[發明專利]局域網內共享文件操作的審計系統及方法

有效

• 申請號: 201010531320.1
• 申請日: 2010-11-04
• 公開（公告）號: CN102467618A
• 公開（公告）日: 2012-05-23
• 發明（設計）人: 鮑遠松;李剛;代真虎;徐培杰
• 申請（專利權）人: 上海寶信軟件股份有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;H04L12/28;H04L29/08
• 代理公司: 上海浦一知識產權代理有限公司 31211
• 代理人: 劉昌榮

1.一種局域網內共享文件操作的審計系統，包括多個終端和一個用于存儲共享文件操作審計記錄的記錄存儲服務器，其特征在于，各終端包括有：

中間層網絡驅動模塊，用于截獲終端發送和接收的所有共享訪問SMB包，記錄該SMB包中包含的共享文件操作信息，并通知共享文件記錄處理器讀取該信息；

文件過濾驅動模塊，用于截獲終端所有文件操作的IRP包，并對屬于共享文件操作的IRP包，記錄該IRP包中包含的共享文件操作信息，并通知共享文件記錄處理器讀取該信息；

共享文件記錄處理器，用于接收來自中間層網絡驅動模塊和文件過濾驅動模塊的通知，查詢相應的共享文件操作信息，并獲取終端登陸用戶名，生成共享文件操作審計記錄，發送給記錄存儲服務器。

2.如權利要求1所述的審計系統，其特征在于：所述中間層網絡驅動模塊記錄的共享文件操作信息包括源IP-MAC對、目的IP-MAC對、訪問的共享文件名以及操作類型。

3.如權利要求1所述的審計系統，其特征在于：所述文件過濾驅動模塊記錄的共享文件操作信息包括操作的共享文件名、路徑以及操作類型。

4.一種利用權利要求1所述的系統實現的局域網內共享文件操作的審計方法，其特征在于，

當用戶訪問本地共享文件時，審計步驟包括：

11)本地文件過濾驅動模塊截獲文件操作的IRP包，獲取該IPR包對應的文件操作信息，判斷該操作是否是對共享文件進行的操作，若是，則將該文件操作信息記錄到文件操作記錄列表中，然后通知本地共享文件記錄處理器；

12)本地共享文件記錄處理器收到本地文件過濾驅動模塊的通知，查詢文件操作記錄列表，讀取該列表中保存的文件操作信息，生成共享文件操作審計記錄，發送給記錄存儲服務器；

當用戶訪問遠程共享文件時，審計步驟包括：

21)本地中間層網絡驅動模塊截獲本地終端發送的SMB包，將該SMB包的信息記錄到本地終端訪問遠程共享文件記錄列表，并通知本地共享文件記錄處理器；

22)本地共享文件記錄處理器查詢本地終端訪問遠程共享文件記錄列表，獲取該列表中的信息，生成本地終端的共享文件操作審計記錄，發送給記錄存儲服務器；

23)被訪問終端的中間層網絡驅動模塊截獲該被訪問終端接收到的SMB包，將來訪終端的IP-MAC對和訪問的共享文件名保存到遠程終端訪問本地共享文件記錄列表；

24)被訪問終端的文件過濾驅動模塊截獲共享文件操作IRP包，將該IPR包對應的共享文件操作信息記錄到文件操作記錄列表中，并通知被訪問終端的共享文件記錄處理器；

25)被訪問終端的共享文件記錄處理器查詢步驟24)的文件操作記錄列表，獲取該列表中保存的共享文件操作信息，然后根據共享文件名查詢遠程終端訪問本地共享文件記錄列表，獲取來訪終端的IP-MAC對，生成被訪問終端的共享文件操作審計記錄，發送給紀錄存儲服務器。

5.如權利要求4所述的審計方法，其特征在于：所述文件過濾驅動模塊記錄的文件操作信息包括操作的共享文件名、路徑和操作類型。

6.如權利要求4所述的審計方法，其特征在于：所述步驟12)中生成的共享文件操作審計記錄，包含有當前登錄用戶、操作的共享文件名、路徑、操作類型以及本機IP。

7.如權利要求4所述的審計方法，其特征在于：所述中間層網絡驅動模塊記錄的信息包括源IP-MAC對、目的IP-MAC對、訪問的共享文件名以及操作類型。

8.如權利要求4所述的審計方法，其特征在于：所述步驟22)中生成的本地終端的共享文件操作審計記錄，包含有訪問的共享文件名、操作類型、目的IP-MAC對、本機IP-MAC對以及登陸用戶。

9.如權利要求4所述的審計方法，其特征在于：所述步驟25)中生成的被訪問終端的共享文件操作審計記錄，包含有操作的共享文件名、路徑、操作類型、來訪終端IP-MAC對、本機IP-MAC對。