一種使用過濾驅(qū)動(dòng)實(shí)現(xiàn)單硬盤雙操作系統(tǒng)分區(qū)隔離的方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種使用文件系統(tǒng)過濾驅(qū)動(dòng)實(shí)現(xiàn)單硬盤雙操作系統(tǒng)分區(qū)隔離的方法。為了兩個(gè)分區(qū)間的數(shù)據(jù)的獨(dú)立性，使用過濾驅(qū)動(dòng)在文件系統(tǒng)層對(duì)兩個(gè)操作系統(tǒng)的分區(qū)進(jìn)行隔離。
【背景技術(shù)】
[0002]目前用戶終端設(shè)備應(yīng)用廣泛，如用戶上網(wǎng)瀏覽，日常辦公，一般都安裝windows操作系統(tǒng)，這些操作系統(tǒng)支持用戶自行安裝和卸載任何軟件，給系統(tǒng)的安全帶來了很大的隱患，容易遭受隱藏在自行安裝軟件中的病毒或木馬等攻擊，辦公系統(tǒng)屬于單位的業(yè)務(wù)系統(tǒng)，涉及的數(shù)據(jù)是單位敏感數(shù)據(jù)，數(shù)據(jù)的泄露會(huì)帶來安全威脅。怎樣讓用戶在自己使用的終端設(shè)備上可以隨意地安裝軟件，又可以確保用戶在使用辦公系統(tǒng)時(shí)的安全是一個(gè)亟待解決的冋題。
[0003]公開號(hào)為CN 2869997Y的中國專利公開了一種采用硬盤隔離卡對(duì)單硬盤的分區(qū)進(jìn)行隔離的方法。硬盤分區(qū)隔離卡對(duì)硬盤指令進(jìn)行譯碼，判斷出計(jì)算機(jī)要對(duì)硬盤進(jìn)行何種操作，放過當(dāng)前允許的指令，阻止當(dāng)前不允許的指令。該方法雖然能夠?qū)崿F(xiàn)雙操作系統(tǒng)之間的隔離問題，但是采用硬件的方式實(shí)施極其不方便，需要對(duì)終端進(jìn)行改造，而且成本很高，不容易普及。
[0004]本方法只需要在目前的終端設(shè)備硬盤上安裝兩個(gè)windows操作系統(tǒng)，其中一個(gè)操作系統(tǒng)定義為工作區(qū)，該系統(tǒng)中的網(wǎng)絡(luò)資源和軟件資源受到后端白名單機(jī)制的控制，用戶的文件都執(zhí)行加密后放在硬盤上，另一個(gè)操作系統(tǒng)定義為用戶區(qū)，用戶可以自由的上網(wǎng)和使用軟件。在兩個(gè)系統(tǒng)中分別安裝一個(gè)過濾驅(qū)動(dòng)，使得工作區(qū)不能訪問自由區(qū)的數(shù)據(jù)，以防病毒文件趁虛而入，自由區(qū)也同樣不能訪問工作區(qū)的數(shù)據(jù)，以防工作數(shù)據(jù)被惡意竊取。
[0005]本方法與現(xiàn)有的采用硬件隔離的方式相比，大大節(jié)約了隔離的成本，并降低了技術(shù)的復(fù)雜度，適合在企事業(yè)單位中進(jìn)行大規(guī)模部署，便于使用和維護(hù)，在移動(dòng)辦公領(lǐng)域有著良好的應(yīng)用。

【發(fā)明內(nèi)容】

[0006]本發(fā)明的目的是提供一種通過過濾驅(qū)動(dòng)實(shí)現(xiàn)終端設(shè)備單硬盤雙操作系統(tǒng)的分區(qū)隔離的方法。其特征在于，這是一種在用戶終端設(shè)備中能確保用戶在使用辦公系統(tǒng)時(shí)防止病毒入侵的安全防護(hù)方法，依次含有以下步驟:
[0007]步驟(I)對(duì)所述用戶終端設(shè)備內(nèi)的一個(gè)硬盤按以下步驟初始化:
[0008]步驟(1.1)把一個(gè)所述的硬盤分為四個(gè)順次連接的分區(qū)，表示為:第一分區(qū)(C)，第二分區(qū)(D)，作為工作區(qū)數(shù)據(jù)分區(qū)的第三分區(qū)(E)和作為自由區(qū)數(shù)據(jù)分區(qū)的第四分區(qū)(F)，其中，
[0009]所述的第一分區(qū)(C)和第三分區(qū)(E)定義為工作區(qū)，是指存有企業(yè)和個(gè)人敏感數(shù)據(jù)的分區(qū)，
