CN101458666A - 一种数据访问控制方法 - Google Patents

Abstract

本发明公开了一种数据访问控制方法和系统，将数据存储区域分为受控制访问区和非受控制访问区，结合进程访问管理，既对重要数据严格保护、避免泄露，又不影响用户自由处理非重要数据。

Description

一种数据访问控制方法

技术领域

本发明涉及电子信息领域，具体涉及一种保护电子数据的访问控制方法。

背景技术

随着手机、计算机等各种电子设备，各种电子外设包括移动存储设备，以及互联网的发展，出现了大量的电子信息数据，简称为数据，其中分为重要数据和非重要数据两类。重要数据包括对于个人、组织、社会甚至国家的隐私、财产、商业机密、电子资产、安全信息等数据。重要数据很容易通过各种访问方式泄密流失。如何防止重要数据泄密成为一个问题。

目前，电子设备(简称为设备)通常包括一操作系统，数据在设备的存储设备中结构化存储，其形式通常包括数据库系统，文件系统等(数据库在存储设备中的存储也往往表现为一个或若干文件的形式)。管理数据的文件系统或数据库系统通常采用针对用户的访问权限控制机制，控制到访问、读、写、删除等操作的权限。而用户一旦拥有了这些权限，则可以不受限制地传播和复制数据，带来主动泄密的可能性。

目前针对数据的访问控制，已经研究形成了一些解决方法，按其采用的核心技术大致可分为以下几类：

外部设备及网络协议控制。俗称“防水墙”，在设备上安装终端代理系统，在设备级别监控并禁用设备的U盘、刻录机、红外、蓝牙以及1394等外部设备，并且对网络进行严格的访问控制，从“堵口”的角度防止数据外泄。其缺点是：须一直封堵所有的外部设备出口和网络出口，在堵的同时也造成了用户无法正常使用设备，牺牲了可用性。

针对文件系统的进行文件格式转换的控制。在设备上由文件作者将文件手动加密成指定的文件格式，同时向文件添加相应的访问权限标识，并上传到指定的网络文件服务器上与组织内其它用户共享。用户将文件再下载到本地，利用专用的阅读器读取加密的文件并可以受到文件权限的控制。其缺点是：需要将所有的涉密文件转换格式，用户需要通过专门的工具来进行转换和阅读，对用户使用习惯有较大改变。

针对文件系统的进行特定类型文件加密的控制。通过对企业的涉及重要数据的文件类型(例如Office、PDF、wps、AutoCAD、Pro/E、SolidWork等的数据文件的类型)进行数据加密，使所有脱离了企业网络的内部环境的电子设备无法读取和使用数据文件，从而实现批量重要数据的严格加密。缺点是：强制将指定文件类型或者某些应用程序产生的文件加密，不区分文件是否涉及重要数据。

针对数据库存储的，目前通常是用户权限管理，用户身份认证，用户一旦获得访问权限，则很难控制数据的复制，流失。

发明内容

本发明的第一目的在于，提供了一种在尽量不改变用户使用习惯的前提下，既可以授权用户读、写使用重要数据，又能够避免因授权带来的主动泄密的可能性，同时又不影响用户处理非重要数据的访问控制方法。

本发明通过：分离重要数据和非重要数据的存储空间，建立一受控制访问数据存储区域，将重要数据保存在受控制访问区中，非重要数据保存在非受控制访问区；在进程级别，控制进程对受控制访问区的读、写访问，一旦进程获得访问受控制访问区的数据的权限，则严格控制该进程对数据传播，仅允许该进程在受控制访问区内读写数据，禁止其向其他数据存储区或者其他设备发送数据，从而达到管理重要数据的目的。

具体的，本发明的上述目标是通过以下解决方法实现的：

一种数据访问控制方法，有一系统，有若干进程，有一数据存储区域，有若干数据进出口管道。数据存储区域分为受控制访问区和非受控制访问区。系统具有一进程访问管理列表，在进程访问管理列表中的进程为受监控进程，不在进程访问管理列表中的进程为非受监控进程。系统还具有一访问规则列表，包括若干访问规则。系统有一进程访问管理器，进程访问管理器根据进程访问管理列表的受监控进程和非受监控进程，以及根据访问规则列表中的规则，管理进程对数据存储区域的受控制访问区和非受控制访问区数据读、写访问，以及管理进程对数据进出口管道的数据读、写访问。进程访问管理器对进程的写受控制访问区的访问进行截获，将写入的数据进行加密后存储，进程访问控制器对进程的读受控制访问区的访问进行截获，将读取的数据进行解密后发给进程。

