TWI607338B - 儲存裝置及其資料保護方法與資料保護系統 - Google Patents

Description

儲存裝置及其資料保護方法與資料保護系統

本發明關於電腦之資料保護技術，尤其是關於儲存裝置及其資料保護方法與資料保護系統。

隨著資訊科技發達，資訊處理及交流的迅速，帶來人們在工作、生活、學術上莫大的便利或改善。然而，電腦病毒或惡意程式在網路上或資料交流中不斷的散播及其造成惡意的資訊損失成為現代人的夢魘。

此外，電腦病毒亦會主動感染USB隨身碟、記憶卡、隨身硬體等外接型儲存裝置，只要電腦插上受病毒感染的儲存裝置後，主機本身也會跟著中毒，造成嚴重的災害。由於人們在工作、個人、或課業需求經常要在不同的電腦使用該儲存裝置，電腦病毒亦可藉此而快速傳播，造成連鎖的感染。

為此，遂有業界開發一種具有獨立防毒能力的可攜式儲存裝置，如美國專利編號US7,975,304所揭示者。該可攜式便攜式儲存裝置包括可移除的設備介面和具有唯讀分區和常規存儲分區的非動態記憶體。唯讀分區可以包含保護程式用於常規存儲分區中資料的病毒掃描。一旦可攜式便攜式儲存裝置連接到電腦，如果電腦允許其自動運行之功能(即電腦允許執行該儲存裝置上autorun.inf檔案所記載的路徑之程式)，那麼作業系統自動運行唯讀分區以啟動該保護程式。如果電腦禁用自動運行，使用 者可以手動地啟動該保護程式。該保護程式只掃描可攜式USB儲存裝置中的資料；這有利地允許獨立的、成本有效的、並且侵入最小化的可攜式便攜式儲存裝置。

然而，上述習知之具有獨立防毒能力的可攜式儲存裝置，由於需要自動運行之功能被允許才能自動執行該保護程式(即藉由autorun.inf檔案)，在目前尚在運作的作業系統如微軟視窗(Microsoft Windows)系統，如Windows Vista、Windows 7、Windows Server 2008以後的平台上的自動執行功能僅支援CD和DVD媒體。當使用者使用包含autorun.inf檔案的USB裝置、網路共享或其它非CD/DVD媒體時，系統不會執行自動執行該保護程式。即，該習知的儲存裝置在目前的作業系統下，僅能由使用者手動啟動該保護程式。而且不管該保護程式是手動或主動啟動，已常駐在電腦的病毒將即可趁機在該保護程式未被執行之前使該可攜式儲存裝置受到感染。

此外，該保護程式只掃描可攜式USB儲存裝置中的資料，當電腦受到來自網路的電腦病毒或惡意程式破壞時，亦無法及時對整個電腦系統做到保護的作用，更可能使可攜式USB儲存裝置受到感染。因此，該習知的USB儲存裝置仍具有資訊安全的漏洞，並不足以安全地保護於USB儲存裝置內的資料的安全。

此外，目前出現所謂「勒索病毒」，「勒索病毒」(Cryptolocker、CryptoWall等)又可以稱為，「綁架病毒」或「流氓病毒」，主要入侵方式像是，用聳動或吸引人的郵件標題，發送內含惡意程式碼的電子郵件，吸引大家打開，並在開啟與點擊後，自動下載並執行惡意程式。例如，惡意程式將電腦系統中的儲存裝置內的jpg、pdf、mp3、doc、txt等非系統檔案加密成.crypl檔，即便該電腦的防毒軟體也不能解決此問題。再者，勒索病毒會顯示要求付贖金的勒索訊息，並威脅使用者必 須在短時間內(像是3天)就要給付，否則銷毀金鑰，讓使用者再也無法解開檔案。此外，亦有ZCRYPT勒索病毒家族會試圖經由USB隨身碟傳染。

因此，亟需一種外接型儲存裝置之資料安全技術，從而讓使用者安全地儲存資料以免受到電腦病毒的感染及傳播病毒。

有鑑於此，本案發明之儲存裝置及其資料保護方法與資料保護系統，能有效地防止儲存裝置內的加密資料被綁架與被惡意軟體感染入侵中毒，亦能預防惡意軟體病毒散播到其它非加密的儲存裝置，也能夠對該儲存裝置和該儲存裝置連接之電子運算裝置的所有的記憶裝置(如系統記憶體等)進行例如主動/被動式監測、掃毒、解毒、以及相關之消毒動作中之至少一種。舉例而言，儲存裝置內建主動啟動之防毒與加解密引擎和動態空間分割之資料加密空間。

依據本發明之一方面，提出一種儲存裝置之資料保護方法，其包括：啟動步驟、監測步驟、檔案存取步驟。啟動步驟，其包括：當一儲存裝置連接至一電子運算裝置的資料介面時，載入該電子運算裝置的作業系統之至少一核心模組並據以啟動儲存於該儲存裝置之資料保護程式。 監測步驟，其藉由該至少一核心模組及該資料保護程式執行並包括：(a1)針對該電子運算裝置中任何被存取之檔案，監測該被存取之檔案、對應於該被存取之檔案的存取來源程序及該存取來源程序之相關程序模組/子程式以判斷是否有異常；(b1)若步驟(a1)判斷該被存取之檔案、該存取來源程序、該存取來源程序之相關程序模組/子程式中之至少一者有異常時，則禁用該有異常者；若無異常時，則放行。檔案存取步驟，其藉由該至少一核心模組及該資料保護程式執行並包括：(a2)進行身分驗證並據以判斷是否允許於該儲存裝置中存取加密檔案；(b2)當該電子運算裝置存取該加密檔 案時，藉由該監測步驟針對該加密檔案進行監測。其中該資料保護方法係基於上述步驟而對該儲存裝置和該電子運算裝置的所有記憶裝置進行：監測、掃毒、解毒之至少任一種動作。

