[发明专利]Windows平台下基于过滤驱动的刻录审计方法

摘要

本发明公开了一种Windows平台下基于过滤驱动的刻录审计方法，该方法包括安装过滤驱动、捕获刻录操作、分析刻录操作、获取文件路径、获取文件类型和文件所在的计算机IP地址、生成审计数据，该方法在不改变用户执行刻录操作的方式下，充分利用刻录机的技术特性，通过基于过滤驱动的方法对刻录操作所携带的刻录信息进行全面审计，能够快速准确地识别出哪台计算机发生了刻录操作，刻录了哪些文件，同时能够获取完整的审计信息，有效地防止涉密信息通过刻录方式泄漏和扩散。

主权项

Windows平台下基于过滤驱动的刻录审计方法，其特征在于，该方法包含以下步骤：a．安装过滤驱动：通过挂载刻录机所使用的功能驱动程序，完成安装过滤驱动；b．捕获刻录操作：在用户通过刻录程序发起刻录操作时，过滤驱动捕获刻录操作并获取刻录操作所携带的上下文信息；根据该上下文信息获取刻录操作的基本信息；将刻录操作的基本信息存储在内存中；所述上下文信息包括：SCSI CDB（SCSI Command Descriptor Block，即SCSI命令描述块）、刻录进程ID；所述刻录操作的基本信息包括：SCSI命令、SCSI数据块、SCSI数据大小、刻录进程名称；所述SCSI数据块包括：SCSI数据头、SCSI数据；c．分析刻录操作：通过分析刻录操作的基本信息中的SCSI命令、SCSI数据块，获取文件名称、文件大小、文件修改日期，将文件名称、文件大小、文件修改日期存储在内存中；d．获取文件路径：用户在刻录文件时，刻录程序首先打开该文件并将该文件中的内容读取到内存中，获取所述刻录程序启动以来打开的所有文件，生成打开文件列表，将打开文件列表中的每个文件与步骤c获取的文件名称匹配，如果匹配成功，则获取文件路径；如果匹配失败，则结束；将文件路径存储在内存中；e．获取文件类型和文件所在的计算机IP地址：通过所述文件名称、文件路径获取文件类型、文件所在的计算机IP地址并存储在内存中；f．生成审计数据：汇总步骤b至步骤e存储在内存中的信息，生成审计数据；所述审计数据包括：刻录进程名称、文件名称、文件大小、文件修改日期、文件路径、文件类型、文件所在的计算机IP地址。