保護模式規定的操作類型為該讀寫類型； 一邏輯磁碟分割模式，該邏輯磁碟分割模式指定的數據來源為該儲存設備中的至少一磁碟分割區，該當前保護模式規定的操作類型為該讀類型、或該寫類型、或該讀寫類型； 一硬體類型接入保護模式，該硬體類型接入保護模式無指定數據來源，在該硬體類型接入保護模式下判定該儲存設備是否為指定的該設備類型； 該儲存設備的一數據訊息保護模式，該儲存設備的該數據訊息保護模式無指定數據來源，在該儲存設備的該數據訊息保護模式下，對向該電腦設備發送的該儲存設備的該數據訊息進行保護性處理，在該列舉階段將保護性處理後的該儲存設備的該數據訊息發送至該電腦設備； 一設備隱私保護模式，該設備隱私保護模式無指定數據來源，在該設備隱私保護模式下，對向該電腦設備發送的一設備隱私訊息進行保護性處理；以及 一備份模式，該備份模式無指定數據來源，在備份模式下，對該電腦設備寫入的數據同步寫入至指定的一備份儲存區域內，及/或該保護模組在執行寫入指令之前讀取該電腦設備寫入的一磁區位址數據並寫入至指定的該備份儲存區域內，及/或將接入的該儲存設備的重要數據磁區的數據備份儲存至指定的該備份儲存區域內；若觸發還原，則將指定的該備份儲存區域內的數據讀取，寫入至該儲存設備原有的數據磁區內。
- 如請求項18所述之方法，更包括： 當該當前保護模式為該空白檔案模式時，建立該至少一空白檔案或至少一資料夾。
- 如請求項1至15中任一項所述之方法，更包括： 當該當前保護模式為一特定檔案模式時，輸出是否設置一空白檔案或一空白資料夾的一提示訊息； 響應於一使用者針對設置該空白檔案或該空白資料夾的該提示訊息的一確認指令，在該儲存設備中建立一檔案或一資料夾，作為該特定檔案模式對應的一特定檔案或一特定資料夾；以及 響應於該使用者針對設置該空白檔案或該空白資料夾的該提示訊息的一否定指令，獲取該使用者指定的至少一檔案或至少一資料夾，將該使用者指定的該至少一檔案或該至少一資料夾作為該特定檔案模式對應的該特定檔案或該特定資料夾。
- 如請求項1至15中任一項所述之方法，更包括： 當該當前保護模式為特定檔案模式時，確定該儲存設備中的該至少一特定檔案或該至少一特定資料夾； 獲取該至少一特定檔案或該至少一特定資料夾的一位址訊息；以及 建立該至少一特定檔案或該至少一特定資料夾的該位址訊息與一根目錄位址的映射關係。
- 如請求項21所述之方法，更包括： 該電腦設備與該儲存設備建立通訊後，接收到該電腦設備請求讀取該儲存設備的該根目錄位址時，基於該映射關係，確定與該根目錄位址存在映射關係的該至少一特定檔案或該至少一特定資料夾的該位址訊息，以讀取該位址訊息對應的數據或在該位址訊息對應區域寫入數據。
- 如請求項21所述之方法，其中該至少一特定檔案或該至少一特定資料夾的該位址訊息包括： 該至少一特定檔案或該至少一特定資料夾的起始磁區位址或磁區位址集合；或者 一檔案分配表中該至少一特定檔案或該至少一特定資料夾被記錄的群組或區塊訊息。
- 如請求項1至15中任一項所述之方法，其中該當前保護模式是一人工確認模式時，對該數據互動指令做出響應的步驟，包括： 顯示該數據互動指令預寫入或讀取一數據的一相關訊息；以及 響應於一使用者針對該相關訊息觸發確認操作，基於該數據互動指令向該儲存設備寫入或讀取該數據。
- 如請求項1至15中任一項所述之方法，其中該當前保護模式為一備份模式時，對該數據互動指令進行響應，包括： 該數據互動指令為一寫入指令時，將該電腦設備寫入的該數據同步寫入至指定的一備份儲存區域內；及/或 該數據互動指令為該寫入指令時，該保護模組在執行該寫入指令前，讀取該電腦設備寫入的一磁區位址數據並寫入至指定的該備份儲存區域內。
- 如請求項25所述之方法，其中該當前保護模式為該備份模式時，該方法還包括： 將接入該儲存設備的重要數據磁區的數據備份儲存至指定的該備份儲存區域內； 當觸發還原時，將指定的該備份儲存區域內的數據讀取，寫入至該儲存設備原有的數據磁區內。
- 如請求項1至15中任一項所述之方法，其中對該數據互動指令做出響應的步驟，包括： 獲取該儲存設備基於該數據互動指令讀取一數據及/或寫入該數據的一過程訊息； 基於該過程訊息，確定是否存在異常；以及 若存在異常，則向該儲存設備發送一停止指令。
- 如請求項27所述之方法，其中基於該過程訊息，確定是否存在異常的步驟，包括如下中的至少一項： 若該儲存設備基於該數據互動指令讀取該數據的過程不符合一設定過程規律，則確定存在異常； 若該儲存設備基於該數據互動指令讀取該數據及/或寫入該數據的過程沒有一指定上下文操作，則確定存在異常；其中，讀取該數據時，該指定上下文操作為讀取該數據所在資料夾的操作；寫入該數據時，該指定上下文操作為獲取該數據所在資料夾的操作； 若該儲存設備基於該數據互動指令讀取該數據及/或寫入該數據的過程沒有從該數據的所在群組或區塊的起始位址開始讀取或寫入操作，則確定存在異常；以及 若該儲存設備基於該數據互動指令在一預設時間內讀取了超過一設定數量個檔案，則確定存在異常。