在一實施例中，若身分驗證通過，則允許於該儲存裝置中存取加密檔案；若身分驗證沒有通過，則該作業系統將無法存取加密檔案。

在一實施例中，該資料保護方法更包括：依據該資料保護方法基於上述步驟而對該儲存裝置和該電子運算裝置的所有記憶裝置進行之：監測、掃毒、解毒之至少任一種動作以產生偵測處理結果。舉例而言，在一些實施例中，亦可對該儲存裝置(如加密檔案)及該電子運算裝置中所有的記憶裝置(如系統記憶體等內建或外接記憶裝置)進行主動或被動式監測、掃毒、解毒、以及相關之消毒動作之至少一種處理動作並產生偵測處理結果；該等結果亦可統稱為「偵防解」結果。

在一實施例中，該資料保護方法更包括：基於該偵測處理結果產生偵防解結果的記錄資料並儲存於該儲存裝置中。

在一實施例中，該資料保護方法更包括：判斷該電子運算裝置是否能夠與遠端之伺服器建立通訊連結，若是則將該偵防解結果的記錄資料傳送至該伺服器。

依據本發明之另一方面，提供一種儲存裝置，其為電腦可讀寫記錄媒體，該儲存裝置至少儲存資料保護程式，當一電子運算裝置載入該資料保護程式後，可執行如前述任一實施例所述之資料保護方法。該儲存裝置如USB隨身碟、SD記憶卡、隨身硬碟、固態硬碟、或可讀寫DVD光碟等各種可讀寫之記錄媒體。

在該儲存裝置之一實施例中，該儲存裝置包括：資料介面，其用以與電子運算裝置電性耦接；及記憶單元，其耦接於該資料介面並用以至少儲存該資料保護程式。

依據本發明之另一方面，提供一種資料保護系統，其包括：前述之任一實施例中之電子運算裝置及儲存裝置。

在該資料保護系統之一實施例中，該資料保護系統更包括：伺服器，其中該電子運算裝置用以判斷該電子運算裝置是否能夠與遠端之伺服器建立通訊連結，若是則將主動/被動式監測、掃毒、解毒、以及相關之消毒動作等偵防解結果的記錄資料傳送至該伺服器；若否，則將該主動/被動式監測、掃毒、解毒、以及相關之消毒動作等偵防解結果的記錄資料儲存於該儲存裝置。

10‧‧‧電子運算裝置

20‧‧‧儲存裝置

30‧‧‧網路

40‧‧‧伺服器

110‧‧‧處理單元

120‧‧‧輸入裝置

130‧‧‧顯示單元

140‧‧‧本機記憶裝置

150‧‧‧記憶單元

151‧‧‧作業系統

153‧‧‧核心模組

160‧‧‧資料介面

170‧‧‧通訊介面

210‧‧‧記憶單元

220‧‧‧控制單元

230‧‧‧資料介面

240‧‧‧資料保護程式

241‧‧‧防毒引擎模組

242‧‧‧輔助防毒引擎模組

243‧‧‧加解密模組

245‧‧‧檔案同步模組

247‧‧‧記錄模組

249‧‧‧資料更新模組

圖1顯示儲存裝置與電子運算裝置連接之資料保護系統之一實施例的示意方塊圖。

圖2顯示儲存裝置之一實施例的示意方塊圖。

圖3顯示資料保護方法之一實施例的示意方塊圖。

圖4顯示資料保護系統之另一實施例的示意方塊圖。

圖5顯示用於實現資料保護方法之軟體架構之一實施例的示意方塊圖。

圖6顯示用於實現資料保護方法之軟體架構之一實施例的示意方塊圖。

以下試舉儲存裝置及其資料保護方法與資料保護系統的多個實施例，從而說明本發明之不同方面的實施方式。

以下實施例所揭示之儲存裝置及其資料保護方法與資料保護系統。舉例而言，能有效地防止該儲存裝置內的加密資料被綁架與被惡意軟體感染入侵中毒，亦能預防惡意軟體病毒散播到其它非加密的記憶裝置，也能夠對該儲存裝置連接之電子運算裝置(如筆電、桌電、或智慧型裝置)的所有的記憶裝置(如系統記憶體、硬碟等)進行主動/被動式監測、掃毒、解毒、以及相關之消毒動作中任一種動作。舉例而言，儲存裝置內建主動啟動之資料保護程式(譬如防毒與加解密引擎)和動態空間分割之資料加密空間。

在一些實施例中，該儲存裝置之資料保護程式更可以與電腦所儲存的檔案進行同步，以對電腦中的資料進行安全的備份。

此外，在一些實施例中，該儲存裝置之資料保護程式更可以將檔案被存取的記錄儲存至該儲存裝置中及/或藉由該儲存裝置所連接的電腦的通訊介面而將該等記錄傳送到遠端的伺服器40，例如進一步進行資料安全的記錄及監測。

圖1顯示儲存裝置與電子運算裝置連接之資料保護系統之一實施例的示意方塊圖。如圖1所示，電子運算裝置10是指具有運算能力的電子裝置，譬如電腦，如伺服器40、刀鋒伺服器40、工業型電腦、個人電腦、筆記型電腦、平板電腦、或行動裝置如手機等，或泛指任何可執行程式之電子裝置或設備，如任何含有嵌入式系統(embedded system)的電子裝置或設備，譬如工業製造或控制用之機台。故此，舉例而言，如圖1所示，電子運算裝置10可包括：處理單元110、輸入裝置120、顯示單元130、本機記憶裝置140、記憶單元150、資料介面160。資料介面160例如是能夠連接(或存取)USB隨身碟、SD記憶卡、隨身硬碟、固態硬碟、可讀寫DVD光碟等各種可讀寫之記錄媒體之任一種的連接端。然而，本發明對於電子運算裝置的架構及元件並不作限制。

