CN101520833A - 基于虚拟机的数据防泄漏系统及其方法 - Google Patents

Abstract

本发明公开了基于虚拟机的数据防泄漏系统与方法，利用虚拟机技术，通过在操作系统下层的虚拟机监控层中添加防泄漏监控模块，对数据输出行为进行全面的监控和过滤；当客户虚拟机要求输出访问时，通过虚拟机监控层的访问控制机制，对客户虚拟机的数据输出请求进行分析跟踪，对不符合输出控制策略的请求进行拦截，并且将非法行为记录在日志中，从而防止数据泄漏行为的发生。本发明还提供了模块化系统实现方案，采用防泄漏决策模块、安全日志模块、防泄漏监控模块、防泄漏策略缓存模块和通知模块构建数据防泄漏系统，便于实施。本发明利用了虚拟机监控层对于操作系统的透明性，避免病毒、木马恶意软件对防泄漏模块的破坏，具有高安全性和可靠性的优点。

Description

基于虚拟机的数据防泄漏系统及其方法

技术领域

本发明涉及计算机信息安全技术中信息保密领域，更具体地，涉及基于虚拟机的数据防泄漏系统及方法。

背景技术

信息泄漏主要指数据在计算机或者其他设备中进行存储、处理、传送等过程中，被对该数据无权访问的人非法获取。国家信息安全测评认证中心的调查结果表明：在众多的攻击行为和事件中，信息泄漏事件是主要的安全事故，已给企业带来了巨大的经济损失。为了避免信息泄漏，目前已有数据防泄漏系统方案被提出，但现有的数据防泄漏系统往往位于操作系统内部或者内部网络边界，其功能受到操作系统和网络安全的影响，病毒木马等恶意软件都会给数据防泄漏系统的正常运行造成影响，从而危害敏感数据安全。

另一方面，虚拟机技术越来越成熟，其应用越来越广泛。虚拟机是一种可以像真实机器一样运行程序的软件。通过使用虚拟机，可以在同一个物理平台上同时运行多个操作系统，各个操作系统相互隔离，操作系统的行为和运行在物理平台上时一致，它自身无法觉察到虚拟机监控层的存在。目前软件虚拟化解决方案通常采用VMM(Virtual Machine Moniter，虚拟机监视器)实现，操作系统通过VMM来与硬件进行通信，由VMM来决定其对系统上所有虚拟机的访问。这种情况下，VMM在软件套件中的位置是传统意义上操作系统所处的位置，而操作系统的位置是传统意义上应用程序所处的位置。这一额外的通信层被称为虚拟机监控层，即VMM层。参见图1，VMM层直接运行于硬件层(CPU，内存，磁盘等)之上，各个客户操作系统运行于VMM层之上，VMM层通过虚拟化技术为客户操作系统提供硬件环境一致的运行条件，构建多个具备自身操作系统和应用程序的客户虚拟机1、客户虚拟机2…客户虚拟机n。对于基于VMM的虚拟机系统来说，有且只有一个特权域，特权域负责根据客户机设备模型创建，管理和销毁其他客户操作系统。特权域中的硬件驱动用于和硬件交互，完成实际的硬件操作。

发明内容

本发明目的在于针对现有技术的不足，利用虚拟机技术提供能够保证运行正常、保障数据安全的数据防泄漏技术方案。

本发明提供的数据防泄漏系统设置有位于虚拟机系统的特权域中的防泄漏管理组件，用于制订输出控制策略和管理违反输出控制策略的记录；设置有位于虚拟机监控层中的防泄漏实施组件，用于根据防泄漏管理组件的决策对虚拟机系统中所有客户虚拟机的数据输出请求进行监控；防泄漏管理组件和防泄漏实施组件之间建立通信连接，防泄漏管理组件制订的输出控制策略通过通信连接输送到防泄漏实施组件，防泄漏实施组件对数据输出请求进行监控所获违反输出控制策略的记录通过通信连接输送到防泄漏实施组件。

