WO2010012175A1 - 一种文件检测方法和装置 - Google Patents

一种文件检测方法和装置 Download PDF

Info

Publication number
WO2010012175A1
WO2010012175A1 PCT/CN2009/071977 CN2009071977W WO2010012175A1 WO 2010012175 A1 WO2010012175 A1 WO 2010012175A1 CN 2009071977 W CN2009071977 W CN 2009071977W WO 2010012175 A1 WO2010012175 A1 WO 2010012175A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
feature information
information
pirated
stored
Prior art date
Application number
PCT/CN2009/071977
Other languages
English (en)
French (fr)
Inventor
陈建
胡新宇
周洪
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2010012175A1 publication Critical patent/WO2010012175A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a file detection method and apparatus.
  • the methods for protecting digital copyrighted files are as follows: 1. Encrypt the copyright file that needs to be protected. When using the terminal, the terminal must first apply for a key to decrypt it. 2. Add the number to the copyright file that needs to be protected. Watermark, when using, to detect whether the watermark exists or has expired, if it does not exist or has expired, it can not be used; 3.
  • the inventors of the present invention found that if the original file of the protected file is cracked by some means, such as the file is decrypted or the watermark is removed, when the file being transmitted is After the cracked file, the above methods cannot detect whether the file being transferred is a pirated file, and thus cannot continue to protect the file.
  • the embodiment of the invention provides a file detection method and device, which can better determine whether a file is a pirated file without modifying the existing terminal.
  • An obtaining unit configured to acquire file feature information of the file
  • the comparing unit is configured to compare the file feature information with the stored file feature information, and determine the file attribute according to the comparison result.
  • the embodiment of the present invention uses the feature information of the comparison file, including comparison with the feature information of the genuine document, the characteristic information of the suspicious file, and the pirated feature information, and can determine that the file is a genuine document, a suspicious file or a pirated file, and at the same time, as long as the file is obtained
  • the feature information can be compared using the saved feature information without any modification to the existing terminal device.
  • the program may be stored in a computer readable storage medium, and the storage medium may include: Read Only Memory (ROM), Random Access Memory (RAM), disk or optical disk.
  • ROM Read Only Memory
  • RAM Random Access Memory
  • FIG. 1 is a signaling flowchart of an embodiment of a file detecting method according to the present invention
  • FIG. 2 is a signaling flowchart of a second embodiment of a file detecting method according to the present invention.
  • Figure 3 is a block diagram showing an embodiment of a document detecting device of the present invention.
  • the embodiment of the invention provides a file detecting method, and an embodiment of the invention further provides a corresponding file detecting device.
  • the file name, file length and file feature information of the file protected by the rights management, digital watermark, etc., such as the feature information of a certain piece of content, are stored in a genuine document feature information database.
  • the specific steps include: A. Obtaining file feature information of the file; B. Comparing the file feature information with the stored file feature information; C. determining the attribute of the file according to the comparison result. Get the file to be tested After the file feature information is found in the genuine file feature information database, the corresponding genuine file feature information is compared for comparison. When the time information of the matching file feature information is not found in the genuine file feature information database is recorded in the suspicious file database, the subsequent comparison file feature information also goes to the suspicious file database to find the file feature information.
  • the corresponding pirated file feature information may be searched in the pirated file feature information database for comparison, and if the corresponding entry is found, the pirated version may be determined. file. After judging as a suspicious file or a pirated file, you can also take the next steps such as forensics or stop the file use.
  • the technical scheme of the present invention adopts the feature information of the comparison file, including the comparison with the genuine document feature information, the suspicious file feature information and the pirated feature information, and can determine that the file is a genuine file, a suspicious file or a pirated file, and at the same time, as long as the file is obtained
  • the feature information can be compared using the saved feature information without any modification to the existing terminal device.
  • Figure 1 is a flow chart showing an embodiment of a document detecting method of the present invention.
  • This embodiment describes the detection of a transmission file in a P2P network as an example.
  • piracy you must decrypt the encryption of the file, or modify the identification part of the copyright protected file, which will inevitably cause some changes to the content of the file.
  • you find a way to find that the cracked file is different from the original genuine file you can judge that the file has been pirated, at least suspicious.
  • DPI Deep Packet Inspection
  • the DPI device can perform in-depth analysis of the traffic on the network. If the file is being transmitted on the network, the content of the file can also be analyzed.
  • DPI devices are generally deployed on key nodes of the network, so all network traffic can be checked and processed.