此外，儲存裝置20可以是任何可讀寫之記錄媒體，如USB隨身碟、SD記憶卡、隨身硬碟、固態硬碟、可讀寫DVD光碟等各種可讀寫之記錄媒體。舉例而言，圖2顯示儲存裝置20之一實施例的示意方塊圖。 如圖2所示，儲存裝置20包括記憶單元210、控制單元220、資料介面230，其中記憶單元210、資料介面230電性耦接於控制單元220。舉例而言，記憶單元210是非揮發性記憶體，如快閃記憶體；資料介面230是USB或記憶卡的資料介面，電性耦接於控制單元220；控制單元220用以處理從資料介面230接收的存取要求，從而對記憶單元210進行資料存取。如本實施例所示，該儲存裝置可指各種對電子運算裝置而言外接的儲存裝置，然而本發明對儲存裝置是否外接式並沒有限制，故亦可將本發明應用於內接式儲存裝置。

另外，如圖2所示，儲存裝置20的記憶單元210至少儲存了資料保護程式240。當儲存裝置20連接至電子運算裝置10的資料介面160時，電子運算裝置10之核心模組153及儲存裝置20之該資料保護程式240係被作業系統151載入，從而用以對儲存裝置20以及電子運算裝置10的所有記憶裝置(如記憶單元150、本機記憶裝置140)進行檔案存取監測或防毒掃瞄等動作。舉例而言，可實現資料保護程式240用於即時監測系統關鍵區域，如系統記憶體、啟動物件、開機磁區；此外，使用者亦可以利用資料保護程式240來手動掃瞄指定檔案或目錄等。

此外，儲存裝置20的記憶單元210更用於提供資料加密空間250，且藉由進行身分驗證(如以密碼)來保護使用者的資料，故可稱之為「加密碟」。換言之，電子運算裝置10欲寫入檔案至儲存裝置20時必須經過核心模組153及/或資料保護程式240加密；當電子運算裝置10欲讀取儲存裝置20中的加密檔案時必須經過核心模組153及/或資料保護程式240解密。加解密的方式例如是基於身分驗證的條件(如密碼、其他 驗證條件、其他憑證條件、或上述任何之組合)以RSA-2048、RSA-4096、或AES-128、AES-256等方式中之至少一種來進行加密或解密，然而，本發明實現時採用的加解密的方式並不受上述例子限制。

再者，當儲存裝置20在未登入至電子運算裝置10之作業系統151之前，對電子運算裝置10之作業系統151而言，儲存裝置20的加密空間250是隱藏式的，電腦病毒會找不到隱藏之「加密碟」，所以無法感染或綁架儲存裝置20。當儲存裝置20在登入至電子運算裝置10之作業系統151之後，核心模組153及資料保護程式240進行檔案存取監測以保護「加密碟」和電子運算裝置10。由此，通過上述核心模組153及資料保護程式240的防毒監測及「加密碟」的雙重保護功能可有效防止電腦病毒感染到「加密碟」，更可防止綁架勒贖病毒。

以下進一步揭示資料保護方法之實施例。圖3顯示資料保護方法之一實施例的示意方塊圖。如圖3所示之實施例，儲存裝置20之資料保護方法至少包括步驟S10、S20、及S30。由此在實作時，可基於該資料保護方法來實現前述核心模組153及資料保護程式240，以達成前述防毒監測及「加密碟」的雙重保護功能。

在圖3中，如步驟S10所示之啟動步驟，當儲存裝置20連接至電子運算裝置10的資料介面時，載入該電子運算裝置10的作業系統151之核心模組153並據以啟動儲存於該儲存裝置20之資料保護程式240。 在此，核心模組153譬如驅動程式、動態連結庫(DLL)、共享程式庫、以至任何關於作業系統或核心使用的程式模組。此外，對於在本文中所述的核心模組153，本領域中具有通常知識者亦可瞭解其可按照實作時的需要而實現為一個或多個核心模組；又對於本文中所述的資料保護程式240，亦是如此。

如步驟S20所示之監測步驟，其藉由至少該核心模組153及該資料保護程式240執行以對電子運算裝置10中任何被存取之檔案進行監測，對於有異常之檔案進行防毒之進一步處理。

舉例而言，步驟S20可以包括以下步驟。如圖3所示之步驟S210，針對該電子運算裝置10中任何被存取之檔案，監測該被存取之檔案、對應於該被存取之檔案的存取來源程序及該存取來源程序之相關程序模組/子程式以判斷是否有異常。如圖3所示之步驟S220，若步驟S210判斷該被存取之檔案、該存取來源程序、該存取來源程序之相關程序模組/子程式中之至少一者有異常時，則禁用該有異常者。若無異常時，則放行，如步驟S230所示，其中放行是指允許該程序或模組之執行，或其任何動作、請求、或存取等操作。舉例而言，在上述步驟中，該電子運算裝置10中任何被存取之檔案可以至少包括：程式或作業系統將要存取的檔案(或稱欲被存取的檔案)、正在被存取的檔案。

如步驟S30所示之檔案存取步驟，其藉由至少該核心模組153及該資料保護程式240執行以判斷是否允許電子運算裝置10對儲存裝置20中加密空間250的存取要求，其中會利用步驟S20來對儲存裝置20中加密空間250中被存取之的檔案進行監測。此外，存加密檔案是指將檔案加密後儲存；取加密文件即將文件解密後讀出。