其中数据存储区域中的数据根据数据访问索引目录进行存储管理；受控制访问区为系统数据访问索引目录中一子集所管理的数据存储区；非受控制访问区为除受控制访问区之外的其他的数据存储区；当进程访问的数据的索引标识在受控制访问区的系统数据访问索引目录中，则进程访问受控制访问区。目前通常的做法是，数据访问索引目录为文件目录；数据的索引标识为一个或多个包括目录的文件名。受控制访问区可以为连续的一个存储区，也可以为不连续的若干存储区。另外，一个极端的情况是，系统的数据存储区全部是受控制访问区，则此时，系统的所有数据均被保护。

进程访问管理器管理进程访问管理列表具有两种模式。

模式一：系统的进程访问管理器监控进程对数据存储区域的访问请求，当进程访问受控制访问区，系统自动将该进程注册在进程访问管理列表中成为受监控进程；当该进程结束时，系统自动将该进程从进程访问管理列表中注销。进程访问管理器通过进程在操作系统中的标识编号，或者包括进程的名称，来识别进程，进行登记管理。进程访问管理器根据进程访问管理列表的受监控进程，以及根据访问规则列表中的规则，管理系统中的进程对数据存储区域的读、写访问，以及管理进程对数据进出口管道的数据读、写访问。其中系统的访问规则列表的规则包括了进程访问管理器禁止受监控进程对非受控访问区进行数据写访问；进程访问管理器允许受监控进程对非受控访问区进行数据读访问；进程访问管理器允许受监控进程对受控访问区进行数据读访问、数据写访问；进程访问管理器禁止受监控进程对进出口管道进行数据写访问；进程访问管理器允许受监控进程对进出口管道进行数据读访问；进程访问管理器允许非受监控进程对非受控访问区进行数据读访问、数据写访问；进程访问管理器允许非受监控进程对受控访问区进行数据读访问、数据写访问(访问后该进程立刻自动转为受监控进程)；进程访问管理器允许非受监控进程对进出口管道进行数据读访问、数据写访问。

模式二：进程访问管理器根据进程访问管理列表中预定义的受监控进程，管理系统中的进程对受控制访问区和非受控制访问区的数据读、写访问，在进程访问管理列表中的受监控进程可以读、写受控访问区中的数据；不在进程访问管理列表中的非受监控进程不可以读、写受控访问区中的数据。系统还具有访问受控状态和访问非受控状态，系统的访问受控状态通过用户认证登录进行验证，当用户认证登录成功，系统进入访问受控状态；当用户认证登录退出，系统进入非访问受控状态。在访问受控状态下，进程访问管理列表中的受监控进程可以读、写受控制访问区中的数据；进程访问管理列表中的受监控进程可以读取、不可以写入非受控制访问区中的数据；进程访问管理列表中的受监控进程可以对进出口管道进行数据读访问，不可以写访问；不在进程访问管理列表中的非受监控进程不可以读、写受控制访问区中的数据；不在进程访问管理列表中的非受监控进程可以读、写非受控制访问区中的数据；不在进程访问管理列表中的非受监控进程可以对进出口管道进行数据读、写访问。在非访问控制状态下，所有进程禁止读、写受控制访问区中的数据；所有进程允许读、写非受控制访问区中的数据；所有进程允许对进出口管道进行数据读、写访问。其中，进程访问管理器通过进程在操作系统中的存储位置，进程文件名称，或者包括对进程文件本身进行校验码预登记以及验证，来识别进程，进行监控管理。

本发明的另一目的在于提出一种具有本发明的数据访问控制功能的设备，设备具有一中央处理器，一数据存储区，若干数据进出口管道、一操作系统，一进程访问管理器、一访问规则列表、运行若干进程。设备的数据存储区分为受控制访问区和非受控制访问区；访问规则列表中包括若干访问规则。设备的数据存储区域和数据进出口管道在操作系统中表现为逻辑物理设备，系统中的进程通过驱动程序接口对逻辑物理设备进行读、写数据操作；进程访问管理器模块具有一驱动管理过滤模块，通过截获进程对逻辑物理设备驱动接口的访问，进行访问控制管理。进程访问管理器根据进程对受控制访问区和非受控制访问区的访问状态，以及根据访问规则列表中的规则，管理设备中的进程对数据存储区域的读、写访问，以及管理进程对数据进出口管道的数据读、写访问。其中，设备的数据存储区可以包括硬盘，移动存储器、虚拟数据存储区，网络数据存储区，可擦写光盘，磁带机等。