  • the feature information of the files being transmitted in the network can be compared. If the two features are consistent, the file is not cracked, and the file is genuine. If they are inconsistent, the transmitted file may be pirated, that is, it is judged to be a suspicious file, and further actions can be taken. In this embodiment, it is required to be protected by copyright.
  • the file name, length, and file feature information of the file protected by DRM, digital watermark, etc., such as the hash value of the entire content or the specific part of the content (hereinafter referred to as the file hash value) is stored in a genuine file feature information. In the database.
  • Step 101 The requesting node sends a file search request message to the P2P server.
  • the file search request message carries description information of a file name, a file size, and the like.
  • Step 102 The P2P server returns a file search result message to the requesting node.
  • the file search result message includes one or more selectable files.
  • Step 103 The DPI device intercepts the file search result message; the DPI device extracts file description information and file feature information therein according to the intercepted file search result message.
  • Step 104 The DPI device forwards the file search result message to the requesting node.
  • Step 105 The requesting node selects a file from the files included in the file search result message, and sends a specific file source address request message to the P2P server.
  • Step 106 The P2P server returns a specific file source address message to the requesting node.
  • Step 107 The DPI device intercepts the specific file source address message.
  • Step 108 The DPI device combines the intercepted file search result message and the specific file source address message, and compares feature information of the specific file with the stored file feature information;
  • Step 109 The DPI device determines, according to the comparison result, an attribute of the file selected in the specific file source address message.
  • step 107 to step 109 the DPI device intercepts the specific file source address message, extracts the description information such as the file name and the file size information, performs fuzzy matching in the genuine file feature information database, and extracts the file hash value in the genuine file feature information.
  • the description information such as the file name and the file size information
  • fuzzy matching in the genuine file feature information database
  • extracts the file hash value in the genuine file feature information To perform an exact match in the database, you can do the following:
  • A searches for the corresponding entry in the database of the genuine document feature information according to the file feature information extracted from the file list; if the corresponding entry is found, it indicates that the genuine file is being transmitted, and is not destroyed;
  • the file being transferred may be a suspicious file, and the suspicious file may be used by other parties.
  • the verification is a pirated document, for example, sending the file characteristic information of the intercepted suspicious file to the publisher for verification to confirm whether it is a pirated file; and determining that the file characteristic information of the pirated file can be recorded in the pirated file characteristic information database;
  • the file being transferred may be a copyright file that is not entered or a free file.
  • the file name can be recorded according to the settings. File size information or not processed.
  • the pirated file feature information that has been determined to be a pirated file may also be stored, and the file information may be compared with the pirated file feature information after the file information is intercepted, if the information is described in the pirated file according to the file name and file size of the file. If the corresponding entry is found in the feature information database, the file may be determined to be a pirated file; if it is determined to be a pirated file, the subsequent forensic step may be continued.
  • Step 110 The DPI device extracts file feature information in the specific source address message, an Internet Protocol (IP) address and a port number in the source address, and prepares for forensics;
  • IP Internet Protocol
  • the IP address can be extracted as the peer source of the possible transmission data.
  • Step 111 The DPI device forwards a specific file source address message to the requesting node.
  • Step 112 The DPI device intercepts the data transmission content to collect evidence for forensics.
  • the DPI device may record one or more of the address information, the file information, and the time information of the file transmission for forensics.
  • the DPI technology is used to detect the network transmission file, the pirated file transmitted in the network can be found, and the basis for taking corresponding actions is provided; and since the DPI technology is adopted, only the function needs to be added in the corresponding DPI device. There is no need for a dedicated website to verify each file, so it is fast, efficient, and does not require modification of the terminal.
  • FIG. 2 is a flow chart of a second embodiment of a file detecting method according to the present invention.
  • the pirated files transmitted by the non-P2P network can also be detected by the method of the present invention.
  • the files protected by DRM are actually encrypted, unless the decryption key is obtained from the server.
  • the crack generally sends the decrypted file version directly to the player for playback.
  • the two files will have different contents. If the DRM encryption information of the header of the file is extracted, it can be judged whether the piracy is based on whether the DRM encrypted information is intact. . In this embodiment, a large amount of copyright protection needs to be taken and has been taken.
