TW201227395A - Cloud data security controlling system and method - Google Patents

Description

201227395 六、發明說明： 【發明所屬之技術領域】 [_1]本發明涉及一種資料安全管控系統及方法，尤其是關於 一種雲資料安全管控系統及方法。 [0002] [0003] [0004] 099145253 【先前技#ί】 雲什异（clouci computing)是一種基於互聯網的運算 方式，透過這種方式，軟硬體資源和:#料可以在網路設 備之間共用。所謂雲計算環境，其實就是網路環境的一 種比喻說法。在雲計算環财，運㈣將軟硬體資源和 資料儲存在伺服器中，用戶可以透職覽器或其他網路 服務獲取資訊。根據❹權限的設置，#計算環境可以 分為公有雲及私有雲兩種。公有雲是指透賴路提供企 業卜P客戶可擴充且彈性的服務，此類服務可能為免費 或成本低廉。而私有雲則以企業内部客戶為服務物件，、 大夕應用於止業内部，且—般構建在企業的防火腾後。 私有雲儲存的資訊大多涉及金業機密，例如企業内部人 事關係、銷售資料、財務報表及客戶資料等。因此，對 私有=的安全管控顯得極為重要。目前，構建在企業的 防火後的私有雲—般以用戶⑻也址或用戶帳號及密碼 供的資訊進行訪問許可權管控。其不足之處 侵者可能透過偽裝合法用戶的 = 畨碼犬破防火踏的安全防線。 戶及 【發明内容】 馨於以上内容’有必要提供 方法，可以強化私有*^ a資料女全管控系統及 4安全管趁，更有效地防範入侵 表單.编號ΛΟ]〇ι 苐4頁/共J9頁 099207803 201227395 者的攻擊。 [0005] 一種雲資料安全管控系統，應用於私有雲伺服器，企業 内部用戶端設備透過内部網路訪問該私有雲伺服器，該 私有雲伺服器儲存有私有雲資料，各企業内部用戶端設 備安裝有全球定位系統。該雲資料安全管控系統包括：

D G [0006] 設置模組、儲存模組、接收模組及驗證模組。設置模組 用於設置對私有雲資料具有訪問許可權的内部用戶端設 備的經緯度座標範圍。儲存模組用於將設置的經緯度座 標範圍儲存至私有雲伺服器。接收模組用於接收一個用 戶端設備訪問私有雲資料的請求。驗證模組用於檢查該 用戶端設備訪問私有雲資料的驗證資訊是否合法，包括 該用戶端設備當前的經緯度座標是否落入設置的經緯度 座標範圍内，該用戶端設備的IP位址、帳號及密碼是否 為私有雲伺服器分配給内部用戶端設備的IP位址、帳號 及密碼。若有任意一項驗證資訊不合法，則驗證模組拒 絕該用戶端設備訪問私有雲資料；若所有驗證資訊都合 法，則驗證模組判斷該用戶端設備為企業内部用戶端設 備，允許該用戶端設備訪問私有雲資料。

一種雲資料安全管控方法，應用於私有雲伺服器，企業 内部用戶端透過内部網路訪問該私有雲伺服器，該私有 雲伺服器儲存有私有雲資料，各企業内部用戶端設備安 裝有全球定位系統。該方法包括：（A)設置對私有雲資 料具有訪問許可權的内部用戶端設備的經緯度座標範圍 ;(B)將設置的經緯度座標範圍儲存至私有雲伺服器； (C)接收一個用戶端設備訪問私有雲資料的請求；（D 099145253 表單編號A0101 第5頁/共19頁 0992078034-0 201227395 )檢查該用戶端設備訪問私有雲資料的驗證資訊是否合 法，包括該用戶端設備當前的經緯度座標是否落入設置 的經緯度座標範圍内，該用戶端設備的Ip位址、帳號及 密碼是否為私有雲伺服器分配給内部用戶端設備的IP位 址、帳號及密碼；及（E)若有任意一項驗證資訊不合法 ，則拒絕該用戶端設備訪問私有雲資料，若所有驗證資 訊都合法，則判斷該用戶端設備為企業内部用戶端設備 ’允許該用戶端設備訪問私有雲貢料。 [0007] 相較於習知技術，本發明所提供之雲資料安全管控系統 及方法結合請求訪問私有雲資料的用戶端設備當前的經 緯度座標資訊及其它許可權管控資料對該用戶端設備進 行多重驗證，強化了私有雲的安全管控，更有效地防範 入侵者的攻擊。 【實施方式】 [0008] 參閱圖1所示，係本發明雲資料安全管控系統100較佳實 施例之應用環境圖。該雲資料安全管控系統100應用於私 有雲伺服器10。