[0010]所述的第二分區(qū)⑶和第四分區(qū)(F)，是指供用戶自由使用的自由區(qū)，
[0011]步驟(1.2)在作為工作區(qū)的所述第一分區(qū)(C)內(nèi)安裝一個(gè)工作區(qū)操作系統(tǒng)，在作為用戶區(qū)的所述第二分區(qū)(D)內(nèi)安裝一個(gè)自由區(qū)操作系統(tǒng)，
[0012]步驟(1.3)在所述的第一分區(qū)(C)內(nèi)加載一個(gè)工作區(qū)文件系統(tǒng)微過濾驅(qū)動(dòng)Minifilter模塊，通過此模塊將需要過濾的自由區(qū)I/O的操作，包括基于中斷過濾IRP的I/O請(qǐng)求、I/O操作的Fast I/O協(xié)議以及文件系統(tǒng)過濾回調(diào)操作注冊(cè)到所述的工作區(qū)文件系統(tǒng)過濾管理器FltMgr中，
[0013]步驟(1.4)在作為自由區(qū)的第二分區(qū)(D)內(nèi)加載一個(gè)自由區(qū)文件系統(tǒng)微過濾驅(qū)動(dòng)Minifilter模塊，通過此模塊將需要過濾的工作區(qū)I/O的操作，包括基于中斷過濾IRP的I/O請(qǐng)求、I/O操作的Fast I/O協(xié)議以及文件系統(tǒng)過濾回調(diào)操作注冊(cè)到所述的自由區(qū)文件系統(tǒng)過濾管理器FltMgr中；
[0014]步驟(2)按以下步驟執(zhí)行所述工作區(qū)的隔離操作:
[0015]步驟(2.1)開機(jī)讀取I/O請(qǐng)求，
[0016]步驟(2.2)啟動(dòng)I/O請(qǐng)求過濾，
[0017]步驟(2.3)判斷所述I/O請(qǐng)求中的請(qǐng)求分區(qū)是否為所述的第二分區(qū)⑶或第四分區(qū)(F):
[0018]若是，則阻斷I/O請(qǐng)求和I/O操作，執(zhí)行步驟(2.4)，
[0019]若不是，則放行所述I/O請(qǐng)求和I/O操作，執(zhí)行步驟(2.4)，
[0020]步驟(2.4)返回步驟(2.2)；
[0021]步驟(3)按以下步驟執(zhí)行所述自由區(qū)的隔離操作:
[0022]步驟(3.1)開機(jī)讀取I/O請(qǐng)求，
[0023]步驟(3.2)啟動(dòng)I/O請(qǐng)求過濾，
[0024]步驟(3.3)判斷所述I/O請(qǐng)求中的請(qǐng)求分區(qū)是否為所述的第一分區(qū)(C)或第三分區(qū)(E):
[0025]若是，則阻斷I/O請(qǐng)求和I/O操作，執(zhí)行步驟(3.4)，
[0026]若不是，則放行所述I/O請(qǐng)求和I/O操作，執(zhí)行步驟(3.4)，
[0027]步驟(3.4)返回步驟(3.2)。
[0028]本發(fā)明有以下幾個(gè)優(yōu)點(diǎn):不需要額外的硬件設(shè)備，使得成本大大降低；實(shí)施過程中不需要硬件廠商的技術(shù)支持，簡單易用；容易維護(hù)。
【附圖說明】
[0029]圖1硬盤分區(qū)結(jié)構(gòu)圖。
[0030]圖2工作區(qū)隔離流程圖。
[0031]圖3自由區(qū)隔離流程圖。
[0032]圖4本發(fā)明的流程框圖。
【具體實(shí)施方式】
[0033]Windows的fltMgr.sys提供了一個(gè)I/O過濾框架，它允許一種被稱為文件系統(tǒng)微過濾驅(qū)動(dòng)(MiniFilter)的驅(qū)動(dòng)被加載到系統(tǒng)中，并向FltMgr注冊(cè)它要過濾的I/O操作。FltMgr是文件系統(tǒng)過濾管理器，它提供了一個(gè)管理框架，以方便開發(fā)人員編寫文件驅(qū)動(dòng)過濾程序。可過濾的I/O操作包括:基于IRP的I/O請(qǐng)求，F(xiàn)ast I/O協(xié)議，以及文件系統(tǒng)過濾回調(diào)操作。