  • Descriptive information such as the file name and length of the file protected by DRM, digital watermark, etc., and file feature information are stored in a genuine document feature information database. Specifically, the following steps can be taken:
  • Step 201 The client sends a file request message to the server.
  • Step 202 The DPI device intercepts the file request message.
  • the DPI device intercepts the file request message, extracts the file description information, prepares to find the genuine file feature information database, and extracts the data stream identifier to prepare to intercept the subsequent file transmission data stream;
  • Step 203 The DPI device forwards the file request message to the server.
  • Step 204 The server returns a file request message to the client.
  • Step 205 The server sends the file data stream to the client.
  • Step 206 The DPI device intercepts the file data stream according to the data flow identifier, extracts file feature information from the data stream, and compares with the corresponding entry in the genuine file feature information database.
  • Step 207 The DPI device determines the file being transmitted. Attribute
  • the DPI device intercepts the file data stream provided by the server, compares the content of the DRM encryption header part of the file being transmitted with the content of the corresponding genuine file DRM encryption header in the genuine file feature information database; when the DRM encryption header part of the file being transmitted If the content of the DRM encryption header corresponding to the genuine document in the signature information database of the genuine document is inconsistent, it indicates that the file being transmitted is a suspicious file; for the suspicious file, the suspicious file may be further verified by other means to be a pirated file, for example, The file feature information of the intercepted suspicious file is sent to the publisher for verification to determine whether it is a pirated file; if it is judged that the file being transmitted is a pirated file after further verification, it may be operated by means of record forensics or termination of transmission according to the setting.
  • step 208 is performed; and the determination may be recorded in the pirated file feature information database.
  • the corresponding entry may be searched in the pirated file feature information database according to the file description information, and if the same entry is found, the current file may be determined as a pirated file.
  • Step 208 The DPI device forwards the file data stream to the client.
  • the DPI device can record one or more of the address information, the file information, and the time information of the file transfer for forensics.
  • the obtaining unit 31 is configured to acquire file feature information of the file
  • the file feature information may include: a result of performing a hash operation on a certain piece or pieces of content of the file, a result of performing a sampling operation on a piece or pieces of content of the file, or one or more pieces of content of the file or segments.
  • the obtaining unit 31 may further include:
  • the network intercepting unit 311 is configured to intercept file transmission information in the network
  • the extracting unit 312 is configured to extract file feature information in the file transfer information.
  • the comparing unit 32 is configured to compare the file feature information with the stored file feature information, and determine a file attribute according to the comparison result;
  • the file being transferred may be a suspicious file.
  • the suspicious file can be used to verify whether it is a pirated file. For example, the file information of the intercepted suspicious file is sent to the publisher. Verify to confirm if it is a pirated file.
  • the comparing unit 32 may further include:
  • the searching unit 321 is configured to search, according to the file name and the file size information of the file, the stored feature information of the corresponding genuine file;
  • the feature comparison unit 322 is configured to compare the file feature information with the genuine file feature information found by the searching unit 321 .
  • the file detecting device may further include a storage unit 33 for storing file feature information.
  • the storage unit 33 may be inside the file detecting device provided in this embodiment, or may be a separate storage device independent of the file detecting device. .
  • the file name, the file length, and the file feature information of the file protected by the copyright protection and having been protected by the DRM, the digital watermark, and the like are stored in the storage unit 33; and the file to be detected is obtained.
  • the cryptographic feature information of the pirated file may be recorded in the storage unit 33, and the storage unit may be subsequently accessed to the storage unit.
  • Find pirated file feature information data in 33 The library compares the file feature information, and if it finds the corresponding entry, it can be judged as pirated.
  • the genuine document feature information and the pirated file feature information may be separately stored in two storage units.
  • the file detecting apparatus may further include a recording unit 34, configured to record one or more of address information, file information, and time information of file transmission; and record various information of the pirated file transmitted by the network, such as requesting nodes and services.
  • the IP address of the node, the file information transmitted between the requesting node and the serving node, and the transmission time are used as evidence.
  • the program may be stored in a computer readable storage medium, and the storage medium may include: ROM, RAM, disk or CD, etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Description