- 如請求項27所述之方法，更包括： 若存在異常，則向該電腦設備發送一回饋訊息；其中，該回饋訊息包括：模擬寫入成功的一虛假訊息，或將一預設數據作為成功從該儲存設備讀取的數據；及/或 若存在異常，則輸出一人工確認提示訊息，以便一使用者基於該人工確認提示訊息確定是否繼續執行。
- 如請求項1至15中任一項所述之方法，更包括： 若一使用者選出的該當前保護模式為一邏輯磁碟分割模式，則對該儲存設備的一特定儲存空間進行劃分，得到至少一磁碟分割區； 從該至少一磁碟分割區中選定一個磁碟分割區作為一目標磁碟分割區，接入該電腦設備。
- 如請求項30所述之方法，更包括如下中至少一個步驟： 響應於該使用者的設置，確定該特定儲存空間，其中該特定儲存空間為該儲存設備的全部或部分空間；以及 基於該邏輯磁碟分割模式中該特定儲存空間的選定規則，確定該特定儲存空間。
- 如請求項30所述之方法，其中對該儲存設備的該特定儲存空間進行劃分，得到至少一磁碟分割區的步驟，包括： 響應於該使用者的劃分指令，讀取該特定儲存空間的磁區訊息，基於該磁區訊息，對該特定儲存空間進行分割；或者 讀取該特定儲存空間的磁區訊息，基於該磁區訊息並利用一預置磁碟分割策略，對該特定儲存空間進行分割；或者 在該儲存設備的檔案系統中，產生至少一鏡像檔案，以該至少一鏡像檔案分別對應的位址區間，對該儲存設備的該特定儲存空間進行劃分。
- 如請求項32所述之方法，更包括： 在一主機獲取該預置磁碟分割策略；或者 從一網路側之一伺服器端，獲取該預置磁碟分割策略。
- 如請求項30所述之方法，其中從該至少一磁碟分割區中選定一個磁碟分割區作為該目標磁碟分割區的步驟，包括： 響應於該使用者透過一互動裝置對該至少一磁碟分割區的選擇操作，將該使用者選定的一個磁碟分割區作為該目標磁碟分割區；或者 接收到一指定設備發送的一磁碟分割選擇指令時，將該磁碟分割選擇指令指示的磁碟分割區作為該目標磁碟分割區；其中，該指定設備透過近場通訊或遠端通訊方式與該保護模組通訊；其中，該指定設備與該電腦設備為不同的設備；或者 接收該電腦設備發送的攜帶有一硬碟金鑰的訊息，對該硬碟金鑰進行驗證，驗證通過後，將該至少一磁碟分割區中具有該硬碟金鑰的磁碟分割區作為該目標磁碟分割區。
- 如請求項1至15中任一項所述之方法，其中該保護模組設置在該中繼設備上； 該中繼設備具有網路功能，以連接一雲端或一伺服器端的一儲存模組；以及 對該數據互動指令做出響應的步驟，包括： 將該數據互動指令發送至該儲存模組，以便該儲存模組基於該數據互動指令讀取及/或寫入相應的數據。
- 如請求項1至15中任一項所述之數據安全保護方法，其中該保護模式為一檔案類型限制模式時，對該數據互動指令做出響應，包括： 響應於該數據互動指令，基於一預設檔案特徵，對該數據互動指令對應的一目標檔案特徵進行驗證，該目標檔案特徵為該儲存設備基於該數據互動指令執行讀及/或寫入操作時對應的檔案特徵，該檔案特徵與一檔案類型相關；以及 若該目標檔案特徵符合該預設檔案特徵，則對該儲存設備中的一目標檔案進行讀及/或寫入操作。
- 如請求項36所述之數據安全保護方法，其中對該數據互動指令對應的該目標檔案特徵進行驗證之後的步驟，還包括： 若該目標檔案特徵不符合該預設檔案特徵，則對該目標檔案進行隱藏。
- 如請求項1至15中任一項所述之數據安全保護方法，其中該保護模式為一加密寫入模式，對該數據互動指令做出響應，包括： 響應於該數據互動指令，對該數據互動指令攜帶的待寫入數據進行加密處理，得到第一目標數據；以及 向該儲存設備中的目標檔案寫入該第一目標數據。
- 如請求項1至15中任一項所述之數據安全保護方法，其中該保護模式為一解密讀取模式，對該數據互動指令做出響應，包括： 響應於該數據互動指令，向該電腦設備回饋一第二目標數據，該第二目標數據為對該儲存設備響應於該數據互動指令返回的數據進行解密後的數據。
- 如請求項1至15中任一項所述之數據安全保護方法，其中若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應的步驟之前，還包括： 將一鏡像檔案作為一儲存數據來源接入到該電腦設備，該鏡像檔案基於預設鏡像策略產生得到。
