本发明涉及文件共享访问控制技术领域，尤其涉及一种共享文件的访问控制方法及系统。
背景技术：
目前，基于smb/smb2协议和ntfs文件系统实现文件共享访问控制的具体方法有三种：
1、基于windows服务器操作系统本地账户的文件访问权限控制。具体实现方法是：在一台windows服务器操作系统设置共享文件，文件系统类型为ntfs，然后配置本地账户对共享文件的相应访问权限，局域网其他电脑访问共享文件时，需要首先输入服务器本地账户进行登录访问，然后控制其访问共享文件的权限。
2、基于windows域用户的文件访问权限控制。在一台服务器上设置共享文件，文件系统类型为ntfs，然后通过域控制器设置域账号访问不同共享文件的相应权限，用户访问共享文件时输入域账号进行登录，然后控制其访问共享文件的权限。
3、通过在用户计算机和文件共享服务器之间增设一台文件共享代理服务器，用户计算机连接文件共享代理服务器，文件共享代理服务器连接文件共享服务器，通过文件共享代理服务器来实现所述用户计算机对文件共享服务器中文件的访问控制。
虽然通过上述方式，都可以实现对windows服务器共享文件访问权限的控制。但是，随着企业重要机密文件、关键数据的不断增多，对服务器文件数据的保护提出了更高的要求。原来的技术手段已经无法满足企业保护这些重要文件、关键数据的保护，尤其是当这些文件以共享文件的方式被局域网用户访问时，如何保护这些文件数据的安全，成为企业网络管理的重要方面。
技术实现要素：
有鉴于此，本发明要解决的技术问题是提供一种共享文件的访问控制方法及系统，能够满足共享文件的安全需求。
本发明的技术方案是这样实现的：
一种共享文件的访问控制方法，在文件服务器上安装管理端，在用户计算机上安装用户端，还包括以下步骤：
s1：管理端在文件服务器的网卡上安装文件过滤驱动；通过所述管理端配置本地账户访问共享文件的权限；用户计算机通过客户端连接管理端；
s2：用户计算机输入文件服务器本地账户登录文件服务器；
s3：用户计算机发起访问共享文件请求，文件过滤驱动判断所述用户是否安装了客户端；若有，执行s4；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑；
s4：文件过滤驱动解析其访问的共享文件的请求是否符合管理端配置的访问共享文件的权限，如果是，允许访问；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑。
优选的，所述管理端与所述客户端通过smb/smb2协议进行连接和通讯。
优选的，所述访问共享文件的权限包括：
监控操作：记录用户对共享文件的访问动作；
和/或；
禁止修改：禁止用户修改共享文件或共享文件夹；
和/或；
禁止删除：禁止用户删除共享文件或共享文件夹；
和/或；
禁止剪切：禁止用户剪切共享文件或共享文件夹；
和/或；
禁止重命名：禁止用户重命名共享文件或共享文件夹；
和/或；
禁止复制共享文件：禁止用户在未打开共享文件时复制共享文件；
和/或；
禁止复制共享文件内容：禁止用户打开共享文件后复制其内容；
和/或；
禁止另存为：禁止用户打开共享文件后另存为其他路径；
和/或；
禁止拖拽：禁止用户拖动共享文件；
和/或；
禁止打印：禁止用户打印共享文件；
和/或；
禁止读取：禁止用户读取共享文件。
优选的，在所述s4之后，还包括：
s5：文件过滤驱动将用户计算机访问共享文件的请求传递到管理端，管理端记录用户的访问日志。
优选的，所述访问日志记录内容包括：用户计算机的ip地址、mac地址、登录服务器本地账户、访问共享文件的动作、所访问的共享文件及其路径、访问共享文件的时间以及管理员登录本系统的日志，管理员配置本地用户访问共享文件的权限。
一种共享文件的访问控制系统，在文件服务器上安装管理端，在用户计算机上安装用户端，还包括：
连接模块，用于控制管理端在文件服务器的网卡上安装文件过滤驱动；通过所述管理端配置本地账户访问共享文件的权限；控制用户计算机通过客户端连接管理端；
登陆模块，用于控制用户计算机输入文件服务器本地账户登录文件服务器；
客户端判断模块，用于当用户计算机发起访问共享文件请求，文件过滤驱动判断所述用户是否安装了客户端；若有，将共享文件请求发送至权限判断模块；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑；
权限判断模块，用于通过文件过滤驱动解析其访问的共享文件的请求是否符合管理端配置的访问共享文件的权限，如果是，允许访问；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑。