該私有雲伺服器10儲存有私有雲資料， 例如企業内部人事關係、薪資架構、銷售資料、財務報 表及客戶資料等企業内部資訊。該私有雲伺服器10架設 在防火牆30之後，企業的内部用戶端設備20透過内部網 路訪問私有雲伺服器10儲存的私有雲資料。防火牆30用 於抵禦外部用戶端設備50透過外部網路40對私有雲發起 的攻擊。 [0009] 私有雲伺服器1 0還用於給各内部用戶端設備20分配IP位 址，訪問私有雲資料的帳號及密碼，並根據IP位址或帳 099145253 表單編號A0101 第6頁/共19頁 0992078034-0 201227395 [0010] ❹ [0011] ❹ [0012] 號及密碼設定内部用戶端設備2 0對私有雲資料具有不同 等級的訪問許可權。 其中，每一個企業的内部用戶端設備20安裝有全球定位 系統（global positioning system，GPS) ’ 用於定 位各内部用戶端設備20當前所處位置的經緯度座標。當 私有雲伺服器1 〇接收到用戶端（内部用戶端或外部用戶 端）設備的訪問請求時，結合用戶端當前的經緯度座標 資訊及其它許可權管控資料（例如IP位址、用戶帳號及 密碼等）對該用戶端進行多重驗證。若該用戶端有任意 一項驗證失敗，則私有雲伺服器10拒絕該用戶端設備的 訪問請求。若用戶端設備當前的經緯度座標資訊及其它 許可權管控資料均透過驗證，則私有雲伺服器10允許該 用戶端設備訪問私有雲資料。 參閱圖2所示，係本發明雲資料安全管控系統100較佳實 施例之功能模組圖。該雲資料安全管控系統100包括設置 模組110、儲存模組120、接收模組130及驗證模組140。 模組110至140的程式化代碼儲存於私有雲伺服器10的儲 存器150，私有雲伺服器10的處理器160執行這些程式化 代碼，實現雲資料安全管控系統100提供的上述功能。私 有雲伺服器10還儲存有電子地圖170，該電子地圖170可 以顯示地理位置的經緯度座標資訊。 設置模組110用於設置對私有雲資料具有訪問許可權的内 部用戶端設備20的經緯度座標範圍。設置經緯度座標範 圍可以參考電子地圖170上顯示的使用私有雲的企業的建 築物（例如廠房、寫字樓等）所覆蓋範圍的經緯度座標 099145253 表單編號A0101 第7頁/共19頁 0992078034-0 201227395 資訊。如圖4所示，電子地圖1 7 0上顯示的使用私有雲的 企業“H company”的建築物所覆蓋範圍為由“A、B、C 、D”四個位置點構成的四邊形區域，企業内部用戶端設 備20的經緯度座標均落入該四邊形區域所覆蓋的經緯度 座標範圍内。設置模組110還用於設置内部用戶端設備20 對私有雲資料具有不同等級的訪問許可權。 [0013] 儲存模組120用於將設置的經緯度座標範圍及不同等級的 訪問許可權儲存至儲存器150。 [0014] 接收模組130用於接收用戶端設備訪問私有雲資料的請求 〇 [0015] 驗證模組140用於檢查該用戶端設備訪問私有雲資料的驗 證資訊是否合法，包括該用戶端設備當前的經緯度座標 是否落入設置的經緯度座標範圍内，該用戶端設備的IP 位址、帳號及密碼是否為私有雲伺服器10分配給内部用 戶端設備20的IP位址、帳號及密碼。若有任意一項驗證 資訊不合法，則驗證模組140拒絕該用戶端設備訪問私有 雲資料；若所有驗證資訊都合法，則驗證模組140判斷該 用戶端設備為企業内部用戶端設備20，允許該用戶端設 備訪問相應的私有雲資料。 [0016] 驗證模組140可以先檢查該用戶端設備當前的經緯度座標 資訊，若當前的經緯度座標落入設置的經緯度座標範圍 内，再檢查該用戶端設備的IP位址，若IP位址也合法， 再進一步要求該用戶端用戶輸入帳號及密碼進行驗證。 驗證模組140也可以先檢查該用戶端設備的IP位址是否合 099145253 表單編號A0101 第8頁/共19頁 0992078034-0 201227395 [0017] Ο [0018] [0019] 〇 法，再檢查該用戶端設備當前的經緯度座標資訊是否落 入設置的經緯度座標範圍内，若當前的經緯度座標落入 設置的經緯度座標範圍内，再進一步要求該用戶端設備 輸入帳號及密碼進行驗證。 參閱圖3所示，係本發明雲資料安全管控方法較佳實施例 之流程圖。