一种文件检测方法和装置
本申请要求于 2008 年 07 月 31 日提交中国专利局、 申请号为 200810144076.6、 发明名称为 "一种文件检测方法和装置" 的中国专利申请的 优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信技术领域， 具体涉及一种文件检测方法和装置。
背景技术
随着计算机和网络的普及， 在互联网上传播盗版的文件变的越来越容易， 人们可以通过计算机和互联网方便的交换文件，如在 peer to peer (—种点到点的 协议和用这种协议组成的网络,以下筒称 P2P)网络中， 任意两个客户端计算机 之间都可以直接发起文件传输； 发现盗版文件的传播就会 ^艮困难。
一般情况下， 数字化的版权文件的保护方法有： 1、 对需要保护的版权文 件进行加密， 终端使用时必须先向某个服务器申请密钥进行解密； 2、 对需要 保护的版权文件加上数字水印， 使用时检测水印是否存在或是否过了有效期， 如果不存在或过了有效期， 则不能使用； 3、 对需要进行版权保护的文件抽取 一些内容分片， 进行高度压缩后存成一个列表； 在实际播放某媒体文件前， 比 较文件某部分内容与该分片列表的表项是否有相同的匹配，有则意味该文件需 要进行版权检查； 随后对需要进行版权检查的进行相应的操作，如检查文件的 许可证书是否有效等等。
在对现有技术的研究和实践过程中， 本发明的发明人发现，如果被保护文 件的原始文件被某种手段破解了，如文件被解密了或被去除水印了， 当正在传 输的文件为破解后的文件，以上几种方法无法检测出正在传输的文件是否为盗 版文件， 从而不能继续对文件进行保护。
发明内容
本发明实施例提供一种文件检测方法和装置，在不修改现有终端的情况下 可以更好的判断文件是否为盗版文件。
本发明实施例提供的文件检测方法， 包括：
获取文件的文件特征信息；
比较所述文件特征信息与存储的对应的文件特征信息； 根据比较结果判断文件的属性。
本发明实施例提供的文件检测装置， 包括：
获取单元， 用于获取文件的文件特征信息；
比较单元， 用于比较所述文件特征信息与存储的对应的文件特征信息，根 据比较结果判断文件属性。
本发明实施例采用比较文件的特征信息， 包括与正版文件特征信息、可疑 文件特征信息以及盗版特征信息的比较， 可以判断出文件为正版文件、可疑文 件或者盗版文件，同时只要获取到文件的文件特征信息即可利用已保存的特征 信息进行比较， 不需要对现有终端设备做任何修改。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步 骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读 存储介质中， 存储介质可以包括： 只读存储（ROM, Read Only Memory )、 随 机存取存储器（RAM, Random Access Memory ), 磁盘或光盘等。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例或现有技术描述中所需要使用的附图作筒单地介绍，下面描述中的附图仅仅 是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动 性的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明一种文件检测方法的一个实施例的信令流程图；
图 2是本发明一种文件检测方法第二个实施例的信令流程图；
图 3是本发明一中文件检测装置的一个实施例的结构图。
具体实施方式
本发明实施例提供一种文件检测方法，本发明实施例还提供相应的文件检 测装置。
本实施例中需要将受版权保护的且已经采取数字版权管理（ DRM, Digital
Rights Management )、 数字水印等方式保护的文件的文件名、 文件长度和文件 特征信息如某段内容的特征信息存储在一个正版文件特征信息数据库中。具体 步骤包括： A、 获取文件的文件特征信息； B、 比较所述文件特征信息与存储 的对应的文件特征信息； C、 根据比较结果判断文件的属性。 获取待检测文件 的文件特征信息后在正版文件特征信息数据库中查找对应的正版文件特征信 息进行比较。当在正版文件特征信息数据库中找不到匹配的文件特征信息的时 征信息记录在可疑文件数据库中，后续比较文件特征信息也到所述可疑文件数 据库中查找文件特征信息。当在正版文件特征信息数据库中找不到匹配的文件 特征信息的时候，还可以在盗版文件特征信息数据库中查找对应的盗版文件特 征信息进行比较， 如果查到相应的条目， 就可以判断为盗版文件。 判断为可疑 文件或盗版文件后还可以对正在传输的文件采取取证或停止文件使用等后续 步骤。
本发明技术方案采用比较文件的特征信息， 包括与正版文件特征信息、可 疑文件特征信息以及盗版特征信息的比较， 可以判断出文件为正版文件、可疑 文件或者盗版文件，同时只要获取到文件的文件特征信息即可利用已保存的特 征信息进行比较， 不需要对现有终端设备做任何修改。
图 1是本发明一种文件检测方法的一个实施例的流程图。