优选的，还包括：
访问许可模块，用于设置许可用户所采取第三方软件访问共享文件的功能。
优选的，还包括：
绑定认证模块，用于在用户访问共享文件时，对其进行ip和mac地址以及本地账户的多重绑定认证，符合绑定的用户允许访问共享文件，否则将拒绝访问共享文件。
优选的，还包括：
全局设置模块：用于设置系统的运行、客户端指令分配和用户功能列表。
优选的，还包括：
日志审计模块，用于记录访问日志。
本发明提出的共享文件的访问控制方法及系统，用户无需在文件服务器或域控制器上为本地账户或域账户设置共享文件的具体访问权限，只需要在服务器上通过管理端设置完全访问权限，共享文件所有具体的访问权限可以在系统的管理端界面上直接点击鼠标即可完成设置，设置快捷简单，效率高等特点，适合所有层次网络管理人员使用；同时无需在用户和文件服务器上架设代理服务器的方式访问共享文件，从而一方面节省了开支，避免用户另行采购和安装代理服务，减少了工作量；另一方面，由于用户和文件服务器之间不经过代理服务器的中转和过滤，从而可以实现线速访问，避免了频繁中转造成的共享文件访问速度变慢、延迟现象，最大限度保证了共享文件访问效率。此外，也可以避免因为加装了代理服务器而可能引发的单点故障风险。
附图说明
图1为本发明实施例提出的共享文件的访问控制方法的流程图；
图2为本发明实施例提出的共享文件的访问控制系统的结构框图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，本发明实施例提出了一种共享文件的访问控制方法，在文件服务器上安装管理端，在用户计算机上安装用户端，还包括以下步骤：
s101：管理端在文件服务器的网卡上安装文件过滤驱动；通过所述管理端配置本地账户访问共享文件的权限；用户计算机通过客户端连接管理端；
s102：用户计算机输入文件服务器本地账户登录文件服务器；
s103：用户计算机发起访问共享文件请求，文件过滤驱动判断所述用户是否安装了客户端；若有，执行s4；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑；
s104：文件过滤驱动解析其访问的共享文件的请求是否符合管理端配置的访问共享文件的权限，如果是，允许访问；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑。
可见，本发明实施例提出的共享文件的访问控制方法，用户无需在文件服务器或域控制器上为本地账户或域账户设置共享文件的具体访问权限，只需要在服务器上通过管理端设置完全访问权限，共享文件所有具体的访问权限可以在系统的管理端界面上直接点击鼠标即可完成设置，设置快捷简单，效率高等特点，适合所有层次网络管理人员使用；同时无需在用户和文件服务器上架设代理服务器的方式访问共享文件，从而一方面节省了开支，避免用户另行采购和安装代理服务，减少了工作量；另一方面，由于用户和文件服务器之间不经过代理服务器的中转和过滤，从而可以实现线速访问，避免了频繁中转造成的共享文件访问速度变慢、延迟现象，最大限度保证了共享文件访问效率。此外，也可以避免因为加装了代理服务器而可能引发的单点故障风险。
在本实施例中，客户端可以自动与管理端连接，如果是跨网段(例如通过三层交换机划分了多个网段)，则需要在客户端手动输入服务器的ip地址方可连接)。
在本发明的一个优选实施例中，所述管理端与所述客户端通过smb/smb2协议进行连接和通讯。
具体的，smb(全称是servermessageblock)是一个协议名，它能被用于web连接和客户端与服务器之间的信息沟通。
在本发明的一个优选实施例中，述访问共享文件的权限包括：
监控操作：记录用户对共享文件的所有访问动作；
和/或；
禁止修改：禁止用户修改共享文件或共享文件夹；
和/或；
禁止删除：禁止用户删除共享文件或共享文件夹；
和/或；
禁止剪切：禁止用户剪切共享文件或共享文件夹；
和/或；
禁止重命名：禁止用户重命名共享文件或共享文件夹；
和/或；
禁止复制共享文件：禁止用户在未打开共享文件时复制共享文件；
和/或；
禁止复制共享文件内容：禁止用户打开共享文件后复制其内容；
和/或；
禁止另存为：禁止用户打开共享文件后另存为其他路径；
和/或；
禁止拖拽：禁止用户拖动共享文件；
和/或；
禁止打印：禁止用户打印共享文件；
和/或；
禁止读取：禁止用户读取共享文件。
在本实施例中，对于“监控操作”、“禁止修改”、“禁止删除”、“禁止剪切/重命名”、“禁止复制文件”、“禁止拖拽”、“禁止新建”以及“禁止读取”常规的共享文件访问行为的管控。
