（1）窃密者可以在合法用户不在场的情况下，利用USB存储设备快速地将个人隐私、国家机密或商业敏感信息取走，并且不会留下痕迹；

　　（2）合法用户的违规操作和逾权动作可以把USB存储设备作为中转媒；

　　（3）USB存储设备可作为病毒载体以及开机钥匙等。上述安全隐患都对主机安全构成了较大威胁。因此，对USB存储设备的安全实施监控具有重要意义。目前很多保密单位在物理上禁用USB端口，这会给用户带来很多不便。而一些基于用户态的USB存储设备监控软件很容易被病毒、木马等恶意程序绕过，无法完成有效、实时的监控。本文采用基于驱动层的技术实现其主要的监控功能，相对应用层，更加安全和稳定。

　　二、国内外研究情况

　　1、Linux操作系统：

　　因其具有源码开放，稳定，可靠。安全等显著优点。在电子政务中得到了广泛应用。此类应用的安全性要求较高，特别是内部网。据统计，80%的安全事件来自内部网。其中USB接口是内部网络信息泄密的一个重要途径由于USB设备种类众多且使用广泛。仅仅简单地禁用USB接口会使其他的USB设备（如USB鼠标、USB键盘、ikey等）无法正常使用，给用户带来很多不便。文中在Linux环境下实现了一个分布式USB设备监控系统。可以根据管理员制定的安全策略分类禁用USB设备。以便管理员对网络中各主机的USB设备进行细粒度的管理。该系统的主要功能是以内核模块的形式实现的相对于应用层程序而言。其可靠性高并且很难被用户破解。

　　2、USB监控基本情况：

　　Linux的USB子系统分为USB客户软件、USB核心层和主控制器驱动程序3个层次。

　　USB客户软件是特定设备驱动程序的主机部分。主要完成设备功能驱动，为了和设备正常通信，它通过10请求包（IRP。I/ORequestPacket）向USB内核发出数据接收或发送请求。USB内核则为客户端驱动程序层和主机控制器驱动函数提供了一套函数集。HCD（HostControllerDriver）与主机控制器合作完成USB各种事务处理[”对于USB设备的所有操作都是通过向USB设备发送相应的IRP完成的。本系统将拦截所有发给USB设备的IRP并对其中的内容进行分析。得到USB设备的设备类型，如存储类设备、USB集线器类设备或者厂商自定义设备等。然后根据安全策略文件来决定是否允许这个设备使用。USB设备监控系统中的关键问题是IRP拦截。判断设备类型以及对厂商自定义类设备的管理。

　　3、IRP拦截技术：

　　为了实现数据传输。USB内核提供了一个数据结构称为URB（USBRequestBlock）。一个URB由执行任何一个USB事务信息、分发数据信息和回传的状态信息组成。URB中具有USB数据传输的所有信息，包括传输类型、传输方向、数据缓存区、数据传输的设备、端点、返回信息及指向传输完成的处理函数的指针。从图l中可以看出。所有的USB设备I/O请求最终都由总线提交函数usbmit_ttrb（structurb*urb）发送到USB总线上。因此可以通过拦截usb_submiturb函数。对所有的URB数据包进行分析的方法来实现对USB设备的控制。目前。Linux（所支持的主控制器主要有OHC（OpenHostController）和UHC（UniversalHostController）种控制器的驱动程序分别是ohci。0和uhci。o。usbsubruiturb函数就是由这两个模块提供的一般情况下。一台计算机只有一种控制器。Linux考虑了有多种控制器的可能性并为将来扩展更多的控制器提供了方便。

　　因此，拦截usbsubmiturb函数就是要拦截内核模块的导出函数。Linux采用整体式内核结构。如果要对内核功能进行修改或充。必须重新编译整个内核。这给扩展内核功能带来诸多不便。因此。Linux提供了一种新的机制：动态可加载内核模块内核模块将一些需要扩展的功能先单独编译成一组目标代码。该代码是核心的一分。但并没有编译到内核里面去。可以根据需要在系统启动后动态地加载到系统核心中。当模块不再需要时，可以动态地从系统核心卸载。核心符号表中维护着一个核心资源链表。在加载模块时。它能够解析出模块中对核心资源的引用某个模块对其他模块的服务或资源的需求类似于模块对核心本身资源或服务的请求。不过此时所请求的服务是来自另外一个已加载的模块每当加载模块时核心将把该加载模块输出的所有资源和符号添加到核心符号表中21核心符号表中包含模块导出函数名、变量的名字和其相应的地址通过更改函数地址值的方法可以对函数调用进行拦截。