CN102693388B - 数据安全防护处理***及方法及存储介质 - Google Patents

Abstract

本发明公开了一种数据安全防护处理***和方法及存储介质，包括业务模块、统一缓存模块、查询接口和添加接口。所述统一缓存模块用于缓存进程对应的文件标识及其对应的安全防护属性信息；所述业务模块在某进程触发本业务模块的监测点后，调用所述查询接口从所述统一缓存模块中查询该进程对应文件的文件标识和/或安全防护属性信息，之后进行具体的数据安全防护处理；如果没有查询到所述文件标识和/或对应的安全防护属性信息，则确定该进程对应的文件标识和安全防护属性信息，并调用所述添加接口将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。利用本发明，可以以降低数据安全防护处理***的整体性能开销，提高各业务安全防护处理的一致性。

Description

数据安全防护处理***及方法及存储介质

技术领域

本发明涉及数据处理设备的数据安全防护技术领域，尤其涉及一种数据安全防护处理***及方法及存储介质。 

背景技术

目前，随着数据处理设备（如计算机、智能手机、平板电脑等具有数据处理能力的设备）的安全问题越来越严峻，业界出现了用于保护数据处理设备中硬件/软件/数据的数据安全防护处理***。这些数据安全防护处理***往往以软件的方式安装并运行在数据处理设备上，以避免数据处理设备的硬件/软件/数据不因偶然的或恶意的原因而遭到破坏、更改、显露。 

目前业界常用的数据安全防护处理***中，往往集成有两种以上业务模块，每种业务模块用于执行相应的业务处理逻辑，实现有针对性的安全防护功能。例如，目前一个安全防护***中通常集成有实时防护业务模块、木马扫描业务模块、文件监控业务模块、下载保护业务模块等。目前，所述各个业务模块在进程业务逻辑处理时都用到了进程文件特征值缓存技术。 

所谓进程文件特征值缓存技术是指：在某一个程序的进程启动的时候，读取该进程所对应的磁盘文件内容，进行文件特征值计算，并且把计算得到的文件特征值保存到内存的缓存结构中。同时，也会把该进程的文件特征值上传到后台的服务器进行查询，获取该文件的安全防护属性信息，在收到服务器应答的结果后，把安全防护属性信息也保存到缓存结构中，并与对应的文件特征值绑定。所述安全防护属性信息主要包含了该文件是否安全的信息，或进一步包括对应的安全处理策略信息等。所述文件是否安全的信息例如可以是黑白灰属性信息：通常“黑”代表该文件是危险的（通常为病毒等文件）， 对应的安全处理策略通常是阻止运行、立即清除等处理；“白”表示该文件是安全的，对应的安全处理策略通常是允许运行等处理；“灰”表示该文件是否安全未知，对应的安全处理策略通常是上报告警等处理。当然所述的安全处理策略可以根据业务需要进行调整，并不是固定不变的。在内存中缓存了所述进程的文件特征值和对应的安全防护属性信息之后，当该进程触发了数据安全防护处理***中某个业务模块的监测点时，该业务模块就读取该进程所对应的磁盘文件内容，进行文件特征值计算，根据计算得到的文件特征值到缓存中去查询这个文件的安全防护属性信息，并根据查询结果做出相应的判断与处理，例如查询出该文件的黑白灰属性信息为“黑”，则会根据安全处理策略阻止运行该进程。 

例如，图1为现有的一种数据安全防护处理***中的实时防护业务模块利用进程文件特征值缓存技术进行防护处理的流程图。参见图1，该流程包括： 

步骤101、某一进程触发了所述实时防护业务模块的监测点。 

所述监测点是指该业务模块对程序进程的动作监测对象。例如对于实时防护业务模块，所述监测点可以为：监测程序进程向注册表中添加注册项的动作，如果某个进程向注册表中添加了注册项则触发了该实时防护业务模块的监测点，实时防护业务模块就会对该进程进行实时防护业务处理。再例如对于下载保护业务模块，所述监测点可以为：监测是否有文件下载完成，如果是则触发了该下载保护业务模块的监测点，下载保护业务模块对该进程进行下载保护处理。 

步骤102、读取该进程所对应的磁盘文件内容，根据该文件内容计算该文件的文件特征值。 

在得到文件特征值之后，一般会先判断本地内存缓存中是否保存有该文件特征值对应的安全防护属性信息。图1所述的例子中为了提高缓存查询的效率，划分了三个缓存结构，分别为实时防护整体缓存、本地文件黑白缓存、和云策略缓存，分别对应下述步骤103~步骤105。所述实时防护整体缓存中 用于缓存文件特征值及其对应的用户提示结果；所述本地文件黑白缓存用于缓存文件特征值及其对应的黑白属性信息，当然也可以包括黑白灰属性信息；所述云策略缓存用于缓存文件特征值及其对应的云端的安全处理策略信息。当然，所述三个缓存结构中的内容也可以用一个缓存结构来缓存，即用一个缓存结构来缓存文件描述值及其对应的用户提示结果、黑白属性信息、和云端安全处理策略信息等安全防护属性信息，只是在处理时效率差些。图1中所述三个缓存判断具体包括： 

