基于进程关联的文件传输监控方法

摘要

基于进程关联的文件传输监控方法，在文件系统驱动中设置文件访问监控点；在NDIS中间层设置网络检查点，捕获所有向外发送的IP数据包；当发起连接的数据包通过网络检查点时，获得即时的进程信息，并立即将该进程信息传递给文件访问监控驱动，文件访问监控驱动开始捕获该进程访问的所有文件的信息；当该连接的所有数据包通过网络检查点时，对数据包进行协议分析，判断该数据包是否可能向外发送文件信息；当出现可能发送文件信息的数据包时，通过进程关联检查在发送该数据包的同时，相关进程正在访问或曾经访问的文件；以确定为正在传输的文件。

主权项

1.基于进程关联的文件传输监控方法，其特征在于至少包含以下步骤：步骤1：在文件系统驱动中设置文件访问监控点；步骤2：在NDIS中间层设置网络检查点，捕获所有向外发送的IP数据包；步骤3：当发起连接的数据包通过网络检查点时，获得即时的进程信息，并立即将该进程信息传递给文件访问监控驱动，文件访问监控驱动开始捕获该进程访问的所有文件的信息；步骤4：当该连接的所有数据包通过网络检查点时，对数据包进行协议分析，判断该数据包是否可能向外发送文件信息；步骤5：当出现可能发送文件信息的数据包时，通过进程关联检查在发送该数据包的同时，相关进程正在访问或曾经访问的文件；步骤6：步骤5描述的情况下，比对网络中传送的数据，与相关进程访问文件列表，确定并记录正传送的文件信息。