需要說明的是，圖3中步驟的執行順序可以改 變，例如驗證請求訪問私有雲資料的用戶端設備的當前 經緯度座標、IP位址、帳號及密碼的順序可以調整。 步驟S301，在對私有雲資料具有訪問許可權的所有内部 用戶端設備20上安裝全球定位系統（global positioning system ， GPS) 〇 步驟S303，設置模組110設置具有訪問私有雲資料的用戶 端設備的經緯度座標範圍，儲存模組120將設置的經緯度 座標範圍儲存至儲存器150。設置經緯度座標範圍可以參 考電子地圖170上顯示的使用私有雲的企業的建築物（例 如廠房、寫字樓等）所覆蓋範圍的經緯度座標資訊。如 圖4所示，電子地圖170上顯示的使用私有雲的企業“H company”的建築物所覆蓋範圍為由“A、B、C、D”四 個位置點構成的四邊形區域，企業内部用戶端設備20的 經緯度座標均落入該四邊形區域所覆蓋的經緯度座標範 圍内。 [0020] [0021] 步驟S305，接收模組130接收用戶端設備訪問私有雲資料 的請求。 步驟S307，驗證模組140請求該用戶端設備發送當前的經 099145253 表單編號A0101 第9頁/共19頁 0992078034-0 201227395 緯度座標資訊。 [0022] 步驟S309，驗證模組140檢查是否收到該用戶端設備發送 的當前的經緯度座標資訊。若未收到該用戶端設備發送 的當前的經緯度座標資訊，則流程進入步驟S311，驗證 模組140判斷該用戶端設備不是企業内部用戶端設備20， 拒絕該用戶端設備訪問私有雲伺服器10儲存的私有雲資 料。之後流程結束。若驗證模組140收到該用戶端設備發 送的當前的經緯度座標資訊，則流程進入步驟S31 3。 [0023] 步驟S313，驗證模組140檢查該用戶端設備當前的經緯度 座標資訊是否落入設置的經緯度座標範圍内。若該用戶 端設備當前的經緯度座標資訊落入設置的經緯度座標範 圍之外，則流程進入步驟S311。若該用戶端設備當前的 經緯度座標資訊落入設置的經緯度座標範圍内，則流程 進入步驟S315。 [0024] 步驟S315，驗證模組140檢查該用戶端設備的其他驗證資 訊是否合法，例如該用戶端設備的IP位址、帳號及密碼 是否為私有雲伺服器1 0分配給内部用戶端設備2 0的IP位 址、帳號及密碼。若任意其他驗證資訊不合法，例如IP 位址不合法，或者帳號及密碼不合法，則流程進入步驟 S311。若所有其他驗證資訊都合法，則流程進行步驟 S31 7，驗證模組140判斷該用戶端設備為企業内部用戶端 設備20，根據該内部用戶端設備20的訪問許可權允許該 用戶端設備訪問私有雲伺服器10儲存的相應私有雲資料 099145253 表單編號A0101 第10頁/共19頁 0992078034-0 201227395 [0025] 最後應說明的是，以上實施方式僅用以說明本發明的技 術方案而非限制，儘管參照較佳實施方式對本發明進行 了詳細說明，本領域的普通技術人員應當理解，可以對 本發明的技術方案進行修改或等同替換，而不脫離本發 明技術方案的精神和範圍。 【圖式簡單說明】 [0026] 圖1係本發明雲資料安全管控系統較佳實施例之應用環境 圖。 Q [0027] 圖2係本發明雲資料安全管控系統較佳實施例之功能模組 圖0 [0028] 圖3係本發明雲資料安全管控方法較佳實施例之流程圖。 [0029] 圖4係電子地圖上顯示的私有雲合法用戶端經緯度座標之 示意圖。 / 【主要元件符號說明】 [0030] 私有雲伺服器：10 [0031] 内部用戶端設備：20 [0032] 防火牆：30 [0033] 外部網路：40 [0034] 外部用戶端設備：50 [0035] 雲資料安全管控系統：100 [0036] 設置模組：110 [0037] 儲存模組：120 099145253 表單編號A0101 第11頁/共19頁 0992078034-0 201227395 [0038] 接收模組：130 [0039] 驗證模組：140 [0040] 儲存器：150 [0041] 處理器：160 [0042] 電子地圖：170 0992078034-0 099145253 表單編號A0101 第12頁/共19頁

Claims (1)