对于进程访问管理器管理进程访问管理列表的两种模式，如果采用模式二，则设备还包括一触发装置，触发装置为一使用用户身份辨识系统，使系统在访问控制状态和非访问控制状态之间进行切换，用户身份得到确认，则进入访问控制状态。

附图说明

图1是设备示意系统框架图

图2是系统实现框架图

图3是数据存储区访问流程图

图4是进出口管道访问流程图

图5是具有访问控制状态的数据存储区访问流程图

图6是具有访问控制状态的进出口管道访问流程图

图7是一智能手机上保护照片数据的示例图。

图8是一在计算机上保护Word文件的示例图。

图9是一在计算机上保护访问数据库数据的示例图。

具体实施方法

下面结合附图和具体实施例对本发明进行更详细的描述。

图1示出了本发明的设备示意系统框架图。从图1可以看出，本发明的设备101主要是由操作系统102、存储设备104以及一系列物理接口116、117、118组成。这样的设备可以是手机、MP4、PDA等基于嵌入式操作系统的电子设备，也可以是计算机、移动上网设备MID(Mobile InternetDevice)等基于复杂操作系统的电子设备。其中，操作系统102的底层是存储逻辑设备驱动107和一系列进出口管道驱动113、114、115，操作系统102的高层运行的是一系列应用程序和系统程序的进程110、111、112，在操作系统102的高层和操作系统102的底层之间是本发明的进程访问管理器103。进程访问管理器103包含进程访问规则列表105和进程访问监控表106。存储设备104被系统划分为受控制存储区108和非受控制存储区109。一系列物理接口116、117、118连接的可以是移动存储设备、刻录机、红外、蓝牙、1394、打印机等外部设备。进程110、111、112对存储设备104的数据存储访问是通过进程访问管理器103，根据进程访问管理器的进程访问规则列表和进程访问监控表控制过滤后调用存储逻辑设备107驱动访问存储设备104，进程110、111、112对物理接口116、117、118的数据访问是通过进程访问管理器103，根据进程访问管理器的进程访问规则列表和进程访问监控表控制过滤后调用相应的管道113、114、115驱动访问物理接口116、117、118。

图2示出了本发明的实现框架图。从图2可以看出，操作系统201中存在一个进程A202、一个进程访问管理器203、一个存储逻辑设备214和若干管道209、210。进程访问管理器203在进程A202与存储逻辑设备和管道209、210之间，根据进程访问规则列表204和进程访问监控表205，进程访问管理器203控制进程A202对逻辑存储设备214和管道209、210的访问。进程访问管理器203采用了一存储过滤管理层206和管道过滤管理层207、208，存储过滤管理层206和管道过滤管理层207、208拦截进程A202的数据访问请求，并报告给进程访问管理器，进程访问管理器依据进程访问监控表205判定进程A202是受监控进程还是非受监控进程，以及进程访问规则列表204中的规则，允许或阻止进程A202的数据访问请求进一步调用底层的存储逻辑设备驱动214(硬盘逻辑设备驱动211、USB移动硬盘逻辑设备驱动212或网络虚拟映射逻辑硬盘驱动213)或管道驱动209、210读、写数据。

举例来说，在Windows操作系统中，进程访问存储逻辑设备和管道，都是通过IRP请求，包括IRP_MJ_CREATE打开一文件，IRP_MJ_READ读操作，IRP_MJ_WRITE写操作等操作，通过存储器驱动程序访问数据存储区；存储过滤管理层206可以通过常见的Windows下的存储过滤驱动程序技术实现；管道过滤管理层207、208可以通过Windows下常见的过滤驱动程序技术实现。通过过滤拦截进程A202的IRP访问，进程管理器判断IRP访问请求中的访问参数，包括访问的数据的文件目录和名称，IRP的读写类型，结合进程访问管理器的进程访问规则和进程访问监控表，确定访问的合法性；如果访问合法，则将该IRP请求发送给下面的驱动程序继续执行；如果访问不合法，则阻断IRP执行请求，返回失败。这样进程访问管理器203可以对进程A的数据读、写访问进行控制。

以Linux操作系统举例，Linux操作系统开放源代码，存储过滤管理层206可以通过修改操作系统提供的系统函数的函数指针，接管Linux系统中的文件操作的相关函数，如filp_open，vfs_read，vfs_write，而实现；管道过滤管理层207、208可以通过类似的方法，在设备驱动接口之上增加一层过滤模块来实现。通过在函数调用级别的过滤拦截，进程管理器判断进程A202的访问请求中的访问参数，包括访问的数据的文件目录和名称，读写类型，结合进程访问管理器的进程访问规则和进程访问监控表，确定访问的合法性；如果访问合法，则将该访问请求发送给原系统相关函数继续执行；如果访问不合法，则阻断函数执行请求，返回失败。这样进程访问管理器203可以对进程A的数据读、写访问进行控制。