步骤103、利用所述文件特征值查询所述实时防护整体缓存，如果在该缓存中查询到有该文件特征值的记录，则读取出其对应的用户提示结果信息，跳到步骤108通知底层驱动模块根据缓存查询结果进行对应的实时防护业务处理，否则执行下一步。 

步骤104、利用所述文件特征值查询所述黑白缓存，如果在该缓存中查询到有该文件特征值的记录，则读取出其对应的黑白属性信息，跳到步骤108通知底层驱动模块根据缓存查询结果进行对应的实时防护业务处理，否则执行下一步。 

步骤105、利用所述文件特征值查询所述云策略缓存，如果在该缓存中查询到有该文件特征值的记录，则读取出其对应的云端安全处理策略信息，跳到步骤108通知底层驱动模块根据缓存查询结果进行对应的实时防护业务处理，否则执行下一步。 

步骤106、将所述文件特征值上传到云端的服务器以查询在云端的该文件特征值对应的安全防护属性信息，此处该安全防护属性信息包括用户提示结果、黑白属性信息以及云端安全处理策略信息，在收到服务器返回的查询结果之后，将查询到的安全防护属性信息存储在本地缓存中并与所述文件特征值绑定。例如图1中的虚线箭头所示，将用户提示结果存储在所述实时防护整体缓存中，将黑白属性信息存储在所述本地文件黑白缓存中，将云端安全处理策略信息存储在所述云策略缓存中。 

步骤107、如果查询到用户提示结果的话，则显示所述用户提示结果。 

步骤108、通知底层驱动模块根据缓存查询结果或云查询结果进行对应的实时防护业务处理。所述实时防护业务处理例如可以包括网页防火墙实时保护、U盘防火墙实时保护、摄像头实时保护等等。 

一般来讲，当一个进程第一次触发实时防护业务模块的监测点后，由于缓存中没有该进程对应文件的文件特征值的记录，因此需要执行步骤106查询出文件特征值对应的安全防护属性信息并保存在缓存中。如果以后该进程再次触发了实时防护业务模块的监测点，则会计算该进程对应文件的文件特征值，根据该文件特征值从本地缓存中查询对应的安全防护属性信息，例如图1所述实例会依次进行实时防护整体缓存、本地文件黑白缓存、云策略缓存的查询，查询的条件是该进程对应的文件特征值，只要有一个缓存命中，则直接通知底层的驱动模块根据缓存来进行相应的处理。 

现有技术的缺陷是： 

各个业务模块采用相互独立的缓存处理机制，每个业务模块都在内存中建立自己专有的缓存空间。比如木马查杀业务模块有自己的文件特征值（比如MD5散列值）以及对应黑白属性的缓存机制，实时防护业务模块也有自己的维护进程文件的文件特征值以及对应黑白属性的缓存机制。对于集成有两种以上业务模块的数据安全防护处理***，如果同一进程触发了不同的业务模块的监测点，则这种各业务模块相互之间独立的缓存机制会导致会多次重复计算与获取同一进程对应文件的文件特征值信息以及向云端服务器查询同一文件对应的安全防护属性信息的操作，即多次重复的文件***输入输出（IO）操作、多次重复的CPU计算及对内存占用、多次重复的网络查询等，使得数据安全防护处理***的整体性能开销很大。 

另外，现有技术中由于各业务模块缓存机制中的更新策略会有不同，会导致集成有两种以上业务模块的数据安全防护处理***对同一文件的安全防护属性信息（例如黑白属性）判断出现不相匹配的现象，这样各业务模块在处理同一个进程文件时的表现不一，相互矛盾，导致各业务安全防护处理的一致性较差。 

发明内容

有鉴于此，本发明的主要目的在于提供一种数据安全防护处理***及方法及存储介质，以降低数据安全防护处理***的整体性能开销，提高各业务安全防护处理的一致性。 

本发明的技术方案是这样实现的： 

一种数据安全防护处理***，包括业务模块、统一缓存模块、查询接口和添加接口，其中： 

所述统一缓存模块用于缓存进程对应的数据记录，所述数据记录包括进程对应文件的文件标识及其对应的安全防护属性信息； 

所述统一缓存模块中缓存的文件标识对应的安全防护属性信息包括该文件是否安全的信息，或进一步包括该文件对应的安全处理策略信息和/或本条安全防护属性信息的有效时间； 

所述查询接口用于从所述统一缓存模块中查询文件标识和/或对应的安全防护属性信息； 

所述添加接口用于向所述统一缓存模块中添加文件标识及其对应的安全防护属性信息； 

所述业务模块用于：在某进程触发本业务模块的监测点后，调用所述查询接口从所述统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，之后进行具体的数据安全防护处理；如果没有查询到该进程对应文件的文件标识和/或对应的安全防护属性信息，则确定该进程对应的文件标识和安全防护属性信息，并调用所述添加接口，将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。 