[0034]在本發(fā)明中，Minifilter驅(qū)動(dòng)加載時(shí)會(huì)讀取要隔離的分區(qū)，并在InstanceSetupCalIback例程中將Minifilter驅(qū)動(dòng)掛載到需要隔離的分區(qū)上，并為通過該分區(qū)的I/O請(qǐng)求注冊(cè)一個(gè)pre-oper callback例程，在該例程中，將所有的操作進(jìn)行阻斷并返回。當(dāng)進(jìn)行I/O過濾時(shí)，InstanceSetupCallback例程中會(huì)判斷分區(qū)是否是需要隔離的分區(qū)，然后將MiniFilter驅(qū)動(dòng)掛載到該分區(qū)上，后續(xù)的I/O請(qǐng)求均會(huì)進(jìn)入Minifilter為其注冊(cè)的pre-oper callback例程，而進(jìn)入該例程的I/O請(qǐng)求都會(huì)被阻斷從而實(shí)現(xiàn)了單硬盤中兩個(gè)操作系統(tǒng)之間不能互相訪問數(shù)據(jù)的目地。
[0035]為使本發(fā)明的上述目的、特征和優(yōu)點(diǎn)能更加明顯易懂，下面將結(jié)合本發(fā)明的附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行完整、詳細(xì)的描述。以下描述的實(shí)施例只是本發(fā)明的部分實(shí)施例，并不是全部的實(shí)施例?；诒景l(fā)明的實(shí)施例，本領(lǐng)域中的普通技術(shù)人員在沒有做出創(chuàng)造性勞動(dòng)的前提下獲得的所有其他實(shí)施例，均在本發(fā)明的保護(hù)范圍中。
[0036]步驟I將一臺(tái)終端的一個(gè)硬盤分為C、D、E、F四個(gè)連續(xù)的分區(qū)，如圖1所示。將C、E定義為工作區(qū)，工作區(qū)是指用戶的辦公區(qū)，該區(qū)內(nèi)有企業(yè)和個(gè)人的敏感數(shù)據(jù)，在C分區(qū)安裝工作區(qū)操作系統(tǒng)；
[0037]將D、F定義為用戶區(qū)，用戶區(qū)是指用戶的自由使用區(qū)，該區(qū)內(nèi)用戶可以不受限制的訪問網(wǎng)絡(luò)資源和使用軟件，在D分區(qū)安裝自由區(qū)操作系統(tǒng)。
[0038]步驟2進(jìn)入工作區(qū)操作系統(tǒng)，將D、F兩個(gè)自由區(qū)的分區(qū)寫入到注冊(cè)表。
[0039]步驟3在工作區(qū)安裝文件系統(tǒng)過濾驅(qū)動(dòng)，過濾驅(qū)動(dòng)會(huì)讀取需要隔離的自由區(qū)分區(qū)D、F，當(dāng)有I/O請(qǐng)求是讀寫D、F分區(qū)時(shí)，將其阻斷，具體流程如圖2所示。
[0040]步驟4進(jìn)入自由區(qū)操作系統(tǒng)，將C、E兩個(gè)工作區(qū)的分區(qū)寫入到注冊(cè)表。
[0041]步驟5在自由區(qū)安裝文件系統(tǒng)過濾驅(qū)動(dòng)，過濾驅(qū)動(dòng)會(huì)讀取需要隔離的工作區(qū)分區(qū)C、E，當(dāng)有I/O請(qǐng)求是讀寫C、E分區(qū)時(shí)，將其阻斷，具體流程如圖3所示。
【主權(quán)項(xiàng)】
1.一種使用過濾驅(qū)動(dòng)實(shí)現(xiàn)單硬盤雙操作系統(tǒng)分區(qū)隔離的方法，其特征在于，這是一種在用戶終端設(shè)備中能確保用戶在使用辦公系統(tǒng)時(shí)防止病毒入侵的安全防護(hù)方法，依次含有以下步驟: 步驟(I)對(duì)所述用戶終端設(shè)備內(nèi)的一個(gè)硬盤按以下步驟初始化: 步驟(1.1)把一個(gè)所述的硬盤分為四個(gè)順次連接的分區(qū)，表示為:第一分區(qū)(C)，第二分區(qū)(D)，作為工作區(qū)數(shù)據(jù)分區(qū)的第三分區(qū)(E)和作為自由區(qū)數(shù)據(jù)分區(qū)的第四分區(qū)(F)，其中， 所述的第一分區(qū)(C)和第三分區(qū)(E)定義為工作區(qū)，是指存有企 業(yè)和個(gè)人敏感數(shù)據(jù)的分區(qū)，所述的第二分區(qū)(D)和第四分區(qū)(F)， 是指供用戶自由使用的自由區(qū)， 