在Windows和Linux操作系统中，数据以文件系统的形式保存在存储区，一受控存储区可以为一个逻辑驱动器，或者一个文件目录。凡是在该逻辑驱动器或者该文件目录之内的子文件或者子文件夹，都是在受控存储区之内。进程访问管理器通过检查进程访问数据时，所打开的文件的绝对路径，来判断所打开的文件是否落在控制存储区中。

在如何管理进程访问管理列表方面，本发明提出了两种模式，下面结合图3和图4说明模式一，结合图5和图6说明模式二。

图3示出了本发明具体实施例的一种数据存储区访问流程图。如图3所示，在步骤301，当进程对数据存储区进行数据读、写访问时，进程访问管理器拦截到进程数据读、写请求。步骤302，进程访问管理器接收到进程数据读、写访问请求后，判断当前进程是否是受监控进程，如果是，执行步骤303及其后续步骤，否则执行步骤307及其后续步骤。

如果步骤302的判断结果是受监控进程的数据读、写访问，在步骤303，进程访问管理器进一步判断数据读、写访问的是否是受控制的数据访问区。在本发明中对系统的数据存储区域设置一个或多个区域作为受控制访问区，受控制访问区内的数据均被加密存储，而受控制访问区之外为非受控制访问区，数据未做任何加密处理。如果步骤303判断结果表明受监控进程访问的是非受控制访问区中的数据，则执行步骤304；如果受监控进程访问的是受控制访问区中的数据，则执行步骤309执行透明加解密读、写数据，读数据调用系统的数据读驱动从数据存储区取出数据并进行数据解密，写数据时先进行数据加密后调用系统的数据写驱动将数据存入数据存储区，执行步骤311将读、写数据访问结果返回进程。

在步骤304进一步判断受监控进程访问非受控制访问区是数据读访问还是数据写访问：如果步骤304的判断结果是数据读访问，则进程访问管理器允许读取数据进一步执行，执行步骤311将读取数据访问结果返回进程；如果步骤304的判定结果是数据写访问，则进程访问管理器执行步骤306，阻断数据写执行，并给用户以提示，步骤311失败信息返回进程。

如果步骤302的判断结果是非受监控进程的数据读、写访问，在步骤307进程访问管理器进一步判断数据读、写访问的是否是受控制的数据访问区。如果步骤307判断结果表明是非受监控进程访问的是非受控制访问区中的数据，则执行步骤310直接调用系统的数据读、写驱动读、写数据，执行步骤311将读、写数据访问结果返回进程。如果非受监控进程访问的是受控制访问区中的数据，则执行步骤308将当前进程设置为受监控进程，执行步骤309执行透明加解密读、写数据，执行步骤311将读、写数据访问结果返回进程。

图4示出了本发明具体实施例的一种进出口管道访问流程图。如图4所示，在步骤401，当进程进出口管道读、写访问时进程访问管理器拦截到请求。步骤402，进程访问管理器接收到进程进出口管道读、写访问请求后，判断当前进程是否是受监控进程，如果是，执行步骤403及其后续步骤，否则执行步骤406及其后续步骤。

如果步骤402的判断结果是受监控进程的进出口管道读、写访问，在步骤403进一步判断受监控进程访问进出口管道是读访问还是写访问。如果步骤403的判断结果是读访问，则直接调用系统的设备驱动读取数据，执行步骤407将读取数据访问结果返回进程，否则就是写访问，执行步骤405阻断执行并给用户以提示，步骤407失败信息返回进程。

如果步骤402的判断结果是非受监控进程的进出口管道读、写访问，则执行步骤406直接调用系统的设备驱动读、写数据，执行步骤407将读、写数据访问结果返回进程。

从图3和图4的说明展示了本发明具体的一种数据访问控制方法处理流程实施例。该实施例通过进程访问管理器拦截进程对数据存储区和进出口管道的访问请求。当进程访问了受控制访问区，系统自动将该进程注册到进程访问管理列表成为受监控进程。对受监控进程，系统允许从非受控制访问区或进出口管道读取数据进入受控制访问区、禁止将受控制访问区的数据写入非受控制访问区和进出口管道，并且受控制访问区的数据是以加密的形式存放，从而保护了受控制访问区的数据安全。