一种数据安全防护处理***中的数据安全防护处理方法，包括： 

设置独立于所述数据安全防护处理***的业务模块的统一缓存模块，该统一缓存模块用于缓存进程对应的数据记录，所述数据记录包括进程对应文件的文件标识及其对应的安全防护属性信息； 

所述统一缓存模块中缓存的文件标识对应的安全防护属性信息包括该文件是否安全的信息，或进一步包括该文件对应的安全处理策略信息和/或本条安全 防护属性信息的有效时间； 

在某进程触发某业务模块的监测点后，从所述统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，进行具体的数据安全防护处理；如果没有查询到该进程对应文件的文件标识和/或对应的安全防护属性信息，则确定该进程对应的文件标识和安全防护属性信息，将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。 

与现有技术相比，本发明的方案采用独立于所述数据安全防护处理***的业务模块的统一缓存模块，在进程触发了业务模块的监测点后，由该业务模块从该统一的缓存模块中查询该进程对应文件的文件标识和/或安全防护属性信息，如果没有查询到，则确定该进程对应的文件标识和安全防护属性信息（在该过程中，需要进行IO操作、CPU计算及内存占用以及网络查询），将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。通过这种处理方案，对于同一进程触发了不同的业务模块监测点的场景，只需要执行一遍IO操作、CPU计算及内存占用以及网络查询，即确定该进程对应的文件标识和安全防护属性信息的操作，之后如果同一进程再次触发了其它业务模块的监测点，则不必重复进行相应的IO操作、CPU计算及内存占用以及网络查询，只需要从所述统一缓存模块中查询该进程对应文件的文件标识和/或安全防护属性信息即可。因此，本发明的方案减少了文件***IO的重复冗余操作，减少了CPU的重复计算冗余及对内存的重复占用，以及减少了重复冗余的网络查询等，进而降低了数据安全防护处理***的整体性能开销。 

另外，本发明各业务模块采用统一的缓存模块，其中为各个业务模块缓存了统一的进程文件标识及其安全防护属性信息，可以保证各业务模块对于同一文件的安全防护属性（如黑白灰属性）的判断是惟一的，避免不同业务模块的缓存机制更新策略不同导致的安全防护处理不一致的问题，提高了各业务安全防护处理的一致性。 

附图说明

图1为现有的一种数据安全防护处理***中的实时防护业务模块利用进程文件特征值缓存技术进行防护处理的流程图； 

图2为本发明数据安全防护处理***的一种实施例的组成示意图； 

图3为本发明数据安全防护处理***的又一种实施例的组成示意图； 

图4为本发明所述数据安全防护处理方法在触发监测点后的一种处理流程图。 

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。 

图2为本发明数据安全防护处理***的一种实施例的组成示意图；参见图2，该数据安全防护处理***包括：业务模块、统一缓存模块201、查询接口202和添加接口203，其中： 

所述统一缓存模块201用于缓存进程对应的数据记录，所述数据记录具体可以是一种文件记录，该文件记录包括进程对应文件的文件标识及其对应的安全防护属性信息。 

所述查询接口202用于从所述统一缓存模块201中查询文件标识和/或对应的安全防护属性信息；其输入值为文件标识（如文件全路径信息或文件特征值），输出值为文件标识（如文件特征值）和/或对应的安全防护属性信息。 

所述添加接口203用于向所述统一缓存模块201中添加文件标识及其对应的安全防护属性信息；其输入值为文件标识和安全防护属性信息，输出值为是否添加成功的结果信息。 

本发明所述数据安全防护处理***中至少包括两个业务模块，例如图2所示的实施例中包括四种业务模块，分别用于执行具体的数据安全防护处理。例如实时防护业务模块241用于网页防火墙实时保护处理、U盘防火墙实时保护处理、摄像头实时保护处理等；所述木马扫描业务模块242用于扫描数据处理设备内的木马程序；所述文件监控业务模块243用于对某指定的文件进行监控保护；所述下载保护业务模块244用于在下载完成数据文件时对该文件进行监测防护处理等。 

本发明的所述各业务模块具有一项共同的处理功能，即都可以用于：在 某进程触发本业务模块的监测点后，调用所述查询接口202从所述统一缓存模块201中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，之后进行具体的数据安全防护处理；如果没有查询到该进程对应文件的文件标识和/或对应的安全防护属性信息，则确定该进程对应的文件标识和安全防护属性信息，并调用所述添加接口203，将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块201中。 