本实施例以 P2P网络中传输文件的检测为例进行描述。 对于有版权保护的 文件来说， 要使用盗版， 必需对文件的加密进行解密， 或对版权保护的文件的 标识部分进行修改，这样必然会使文件内容产生一些变化。只要找到一种方法， 发现被破解的文件和原正版文件的不同， 即可判断该文件已经被盗版， 至少是 可疑的。
深度才艮文检测（ DPI , Deep Packet Inspection )技术为检查文件内容提供了 一个工具：
DPI设备可以对网络上的流量进行深度分析， 如果网络上正在传输文件的 话， 也可以对这个文件的内容进行分析；
DPI设备一般都部署在网络的关键节点上， 因此可以对所有网络流量进行 检查处理；
只要利用 DPI技术， 再加上一个用来比较的正版文件特征信息数据库， 即 可对网络中正在传输的文件进行特征信息比较，如果二者特征一致， 则证明该 文件未被破解， 是正版文件； 如果不一致， 则被传输的文件有盗版的可能， 即 判断为可疑文件， 进而可以采取更进一步的行动。本实施例中需要将受版权保 护的且已经采取了 DRM、 数字水印等方式保护了的文件的文件名、 长度和文 件特征信息如全部内容或特定部分内容的 Hash值 (以下筒称文件 Hash值 )存储 在一个正版文件特征信息数据库中。
步骤 101、 请求节点向 P2P服务器发送文件搜索请求消息；
所述文件搜索请求消息携带文件名称、 文件大小等文件的描述信息。 步骤 102、 P2P服务器回复文件搜索结果消息给请求节点；
所述文件搜索结果消息包括一个或多个可选择的文件。
步骤 103、 DPI设备截获所述文件搜索结果消息； DPI设备根据截获的所述 文件搜索结果消息提取其中的文件描述信息和文件特征信息。
步骤 104、 DPI设备向请求节点转发文件搜索结果消息；
步骤 105、 请求节点从所述文件搜索结果消息所包含的文件中选择一个文 件， 并向 P2P服务器发送具体文件源地址请求消息；
步骤 106、 P2P服务器向请求节点回复具体文件源地址消息；
步骤 107、 DPI设备截获所述具体文件源地址消息；
步骤 108、DPI设备结合所述截获的文件搜索结果消息和具体文件源地址消 息， 比较具体文件的特征信息和存储的对应的文件特征信息；
步骤 109、 DPI设备根据比较结果判断具体文件源地址消息中选择的文件的 属性；
在步骤 107至步骤 109中， DPI设备截获具体文件源地址消息， 提取其中的 文件名、 文件大小信息等描述信息在正版文件特征信息数据库中进行模糊匹 配， 同时提取文件 Hash值在正版文件特征信息数据库中进行精确匹配，具体可 以采用以下操作：
A根据文件列表中提取的文件特征信息查找正版文件特征信息数据库中 的对应条目； 如果查找到对应条目， 则表示现在正在传输的是正版文件， 且没 有被破坏；
B 根据提取的文件名、 文件大小等描述信息在正版文件特征信息数据库 中进行模糊匹配时，如果查找到对应的条目，但文件特征信息与正版文件特征 信息数据库中的模糊匹配出的条目中的特征信息都不相同，则表示正在传输的 文件可能为被破解的文件即判断为可疑文件，后续可以将可疑文件采用其他方 式验证是否为盗版文件，例如将截获的可疑文件的文件特征信息发往发行商进 行验证以确认是否为盗版文件；判断为盗版文件的文件特征信息可以记录到盗 版文件特征信息数据库中；
C如果根据任何一个文件信息都不能在文件特征信息数据库中找到对应 条目，则表示正在传输的文件可能是一个未被录入的版权文件或是一个自由文 件， 这时可以根据设置记录该文件名、 文件大小信息或不做处理。
在本实施例中， 也可储存一些已经判断为盗版文件的盗版文件特征信息， 当截获文件信息后可以与盗版文件特征信息进行比较， 如果根据文件的文件 名、文件大小等描述信息在盗版文件特征信息数据库中查找到相应的条目， 则 可判断该文件为盗版文件； 如果判断为盗版文件后可以继续后续取证步骤。
步骤 110、 DPI设备提取所述具体源地址消息中文件特征信息、源地址中的 网际协议 (IP , Internet Protocol)地址和端口号， 准备取证；
由于所述具体源地址消息的文件特征信息和具体源地址请求消息的文件 特征信息一样， 因此可以提取其中 IP地址作为可能传输数据的对端源。
步骤 111、 DPI设备向请求节点转发具体文件源地址消息；
步骤 112、 DPI设备截获数据传输内容以收集证据进行取证。
当请求节点根据具体文件源地址消息选择服务节点建立连接开始文件传 输后， DPI设备可以记录文件传输的地址信息、 文件信息、 时间信息中的一种 或多种进行取证。
本实施例中由于采用 DPI技术对网络传输文件进行检测， 可以发现在网络 中传输的盗版文件， 并为采取相应行动提供基础； 并且由于采用 DPI技术， 只 需要在相应的 DPI设备中增加功能， 不需要专门的网站来验证每个文件， 因此 速度快， 效率高， 也不需要修改终端设备。
图 2为本发明一种文件检测方法的第二个实施例的流程图；
非 P2P网络传输的盗版文件， 也可以采用本发明的方法进行检测， 例如采 用了 DRM保护的文件实际上是被加密了的， 除非向服务器获取解密密钥才能 播放。 而破解一般将解密后文件版本直接送给播放器播放， 两种文件就会在内 容上有不同， 如果提取文件的头部的 DRM加密信息， 根据所述 DRM加密信息 是否完好即可判断是否盗版。本实施例中需要将大量受版权保护的且已经采取 DRM、 数字水印等方式保护的文件的文件名、 长度等描述信息和文件特征信 息存储在一个正版文件特征信息数据库中。 具体可采用以下步骤：