图5示出了本发明具体实施例的具有访问控制状态的数据存储区访问流程图。如图5所示，步骤501，当进程对数据存储区进行读、写访问时，进程访问管理器拦截到访问请求。步骤502，进程访问管理器接收到进程的数据读、写访问请求后，判断当前系统是否是访问受控状态，如果是，执行步骤503及其后续步骤，否则执行步骤509及其后续步骤。

步骤503进一步判断数据读、写访问的是否是受控制的数据访问区。在本发明中对系统的数据存储区域设置一个或多个区域作为受控制访问区，受控制访问区内的数据均被加密存储，而受控制访问区之外为非受控制访问区，数据未做任何加密处理。如果步骤503判断结果表明进程访问的是非受控制访问区中的数据，则执行步骤504；如果进程访问的是受控制访问区中的数据，则执行步骤507。

在步骤504和步骤507都是判断当前进程是否为受监控进程。在本发明中系统设置一进程访问管理列表，将用户预选的应用软件登记在进程访问管理列表中，这些应用软件执行的进程为受监控进程，例如：word字处理软件、autocad制图软件等，进程访问管理器根据进程访问管理列表中预定义的受监控进程，管理系统中的进程对受控制访问区和非受控制访问区的数据读、写访问。

如果步骤504的判断结果是在访问受控状态下受监控进程访问非受控制访问区，则执行步骤505进一步判断是数据写访问还是数据读访问，如果步骤505的判断结果是读访问，则执行步骤506直接调用系统的数据读驱动读取数据，执行步骤512将读数据访问结果返回进程，否则就是写访问，执行步骤510阻断执行并给用户以提示，步骤512失败信息返回进程。如果步骤504的判断结果是在访问受控状态下非受监控进程访问非受控制访问区，则执行步骤506直接调用系统的数据读、写驱动读、写数据，执行步骤512将读、写数据访问结果返回进程。

如果步骤507的判断结果是在访问受控状态下受监控进程访问受控制访问区，则执行步骤508进行透明加解密读、写数据，读数据调用系统的数据读驱动从数据存储区取出数据并进行数据解密，写数据时先进行数据加密后调用系统的数据写驱动将数据存入数据存储区，执行步骤512将读、写数据访问结果返回进程。如果步骤507的判断结果是在访问受控状态下非受监控进程访问受控制访问区，则执行步骤510阻断数据读、写并给用户以提示，步骤512失败信息返回进程。

如果步骤502的判断结果是进程在访问非受控状态下数据读、写访问，在步骤509进一步判断数据读、写访问的是否是受控制的数据访问区。如果步骤509判断结果表明进程访问的是非受控制访问区中的数据，则执行步骤511直接调用系统的数据读、写驱动读、写数据，执行步骤512将读、写数据访问结果返回进程。如果进程访问的是受控制访问区中的数据，则执行步骤510阻断数据读、写并给用户以提示，步骤512失败信息返回进程。

图6示出了本发明具体实施例的具有访问控制状态的进出口管道访问流程图。如图6所示，在步骤601，当进程进出口管道读、写访问时进程访问管理器拦截到请求。步骤602，进程访问管理器接收到进程进出口管道读、写访问请求后，判断当前是否是访问受控状态，如果是访问受控状态，执行步骤603及其后续步骤，如果不是访问受控状态而是访问非受控状态，则执行步骤607直接调用系统的设备驱动读、写数据，执行步骤608将读、写数据访问结果返回进程。

如果步骤602的判断结果是在访问受控状态，在步骤603进一步判断当前进程是否是受监控进程。如果是，执行步骤604及其后续步骤，如果不是，即访问受控状态下非受监控进程访问进出口管道，则执行步骤607直接调用系统的设备驱动读、写数据，执行步骤608将读、写数据访问结果返回进程。

如果步骤603的判断结果是在访问受控状态下受监控进程访问进出口管道，在步骤604进一步判断访问进出口管道是读访问还是写访问。如果步骤604的判断结果是读访问，则直接调用系统的设备驱动读取数据，执行步骤608将读取数据访问结果返回进程，否则就是写访问，执行步骤606阻断执行并给用户以提示，步骤608失败信息返回进程。