所述监测点是指该业务模块对程序进程的动作监测对象。例如对于实时防护业务模块241，所述监测点可以为：监测程序进程向注册表中添加注册项的动作，如果某个进程向注册表中添加了注册项则触发了该实时防护业务模块的监测点，实时防护业务模块将对该进程进行实时防护业务处理。再例如对于下载保护业务模块244，所述监测点可以为：监测下载进程是否有文件下载完成，如果是则触发了该下载保护业务模块的监测点，下载保护业务模块将对该下载进程所下载的文件进行下载保护处理。 

本发明所述统一缓存模块201所缓存的文件记录可以包括多条，每一条文件记录包括该文件的文件标识及其对应的安全防护属性信息。所述安全防护属性信息主要包含了该文件是否安全的信息，或进一步包括对应的安全处理策略信息和/或本条安全防护属性信息的有效时间等。所述文件是否安全的信息例如可以是黑白灰属性信息：通常“黑”代表该文件是危险的（通常为病毒等文件），对应的安全处理策略通常是阻止运行、立即清除等处理；“白”表示该文件是安全的，对应的安全处理策略通常是允许运行等处理；“灰”表示该文件是否安全未知，对应的安全处理策略通常是上报告警等处理。当然所述的安全处理策略可以根据业务需要进行调整，并不是固定不变的。 

在一种实施例中，所述文件标识为：文件特征值；所述业务模块具体用于：在某进程触发该业务模块的监测点后，确定该进程对应文件的文件特征值，即从磁盘中找到该文件，根据文件的内容计算该文件的文件特征值，比如利用MD5算法计算出该文件的MD5散列值，即是一种文件特征值，可以 唯一地标识该文件，只要文件内容不变，则该文件特征值就不会改变，然后调用所述查询接口202从所述统一缓存模块201中查询该文件特征值对应的安全防护属性信息，然后根据查询到的安全防护属性信息对所述进程对应的文件进行相应处理，具体的处理方式与安全防护属性信息中包括的内容和策略信息相关，本发明并不限定。 

但是在初始化时，所述统一缓存模块201中没有所述进程对应文件的文件记录，这时所述业务模块不能从统一缓存模块201中查询到所述文件特征值对应的安全防护属性信息，此时需要确定对应的安全防护属性信息，具体是用所述文件特征值到云端服务器上查询该文件特征值对应的安全防护属性信息（云端服务器上通常是文件特征值与对应的安全防护属性信息绑定存储），并调用所述添加接口203，将所述文件特征值和对应的安全防护属性信息添加到所述统一缓存模块201中。 

在另一种实施例中，所述文件标识为：文件全路径信息和文件特征值。所述文件全路径信息可以是文件全路径字符串，或者可以是该文件全路径字符串的哈希值。所述业务模块具体用于：在某进程触发该业务模块的监测点后，确定该进程对应文件的文件全路径信息，具体可以从该进程内截取对应文件的文件全路径信息，然后调用所述查询接口202从所述统一缓存模块201中查询该文件全路径信息对应的文件特征值和/或对应的安全防护属性信息。然后根据查询到的安全防护属性信息对所述进程对应的文件进行相应处理，具体的处理方式与安全防护属性信息中包括的内容和策略信息相关，本发明并不限定。所述查询到的文件特征值可以在业务模块进行后续业务处理区分进程文件，例如在上报进程文件统计信息时，以该文件特征值区分不同的进程文件。 

但是在初始化时，所述统一缓存模块201中没有所述进程对应文件的文件记录，这时所述业务模块不能从统一缓存模块201中查询到所述文件全路径信息对应的文件特征值和/或对应的安全防护属性信息，此时需要确定该文件的文件特征值和对应的安全防护属性信息，具体的确定方式同上，之后调 用所述添加接口203，将所述文件全路径信息和文件特征值作为文件标识，将文件标识和对应的安全防护属性信息作为一条文件记录添加到所述统一缓存模块201中。 

如下表1所示为所述统一缓存模块所缓存的一条文件记录所包含的字段信息： 

表1 

通过上述的初始化处理，对于同一进程触发了不同的业务模块监测点的场景，只需要执行一遍IO操作、CPU计算及内存占用以及网络查询，即确定该进程对应的文件标识和安全防护属性信息的操作，之后如果同一进程再次触发了其它业务模块的监测点，则不必重复进行相应的IO操作、CPU计算及内存占用以及网络查询，只需要从所述统一缓存模块201中查询该进程对应文件的文件标识和/或安全防护属性信息即可。因此，本发明的方案减少了文件***IO的重复冗余操作，减少了CPU的重复计算冗余及对内存的重复占用，以及减少了重复冗余的网络查询等。 