- 如請求項1至15中任一項所述之數據安全保護方法，其中該儲存設備為一網路儲存設備，該網路儲存設備與一伺服器端連接，該伺服器端包含多個網路鏡像檔案，若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應的步驟之前，還包括： 將一目標網路鏡像檔案作為一儲存數據來源接入到該電腦設備，該目標網路鏡像檔案為該多個網路鏡像檔案中的至少一個。
- 如請求項1至15中任一項所述之數據安全保護方法，其中該方法還包括： 響應於一使用者輸入的驗證指令，將與該驗證指令的指令類型對應的一目標儲存數據來源接入到該電腦設備，該目標儲存數據來源為一磁區區間、一鏡像檔案和一網路鏡像檔案中的至少一個。
- 如請求項1至15中任一項所述之數據安全保護方法，其中若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應的步驟，包括： 該數據互動指令滿足該當前保護模式對應的權限要求，且該數據互動指令為讀取或修改檔案內容數據時，確定一磁區之位址，讀取或寫入該儲存設備對應該磁區的數據並返回； 該方法還包括：該數據互動指令不滿足該當前保護模式對應的權限要求時，返回錯誤的狀態響應、或返回執行成功響應、或響應空白數據、或將預設數據作為回饋數據進行響應。
- 如請求項1至15中任一項所述之數據安全保護方法，其中若該數據互動指令滿足該當前保護模式對應的權限要求，對該數據互動指令做出響應的步驟，包括： 該數據互動指令滿足該當前保護模式對應的權限要求，且該數據互動指令為建立新檔案、刪除檔案或修改檔案時，確定一磁區位址； 若該數據互動指令包含多個檔案的訊息，該儲存設備對應的該磁區位址含有該多個檔案中的部分檔案，則確定該電腦設備要在該磁區位址建立至少一檔案，基於當前保護模式判定是否允許建立該至少一檔案或觸發與該當前保護模式組合在一起的其他保護模式；其中，建立的該至少一檔案為該多個檔案中除已有的部分檔案之外的剩餘檔案； 若該數據互動指令包含多個檔案的訊息，且該多個檔案中至少部分檔案帶有刪除標記，則查找該儲存設備對應該磁區位址內與該多個檔案中帶有刪除標記的部分檔案關聯的至少一預刪除檔案；確定該電腦設備要將該至少一預刪除檔案刪除，基於當前保護模式判定是否允許建立刪除該至少一預刪除檔案或觸發與該當前保護模式組合在一起的其他保護模式； 若該數據互動指令包含一第一檔案集合，該儲存設備對應的該磁區位址含有一第二檔案集合，且該第一檔案集合為該第二檔案集合的子集，則確定該電腦設備要將該第二檔案集合中不屬於該第一檔案集合的至少一檔案刪除，基於當前保護模式判定是否允許刪除或觸發與該當前保護模式組合在一起的其他保護模式； 若該數據互動指令包含的一第一檔案的除檔名外的屬性訊息與該儲存設備對應的該磁區位址內的一第二檔案的除檔名外的屬性訊息相同，則確定該電腦設備要將該磁區位址內的該第二檔案的檔名修改為該第一檔案的檔名；基於該當前保護模式判定是否允許修改檔名或觸發與該當前保護模式組合在一起的其他保護模式；以及 若該數據互動指令包含的該第一檔案的檔名與該儲存設備對應磁區位址內的該第二檔案的檔名相同，且該第一檔案的除檔名外的屬性訊息與該第二檔案的除檔名外的屬性訊息不同，則確定該電腦設備要將該第二檔案的除檔名外的屬性訊息修改為該第一檔案的除檔名外的屬性訊息，基於當前保護模式判定是否允許修改屬性訊息或觸發與該當前保護模式組合在一起的其他保護模式。
- 一種中繼設備，包括： 一第一埠，用以連接一電腦設備； 一第二埠，用以連接一儲存設備； 一互動模組，包括如下中的至少一個：一觸控式螢幕、一語音互動裝置、多個按鍵、一滑動開關、具有至少兩個選擇的一互動控制項；以及 一保護模組，連接在該第一埠和該第二埠之間，用以實現上述請求項1至44中任一項所述之數據安全保護方法中的步驟。
- 如請求項45所述之中繼設備，更包括： 一通訊元件，與該保護模組連接，用以連接網路，以將該保護模組與一雲端或一伺服器端的一儲存模組連接，並且在對一數據互動指令做出響應時，將該數據互動指令發送至該儲存模組，以便該儲存模組基於該數據互動指令讀取及/或寫入相應的數據。
- 一種設備系統，包括： 一電腦設備； 一儲存設備；以及 上述請求項45或46所述之中繼設備。
- 一種儲存設備，包括： 一第一埠，用以連接一電腦設備； 一保護晶片，用以實現上述請求項1至44中任一項所述之數據安全保護方法中的步驟； 一控制晶片，透過該保護晶片與該第一埠連接；以及 一儲存晶片，與該控制晶片連接，用以在該控制晶片的控制下，對一儲存空間內的數據進行儲存管理。
- 一種儲存設備，包括： 一第一埠，用以連接一電腦設備； 一控制晶片，其上設置有一保護模組，用以實現上述請求項1至44中任一項所述之數據安全保護方法中的步驟；以及 一儲存晶片，透過該控制晶片與該第一埠連接，用以在該控制晶片的控制下，對一儲存空間內的數據進行儲存管理。