从图5和图6的说明展示了本发明另一种具有访问控制状态的数据访问控制方法处理流程实施例。该实施例将系统的工作状态分为访问受控状态和访问非受控状态。系统正常启动后为访问非受控状态，除禁止访问受控制访问区数据外，系统如往常一样操作非受控制访问区和进出口管道。只有当需要操作受控制访问区数据时，通过正确的身份认证后，系统进入访问受控状态，操作完毕后，便可退出访问受控状态。系统还通过进程访问管理列表定义了受监控进程，受监控进程是由系统应用层定义的所有允许访问受控制访问区的进程集合，用户可以根据自己的工作需要来定制这个进程访问管理列表，一旦定义以后，不在这个列表的进程就是非受监控进程。在访问受控状态，受监控进程允许访问受控制访问区、允许进出口管道的读访问、禁止进出口管道的写访问，非受监控进程允许访问非受控制访问区、禁止访问受控制访问区、允许进出口管道的读、写访问，而受监控进程允许读访问非受控制访问区、禁止写访问非受控制访问区。通过图5和图6的数据访问控制方法能够防止数据的泄漏、保护重要数据的安全。

图7示出了本发明在智能手机上保护照片数据的示意图。从图7可以看出，手机701包括Linux操作系统702、存储设备704和摄像头设备715、蓝牙射频716。在Linux操作系统702中有两个受监控进程照片浏览器710、拍照程序711，一个非受控制进程进程X、进程访问管理器703、存储逻辑设备707、摄像头驱动713、蓝牙驱动714。存储设备704划分为照片存储区708和非受控制存储区709，并将照片存储区708设置为系统的受控制存储区。在进程访问管理器对进程的数据访问的控制下，允许拍照程序711通过摄像头驱动713读取摄像头设备的图像数据，并允许将图像数据通过存储逻辑设备707加密存入受控制的照片存储区708，而存储逻辑设备707将阻断拍照程序711将图像数据存入非受控制存储区709；允许照片浏览器710通过存储逻辑设备707解密读取受控制的照片存储区708的数据浏览照片，也允许照片浏览器710通过存储逻辑设备707读取非受控制存储区709的图像数据浏览照片，但禁止照片浏览器710浏览的图像数据写入非受控制存储区709；以及禁止照片浏览器710将浏览的图像数据通过蓝牙驱动714和蓝牙射频716发送出去。通过上述的方法，照片数据将能被控制在受控制存储区中，而不能被随意发送出去。

图8是一在计算机上保护word文件的示例图。从图8可以看出，计算机801包括windows操作系统802、存储设备804和物理网卡815、物理串口816。在windows操作系统802中有一受监控进程word.exe810、一个非受监控进程Notepad.exe811、进程访问管理器803、存储逻辑设备807、逻辑网卡813和逻辑串口814。存储设备804划分为受控存储区808和非受控制存储区809。在进程访问管理器对进程数据访问的过滤控制下，允许word.exe进程通过存储逻辑设备807透明加解密读、写受控存储区808中的数据，允许word.exe进程通过存储逻辑设备807读取非受控存储区809中的数据，但存储逻辑设备807阻断word.exe进程向非受控存储区809中回写数据，允许word.exe进程通过逻辑网卡813读取物理网卡815的网络数据，逻辑串口816阻断word.exe进程向物理串口816写数据，允许Notepad.exe进程通过存储逻辑设备807读、写非受控存储区809中的数据，存储逻辑设备807阻断Notepad.exe进程向受控存储区808中读、写数据，允许Notepad.exe进程通过逻辑网卡813读、写物理网卡815的网络数据，允许Notepad.exe进程通过逻辑串口814读、写物理串口816的数据。通过上述的方法，用户可以将合同，商业机密等word文件保存在受控存储区中，word.exe进程能访问在受控存储区中的word文件，但不能通过网卡-网络或者串口主动将数据发送出去。

图9是一在计算机上保护访问数据库数据的示例图。从图9可以看出，计算机901包括windows操作系统902、存储设备904和物理网卡914。在windows操作系统902中有一受监控进程数据库访问进程A910、一示例的非受监控进程其他进程911、进程访问管理器903、存储逻辑设备912、逻辑网卡913。存储设备904划分为受控存储区908和非受控制存储区909，其中将数据库907配置在受控存储区908中，数据库数据以文件形式存储在存储区中。在进程访问管理器对进程的数据访问的控制下，允许数据库访问进程A910通过存储逻辑设备912透明加解密读、写受控存储区908中的数据库907，允许数据库访问进程A910通过存储逻辑设备912读取非受控存储区909中的数据，但存储逻辑设备912阻断数据库访问进程A910向非受控存储区909中回写数据；允许其他进程911通过存储逻辑设备912读、写非受控存储区909中的数据，存储逻辑设备912阻断其他进程911向受控存储区908包括数据库907中读、写数据，允许其他进程911通过逻辑网卡913读、写物理网卡914的网络数据。通过上述的方法，数据库的数据文件能够被保护，防止其它进程访问；同时，对于受监控的访问数据库的进程，不能把数据主动通过网卡-网络的管道发送出去。