舉例而言，步驟S30可以包括以下步驟。如圖3所示之步驟S310，進行身分驗證並據以判斷是否允許於該儲存裝置20中存取加密檔案。如圖3所示之步驟S320，若身分驗證通過(如使用者輸入的密碼正確而與系統中已存在者符合)，則允許於該儲存裝置20中存取加密檔案，其中當該電子運算裝置10存取該加密檔案時，藉由該步驟S20所示之監測步驟針對該加密檔案進行監測。如圖3所示之步驟S330，若身分驗證沒有通過(如該密碼不正確)，則不允許該電子運算裝置10存取該加密檔案。

舉例而言，對於作業系統151來說，該儲存裝置20中所存取的加密檔案(或加密空間250)的格式或其檔案系統係實現為不同於作業系統151(諸如Windows、Mac、或Linux)所使用的檔案系統(諸如FAT、exFAT、NTFS、HFS、HFS+、ext2、ext3、ext4、ISO9660、ODS-5、或UDF)，故作業系統151是無法得知該儲存裝置20中有加密檔案(或加密空間250)。換句話說，該儲存裝置20中的加密檔案(或加密空間250)對作業系統151而言是「隱藏」起來的。故此，藉由執行步驟S320，若身分驗證通過，則允許於該儲存裝置20中存取加密檔案(或加密空間250)，其中當該電子運算裝置10存取該加密檔案時，藉由該步驟S20所示之監測步驟針對該加密檔案進行監測。於此，在實作時可於核心模組153及/或資料保護程式240中以加解密模組來讀取該加密檔案或寫入加密檔案。在如步驟S330所示之身分驗證沒有通過的情況下，作業系統151是無法得知該儲存裝置20中有加密檔案(或加密空間250)。故此，不論身分驗證通過與否，或即便電腦毒病已入侵到電子運算裝置10中，電腦毒病亦無法進一步感染、破壞、或綁架該儲存裝置20中的加密檔案(或加密空間250)。此外，該儲存裝置20中加密檔案(或加密空間250)的格式或其檔案系統，例如是以將前述之任一種檔案系統或檔案格式(諸如FAT、exFAT、NTFS、HFS、HFS+、ext2、ext3、ext4、ISO9660、ODS-5、或UDF等)中的一項或多項的參數改變而產生的新檔案系統或檔案格式。如此，新檔案系統或檔案格式即與習知檔案系統或檔案格式不能相容，藉由使用該新檔案系統或檔案格式於加密檔案，將使作業系統151無法得知該儲存裝置20中有加密檔案。然而，本發明之加密檔案(或加密空間250)的格式或其檔案系統的實現方式，並不受此例子限制，當可作其他方式實現。此外，相對於此加密空間250，資料保護程式240所在的儲存空間係 有別於加密空間250，並且該儲存空間的檔案格式或檔案系統可被實現為電子運算裝置10可讀取或可讀寫。

另外，舉例而言，在本發明的另一些實施例中，可利用其他身分驗證方式如生物辨識(如指紋、人臉、虹膜、或指紋靜脈)來實現步驟S30中的驗證動作，或是將密碼驗證及其他驗證方式結合從而判斷是否允許存取。在一些實施例中，亦可利用憑證卡來進行身分驗證。在實現生物辨識與密碼驗證時，在一些實施例中，可利用該電子運算裝置10中的處理單元110以及其他如該電子運算裝置10的內建或外接之攝影機、及/或指紋辨識裝置、及/或其他生物辨識裝置來達成。故此，本發明對於上述步驟S30的驗證方式並不僅限於密碼驗證；譬如，使用者亦可利用憑證卡、憑證物件(手環或任何物件)，透過電子運算裝置10內建或外接之憑證讀卡機、及/或憑證讀取器來達成。再者，加解密的方式例如是基於身分驗證的條件(如密碼、其他驗證條件、其他憑證條件、或上述任何之組合)以RSA-2048、RSA-4096、或AES-128、AES-256等方式中之至少一種來進行加密或解密；然而，本發明實現時採用的加解密的方式並不受上述例子限制。

在一實施例中，在電子運算裝置10的作業系統151中，可分別建立至少兩個或多個執行緒來實現步驟S20及步驟S30，使其同時執行；藉此，前述防毒監測及「加密碟」的雙重保護功能得以實現並同步進行。

此外，在一些實施例中，步驟S20更可包括：截斷儲存裝置20內自動執行之程式及/或描述式語言文件，以防止惡意軟體病毒散播。

在一實施例中，在上述步驟S220後，更可包括對有異常者(或稱為有異常物件)，進行額外的處理。例如，對有異常的物件進行消毒或隔離，或在使用者確認下刪除之處理。

在一實施例中，在步驟S320之後，該資料保護方法更可包括：檔案同步步驟。該檔案同步驟包括：在接收檔案同步指示，並將該電子運算裝置10中被選擇之檔案及其路徑經加密後儲存於該儲存裝置20中。 此外，在實現時，當可設計令資料保護程式240提供圖型使用者介面或指令介面，從而設相關之檔案同步的條件，例如同步的時間、同步的方向(電子運算裝置10或儲存裝置20之一者為來源)等設定。由此，使用者可以獲得安全備份的效果。譬如，當該電子運算裝置10中被選擇之檔案受損或不小心刪除時，可以藉由該儲存裝置20之同步功能而還原至該電子運算裝置10中。又例如當該電子運算裝置10在沒有使用該儲存裝置20的狀況下被電腦病毒綁架時，即可利用「加密碟」備份資料同步回該電子運算裝置10即可還原被綁架的檔案。

