◆王飞平 施可著

（1.衢州职业技术学院 设备与实训管理中心（信息中心）浙江 324000；2.格力电器（杭州）有限公司生产科 浙江 311200）

传统的服务器数据保护方式比较单一，主要包括透明加密与访问控制[1]，该方式不关注电子文档本身的内容信息。随着电子文档格式愈来愈多，安全泄密事件屡见不鲜的情况下，人们开始更加注重文档内容本身是否包含敏感信息。以往一刀切的加密或粗力度的强访问控制方式在实际的数据流通中带来了诸多不便，因此针对文档内容精准管控的需求应运而生。有的方案通过正则表达式匹配内容[2]，该方式存在匹配简单的优点，但也存在面临大量模式匹配性能不足的问题。鉴于此，本文在深入研究已存在DLP[3]系统的基础上提出一种基于ETW 内核技术[4]与Aho-Corasick 算法[5]结合的高性能PDF 内容实时监控系统。该系统工作在操作系统内核层，其基于内核层面的缓冲和日志记录机制实现，极大地保证了Windows Server 上的实现性能。终端主机一般部署Minifilter 等文件过滤框架，在服务器上容易发生蓝屏、死机等情况，影响服务器上的实际使用。ETW 监控框架与以往过滤驱动监控框架最大的不同在于其是Windows Server Kernel 自带组件的监控技术，保证了技术向后兼容性与自身的稳定性。因电子文档格式繁多，本文选择常用的PDF 格式论证该系统的实用性与可行性。

1 ETW 文件监控原理

Event Tracing for Windows（ETW）是Windows 操作系统提供的内核级事件跟踪机制，具有低CPU 占用高性能、完全异步的特点，即使在应用程序crash 情况下，监控事件也会被记录在内核中。……