步骤 201、 客户端向服务器发送文件请求消息；
步骤 202、 DPI设备截获所述文件请求消息；
DPI设备截获文件请求消息后提取其中的文件描述信息准备查找正版文件 特征信息数据库， 提取数据流标识准备截获后续文件传输数据流；
步骤 203、 DPI设备转发文件请求消息到服务器；
步骤 204、 服务器回复文件请求消息给客户端；
步骤 205、 服务器发送文件数据流到客户端；
步骤 206、 DPI设备根据所述数据流标识， 截获文件数据流，从数据流中提 取文件特征信息， 并与正版文件特征信息数据库中的对应条目进行比较； 步骤 207、 DPI设备判断正在传输的文件的属性；
例如： DPI设备截获服务器提供的文件数据流比较正在传输的文件 DRM加 密头部分内容和正版文件特征信息数据库中对应的正版文件 DRM加密头部分 内容是否一致； 当正在传输的文件 DRM加密头部分内容和正版文件特征信息 数据库中对应的正版文件 DRM加密头部分内容不一致时， 则表示正在传输的 文件为可疑文件； 对可疑文件，后续可以将可疑文件采用其他方式进一步验证 是否为盗版文件，例如将截获的可疑文件的文件特征信息发往发行商进行验证 以确定是否为盗版文件； 进一步验证后如果判断正在传输的文件为盗版文件， 根据设置可以采取记录取证或终止传输等方式操作。 当正在传输的文件 DRM 加密头部分内容和正版文件特征信息数据库中对应的正版文件 DRM加密头部 分内容一致或 DPI设备不终止传输时进行步骤 208;也可在盗版文件特征信息数 据库中记录下确定为盗版文件的盗版特征信息， 当再次进行文件比较时， 可以 依据文件描述信息在盗版文件特征信息数据库中查找相应条目，若发现相同条 目即可判断当前文件为盗版文件。
步骤 208、 DPI设备向客户端转发文件数据流。
如果判断为盗版文件后， DPI设备可以记录文件传输的地址信息、 文件信 息、 时间信息中的一种或多种进行取证。
图 3为本发明一种文件检测装置的一个实施例的结构图； 获取单元 31 , 用于获取文件的文件特征信息；
所述文件特征信息可以包括：对文件某一段或多段内容进行 Hash运算的结 果、对文件某一段或多段内容进行抽样运算的结果、文件某一段或多段内容的 一种或多种。
所述获取单元 31还可以包括：
网络截取单元 311 , 用于截取网络中的文件传输信息；
提取单元 312 , 用于提取所述文件传输信息中的文件特征信息。
比较单元 32, 用于比较所述文件特征信息与存储的对应的文件特征信息， 根据比较结果判断文件属性；
根据提取的文件名、文件大小等描述信息在正版文件特征信息数据库中进 行模糊匹配时，如果查找到对应的条目，但文件特征信息与正版文件特征信息 数据库中的模糊匹配出的条目中的特征信息都不相同，则表示正在传输的文件 可能为被破解的文件即为可疑文件，后续可以将可疑文件采用其他方式验证是 否为盗版文件，例如将截获的可疑文件的文件信息发往发行商进行验证以确认 是否为盗版文件。
所述比较单元 32还可以包括：
查找单元 321 , 用于根据文件的文件名和文件大小信息查找存储的对应的 正版文件特征信息；
特征比较单元 322,用于将文件特征信息与所述查找单元 321查找到的正版 文件特征信息进行比较。
所述文件检测装置还可以包括存储单元 33 , 用于存储文件特征信息； 所述 存储单元 33可以在本实施例提供的文件检测装置内部，也可以为独立于文件检 测装置之外的单独存储装置。
需要将大量受版权保护的且已经采取了 DRM、 数字水印等方式保护了的 文件的文件名、文件长度和文件特征信息如某段内容的特征信息存储在存储单 元 33中；获取待检测文件的文件特征信息后在存储单元 33中查找对应的正版文 步的确认，如果判定为盗版文件， 则可以将所述盗版文件的盗版特征信息记录 在存储单元 33中，后续也可以到所述存储单元 33中查找盗版文件特征信息数据 库进行文件特征信息的比较， 如果查到相应的条目， 就可以判断为盗版。 在具 体实施中也可采用将正版文件特征信息与盗版文件特征信息分别存储在两个 存储单元中。
所述文件检测装置还可以包括记录单元 34, 用于记录文件传输的地址信 息、 文件信息、 时间信息中的一种或多种； 记录网络传输的盗版文件的各种信 息， 例如请求节点和服务节点的 IP地址， 请求节点和服务节点之间传输的文件 信息以及传输时间等作为证据。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步 骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读 存储介质中， 存储介质可以包括： ROM、 RAM, 磁盘或光盘等。
明只是用于帮助理解本发明的方法及其核心思想； 同时，对于本领域的一般技 术人员， 依据本发明的思想， 在具体实施方式及应用范围上均会有改变之处， 综上所述， 本说明书内容不应理解为对本发明的限制。