步驟(1.2)在作為工作區(qū)的所述第一分區(qū)(C)內(nèi)安裝一個(gè)工作區(qū)操作系統(tǒng)，在作為用戶區(qū)的所述第二分區(qū)(D)內(nèi)安裝一個(gè)自由區(qū)操作系統(tǒng)， 步驟(1.3)在所述的第一分區(qū)(C)內(nèi)加載一個(gè)工作區(qū)文件系統(tǒng)微過濾驅(qū)動(dòng)Minifilter模塊，通過此模塊將需要過濾的自由區(qū)I/O的操作，包括基于中斷過濾IRP的I/O請(qǐng)求、I/O操作的Fast I/O協(xié)議以及文件系統(tǒng)過濾回調(diào)操作注冊(cè)到所述的工作區(qū)文件系統(tǒng)過濾管理器 FltMgr 中， 步驟(1.4)在作為自由區(qū)的第二分區(qū)(D)內(nèi)加載一個(gè)自由區(qū)文件系統(tǒng)微過濾驅(qū)動(dòng)Minifilter模塊，通過此模塊將需要過濾的工作區(qū)I/O的操作，包括基于中斷過濾IRP的I/O請(qǐng)求、I/O操作的Fast I/O協(xié)議以及文件系統(tǒng)過濾回調(diào)操作注冊(cè)到所述的自由區(qū)文件系統(tǒng)過濾管理器FltMgr中； 步驟(2)按以下步驟執(zhí)行所述工作區(qū)的隔離操作: 步驟(2.1)開機(jī)讀取I/O請(qǐng)求， 步驟(2.2)啟動(dòng)I/O請(qǐng)求過濾， 步驟(2.3)判斷所述I/O請(qǐng)求中的請(qǐng)求分區(qū)是否為所述的第二分區(qū)(D)或第四分區(qū)(F): 若是，則阻斷I/O請(qǐng)求和I/O操作，執(zhí)行步驟(2.4)， 若不是，則放行所述I/O請(qǐng)求和I/O操作，執(zhí)行步驟(2.4)， 步驟(2.4)返回步驟(2.2); 步驟(3)按以下步驟執(zhí)行所述自由區(qū)的隔離操作: 步驟(3.1)開機(jī)讀取I/O請(qǐng)求， 步驟(3.2)啟動(dòng)I/O請(qǐng)求過濾， 步驟(3.3)判斷所述I/O請(qǐng)求中的請(qǐng)求分區(qū)是否為所述的第一分區(qū)(C)或第三分區(qū)(E): 若是，則阻斷I/O請(qǐng)求和I/O操作，執(zhí)行步驟(3.4)， 若不是，則放行所述I/O請(qǐng)求和I/O操作，執(zhí)行步驟(3.4)， 步驟(3.4)返回步驟(3.2) ο
【專利摘要】一種使用過濾驅(qū)動(dòng)實(shí)現(xiàn)單硬盤雙操作系統(tǒng)分區(qū)隔離的方法屬于用戶終端設(shè)備辦公數(shù)據(jù)安全保護(hù)技術(shù)領(lǐng)域，其特征在于把用戶終端設(shè)備中的一個(gè)硬盤順次分為用戶工作區(qū)操作系統(tǒng)分區(qū)、用戶自由區(qū)操作系統(tǒng)分區(qū)、用戶工作區(qū)數(shù)據(jù)分區(qū)和用戶自由區(qū)數(shù)據(jù)分區(qū)，在用戶工作區(qū)操作系統(tǒng)分區(qū)和用戶自由區(qū)操作系統(tǒng)分區(qū)內(nèi)分別安裝兩個(gè)不同的對(duì)應(yīng)于各自的文件系統(tǒng)的微過濾驅(qū)動(dòng)Minifilter模塊，將各自要過濾的分區(qū)地址及對(duì)應(yīng)的I/O操作注冊(cè)到各自的文件系統(tǒng)過濾驅(qū)動(dòng)管理器FltMgr，用于過濾非本分區(qū)的I/O請(qǐng)求，阻斷對(duì)應(yīng)的I/O操作。與采用硬盤隔離卡對(duì)單硬盤的分區(qū)進(jìn)行隔離的方法相比，本發(fā)明有無需對(duì)用戶終端設(shè)備進(jìn)行改造、易于普及的優(yōu)點(diǎn)。
【IPC分類】G06F21-53
【公開號(hào)】CN104573505
【申請(qǐng)?zhí)枴緾N201410850432
【發(fā)明人】張建標(biāo), 李振, 閻林, 公備, 林莉
【申請(qǐng)人】北京工業(yè)大學(xué)
【公開日】2015年4月29日
【申請(qǐng)日】2014年12月30日