- 一種儲存設備，包括： 一第一埠，用以連接一電腦設備； 一控制晶片，與該第一埠連接，用以基於該電腦設備發送的一數據互動指令，產生相應的一控制指令；以及 一儲存晶片，與該控制晶片連接； 其中，該儲存晶片上設置有一保護模組，用以採用上述請求項1至44中任一項所述之數據安全保護方法中的步驟，處理該控制晶片發送的該控制指令。
- 一種安全控制框架，包括： 一配置模組，用以配置一保護場景；以及 一產生模組，用以產生該保護場景的一配置訊息或帶有該保護場景的一軟體； 其中，該保護場景對應至少一保護模式； 將該配置訊息或帶有該保護場景的該軟體部署在一硬體設備上，使得該硬體設備具有上述請求項1至44中任一項所述之數據安全保護方法中的步驟所對應的功能。
- 如請求項51所述之安全控制框架，其中該配置模組在配置該保護場景時，具體用以： 配置該保護場景的一標識訊息；以及 配置該保護場景對應的一保護操作的策略。
- 如請求項52所述之安全控制框架，其中配置該保護場景對應的該保護操作的策略，包括以下至少一項： 配置該保護場景之下一準備階段內該保護操作的策略； 配置該保護場景之下一列舉階段內該保護操作的策略；及/或 配置該保護場景之下一數據互動階段內該保護操作的策略。
- 如請求項51至53中任一項所述之安全控制框架，更包括： 一編譯模組，用以根據該配置訊息執行相應的一軟體編譯策略得到一安全控制軟體； 其中，該硬體設備運行該安全控制軟體，使得該硬體設備具有上述請求項1至44中任一項所述之數據安全保護方法中的步驟對應的功能。
- 一種電腦可讀儲存媒介，儲存有一電腦程式，該電腦程式被一處理器執行時實現如請求項1至44中任一項所述之數據安全保護方法的步驟。
Applications Claiming Priority (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN2022105043328 | 2022-05-10 | ||
| CN202210504332 | 2022-05-10 | ||
| CN202210781724.9A CN115048681B (zh) | 2022-05-10 | 2022-07-04 | 数据安全保护方法、装置、目标设备及存储介质 |
| CN2022107817249 | 2022-07-04 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| TW202345023A true TW202345023A (zh) | 2023-11-16 |
Family
ID=83165603
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| TW112117416A TW202345023A (zh) | 2022-05-10 | 2023-05-10 | 數據安全保護方法、設備、系統、安全控制框架及儲存媒介 |
Country Status (3)
| Country | Link |
|---|---|
| CN (2) | CN115048681B (zh) |
| TW (1) | TW202345023A (zh) |
| WO (1) | WO2023143646A2 (zh) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115048681B (zh) * | 2022-05-10 | 2024-02-20 | 黄建邦 | 数据安全保护方法、装置、目标设备及存储介质 |
| CN117040945B (zh) * | 2023-10-10 | 2024-02-02 | 深圳安天网络安全技术有限公司 | 一种电子设备防护策略的确定方法、装置、介质及设备 |
| CN117272392B (zh) * | 2023-11-21 | 2024-03-15 | 国网四川省电力公司信息通信公司 | 用于终端的数据安全保护与备份控制方法和系统 |
| CN117828573A (zh) * | 2024-03-04 | 2024-04-05 | 深圳市领德创科技有限公司 | 一种基于指纹技术的智能加密u盘 |
Family Cites Families (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9361243B2 (en) * | 1998-07-31 | 2016-06-07 | Kom Networks Inc. | Method and system for providing restricted access to a storage medium |
