局域网内共享文件操作的审计系统及方法

摘要

本发明公开了一种局域网内共享文件操作的审计系统，包括有多个终端和一个记录存储服务器，各终端包括有中间层网络驱动模块、文件过滤驱动模块和共享文件记录处理器。本发明还公开了应用上述系统进行审计的方法。该审计系统及方法简单、高效，且易于集成。审计时，中间层网络驱动模块和文件过滤驱动模块分别截获共享访问SMB包和文件操作的IRP包，并记录下共享文件的操作信息，共享文件记录处理器根据这些信息及终端登陆用户名，生成详细的共享文件操作审计记录，汇报到记录存储服务器，如此，内网管理员就可轻松地实现对共享文件操作的管理。

主权项

局域网内共享文件操作的审计方法，其特征在于，当用户访问本地共享文件时，审计步骤包括：11)本地文件过滤驱动模块截获文件操作的IRP包，获取该IPR包对应的文件操作信息，判断该操作是否是对共享文件进行的操作，若是，则将该文件操作信息记录到文件操作记录列表中，然后通知本地共享文件记录处理器；12)本地共享文件记录处理器收到本地文件过滤驱动模块的通知，查询文件操作记录列表，读取该列表中保存的文件操作信息，生成共享文件操作审计记录，发送给记录存储服务器；当用户访问远程共享文件时，审计步骤包括：21)本地中间层网络驱动模块截获本地终端发送的SMB包，将该SMB包的信息记录到本地终端访问远程共享文件记录列表，并通知本地共享文件记录处理器；22)本地共享文件记录处理器查询本地终端访问远程共享文件记录列表，获取该列表中的信息，生成本地终端的共享文件操作审计记录，发送给记录存储服务器；23)被访问终端的中间层网络驱动模块截获该被访问终端接收到的SMB包，将来访终端的IP‑MAC对和访问的共享文件名保存到远程终端访问本地共享文件记录列表；24)被访问终端的文件过滤驱动模块截获共享文件操作IRP包，将该IPR包对应的共享文件操作信息记录到文件操作记录列表中，并通知被访问终端的共享文件记录处理器；25)被访问终端的共享文件记录处理器查询步骤24)的文件操作记录列表，获取该列表中保存的共享文件操作信息，然后根据共享文件名查询远程终端访问本地共享文件记录列表，获取来访终端的IP‑MAC对，生成被访问终端的共享文件操作审计记录，发送给纪录存储服务器。