Claims

权 利 要 求
1、 一种文件检测方法， 其特征在于， 包括：
获取文件的文件特征信息；
比较所述文件特征信息与存储的对应的文件特征信息；
根据比较结果判断文件的属性。
2、根据权利要求 1所述的文件检测方法， 其特征在于， 所述获取文件的文 件特征信息具体为：
截取网络传输中的文件信息；
提取所述文件信息中的文件特征信息和文件的描述信息。
3、根据权利要求 2所述的文件检测方法， 其特征在于， 比较所述文件特征 信息与存储的对应的文件特征信息具体为：
根据文件的描述信息查找存储的对应的正版文件特征信息，所述描述信息 包括文件名、文件大小信息、文件类型信息以及文件编码格式中的一种或多种； 比较所述获取的文件特征信息与正版文件特征信息。
4、根据权利要求 3所述的文件检测方法， 其特征为， 所述根据比较结果判 断文件属性具体为：
当所述文件特征信息与存储的文件特征信息中的正版文件特征信息不一 致时， 判断所述文件为可疑文件。
5、根据权利要求 4所述的文件检测方法， 其特征为， 判断文件为可疑文件 后还包括：
将可疑文件的文件特征信息记录在可疑文件特征信息数据库中。
6、根据权利要求 4所述的文件检测方法， 其特征在于， 判断所述文件为可 疑文件后还包括：
记录传输的地址信息、 文件信息、 时间信息中的一种或多种， 或终止文件 的传输。
7、 根据权利要求 1或 2所述的文件检测方法， 其特征为， 所述比较所述文 件特征信息与存储的对应的文件特征信息， 根据比较结果判断文件属性具体 为：
比较所述文件特征信息与存储已经确定为盗版文件的盗版文件特征信息； 当所述文件特征信息与存储的所述盗版文件特征信息一致时，判断所述文 件为盗版文件。
8、根据权利要求 1所述的文件检测方法， 其特征为， 所述文件特征信息包 括：
对文件某一段或多段的内容进行散列 Hash运算的结果、对文件某一段或多 段内容进行抽样运算的结果、 文件某一段或多段原始内容的一种或多种。
9、 一种文件检测装置， 其特征在于， 包括：
获取单元， 用于获取文件的文件特征信息；
比较单元， 用于比较所述文件特征信息与存储的对应的文件特征信息，根 据比较结果判断文件属性。
10、 根据权利要求 9所述的文件检测装置， 其特征在于， 所述文件检测装 置还包括：
存储单元， 用于存储文件特征信息。
11、 根据权利要求 9所述的文件检测装置， 其特征在于， 所述获取单元进 一步包括：
截取单元， 用于截取网络中传输的文件信息；
提取单元， 用于提取所述文件信息中的文件特征信息。
12、 根据权利要求 9或 11所述的文件检测装置， 其特征在于， 所述比较单 元进一步包括：
查找单元， 用于根据文件描述信息查找存储的对应的正版文件特征信息； 特征比较单元，用于将文件特征信息与所述查找单元查找到的正版文件特 征信息进行比较。
13、 根据权利要求 11所述的文件检测装置， 其特征在于， 所述文件检测装 置进一步包括：
记录单元， 用于记录文件传输的地址信息、 文件信息、 时间信息中的一种 或多种。
PCT/CN2009/071977 2008-07-31 2009-05-26 一种文件检测方法和装置 WO2010012175A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810144076.6A CN101639880A (zh) 2008-07-31 2008-07-31 一种文件检测方法和装置
CN200810144076.6 2008-07-31

Publications (1)

Publication Number Publication Date
WO2010012175A1 true WO2010012175A1 (zh) 2010-02-04

Family

ID=41609939

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/071977 WO2010012175A1 (zh) 2008-07-31 2009-05-26 一种文件检测方法和装置

Country Status (2)

Country Link
CN (1) CN101639880A (zh)
WO (1) WO2010012175A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109858207A (zh) * 2019-01-31 2019-06-07 南京麦朵信息技术有限公司 一种非授权分发的多媒体版权追踪的方法
CN110929110A (zh) * 2019-11-13 2020-03-27 北京北信源软件股份有限公司 一种电子文档检测方法、装置、设备及存储介质