应当理解，上述说明只是用于展示本发明，而不是用于限制本发明的保护范围。

Claims (29)

1、一种数据访问控制方法，有一系统，有若干进程，有一数据存储区域，有若干数据进出口管道，其特征在于包括：

数据存储区域分为受控制访问区和非受控制访问区；

系统具有一进程访问管理器；

系统具有一进程访问管理列表，在进程访问管理列表中的进程为受监控进程，不在进程访问管理列表中的进程为非受监控进程；

系统还具有一访问规则列表，包括若干访问规则；

进程访问管理器根据进程访问管理列表的受监控进程和非受监控进程，以及根据访问规则列表的规则，管理进程对数据存储区域的受控制访问区和非受控制访问区数据读、写访问，以及管理进程对数据进出口管道的数据读、写访问。

2、如权利要求1所述的方法，其中，系统的进程访问管理器监控进程对数据存储区域的访问请求；

当进程访问受控制访问区，系统自动将该进程在进程访问管理列表中注册成为受监控进程；当该进程结束时，系统自动将该进程从进程访问管理列表中注销；

根据系统的访问规则列表中的访问规则，系统的进程访问管理器管理进程对数据存储区域和数据进出口管道的数据读、写访问。

3、如权利要求1或2所述，其中数据存储区域中的数据根据数据访问索引目录进行存储管理；

受控制访问区为系统数据访问索引目录中一子集所管理的数据存储区；

非受控制访问区为除受控制访问区之外的其他的数据存储区；

当进程访问的数据的索引标识在受控制访问区的系统数据访问索引目录中，则进程访问受控制访问区。

4、如权利要求3所述，其中数据访问索引目录为文件目录；数据的索引标识为一个或多个包括目录的文件名。

5、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器允许受监控进程对受控制访问区进行数据读访问、数据写访问。

6、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器允许受监控进程对非受控制访问区进行数据读访问。

7、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器禁止受监控进程对非受控制访问区进行数据写访问。

8、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器允许受监控进程对进出口管道进行数据读访问。

9、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器禁止受监控进程对进出口管道进行数据写访问。

10、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器允许非受监控进程对非受控制访问区进行数据读访问、数据写访问。

11、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器允许非受监控进程对受控制访问区进行数据读访问、数据写访问；访问后，系统自动将该非受监控进程在进程访问管理列表中注册成为受监控进程。

12、如权利要求1或2所述，其中系统的访问规则列表的规则包括，进程访问管理器允许非受监控进程对进出口管道进行数据读访问、数据写访问。

13、如权利要求1所述的方法，其中，进程访问管理列表为一预定义的受监控进程列表，进程访问管理器根据进程访问管理列表中预定义的受监控进程，管理系统中的进程对受控制访问区和非受控制访问区的数据读、写访问；