另外在现有技术中，当某一进程频繁触发某一个（或一组）监控点时，就需要多次的计算其文件特征值。同样，如果多个进程触发多个监控组时，也会频繁的计算文件特征值。计算文件特征值会造成***的磁盘IO开销变大，CPU占用率变高，网络流量大等性能上的损耗，导致用户的安全防护处理***出现运行缓慢的现象，用户体验非常不好。而采用上述实施例的方案，由所述文件全路径信息作为一种文件标识来查询对应的安全防护属性信息和 /或文件特征值，不必进行多次的文件特征值的计算（只在向统一缓存模块中添加时计算一次文件特征值，之后查询时不必再次计算），而是将文件特征值计算、以及对应的云端查询操作转化为内存中缓存的读取查询操作，因此可以进一步大副减少文件特征值计算时所产生的磁盘IO以及CPU计算消耗，大副提高了***的性能，加大了***的吞吐能力。它能够有效得解决各业务独立缓存机制所带来的频繁IO开销、CPU占用率高、多次云查询所带来的网络流量开销和后台查询负荷的问题。 

图3为本发明数据安全防护处理***的又一种实施例的组成示意图；参见图3，该数据安全防护处理***除了包括图2所述的模块和接口外，还进一步包括更新接口205，用于更新所述统一缓存模块201中缓存的文件标识和/或对应的安全防护属性信息；其输入值为文件标识和/或对应的安全防护属性信息，输出值为是否更新成功的结果信息。 

所述***还至少包括以下任一模块： 

后台控制模块261，可以设置在服务器端，用于主动调用所述更新接口205，根据后台控制指令更新所述统一缓存模块201中缓存的某一条（或某几条）文件标识对应的安全防护属性信息；这一更新处理操作是由后台管理员主动发起的，用于快速及时的响应安全防护处理***的客户端的误报、漏报等情形，并且可以进一步保证各业务模块对于同一文件的黑白灰属性判断是惟一的，进一步避免不同业务的缓存机制更新策略不同导致的属性不同的问题。 

文件监控模块262，用于监测进程对应的文件是否发生更改，例如可以根据该文件的文件全路径信息监测磁盘上的文件，在该文件发生更改时，重新确定该文件对应的文件标识，例如如果文件的内容发生改变，则重新计算该文件的文件特征值，之后调用所述更新接口205更新所述统一缓存模块201中该文件的文件标识即文件特征值。这样可以保证统一缓存模块201所保存的信息始终是正确的、有效的。可以避免一些恶意木马程序在运行时修改自 身以达到躲避数据安全防护处理***查杀的目的。 

闲时扫描模块263，用于定时扫描所述统一缓存模块201中的所有文件记录，查询文件记录中的文件标识和/或其安全防护属性信息是否有更改，如果有更改则对所述统一缓存模块201中的文件标识和/或其安全防护属性信息进行相应更新；从而保证所有记录的时效性。例如每隔一周扫描一次所述统一缓存模块201中所有的文件记录，根据文件记录中的文件全路径信息去磁盘中查找到对应的文件，计算该文件的文件特征值，查看该文件特征值与统一缓存模块201中原有的文件特征值是否相同，如果不同则更新原有的文件特征值；同时利用所述文件特征值到云端服务器上查询该文件特征值对应的安全防护属性信息（云端服务器上通常是文件特征值与对应的安全防护属性信息绑定存储），再查看该安全防护属性信息与统一缓存模块201中原有的安全防护属性信息是否相同，如果不同则更新原有的安全防护属性信息。 

手动扫描模块264，用于接收用户输入的更新指令，调用所述更新接口205更新该更新指令指定的文件标识和/或对应的安全防护属性信息。例如该手动扫描模块264可以提供显示界面，用于显示所述统一缓存模块201中保存的所有文件标识及其对应的安全防护属性信息，由用户手动选定其中的全部或部分文件记录，查询选中文件记录对应文件的文件标识和/或其安全防护属性信息是否有更改，如果有更改则对所述统一缓存模块201中的文件标识和/或其安全防护属性信息进行相应更新。不同于上述的后台控制模块261和闲时扫描模块263。所述手动扫描是由用户触发，所述数据安全防护处理***被动地更新统一缓存模块201中的内容。 

另外，本发明的***还可以包括一删除接口207，用于根据输入的文件标识，从所述统一缓存模块201中删除该文件标识对应的文件记录。通常该删除接口207供本发明所述***中的所述任何一种模块调用，只要输入所要删除文件的文件标识（如文件全路径信息），则删除该文件标识对应的文件记录，该接口返回的结果是删除是否成功的信息。例如所述文件监控模块262在监测到某一文件全路径下的文件消失了，则调用所述删除接口207，向删 除接口207输入该文件全路径信息，该删除接口207从所述统一缓存模块201中删除该文件全路径信息对应的文件记录，从而避免无用信息浪费统一缓存模块201的缓存空间。 

当然，上述查询接口202、添加接口203、更新接口205、删除接口207的被调用关系并不限定于图1和图2所示的被调用关系，这些接口可以开放给所述安全防护处理***中的任何一个模块调用，只要该模块有相关的需求，就可以调用对应的接口，只要输入该接口规定输入的值即可，例如所述后台控制模块261也可以调用添加接口203，向添加接口203输入文件标识和安全防护属性信息，则添加接口203会向所述统一缓存模块201中添加一条文件记录，包括所输入的文件标识和安全防护属性信息。 