此外，在一些實施例中，更可將偵測、防毒、或解毒(以下簡稱為「偵防毒」)之結果記錄及/或傳送至伺服器40以便做儲存裝置20之資料安全管理。在該等實施例之一者中，可基於圖3之任一實施例並且實現步驟S210使之包括：監測該電子運算裝置10中任何被存取的檔案，以產生第一監測結果；監測對應於該被存取的檔案的存取來源程序及該存取來源程序之相關程序模組及/或子程序，以產生第二監測結果。此外，在該等實施例之另一者中，亦可對儲存裝置20以及儲存裝置20連接之電子運算裝置10之所有的記憶裝置(如系統記憶體等)之至少一者進行主動或被動式監測、掃毒、解毒、以及相關之消毒動作中之至少一種處理動作並產生偵測處理結果，該等結果可統稱為「偵防解」結果。舉例而言，偵防解結果可以是關於該檔案或程序等(或可稱為物件)的名稱、識別碼、路徑、操作行為、是否有異常等之至少一者。在該等實施例之一者中，可基於圖3之任一實施例並且包括：基於該偵測處理結果產生偵防解結果的記 錄資料並儲存於該儲存裝置20中。此外，該記錄資料亦不限於偵防解結果，亦更可包括其他資訊。

在一些實施例中，更可進一步將該偵防解結果的記錄資料傳送至伺服器40，以便對儲存裝置20做資料安全管理。舉例而言，圖4顯示資料安全系統之另一實施例，其包括儲存裝置20、電子運算裝置10、伺服器40。該儲存裝置20是透過該電子運算裝置10及網路而與該伺服器40建立通訊連結，其中該伺服器40可視為另一電子運算裝置10。該等實施例之一者中，可基於圖3所示之資料保護方法，並進一步包括：判斷該儲存裝置20所連接之該電子運算裝置10是否能夠與該伺服器40建立通訊連結，若是則將該偵防解結果的記錄資料傳送至該伺服器40，以便做儲存裝置20之資料安全管理；若否，則將該偵防解結果的記錄資料儲存於該儲存裝置20。例如，該偵防解結果的記錄資料可儲存於該儲存裝置20中資料保護程式240所在的儲存空間或加密空間中。在該等實施例之另一者中，該資料保護方法更可包括：例如由該資料保護程式240及/或核心模組153於一定之時間間隔(如每3、5、10、或15分鐘或1小時)內或某些時間(如9：00、12：00、20：00)內，將上述偵防解結果(例如即時產生或已儲存於該儲存裝置20的偵防解結果)回傳給該伺服器40。此外，該等實施例亦可便於對複數個儲存裝置20做資料安全管理，如圖4所示，複數個內建有資料保護程式240的儲存裝置20、21，皆可依據上述實施例之任一者而記錄偵防解結果於儲存裝置20、21中，或者於可該電子運算裝置10能夠建立與該伺服器40之通訊連結之時，將偵防解結果傳送至該伺服器40。 藉此，管理者可以利用伺服器40所收到的偵防解結果進行分析與判斷，例如對有資訊安全之虞的儲存裝置21的使用者提出警告或記錄，或藉由資料保護程式240及/或核心模組153提出警告或阻止進一步存取該儲存裝置21中的檔案。此外，縱使有資料外漏的情況，亦可由偵防解結果中得知發 生問題的儲存裝置20、所連接之電腦、甚至相關的資料，可作進一步的追蹤。然而，本發明之實現方式並不受上述例子所限制。譬如，利用資料保護程式240及/或核心模組153來實現將監測記錄資料傳送至伺服器40之任一實施例。

以下進一步舉例說明該資料保護方法的各種實施方式，然而本發明的實現並不受其限制。

以下討論關於核心模組153之實現方式。

在如圖3所示之實施例中，在該儲存裝置20連接至該電子運算裝置10之前，核心模組153已存在於或安裝於該電子運算裝置10的作業系統151中。在不同的作業系統151中，如以微軟視窗作業系統而言，核心模組153譬如是安裝於Windows\System32\drivers目錄下以.sys為副檔名的驅動程式，例如以「視窗驅動程式模型」(WDM)或「視窗驅動程式基礎」(WDF)或作業系統的應用程式介面(API)來實作。又例如以蘋果公司的Mac OS X作業系統而言，可利用「輸入/輸出套組」(I/O Kit)架構的應用程式介面(API)來實現該核心模組153。如例如，在谷歌的安卓作業系統(Google Android)而言，可利用「硬體抽象層」(HAL)及用戶層(User Space)的應用程式介面(API)來實現該核心模組153。然而，本發明之核心模組153的實現方式並不受上述例子限制，例如核心模組153更可以在其他作業系統(如Unix、Linux的各種版本、或其他實時作業系統、嵌入式系統的作業系統)上及/或利用其他應用程式介面(API)來實現。然而，本發明的核心模組153之實現方式並不受上述例子所限制。

此外，核心模組153是用以監測作業系統151中任何檔案之寫入或讀取動作、及該檔案之相關程式、程式模組；舉例而言，該核心模組153用以監測被存取之檔案、對應於該被存取之檔案的存取來源程序及該存取來源程序之相關程序模組/子程式。換句話說，該核心模組153要 監測的對象包括對於以下硬體的檔案存取：該電子運算裝置10所連接的所有記憶裝置：諸如主記憶單元(如主記憶體等)、本機記憶裝置(如硬碟、光碟機等)、週邊記憶裝置(如隨身碟、或外接硬碟等)等。故此，該核心模組153亦可稱之為「檔案監測驅動程式」。舉例而言，核心模組153係針對該電子運算裝置10中任何程式的檔案或檔案夾的操作(如視窗作業系統中的檔案管理函式(File Management Functions)諸如ReadFile( )、WriteFile( )、CreateFile( )、OpenFile( )、Close( )等)進行監測，並進一步利用作業系統151的API進行回溯或反查的操作，從而將對應於該被存取之檔案的存取來源程序及該存取來源程序之相關程序模組/子程式做進一步的監測。然而，本發明之核心模組153的實現方式並不受上述例子限制，即核心模組153更可額外實現其他功能，並可按照需要而變更；例如，控制該儲存裝置20之檔案存取或判斷該檔案或程序模組是否有異常或其他功能。