其中，对于“监控操作”、“禁止修改”、“禁止删除”、“禁止剪切/重命名”、“禁止新建”以及“禁止读取”等功能的实现，是通过对网络共享协议smb/smb2的深度解析实现的。当用户访问共享文件时，系统将捕获其共享访问的smb/smb2报文，并保存其开始和结束的网络会话(netsession)信息，然后在网络共享会话进行过程中，根据管理端应用程序设置的规则对用户访问共享文件的路径和行为进行判定，如果不符合权限要求(如没有删除权限时试图删除共享文件)，则修改共享访问网络报文的信息，使得smb服务器拒绝访问，从而阻止其访问行为，并记录相关的拦截日志；如果符合管理端设置的访问权限规则，则允许其访问并记录其访问日志。
对于“禁止另存为”、“禁止打印”、“禁止复制文件内容”等访问行为的管控。由于用户在进行上述共享文件访问行为时，共享文件已经在用户电脑打开并缓存到本地，此时管理端已经无法再进行访问权限的管控。因此，此种情况下，必须配合客户端来实现。也即，当用户勾选此三项功能时，管理端则会实时验证客户端是否安装并成功连接到管理端，如果客户端没有成功连接到管理端，此时处于共享文件安全管理的需要，管理端会拒绝此客户端电脑访问共享文件。而一旦客户端连接到管理端，则管理端便可以将权限信息实时发送到客户端，然后客户端会根据管理端发送的共享文件路径和共享文件名来监测用户打开的文件是否为共享文件，一旦确认为共享文件，则实时监测其打开共享文件后的具体访问行为。由于用户进行“打印”、“另存为”两种访问行为时，会弹出含有“打印”、“另存为”的窗口关键词，然后客户端将实时关闭其窗口信息，并结束共享文件的访问，防止其越权访问共享文件的行为。对于“禁止复制共享文件内容”则是基于hook技术来实现，当管理端启用了针对共享文件的“禁止复制文件内容”功能时，则会通知客户端将hook.dll加载到系统运行进程中，在应用层使用hook拦截对剪贴板的所有系统调用函数。同时，为了防止用户借助第三方软件复制共享文件内容而不需要借助操作系统的剪切板的情况下，系统会进一步对对客户端访问共享文件时进行键盘hook(例如ctrl+c、ctrl+v和ctrl+alt+a等，支持用户自定义)和右键菜单“复制”按钮的hook，防止用户将共享文件内容直接复制到第三方软件中泄密共享文件的行为。
此外，客户端还合利用应用程序或操作系统的窗口名称(windowname)、窗口类名(windowsclass)、窗口进程信息(windowprocess)、窗口描述(windowsdescription)等进一步实现“访问许可”的控制，也就是直接拒绝客户端电脑运行第三方软件(例如将共享文件拖动到聊天软件窗口发送出去、将共享文件上传到网盘、将共享文件添加到邮件附件发送出去等)，防止通过第三方软件来越权访问共享文件的行为。
在本发明的一个优选实施例中，在所述s104之后，还包括：
s105：文件过滤驱动将用户计算机访问共享文件的请求传递到管理端，管理端记录用户的访问日志。
在本实施例中，对访问日志进行记录，可以供备后续审计和错误追溯。
在本发明的一个优选实施例中，所述访问日志记录内容包括：用户计算机的ip地址、mac地址、登录服务器本地账户、访问共享文件的动作、所访问的共享文件及其路径、访问共享文件的时间以及管理员登录本系统的日志，管理员配置本地用户访问共享文件的权限。
如图2所示，本发明还提出了一种共享文件的访问控制系统，在文件服务器上安装管理端，在用户计算机上安装用户端，还包括：
连接模块201，用于控制管理端在文件服务器的网卡上安装文件过滤驱动；通过所述管理端配置本地账户访问共享文件的权限；控制用户计算机通过客户端连接管理端；
登陆模块202，用于控制用户计算机输入文件服务器本地账户登录文件服务器；
客户端判断模块203，用于当用户计算机发起访问共享文件请求，文件过滤驱动判断所述用户是否安装了客户端；若有，将共享文件请求发送至权限判断模块；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑；
权限判断模块204，用于通过文件过滤驱动解析其访问的共享文件的请求是否符合管理端配置的访问共享文件的权限，如果是，允许访问；否则，拒绝用户计算机访问共享文件的请求，管理端将拒绝结果封装并发送给用户电脑。
可见，本发明实施例提出的共享文件的访问控制系统，用户无需在文件服务器或域控制器上为本地账户或域账户设置共享文件的具体访问权限，只需要在服务器上通过管理端设置完全访问权限，共享文件所有具体的访问权限可以在系统的管理端界面上直接点击鼠标即可完成设置，设置快捷简单，效率高等特点，适合所有层次网络管理人员使用；同时无需在用户和文件服务器上架设代理服务器的方式访问共享文件，从而一方面节省了开支，避免用户另行采购和安装代理服务，减少了工作量；另一方面，由于用户和文件服务器之间不经过代理服务器的中转和过滤，从而可以实现线速访问，避免了频繁中转造成的共享文件访问速度变慢、延迟现象，最大限度保证了共享文件访问效率。此外，也可以避免因为加装了代理服务器而可能引发的单点故障风险。