14、如权利要求1或13所述的方法，其中系统还具有访问受控状态和访问非受控状态。

15、如权利要求1、13或14所述，其中系统的访问规则列表的规则包括，在访问受控状态下：

在进程访问管理列表中的受监控进程可以对受控制访问区进行数据读访问、数据写访问；

在进程访问管理列表中的受监控进程可以对非受控制访问区进行数据读访问，不可以进行数据写访问；

在进程访问管理列表中的受监控进程可以对进出口管道进行数据读访问，不可以对进出口管道进行数据写访问。

16、如权利要求1、13或14所述，其中系统的访问规则列表的规则包括，在访问受控状态下：

不在进程访问管理列表中的非受监控进程不可以对受控制访问区进行数据读访问、数据写访问；

不在进程访问管理列表中的非受监控进程可以对非受控制访问区进行数据读访问、数据写访问；

不在进程访问管理列表中的非受监控进程可以对进出口管道进行数据读访问、数据写访问。

17、如权利要求1、13或14所述，其中系统的访问规则列表的规则包括，在访问非受控状态下：

所有进程都被禁止对受控制访问区进行数据读访问；

所有进程都被允许对非受控制访问区进行数据读访问、数据写访问；

所有进程都被允许对进出口管道进行数据读访问、数据写访问。

18、如权利要求14所述，其中系统的访问受控状态通过用户认证登录进行验证，当用户认证登录成功，系统进入访问受控状态；当用户认证登录退出，系统进入访问非受控状态。

19、如权利要求1所述，进程访问管理器将进程对受控制访问区的数据写访问截获，将写入的数据进行加密后存储；

进程访问管理器将进程的对受控制访问区的数据读访问截获，将读取的数据进行解密后发给进程。

20、如权利要求1至19所述，数据存储区包括硬盘，移动存储器，网络数据存储区，可擦写光盘，磁带机，虚拟数据存储区。

21、如权利要求1所述，所述的数据进出口管道在系统中表现为设备，系统中的进程可对设备进行读、写数据操作。

22、一种具有数据访问控制功能的设备，设备具有一中央处理器，一数据存储区，一操作系统，若干进程运行于该设备的操作系统，其特征在于：

设备的数据存储区域分为受控制访问区和非受控制访问区；

设备具有一进程访问管理器；

设备还具有一访问规则列表，包括若干访问规则；

进程访问管理器根据进程对受控制访问区和非受控制访问区的访问状态，以及根据访问规则列表中的规则，管理设备中的进程对数据存储区域的读、写访问，以及管理进程对数据进出口管道的数据读、写访问。

23、如权利要求22所述，其中设备的数据存储区域和数据进出口管道在操作系统中表现为逻辑物理设备，系统中的进程通过驱动程序接口对逻辑物理设备进行读、写数据操作；

其中进程访问管理器模块具有一驱动管理过滤模块，通过截获进程对逻辑物理设备驱动接口的访问，进行访问控制管理。

24、如权利要求22所述，其中包括设备的进程访问管理器，监控进程对数据存储区域的访问请求；当进程访问受控制访问区，设备自动将该进程在进程访问管理列表中注册成为受监控进程；当该进程结束时，设备自动将该进程从进程访问管理列表中注销；根据设备的访问规则列表中的访问规则，设备的进程访问管理器管理进程对数据存储区域和数据进出口管道的数据读、写访问。

25、如权利要求24所述，其中设备的访问规则列表的规则包括：

进程访问管理器禁止受监控进程对非受控访问区进行数据写访问；

进程访问管理器允许受监控进程对非受控访问区进行数据读访问；

进程访问管理器允许受监控进程对受控访问区进行数据读访问、数据写访问；

进程访问管理器禁止受监控进程对进出口管道进行数据写访问；

进程访问管理器允许受监控进程对进出口管道进行数据读访问；

进程访问管理器允许非受监控进程对非受控访问区进行数据读访问、数据写访问；

进程访问管理器允许非受监控进程对受控访问区进行数据读访问、数据写访问；

进程访问管理器允许非受监控进程对进出口管道进行数据读访问、数据写访问。

26、如权利要求22所述的方法，其中包括设备具有一触发装置，使系统在访问控制状态和非访问控制状态之间进行切换。

27、如权利要求22或23所述的设备的触发装置，为一用户身份辨识系统，用户身份得到确认，则从非访问控制状态进入访问控制状态。

28、如权利要求22、26或27所述，其中包括，进程访问管理列表为一预定义的受监控进程列表，进程访问管理器根据进程访问管理列表中预定义的受监控进程，管理系统中的进程对受控制访问区和非受控制访问区的数据读、写访问；

在进程访问管理列表中的受监控进程可以对受控访问区进行数据读访问、数据写访问；

不在进程访问管理列表中的非受监控进程不可以对受控访问区进行数据读访问、数据写访问。

29、如权利要求22或28所述的方法，其中系统还具有访问受控状态和访问非受控状态；

设备的访问规则列表的规则包括，在访问受控状态下：

在进程访问管理列表中的受监控进程可以对受控制访问区进行数据读访问、数据写访问；

在进程访问管理列表中的受监控进程对非受控制访问区可以进行数据读访问，不可以进行数据写访问；

在进程访问管理列表中的受监控进程可以对进出口管道进行数据读访问，不可以对进出口管道进行数据写访问。

不在进程访问管理列表中的非受监控进程不可以对受控制访问区进行数据读访问、数据写访问；

不在进程访问管理列表中的非受监控进程可以对非受控制访问区进行数据读访问、写访问；

不在进程访问管理列表中的非受监控进程可以对进出口管道进行数据读访问、数据写访问；

设备的访问规则列表的规则包括，在访问非受控状态下：

所有进程都被禁止对受控制访问区进行数据读访问、数据写访问；

所有进程都被允许对非受控制访问区进行数据读访问、数据写访问；

所有进程都被允许对进出口管道进行数据读访问、数据写访问。

Images