以下討論關於核心模組153、資料保護程式240主動被啟動之實現方式，以及快速啟動防毒監測及「加密碟」的雙重保護功能之作用。

在該作業系統151中，該核心模組153已建立起與該儲存裝置20、以及該儲存裝置20之資料保護程式240之間的關聯關係(association)的資訊，如核心模組153、資料保護程式240之路徑、檔案名稱及該儲存裝置20的識別碼等之集合，且記錄於作業系統151中；故此，在步驟S10所示之啟動步驟中，該電子運算裝置10的作業系統151載入該核心模組153並據以啟動該資料保護程式240。

此外，如前所述，當儲存裝置20在登入至電子運算裝置10之作業系統151之後，資料保護程式240進行檔案存取監測以保護「加密碟」和電子運算裝置10。也就是說，當作業系統151偵測到該儲存裝置20***或連接於電子運算裝置10之時，隨即主動依據該儲存裝置20與該核心模組 153、以及該儲存裝置20之資料保護程式240之間的關聯關係的資訊而啟動該核心模組153及資料保護程式240，從而使前述防毒監測及「加密碟」的雙重保護功能得以實現並同步進行。

故此，該資料保護方法的實現可以於該儲存裝置20連接至電子運算裝置10時，快速主動地啟動防毒監測及「加密碟」的雙重保護功能，如此使已常駐在電腦的病毒無法在該保護程式未被執行之前趁機感染該儲存裝置20。相較之下，習知技術之利用autorun.inf之具有獨立防毒能力的可攜式儲存裝置20***電腦時，可攜式儲存裝置20的保護程式是被動的等待作業系統151的允許下而被啟動或等待使用者點擊而被啟動，故此會產生已常駐在電腦的病毒趁機在該可攜式儲存裝置20的保護程式未被執行之前感染該可攜式儲存裝置20的狀況。

以下討論關於核心模組153之安裝的實施例。

本發明之資料保護方法的另一些實施例是關於：將該儲存裝置20連接至一台還未有安裝核心模組153的電子運算裝置的情形。舉例而言，該等實施例可視為基於圖3之任一實施例，並且在該啟動步驟S10以前，更包括：安裝步驟，其包含：安裝該核心模組153至該電子運算裝置10的作業系統151中。舉例而言，安裝該核心模組153的方式有：當該儲存裝置20連接至一台電子運算裝置10後，用手動方式啟動該儲存裝置20中關於資料保護且包含該核心模組153的安裝程式，從而安裝該核心模組153。再者，在該安裝步驟後更可進一步實現步驟S10所示之啟動步驟，以載入該核心模組153並據以啟動該資料保護程式240。

然而，本發明並不受此例子之安裝方式限制，更可以其他方式來實現。例如，使用者可以自網路下載或經由其他方式取得關於資料保護且包含該核心模組153的安裝程式並安裝，以待儲存有資料保護程式240之該儲存裝置20連接時使用。另外，亦可實現作業系統151或客製化作業 系統151，使該核心模組153常駐於作業系統151中，或已存在於作業系統151中而有待需要時而被載入。總言之，可以利用任何方式將該核心模組153安裝於該電子運算裝置10的作業系統151中，藉此可以進一步執行基於圖3之任一實施例，從而於該儲存裝置20連接至該電子運算裝置10時，快速啟動防毒監測及「加密碟」的雙重保護功能。

以下討論關於資料保護程式240使用核心模組153的實現方式。

就如圖3所示之步驟S20而言，在一實施例中，可以利用該核心模組153來實現：針對該電子運算裝置10中任何被存取之檔案，監測該被存取之檔案、對應於該被存取之檔案的存取來源程序及該存取來源程序之相關程序模組/子程式。再者，可以利用該資料保護程式240來判斷該等檔案、程式等判斷是否有異常。在實作中，可設計該核心模組153將偵防解結果直接回傳給該資料保護程式240，或是在該資料保護程式240中呼叫該核心模組153的API；譬如，以下表1的虛擬程式碼(pseudo code)示意如下：

然而，本發明之實現方式並不受此例子限制，當可以其他方式實現。

以下討論關於防毒引擎之實現方式。

為了使資料保護程式240能有效進行電腦病毒的偵測及防治，要判斷被監測中的物件(以下簡稱待測物件)是否有異常。在一些實施例中，資料保護程式240係使用了至少兩個防毒引擎來進行防毒。為此，使用病毒碼(virus pattern)資料庫來與待測物件進行對比，及/或以待測物件的行為(behavior)或操作(operation)來進行分析，從而判斷待測物件是否異常。

在一實施例中，該病毒碼資料庫係儲存於該儲存裝置20中，當該資料保護程式240執行於電子運算裝置10後，若判斷出其能夠與遠端的病毒碼提供來源(如防毒引擎公司的伺服器40)連接的話，則可進行更新病毒碼資料庫或定期更新，並可儲存於該儲存裝置20。該資料保護程式240的防毒引擎利用病毒碼資料庫(可比喻為多種電腦病毒的指紋)與待測物件做比對，從而判斷該待物件是否含有電腦病毒的程式碼而判斷其為有異常者。