| CN100416517C (zh) * | 2004-02-23 | 2008-09-03 | 深圳市朗科科技有限公司 | 用于管理存储装置与主机设备间数据访问的方法 |
| CN100464314C (zh) * | 2006-03-23 | 2009-02-25 | 联想(北京)有限公司 | 一种数据透明保护的安全写系统和方法 |
| CN101403993B (zh) * | 2008-07-28 | 2012-10-17 | 清华大学深圳研究生院 | 数据安全保管设备和数据安全保管方法 |
| RU2571380C2 (ru) * | 2013-12-27 | 2015-12-20 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ для изоляции ресурсов посредством использования ресурсных менеджеров |
| CN105787392B (zh) * | 2016-02-29 | 2019-01-11 | 珠海市魅族通讯设备有限公司 | 一种数据读写控制方法及控制装置 |
| CN206479991U (zh) * | 2017-02-13 | 2017-09-08 | 荣健睿 | 移动硬盘 |
| CN107341415A (zh) * | 2017-07-27 | 2017-11-10 | 张家港市九华科技有限公司 | 一种具有硬件写保护功能的固态硬盘 |
| CN112631965A (zh) * | 2018-10-19 | 2021-04-09 | 华为技术有限公司 | 控制硬盘接入的方法和装置 |
| CN112083879B (zh) * | 2020-08-13 | 2023-04-07 | 杭州电子科技大学 | 一种固态硬盘存储空间物理分区隔离与隐藏方法 |
| CN112231678A (zh) * | 2020-09-02 | 2021-01-15 | 网神信息技术（北京）股份有限公司 | 存储设备的权限处理方法、装置、电子设备及存储介质 |
| CN112507319A (zh) * | 2020-11-23 | 2021-03-16 | 济南华芯算古信息科技有限公司 | 一种NVMe-oF存储系统的数据安全保护方法及装置 |
| CN113849138B (zh) * | 2021-12-01 | 2022-02-22 | 浙江齐安信息科技有限公司 | 安全管控装置 |
| CN115048681B (zh) * | 2022-05-10 | 2024-02-20 | 黄建邦 | 数据安全保护方法、装置、目标设备及存储介质 |
-
2022
- 2022-07-04 CN CN202210781724.9A patent/CN115048681B/zh active Active
-
2023
- 2023-05-09 CN CN202380010563.6A patent/CN117396872A/zh active Pending
- 2023-05-09 WO PCT/CN2023/093113 patent/WO2023143646A2/zh active Application Filing
- 2023-05-10 TW TW112117416A patent/TW202345023A/zh unknown
Also Published As
| Publication number | Publication date |
|---|---|
| CN115048681B (zh) | 2024-02-20 |
| WO2023143646A2 (zh) | 2023-08-03 |
| CN117396872A (zh) | 2024-01-12 |
| WO2023143646A3 (zh) | 2023-10-05 |
| CN115048681A (zh) | 2022-09-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| TW202345023A (zh) | 數據安全保護方法、設備、系統、安全控制框架及儲存媒介 | |
| US7392541B2 (en) | Computer system architecture and method providing operating-system independent virus-, hacker-, and cyber-terror-immune processing environments | |