本发明还公开了一种数据安全防护处理***中的数据安全防护处理方法，该方法包括： 

设置独立于所述数据安全防护处理***的业务模块的统一缓存模块。该统一缓存模块用于缓存进程对应的数据记录，所述数据记录具体可以是一种文件记录，所述文件记录包括该文件的文件标识及其对应的安全防护属性信息； 

如果某进程触发某业务模块的监测点，则参见图4，具体包括： 

步骤401、某进程触发某业务模块的监测点。 

步骤402、该业务模块从所述统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息。 

步骤403~404、是否查询到所述文件标识和/或对应的安全防护属性信息，如果是则进行具体的数据安全防护处理，否则执行步骤405。 

步骤405、确定该进程对应的文件标识和安全防护属性信息，将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。 

在一种实施例中，所述统一缓存模块中缓存的文件标识为：文件特征值； 在某进程触发某业务模块的监测点后，所述从统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息的具体方式为：确定该进程对应文件的文件特征值，即从磁盘中找到该文件，根据文件的内容计算该文件的文件特征值，比如利用MD5算法计算出该文件的MD5散列值，然后从所述统一缓存模块中查询该文件特征值对应的安全防护属性信息，然后根据查询到的安全防护属性信息对所述进程对应的文件进行相应处理，具体的处理方式与安全防护属性信息中包括的内容和策略信息相关，本发明并不限定。 

但是在初始化时，所述统一缓存模块中没有所述进程对应文件的文件记录，这时所述业务模块不能从统一缓存模块中查询到所述文件特征值对应的安全防护属性信息，此时需要确定对应的安全防护属性信息，具体是用所述文件特征值到云端服务器上查询该文件特征值对应的安全防护属性信息，并将所述文件特征值和对应的安全防护属性信息添加到所述统一缓存模块中。 

在一种实施例中，所述统一缓存模块中缓存的文件标识为：文件全路径信息和文件特征值；所述文件全路径信息为：文件全路径字符串、或者该文件全路径字符串的哈希值。并且，在某进程触发某业务模块的监测点后，所述从统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息的具体方法为：确定该进程对应文件的文件全路径信息，从所述统一缓存模块中查询该文件全路径信息对应的文件特征值和/或对应的安全防护属性信息，然后根据查询到的安全防护属性信息对所述进程对应的文件进行相应处理，具体的处理方式与安全防护属性信息中包括的内容和策略信息相关，本发明并不限定。所述查询到的文件特征值可以在业务模块进行后续业务处理区分进程文件，例如在上报进程文件统计信息时，以该文件特征值区分不同的进程文件。 

在初始化时，所述统一缓存模块中没有所述进程对应文件的文件记录，这时所述业务模块不能从统一缓存模块中查询到所述文件全路径信息对应的文件特征值和/或对应的安全防护属性信息，此时需要确定该文件的文件特征值和对应的安全防护属性信息，具体的确定方式同上，之后调用所述添加接 口203，将所述文件全路径信息和文件特征值作为文件标识，将文件标识和对应的安全防护属性信息作为一条文件记录添加到所述统一缓存模块中。 

本发明所述的方法还可以进一步包括：对所述统一缓存模块中缓存的文件标识和/或对应的安全防护属性信息进行更新，具体的更新方法至少包括以下任一种： 

（a）根据后台控制指令更新所述统一缓存模块中缓存的文件标识对应的安全防护属性信息； 

（b）监测进程对应的文件是否发生更改，在文件发生更改时，更新所述统一缓存模块中该文件的文件标识； 

（c）定时扫描所述统一缓存模块中的所有文件记录，查询文件记录中的文件标识和/或其安全防护属性信息是否有更改，如果有更改则对所述统一缓存模块中的文件标识和/或其安全防护属性信息进行相应更新； 

（d）接收用户输入的更新指令，按照该更新指令中指定的文件标识和/或对应的安全防护属性信息对所述统一缓存模块中的文件标识和/或其安全防护属性信息进行相应更新。 

本发明所述的方法还可以进一步包括：当所述统一缓冲模块中文件记录对应的文件在磁盘中消失后，从所述统一缓存模块中删除对应的文件记录。例如本发明可以实时监测所述各条文件记录中所述文件全路径下的文件情况，在监测到某一文件全路径下的文件消失之后（如用户删除了该文件或者用户卸载了相关程序等），则从所述统一缓存模块中删除该文件全路径信息对应的文件记录，从而避免无用信息浪费统一缓存模块的缓存空间。 

