基于USB接口粒度的USB设备监控方法及装置制造方法及图纸

本发明专利技术公开了一种基于USB接口粒度的USB设备监控方法及装置，涉及信息安全技术领域，本发明专利技术根据配置USB请求块来确定待监控USB设备所有USB接口对应的端点，当正在传输数据的端点对应的USB接口属于预设类型的USB接口时，阻断该端点的数据传输，其采用底层技术，有效监控所有USB设备操作，无进程且不易卸载，安全性好，并且可以保证USB复合设备的各子设备独立，有选择的进行阻断，而不是阻断所有子设备，避免引发预期之外的副作用。

【技术实现步骤摘要】

本专利技术涉及信息安全
，特别涉及一种基于USB接口粒度的USB设备监控方法及装置。
技术介绍
随着计算机技术的发展，USB设备如U盘、移动硬盘等设备越来越普及，随之而来的一个非常显著的问题就是:如何保证这些设备的安全，比如有些涉密计算机不允许使用某些移动存储设备，但是却允许另一些USB存储设备访问，故而，USB设备监控方式就尤为重要。现有技术的USB设备监控方式主要采用以下两种方式:第一种为:应用层方式，即应用程序监控USB设备的插入、拔出动作，调用SetupAPI系列函数，对特定类别的USB进行禁止或启用。禁止时，其表现为设备管理器中相应设备被禁用(有一个红叉)。使用该方法最大的缺陷是安全性，用户可以手动启用设备，且该应用进程也可能被用户终止。其次，因为应用软件层次较高，无法获取所有USB设备的描述符。因此某些设备可能无法禁止，不能保证所有USB设备都能被监控到。第二种为:基于设备粒度的USB过滤驱动方式，即拦截USB总线发来的URB数据包，优点是可安全有效地监控所有USB设备，但其以“USB设备”作为单位，导致对于USB复合设备(即包含多个接口的设备)，要么全部禁止，要么全部放行，例如，安卓手机通常包含多个接口设备，如存储设备、ADB设备、媒体设备等。使用该方式，只能全部禁止这些接口设备，不能有选择的禁用某个接口设备，即监控粒度不够精细，容易产生非预期结果。
技术实现思路
鉴于上述问题，提出了本专利技术以便提供一种克服上述问题或者至少部分地解决上述问题的一种基于USB接口粒度的USB设备监控方法及装置。依据本专利技术的一个方面，提供了一种基于USB接口粒度的USB设备监控方法，所述方法包括:拦截由USB总线向待监控USB设备发送的配置USB请求块；根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点；当正在传输数据的端点对应的USB接口属于预设类型的USB接口时，阻断该端点的数据传输，以实现对USB设备的监控。可选地，所述拦截由USB总线向待监控USB设备发送的配置USB请求块，进一步包括:在检测到所述待监控USB设备向所述USB总线发送配置选择USB请求块后，拦截由所述USB总线向所述待监控USB设备发送的配置USB请求块。可选地，所述配置USB请求块包括:待监控USB设备所有USB接口对应的端点的句柄。可选地，所述根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点，进一步包括:根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点，并获取所述待监控USB设备所有USB接口对应的端点的句柄；相应地，所述阻断该端点的数据传输，进一步包括:对该端点的句柄进行阻断，以阻断该端点的数据传输。可选地，当正在传输数据的端点对应的USB接口不属于预设类型的USB接口时，允许该端点的数据传输。依据本专利技术的另一个方面，提供了一种基于USB接口粒度的USB设备监控装置，所述装置包括:配置拦截单元，用于拦截由USB总线向待监控USB设备发送的配置USB请求块；端点确定单元，用于根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点；传输阻断单元，用于当正在传输数据的端点对应的USB接口属于预设类型的USB接口时，阻断该端点的数据传输，以实现对USB设备的监控。可选地，所述配置拦截单元，进一步用于在检测到所述待监控USB设备向所述USB总线发送配置选择USB请求块后，拦截由所述USB总线向所述待监控USB设备发送的配置USB请求块。