在本发明的一个优选实施例中，系统还包括：
访问许可模块，用于设置许可用户所采取第三方软件访问共享文件的功能。
本模块主要是为了配合主程序实现对用户访问共享文件行为的进一步控制，通过客户端(filelockermain.exe)可以禁止用户打开共享文件后另存为本地磁盘、禁止复制共享文件(包括打开后复制里面的内容)、禁止打印共享文件等。同时，在主程序启用二次用户校验的情况下，一旦访问者停止访问共享后再次访问共享，必须在客户端输入管理员为其预设的用户名和密码才可以再次访问共享文件，否则将拒绝其访问。
通过系统客户端和管理端的协同配合，管理端可以实时监测客户端在访问共享文件时所采用的第三方工具软件，若非许可的工具，则管理端可以提供集成的“访问许可”功能，实时指令客户端将其关闭，可以实现禁止用户采用第三方软件访问共享文件的行为，从而避免了共享文件的越权访问行为，保护了共享文件的安全。
在本发明的一个优选实施例中，系统还包括：
绑定认证模块，用于在用户访问共享文件时，对其进行ip和mac地址以及本地账户的多重绑定认证，符合绑定的用户允许访问共享文件，否则将拒绝访问共享文件。
启用了“绑定认证”之后，局域网用户必须加入绑定列表(白名单)方可访问共享文件，否则将予以拒绝。
在本发明的一个优选实施例中，系统还包括：
全局设置模块：用于设置系统的运行、客户端指令分配和用户功能列表。
在本发明的一个优选实施例中，系统还包括：
日志审计模块，用于记录访问日志。
访问日志记录内容可以包括：用户计算机的ip地址、mac地址、登录服务器本地账户、访问共享文件的动作、所访问的共享文件及其路径、访问共享文件的时间以及管理员登录本系统的日志，管理员配置本地用户访问共享文件的权限。
综上所述，本发明实施例至少可以实现如下效果：
在本发明实施例中，用户无需在文件服务器或域控制器上为本地账户或域账户设置共享文件的具体访问权限，只需要在服务器上设置完全访问权限，共享文件所有具体的访问权限可以在系统的管理端界面上直接点击鼠标即可完成设置，具有界面直观、设置快捷简单，效率高等特点，适合所有层次网络管理人员使用。
在本发明实施例中，管理员无需在用户和文件服务器上架设代理服务器的方式访问共享文件，从而一方面节省了开支，使得用户另行采购和安装代理服务，减少了工作量；另一方面，由于用户和文件服务器之间不经过代理服务器的中转和过滤，从而可以实现线速访问，避免了频繁中转造成的共享文件访问速度变慢、延迟现象，最大限度保证了共享文件访问效率。此外，也可以避免因为加装了代理服务器而可能引发的单点故障风险。
在本发明实施例中，系统通过管理端和客户端的协同配合，可以实现最为精细的共享文件访问权限控制。目前，独家实现了只让读取共享文件而禁止复制共享文件内容、只让打开共享文件而禁止另存为本地磁盘、只让修改共享文件而禁止删除共享文件，以及禁止拖动共享文件、禁止打印共享文件的行为，极大地保护了共享文件的安全，防止用户随意访问共享文件而引发的泄密风险。此外，通过管理端和客户端的协同配合、实时验证功能，可以防止未经授权的用户随意接入单位内网访问共享文件的行为，进一步保护了共享文件的安全。
在本发明实施例中，通过系统客户端和管理端的协同配合，管理端可以实时监测客户端在访问共享文件时所采用的第三方工具软件，若非许可的工具，则管理端可以提供集成的“访问许可”功能，实时指令客户端将其关闭，可以实现禁止用户采用第三方软件访问共享文件的行为，从而避免了共享文件的越权访问行为，保护了共享文件的安全。
在本发明实施例中，通过客户端和管理端的协同配合，管理端可以通过系统集成的“绑定认证”功能，可以对用户进行ip和mac地址以及登录账户的多重绑定功能，一旦客户端电脑随意修改自己电脑的ip地址或mac地址，系统将拒绝其访问共享文件的行为，从而保护了共享文件的安全。
在本发明实施例中，系统通过客户端和管理端的实时联动功能，使得用户可以在管理端进行个性化的用户访问权限扩展设置功能，并可以实时传递给客户端，从而实现了个性化、可扩展的共享文件访问权限设置，可以满足用户持久的、个性化的共享文件访问权限管理。
在本发明实施例中，对共享文件访问日志进行记录，便于事后备查和审计
最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。