在现有技术中，当某一进程频繁触发某一个（或一组）监控点时，就需要多次的计算其文件特征值。同样，如果多个进程触发多个监控组时，也会频繁的计算文件特征值。计算文件特征值会造成***的磁盘IO开销变大，CPU占用率变高，网络流量大等性能上的损耗，导致用户的安全防护处理系 统出现运行缓慢的现象，用户体验非常不好。 

为了克服现有技术中的上述缺陷，本发明还公开了一种数据安全防护处理方法，该方法可以应用在上述的具有独立于业务模块的统一缓存模块的安全防护处理***中，也可以应用在各个业务模块采用相互独立的缓存处理机制的安全防护处理***中。该方法包括： 

采用文件全路径信息区分本地客户端的文件，在业务模块的缓存中缓存进程对应的文件记录，所述文件记录包括该文件的文件全路径信息和该文件的文件特征值及其对应的安全防护属性信息；所述文件全路径信息为：文件全路径字符串、或者该文件全路径字符串的哈希值。 

在某进程触发某业务模块的监测点后，确定该进程对应文件的文件全路径信息，从该业务模块对应的缓存中（可以是该业务模块的独立缓存，也可以是安全防护处理***的统一缓冲模块，如上述实施例所述）中查询该进程对应文件的文件全路径信息对应的文件特征值和/或对应的安全防护属性信息，进行具体的数据安全防护处理；如果没有查询到该进程对应文件的文件特征值和/或对应的安全防护属性信息（即在初始化时），则确定该进程对应的文件特征值和安全防护属性信息，即根据文件全路径信息从磁盘中找到该文件，根据文件的内容计算该文件的文件特征值，比如利用MD5算法计算出该文件的MD5散列值，即是一种文件特征值，可以唯一地标识该文件，只要文件内容不变，则该文件特征值就不会改变，之后将确定后的文件特征值和安全防护属性信息以及所述文件全路径信息作为一条文件记录添加到该业务模块对应的所述缓存中。 

采用上述方案，由所述文件全路径信息来查询对应的安全防护属性信息和/或文件特征值，不必进行多次的文件特征值的计算（只在向业务模块对应的缓存中添加时计算一次文件特征值，之后查询时不必再次计算），而是将文件特征值计算、以及对应的云端查询操作转化为内存中缓存的读取查询操作，因此可以大副减少文件特征值计算时所产生的磁盘IO以及CPU计算消耗，大副提高了***的性能，加大了***的吞吐能力。它能够有效得解决各 业务独立缓存机制所带来的频繁IO开销、CPU占用率高、多次云查询所带来的网络流量开销和后台查询负荷的问题。 

由于本发明采用了查询缓存的方式来获取文件特征值，其计算量相比现有技术中根据文件内容计算文件特征值的计算量要大大降低，因此即使不使用现有技术所述的三层缓存技术也可以降低数据安全防护处理***的整体***开销。当然，本发明在所述统一缓存中也可以采用现有的三层缓存技术来进一步降低数据安全防护处理***的性能开销。 

本发明的每一个实施例可以通过由数据处理设备如计算机执行的程序来实现。显然，程序构成了本发明。此外，通常存储在一个存储介质中的程序通过直接将程序读取出存储介质或者通过将程序安装或复制到数据处理设备的存储设备（如硬盘和或内存）中执行。因此，这样的存储介质也构成了本发明。存储介质可以使用任何类型的记录方式，例如纸张存储介质（如纸带等）、磁存储介质（如软盘、硬盘、闪存等）、光存储介质（如CD-ROM等）、磁光存储介质（如MO等）等。 

因此本发明还公开了一种存储介质，其中存储有计算机程序，该计算机程序用于本发明上述方法的任何一种实施例。 

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。 

Claims (13)

1.一种数据安全防护处理***，其特征在于，包括业务模块、统一缓存模块、查询接口和添加接口，其中：

所述统一缓存模块用于缓存进程对应的数据记录，所述数据记录包括进程对应文件的文件标识及其对应的安全防护属性信息；

所述统一缓存模块中缓存的文件标识对应的安全防护属性信息包括该文件是否安全的信息，或进一步包括该文件对应的安全处理策略信息和/或本条安全防护属性信息的有效时间；

所述查询接口用于从所述统一缓存模块中查询文件标识和/或对应的安全防护属性信息；

所述添加接口用于向所述统一缓存模块中添加文件标识及其对应的安全防护属性信息；

所述业务模块用于：在某进程触发本业务模块的监测点后，调用所述查询接口从所述统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，之后进行具体的数据安全防护处理；如果没有查询到该进程对应文件的文件标识和/或对应的安全防护属性信息，则确定该进程对应的文件标识和安全防护属性信息，并调用所述添加接口，将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。