可选地，所述配置USB请求块包括:待监控USB设备所有USB接口对应的端点的句柄。可选地，所述端点确定单元，进一步用于根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点，并获取待监控USB设备所有USB接口对应的端点的句柄；相应地，所述传输阻断单元，进一步用于对该端点的句柄进行阻断，以阻断该端点的数据传输。可选地，所述装置还包括:传输允许单元，用于当正在传输数据的端点对应的USB接口不属于预设类型的USB接口时，允许该端点的数据传输。本专利技术根据配置USB请求块来确定待监控USB设备所有USB接口对应的端点，当正在传输数据的端点对应的USB接口属于预设类型的USB接口时，阻断该端点的数据传输，其采用底层技术，有效监控所有USB设备操作，无进程且不易卸载，安全性好，并且可以保证USB复合设备的各子设备独立，有选择的进行阻断，而不是阻断所有子设备，避免引发预期之外的副作用。【附图说明】通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本专利技术的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中:图1是本专利技术一种实施方式的基于USB接口粒度的USB设备监控方法的流程图；图2是USB设备各描述符之间的关系不意图；图3是本专利技术一种实施方式的基于USB接口粒度的USB设备监控方法的流程图；图4是本专利技术一种实施方式的基于USB接口粒度的USB设备监控装置的结构框图。【具体实施方式】下面结合附图和实施例，对本专利技术的【具体实施方式】作进一步详细描述。以下实施例用于说明本专利技术，但不用来限制本专利技术的范围。图1是本专利技术一种实施方式的基于USB接口粒度的USB设备监控方法的流程图；参照图1，所述方法包括:SlOl:拦截由USB总线向待监控USB设备发送的配置USB请求块(Usb RequestBlock，URB)；需要说明的是，所述配置URB是所述待监控USB设备在枚举过程中，由USB总线向待监控USB设备发送的配置URB。可理解的是，所述待监控USB设备为Windows系统中的USB设备。所述枚举过程的具体过程如下:USB总线的驱动程序会自动检测新插入的USB设备，然后读取USB设备内的设备描述符以查明插入的是何种设备，设备描述符中的厂商、产品标识以及其它描述符一同决定具体安装哪一个驱动程序。配置管理器调用USB总线的驱动程序中的AddDevice函数。AddDevice函数做以下工作:创建设备对象，把设备对象连接到USB总线的驱动程序堆栈上等，接着是StartDveiee例程。StartDveiee例程的执行过程大致如下:首先为USB设备选择一个配置。大多数USB设备仅有一种配置。选定了某个配置后，接着应该选择配置中的一个或多个USB接口。选定了一个配置和一组USB接口后，会向总线的驱动程序发送配置选择URB，USB总线在接收到配置选择URB后，会按照所述配置选择URB创建配置句柄及接口句柄，为各接口创建对应的端点的句柄。然后，所述总线会将创建的句柄写入接收到的配置选择URB中，以获得配置URB，并将获得的配置URB发送至所述USB设备。至此，设备的枚举过程全部结束。S102:根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点；需要说明的是，拦截所述配置URB，即可获取待监控USB设备的所有描述符。每个USB都有一个设备描述符，描述设备整体情况，记录的了厂商、设备型号等信息。设备描述符之下是多个配置描述符，每次只能选择一个配置。再往下就是接口描述符，它描述了子设备的类别(如存储设备、打本文档来自技高网...

【技术保护点】
一种基于USB接口粒度的USB设备监控方法，其特征在于，所述方法包括：拦截由USB总线向待监控USB设备发送的配置USB请求块；根据所述配置USB请求块来确定待监控USB设备所有USB接口对应的端点；当正在传输数据的端点对应的USB接口属于预设类型的USB接口时，阻断该端点的数据传输，以实现对USB设备的监控。

【技术特征摘要】

【专利技术属性】
技术研发人员：龚建新，王军，顾德仲，姜涛，
申请(专利权)人：北京北信源软件股份有限公司，
类型：发明
国别省市：北京;11