此外，該資料保護程式240的防毒引擎利可用以對待測物件的行為(behavior)或操作(operation)來進行分析，從而判斷待測物件是否異常。為此，該等行為或操作的型態(patterns)亦可以資料庫的方式提供進行分析的依據，或是於防毒引擎中以程式碼或模組來實現，從而判 斷該待物件是否為有異常者。例如，防毒引擎可以判斷待測物件是否有寫入某種關鍵區域(如系統關鍵區域：系統記憶體/啟動物件/開機磁區)的行為或操作；而待測物件的行為或操作可利用前述核心模組153來加以追蹤或監測，並回饋給防毒引擎，譬如前述表1的虛擬程式碼所示意者。舉例而言，待測物件所呼叫的函式、API名稱或識別碼，所要存取的來源、目的位置等，皆可由前述核心模組153掌握，並以編碼示之。譬如以集合[1024,1000,2000,10000]代表待測物件之行為或操作，其可解讀為呼叫識別碼為1024的函式(如為複製檔案之函式)，將作業系統151之邏輯記憶空間之位置1000之2000區塊複製至位置10000為首的記憶空間中。若位置10000係代表位於某種關鍵區域內，則表示該待測物件的行為或操作有異常。藉此，將待測物件的行為或操作經編碼後，即可以利用邏輯運算方式比對及分析。而該等異常行為或操作的型態(patterns)亦可以利用表(table)來記載，以便利用，如表2所示。如此，對於待測物件的多次或多重之行為或操作，亦可如此類推的加以編碼分析及判斷。

圖5顯示用於實現資料保護方法之軟體架構之一實施例的示意方塊圖。此軟體架構包括：核心模組153以及資料保護程式240。如圖5所示，資料保護程式240可包括：防毒引擎模組241、加解密模組243、檔案同步模組245、記錄模組247。如圖5所示意，核心模組153對於來自作業系統151的檔案管理請求，亦即各種與檔案處理有關之複製、讀取、寫入、刪除等請求(亦可視為API或函式之呼叫)，將會進行監測，並配合防毒引擎模組241共同進行判斷是否有異常。

圖6顯示用於實現資料保護方法之軟體架構之一實施例的示意方塊圖。此軟體架構包括：核心模組153以及資料保護程式240。如圖6所示，資料保護程式240可包括：防毒引擎模組241、輔助防毒引擎模組242、加解密模組243、檔案同步模組245、記錄模組247、資料更新模組249。如圖5所示意，核心模組153對於來自作業系統151的檔案管理請求，亦即各種與檔案處理有關之複製、讀取、寫入、刪除等請求(亦可視為API或函式之呼叫)，將會進行監測，並配合防毒引擎模組241、輔助防毒引擎模組242共同進行判斷是否有異常。在一實施例中，例如可應用市售或可提供API以進行客製化的防毒引擎，做為防毒引擎模組241，例如主要以病毒碼資料庫來做為其掃瞄病毒的功能；此外，額外製作輔助防毒引擎模組242以判斷檔案之行動或操作，例如依照前述表2及相關之例子所述的方式來進行異常行為或操作的掃瞄病毒。如此，使用雙防毒引擎模組、或甚至複數個防毒引擎模組的做法，將可發揮各個防毒引擎的優點，從而大大加強資料保護程式240的防毒的功效。再者，資料更新模組249可用以更新病毒碼資料庫及/或將偵防解結果傳送到伺服器40。

再者，本發明之資料保護方法之軟體架構的實現方式，除了上述圖4、或圖5的實施例以外，在一些實施例中，可以實現的核心模組有複數個，如基於圖4或圖5中的核心模組153，以及可將圖4或圖5中的原屬於資料保護程式240的模組如：加解密模組243、檔案同步模組245、記錄模組247、資料更新模組249中的至少一者改以一個或多個核心模組來實現。如此，可產生其他不同的軟體架構，如在一些實施例中，資料保護方法之軟體架構包括：資料保護程式240及複數個核心模組，資料保護程式240至少包括：防毒引擎模組241及/或輔助防毒引擎模組242，該等核心模組至少有：核心模組153、加解密模組243。如在另一些實施例中，資料保護方法之軟體架構包括：資料保護程式240及複數個核心模組，資料保護程式240至少包括：防毒引擎模組241及輔助防毒引擎模組242，該等核心模組至少有：核心模組153、加解密模組243、檔案同步模組245、記錄模組247、資料更新模組249中的至少兩者。然而，本發明之資料保護方法之軟體架構的實現方式，並不受上述實施例的限制，只要能實現資料保護方法之任一實施例，當可利用各種程式、核心模組做任何排列或組合而產生具體的軟體架構。

此外，對於上述加解密模組243來說，其除了提供加密、解密的處理外，在一實施例中，更可以利用虛擬磁碟機驅動程式(Virtual disk driver)來呈現該儲存裝置20中的加密空間250的內容。虛擬磁碟機是將隨機存取記憶體模擬成磁碟機。因此系統內會有一個虛擬磁碟機的驅動程式，就如同其他驅動程式一樣，接受輸出輸入的要求，任何命令的處理是直接發生在配置為虛擬磁碟機的記憶體上。至於被配置的記憶體除了是系統上的主記憶體，也可能是附加介面卡上的隨機存取記憶體。

如上述不同實施例所揭示之儲存裝置及其資料保護方法與資料保護系統。舉例而言，當該儲存裝置連接至電子運算裝置後，即能有 效地防止該儲存裝置內的加密資料被綁架與被惡意軟體感染入侵中毒，亦能預防惡意軟體病毒散播到其它非加密的其他記憶裝置，也能夠對該儲存裝置及該電子運算裝置所有的儲存裝置(如系統記憶體等)進行主動或被動式監測、掃毒、解毒、以及相關之消毒動作中之任一種處理動作。此外，如上述之一實施例所述，該儲存裝置中的加密檔案(或加密空間)對作業系統而言是「隱藏」起來的，故此，不論使用者身分驗證通過與否，或即便電腦毒病已入侵到電子運算裝置中，電腦毒病亦無法進一步感染、破壞、或綁架該儲存裝置中的加密檔案(或加密空間)，故該儲存裝置能有助於以對電腦中的資料進行安全的備份。在一些實施例中，更可進一步將記錄資料儲存於儲存裝置中或回傳至伺服器，從而作為儲存裝置之資料安全管理之用。