2.根据权利要求1所述的***，其特征在于，该***进一步包括更新接口，用于更新所述统一缓存模块中缓存的文件标识和/或对应的安全防护属性信息；

还至少包括以下任一模块：

后台控制模块，用于调用所述更新接口，根据后台控制指令更新所述统一缓存模块中缓存的文件标识对应的安全防护属性信息；

文件监控模块，用于监测进程对应的文件是否发生更改，在文件发生更改时，调用所述更新接口更新所述统一缓存模块中该文件的文件标识；

闲时扫描模块，用于定时扫描所述统一缓存模块中的所有数据记录，查询数据记录中的文件标识和/或其安全防护属性信息是否有更改，如果有更改则对所述统一缓存模块中的文件标识和/或其安全防护属性信息进行相应更新；

手动扫描模块，用于接收用户输入的更新指令，调用所述更新接口更新该更新指令指定的文件标识和/或对应的安全防护属性信息。

3.根据权利要求1所述的***，其特征在于，该***进一步包括删除接口，用于根据输入的文件标识，从所述统一缓存模块中删除该文件标识对应的数据记录。

4.根据权利要求1所述的***，其特征在于，

所述统一缓存模块中缓存的文件标识为：文件全路径信息和文件特征值；

所述业务模块具体用于：在所述进程触发该业务模块的监测点后，确定该进程对应文件的文件全路径信息，调用所述查询接口从所述统一缓存模块中查询该文件全路径信息对应的文件特征值和/或对应的安全防护属性信息。

5.根据权利要求4所述的***，其特征在于，所述文件全路径信息为：文件全路径字符串、或者该文件全路径字符串的哈希值。

6.根据权利要求1所述的***，其特征在于，

所述统一缓存模块中缓存的文件标识为：文件特征值；

所述业务模块具体用于：在所述进程触发该业务模块的监测点后，确定该进程对应文件的文件特征值，调用所述查询接口从所述统一缓存模块中查询该文件特征值对应的安全防护属性信息。

7.根据权利要求1所述的***，其特征在于，所述数据安全防护处理***中包括至少两个业务模块。

8.一种数据安全防护处理方法，其特征在于，包括：

设置独立于数据安全防护处理***的业务模块的统一缓存模块，该统一缓存模块用于缓存进程对应的数据记录，所述数据记录包括进程对应文件的文件标识及其对应的安全防护属性信息；

所述统一缓存模块中缓存的文件标识对应的安全防护属性信息包括该文件是否安全的信息，或进一步包括该文件对应的安全处理策略信息和/或本条安全防护属性信息的有效时间；

在某进程触发某业务模块的监测点后，从所述统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，进行具体的数据安全防护处理；如果没有查询到该进程对应文件的文件标识和/或对应的安全防护属性信息，则确定该进程对应的文件标识和安全防护属性信息，将确定后的文件标识和安全防护属性信息添加到所述统一缓存模块中。

9.根据权利要求8所述的方法，其特征在于，该方法进一步包括：对所述统一缓存模块中缓存的文件标识和/或对应的安全防护属性信息进行更新，具体的更新方法至少包括以下任一种：

根据后台控制指令更新所述统一缓存模块中缓存的文件标识对应的安全防护属性信息；

用于监测进程对应的文件是否发生更改，在文件发生更改时，更新所述统一缓存模块中该文件的文件标识；

定时扫描所述统一缓存模块中的所有数据记录，查询数据记录中的文件标识和/或其安全防护属性信息是否有更改，如果有更改则对所述统一缓存模块中的文件标识和/或其安全防护属性信息进行相应更新；

接收用户输入的更新指令，按照该更新指令中指定的文件标识和/或对应的安全防护属性信息对所述统一缓存模块中的文件标识和/或其安全防护属性信息进行相应更新。

10.根据权利要求8所述的方法，其特征在于，

所述统一缓存模块中缓存的文件标识为：文件全路径信息和文件特征值；

在某进程触发某业务模块的监测点后，所述从统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，具体为：确定该进程对应文件的文件全路径信息，从所述统一缓存模块中查询该文件全路径信息对应的文件特征值和/或对应的安全防护属性信息。

11.根据权利要求8所述的方法，其特征在于，

所述统一缓存模块中缓存的文件标识为：文件特征值；

在某进程触发某业务模块的监测点后，所述从统一缓存模块中查询该进程对应文件的文件标识和/或对应的安全防护属性信息，具体为：确定该进程对应文件的文件特征值，调用所述查询接口从所述统一缓存模块中查询该文件特征值对应的安全防护属性信息。

12.根据权利要求8所述的方法，其特征在于，所述确定所述进程对应的文件标识和安全防护属性信息，具体包括：在磁盘中查找所述进程对应的文件；根据该文件的内容计算文件特征值，将该文件特征值作为文件标识，或者进一步获取该文件的文件全路径信息，将该文件的文件特征值和文件全路径信息作为文件标识；根据该文件特征值向云端服务器查询得到该文件特征值对应的安全防护属性信息。

13.根据权利要求10或12所述的方法，其特征在于，所述文件全路径信息为：文件全路径字符串、或者该文件全路径字符串的哈希值。

Images