1. 201227395 七、申請專利範圍： 1 . 一種雲資料安全管控系統，應用於私有雲伺服器，企業内 部用戶端設備透過内部網路訪問該私有雲伺服器，該私有 . 雲伺服器儲存有私有雲資料，各企業内部用戶端設備安裝 有全球定位系統，該雲資料安全管控系統包括： 設置模組，用於設置對私有雲資料具有訪問許可權的内部 用戶端設備的經緯度座標範圍； 儲存模組，用於將設置的經緯度座標範圍儲存至私有雲伺 ^ 服器； 接收模組，用於接收一個用戶端設備訪問私有雲資料的請 求； 驗證模組，用於檢查該用戶端設備訪問私有雲資料的驗證 資訊是否合法，包括該用戶端設備當前的經緯度座標是否 落入設置的經緯度座標範圍内，該用戶端設備的IP位址、 帳號及密碼是否為私有雲伺服器分配給内部用戶端設備的 IP位址、帳號及密碼，若有任意一項驗證資訊不合法，則 拒絕該用戶端設備訪問私有雲資料，若所有驗證資訊都合 法，則判斷該用戶端設備為企業内部用戶端設備，允許該 用戶端設備訪問私有雲資料。 2 .如申請專利範圍第1項所述之雲資料安全管控系統，該私 有雲伺服器還儲存有電子地圖，所述設置模組設置經緯度 座標範圍係參考電子地圖上顯示的使用私有雲的企業的建 築物所覆蓋範圍的經緯度座標資訊。 3 .如申請專利範圍第1項所述之雲資料安全管控系統，所述 設置模組還用於設置内部用戶端設備對私有雲資料具有不 099145253 表單編號A0101 第13頁/共19頁 0992078034-0 201227395 同等級的訪問許可權- 4 .如申請專利範圍第1項所述之雲資料安全管控系統，所述 驗證模組先檢查該用戶端設備當前的經緯度座標資訊，若 當前的經緯度座標落入設置的經緯度座標範圍内，再檢查 該用戶端設備的IP位址，若IP地址也合法，再進一步要 求該用戶端設備輸入帳號及密碼進行驗證。 5 .如申請專利範圍第1項所述之雲資料安全管控系統，所述 驗證模組先檢查該用戶端設備的IP位址是否合法，若IP 位址合法，再檢查該用戶端設備當前的經緯度座標資訊是 否落入設置的經緯度座標範圍内，若當前的經緯度座標落 入設置的經緯度座標範圍内，再進一步要求該用戶端設備 輸入帳號及密碼進行驗證。 6 . —種雲資料安全管控方法，應甩於私有雲伺服器，企業内 部用戶端透過内部網路訪問該私有雲伺服器，該私有雲伺 服器儲存有私有雲資料，各企業内部用戶端設備安裝有全 球定位系統，該方法包括： 設置對私有雲資料具有訪問許可權的内部用戶端設備的經 緯度座標範圍； 將設置的經緯度座標範圍儲存至私有雲伺服器； 接收一個用戶端設備訪問私有雲資料的請求； 檢查該用戶端設備訪問私有雲資料的驗證資訊是否合法， 包括該用戶端設備當前的經緯度座標是否落入設置的經緯 度座標範圍内，該用戶端設備的IP位址、帳號及密碼是否 為私有雲伺服器分配給内部用戶端設備的IP位址、帳號及 密碼； 若有任意一項驗證資訊不合法，則拒絕該用戶端設備訪問 099145253 表單編號 A0101 第 14 頁/共 19 頁 0992078034-0 201227395 私有雲資料，若所有驗證資訊都合法，則判斷該用戶端設 備為企業内部用戶端設備，允許該用戶端設備訪問私有雲 資料。 如申請專利範圍第6項所述之雲資料安全管控方法，該私 有雲伺服器還儲存有電子地圖，設置經緯度座標範圍係參 考電子地圖上顯示的使用私有雲的企業的建築物所覆蓋範 圍的經緯度座標資訊。 Ο 如申請專利範圍第6項所述之雲資料安全管控方法，該方 法還包括步驟設置内部用戶端設備對私有雲資料具有不同 等級的訪問許可權。 如申請專利範圍第6項所述之雲資料安全管控方法，該方 法先檢查該用戶端設備當前的經緯度座標資訊，若當前的 經緯度座標落入設置的經緯度座標範圍内，再檢查該用戶 端設備的IP位址，若IP地址也合法，再進一步要求該用 戶端設備輸入帳號及密碼進行驗證。 ίο . ❹ 如申請專利範圍第6項所述之雲資料安全管控方法，該方 法先檢查該用戶端設備的IP位址是否合法，若IP位址合 法，再檢查該用戶端設備當前的經緯度座標資訊是否落入 設置的經緯度座標範圍内，若當前的經緯度座標落入設置 的經緯度座標範圍内，再進一步要求該用戶端設備輸入帳 號及密碼進行驗證。 099145253 表單編號A0101 第15頁/共19頁 0992078034-0