綜上所述，本發明之內容已以如上之實施例舉例說明了，然而本發明並非僅限定於此等實施方式而已。本發明所屬技術領域中具有通常知識者，在不脫離本發明之精神和範圍內，當可再進行各種之更動與修飾；例如，將前述實施例中所例示之各技術內容加以組合或變更而成為新的實施方式，此等實施方式亦當然視為本發明所屬內容之一。因此，本案所欲保護之範圍亦包括後述之申請專利範圍及其所界定之範圍。

S10、S20、S30‧‧‧步驟

S210-S230‧‧‧步驟

S310-S330‧‧‧步驟

Claims (8)

1. 一種儲存裝置之資料保護方法，其包括：啟動步驟，其包括當一儲存裝置連接至一電子運算裝置的資料介面時，載入該電子運算裝置的作業系統之至少一核心模組並據以啟動該儲存裝置中之資料保護程式；監測步驟，其藉由至少該至少一核心模組及該資料保護程式執行並包括：(a1)監測該電子運算裝置中任何被存取之檔案、對應於該被存取之檔案的存取來源程序、及該存取來源程序之相關程序模組/子程式從而判斷是否有異常；和(b1)若步驟(a1)判斷該被存取之檔案、該存取來源程序、該存取來源程序之相關程序模組/子程式中之至少一者有異常時，則禁用該有異常者；若無異常時，則放行；檔案存取步驟，其藉由該至少一核心模組及該資料保護程式執行並包括：(a2)進行身分驗證並據以判斷是否允許於該儲存裝置中存取位於加密空間之加密檔案；若身分驗證通過，則允許於該儲存裝置中存取加密檔案；若身分驗證沒有通過，則該作業系統將無法存取加密檔案；其中該加密檔案的格式或其檔案系統係實現為不同於該作業系統所使用的檔案系統，故該作業系統無法得知該儲存裝置中有加密檔案；及(b2)當該電子運算裝置存取該加密檔案時，藉由該監測步驟針對該加密檔案進行監測；以及 檔案同步步驟：當身分驗證通過時，接收檔案同步指示，並將該電子運算裝置中被選擇之檔案及其路徑經加密後儲存於該儲存裝置中；其中該資料保護方法係基於上述步驟而對該儲存裝置和該電子運算裝置的所有記憶裝置進行：監測、掃毒、解毒之至少任一種動作。
2. 如請求項1所述之資料保護方法，其中該資料保護方法更包括：依據該資料保護方法基於上述步驟而對該儲存裝置和該電子運算裝置的所有記憶裝置進行之：監測、掃毒、解毒之至少任一種動作以產生偵測處理結果。
3. 如請求項2所述之資料保護方法，其中該資料保護方法更包括：基於該偵測處理結果產生記錄資料並儲存於該儲存裝置中。
4. 如請求項3所述之資料保護方法，其中該資料保護方法更包括：判斷該電子運算裝置是否能夠與遠端之伺服器建立通訊連結，若是則將該記錄資料傳送至該伺服器。
5. 一種儲存裝置，其為電腦可讀寫記錄媒體，該儲存裝置至少儲存資料保護程式，當一電子運算裝置載入該資料保護程式後，可執行如請求項1至4中任一項所述之資料保護方法。
6. 如請求項5所述之儲存裝置，其中該儲存裝置包括：資料介面，其用以與該電子運算裝置電性耦接；及記憶單元，其耦接於該資料介面並用以至少儲存該資料保護程式。
7. 一種資料保護系統，其包括：電子運算裝置；以及儲存裝置，其包括： 資料介面，其用以與該電子運算裝置電性耦接；及記憶單元，其耦接於該資料介面，該記憶單元至少儲存資料保護程式；其中：當該儲存裝置之該資料介面連接至該電子運算裝置時，該電子運算裝置載入該電子運算裝置之作業系統中至少一核心模組並據以啟動該資料保護程式；該至少一核心模組及該資料保護程式用以監測該電子運算裝置中任何被存取之檔案、該被存取之檔案、對應於該被存取之檔案的存取來源程序、及該存取來源程序之相關程序模組/子程式從而判斷是否有異常，若有異常時，則禁用彼等中有異常者；若無異常時，則放行；該至少一核心模組及該資料保護程式用以：進行身分驗證並據以判斷是否允許於該儲存裝置中存取位於加密空間之加密檔案；若身分驗證通過，則該電子運算裝置允許於該儲存裝置中存取加密檔案；若身分驗證沒有通過，則該電子運算裝置將無法存取加密檔案；當該電子運算裝置存取該加密檔案時，該核心模組及該資料保護程式亦針對該加密檔案進行監測；以及身分驗證通過時，接收檔案同步指示，並將該電子運算裝置中被選擇之檔案及其路徑經加密後儲存於該儲存裝置中；其中該加密檔案的格式或其檔案系統係實現為不同於該作業系統所使用的檔案系統，故該作業系統無法得知該儲存裝置中有加密檔案。
8. 如請求項7所述之資料保護系統，其中該電子運算裝置係用以藉由該至少一核心模組及該資料保護程式而對該儲存裝置和該電子運算裝置的所有記憶裝置進行：監測、掃毒、解毒之至少任一種動作，並且產生偵測處理結果；該資料保護系統更包括：伺服器，其中該電子運算裝置用以判斷該電子運算裝置是否能夠與該伺服器建立通訊連結，若是則將基 於偵測處理結果而產生的記錄資料傳送至該伺服器；若否，則將該記錄資料儲存於該儲存裝置。