| US8185961B2 (en) | Network system, method for controlling access to storage device, management server, storage device, log-in control method, network boot system, and method of accessing individual storage unit | |
| US9026683B1 (en) | Command portal for executing non-standard storage subsystem commands | |
| US7814554B1 (en) | Dynamic associative storage security for long-term memory storage devices | |
| US20080046997A1 (en) | Data safe box enforced by a storage device controller on a per-region basis for improved computer security | |
| JP4687382B2 (ja) | ストレージシステムにおけるウイルスチェック方法 | |
| US8065440B2 (en) | Enabling and disabling device images on a platform without disrupting BIOS or OS | |
| US20130145106A1 (en) | Command portal for securely communicating and executing non-standard storage subsystem commands | |
| US9396329B2 (en) | Methods and apparatus for a safe and secure software update solution against attacks from malicious or unauthorized programs to update protected secondary storage | |
| JP2006344206A (ja) | ユニバーサルシリアルバスデータ伝送方法及びその方法を実施するデバイス | |
| JP5457427B2 (ja) | 記憶装置、端末装置およびコンピュータプログラム | |
| US20050034125A1 (en) | Multiple virtual devices | |
| US20070233727A1 (en) | Multiple Virtual Devices | |
| WO2024032474A1 (zh) | 设备接入方法、数据交换方法及相关设备 | |
| US11941264B2 (en) | Data storage apparatus with variable computer file system | |
| CN118113218A (zh) | 数据安全保护方法、设备、系统、安全控制框架及介质 | |
| JP7087932B2 (ja) | ストレージ装置、データ共有システム及びデータ共有方法 | |
| KR102239902B1 (ko) | 보조기억장치에서의 파일시스템 보호장치 및 방법 | |
| TW201117039A (en) | Enforcing a file protection policy by a storage device | |
| TWI840288B (zh) | 設備接入方法及其裝置、資料交換方法及其裝置、聯網設備、服務端及存儲介質 | |
| Zhang et al. | Research on object-storage-based intrusion detection | |
| JP7043842B2 (ja) | データ共有システム及びデータ共有方法 | |
| KR20230009343A (ko) | 파일 서버 내에서 발생하는 파일 이벤트에 따라 해당 파일의 속성 또는 파일을 변경하는 파일 서버 데이터 보호 방법 및 장치 | |
| CN114611130A (zh) | 一种数据保护方法、装置、存储介质和电子设备 |