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103020521B (zh) * 2011-09-22 2015-10-21 腾讯科技（深圳）有限公司 木马扫描方法及系统
CN102624547A (zh) * 2011-12-31 2012-08-01 成都市华为赛门铁克科技有限公司 一种即时通信上网行为管理的方法、装置与系统
CN104715197B (zh) * 2012-02-07 2019-03-08 北京奇虎科技有限公司 一种文件快速扫描方法和系统
CN102609515B (zh) * 2012-02-07 2013-10-16 北京奇虎科技有限公司 一种文件快速扫描方法和系统
WO2013117151A1 (zh) * 2012-02-07 2013-08-15 北京奇虎科技有限公司 文件快速扫描方法和系统
CN102779249B (zh) * 2012-06-28 2015-07-29 北京奇虎科技有限公司 恶意程序检测方法及扫描引擎
CN102999722B (zh) * 2012-11-12 2015-09-16 北京奇虎科技有限公司 文件检测系统
CN102982121B (zh) * 2012-11-12 2015-11-11 北京奇虎科技有限公司 一种文件扫描方法、文件扫描装置及文件检测系统
CN103679002B (zh) * 2013-12-12 2016-09-28 小米科技有限责任公司 监控文件变化的方法、装置及服务器
CN104899509B (zh) * 2014-03-03 2018-07-10 珠海市君天电子科技有限公司 文件样本属性的确定方法及装置
CN104143055B (zh) * 2014-08-16 2017-02-15 合一网络技术(北京)有限公司 盗版视频监控方法与系统
CN106055602A (zh) 2016-05-24 2016-10-26 腾讯科技（深圳）有限公司 文件验证方法及装置
CN107423581B (zh) * 2017-07-31 2019-04-12 北京深思数盾科技股份有限公司 软件的保护方法和装置
CN109960932B (zh) * 2017-12-22 2021-02-02 北京安天网络安全技术有限公司 文件检测方法、装置和终端设备
CN110609789A (zh) * 2019-08-29 2019-12-24 烽火通信科技股份有限公司 一种用于软件License校验的方法和系统
CN112887764B (zh) * 2021-01-19 2022-11-08 北京浩瀚深度信息技术股份有限公司 一种基于dpi的ott视频收视率分析方法、设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1581088A (zh) * 2003-08-06 2005-02-16 华为技术有限公司 一种防止计算机病毒的方法及装置
CN1729276A (zh) * 2002-12-19 2006-02-01 皇家飞利浦电子股份有限公司 用于网络下载音乐文件的方法和系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1729276A (zh) * 2002-12-19 2006-02-01 皇家飞利浦电子股份有限公司 用于网络下载音乐文件的方法和系统
CN1581088A (zh) * 2003-08-06 2005-02-16 华为技术有限公司 一种防止计算机病毒的方法及装置

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109858207A (zh) * 2019-01-31 2019-06-07 南京麦朵信息技术有限公司 一种非授权分发的多媒体版权追踪的方法
CN109858207B (zh) * 2019-01-31 2023-03-31 南京麦朵信息技术有限公司 一种非授权分发的多媒体版权追踪的方法
CN110929110A (zh) * 2019-11-13 2020-03-27 北京北信源软件股份有限公司 一种电子文档检测方法、装置、设备及存储介质

Also Published As

Publication number Publication date
CN101639880A (zh) 2010-02-03

Similar Documents

Publication Publication Date Title
WO2010012175A1 (zh) 一种文件检测方法和装置
US10769252B2 (en) Method and apparatus for watermarking of digital content, method for extracting information
CN103189872B (zh) 联网环境中的安全和有效内容筛选的方法和装置
US7681032B2 (en) System and method for monitoring unauthorized transport of digital content
EP1944905B1 (en) An encrypted transmission method and equipment system for preventing copying the data resource
EP2109248B1 (en) Method and device for testing consistency of numeric contents
US8204915B2 (en) Apparatus and method for generating a database that maps metadata to P2P content
JP2009529741A (ja) 著作権保護された内容をコンピュータ支援で発見および識別するための方法および通信システム
KR20130133243A (ko) 온라인 저장을 위한 장치 및 방법, 송신 장치 및 방법, 및 수신 장치 및 방법
JP4742264B2 (ja) コンテンツ検出装置、不正使用判定装置及び警報装置並びにコンテンツ配信ネットワークシステム
CN101739522B (zh) Drm文件完整性的保护方法及装置
Moure-Garrido et al. Detecting malicious use of DOH tunnels using statistical traffic analysis
US9385992B2 (en) Inline key-based peer-to-peer processing
US20160210474A1 (en) Data processing apparatus, data processing method, and program
WO2021237621A1 (zh) 一种信息泄露检测方法、装置和计算机可读介质
KR100534057B1 (ko) 멀티미디어 콘텐츠의 불법유통 방지를 위한 방법 및 이를이용한 장치
CN110995717B (zh) 报文处理方法、装置、电子设备及漏洞扫描系统
KR102042086B1 (ko) 암호화 통신 프로토콜 제어 모듈
US20200007503A1 (en) System and method of analyzing the content of encrypted network traffic
Dinca Survey of the Use of Steganography over the Internet
Steel et al. Impersonator identification through dynamic fingerprinting
Petrovic et al. Watermark screening in networked environment
JP2004145612A (ja) 画像による認証方法とウェブサーバ
CN105426704A (zh) 一种基于网络通信实现计算机软件保护的方法
CN116244728A (zh) 一种应用程序传输数据的检测方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09802368

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09802368

Country of ref document: EP

Kind code of ref document: A1