而且，所述防泄漏管理组件包括有防泄漏决策模块和安全日志模块，

防泄漏决策模块用于根据虚拟机系统中各客户虚拟机的应用类型和管理员指令，制定相应的输出控制策略，安全日志模块用于记录所有客户虚拟机违反输出控制策略的数据输出请求；

所述防泄漏实施组件包括有防泄漏监控模块、防泄漏策略缓存模块和通知模块，

防泄漏监控模块用于截获所有客户虚拟机的数据输出请求，根据防泄漏决策模块的制定的输出控制策略对数据输出请求进行分析，若分析结果为符合输出控制策略则允许输出，否则不允许输出并报告安全日志模块进行记录，

防泄漏策略缓存模块用于缓存防泄漏决策模块制定的输出控制策略，当防泄漏监控模块对数据输出请求进行分析时向其提供输出控制策略，

通知模块用于在防泄漏管理组件和防泄漏实施组件之间输送信息，包括当防泄漏监控模块的分析结果为不符合时，为其报告给安全日志模块；当防泄漏决策模块制定出新的输出控制策略时，为其更新防泄漏策略缓存模块。

本发明还提供了采用上述数据防泄漏系统实现的防泄漏方法，对于虚拟机系统中各客户虚拟机的每一次数据输出请求，都受到防泄漏实施组件的监控，防泄漏实施组件在防泄漏管理组件的控制下进行监控。

而且，当客户虚拟机提出数据输出请求时，防泄漏监控模块的具体监控处理方式为，防泄漏监控模块立刻截获该数据输出请求，并从防泄漏策略缓存模块查询相应输出控制策略，根据输出控制策略对该数据输出请求进行分析，

若分析结果为符合输出控制策略则允许输出，防泄漏监控模块对此次数据输出请求不再干预，该数据输出请求由虚拟机监控层进行虚拟化处理；

若分析结果为不符合输出控制策略则不允许输出，防泄漏监控模块屏蔽此次数据输出请求，并向通知模块汇报发现了非法输出请求。

本发明提供的数据防泄漏系统不同于现有数据防泄漏系统，在虚拟机监控层中添加数字防泄漏措施，而不是位于操作系统内部或者内部网络边界。利用本发明的技术方案具有更高的安全性和可靠性，支持灵活订制输出控制策略，有效阻止非法数据输出请求，保障敏感数据安全。

附图说明

图1为基于WMM的虚拟机基本结构示意图；

图2为本发明实施例的数据防泄露系统工作流示意图。

具体实施方式

本发明利用虚拟机技术，在数据防泄漏系统中设置有位于虚拟机系统的特权域中的防泄漏管理组件，用于制订输出控制策略(也可称为防泄漏策略)和管理违反输出控制策略的记录；设置有位于虚拟机监控层中的防泄漏实施组件，用于根据防泄漏管理组件的决策对虚拟机系统中所有客户虚拟机的数据输出请求进行监控；防泄漏管理组件和防泄漏实施组件之间建立通信连接，防泄漏管理组件制订的输出控制策略通过通信连接输送到防泄漏实施组件，防泄漏实施组件对数据输出请求进行监控所获违反输出控制策略的记录通过通信连接输送到防泄漏实施组件。这样防泄漏实施组件可以利用虚拟机监控层的透明性，在虚拟机监控层中监控所有客户虚拟机的数据输出请求，即时屏蔽非法数据输出请求，并且避免病毒、木马恶意软件的破坏；而防泄漏管理组件设置在特权域，便于限制管理操作权限，仅仅允许特权域管理员之类可靠用户进行管理操作，例如参与输出控制策略的制定、查看违反输出控制策略的记录等，可以进一步提高安全性。

本发明还提供了进一步技术方案，所述防泄漏管理组件包括有防泄漏决策模块和安全日志模块，所述防泄漏实施组件包括有防泄漏监控模块、防泄漏策略缓存模块和通知模块：

防泄漏决策模块用于根据虚拟机系统中各客户虚拟机的应用类型(或称为服务类型)和管理员指令，制定相应的输出控制策略。因为各客户虚拟机的应用类型不同，对输出控制要求可能不同，因此可以为每个客户虚拟机分别制定相应的输出控制策略。具体实施时，特权域管理员可以在特权域的管理系统中对每台客户虚拟机制定输出控制策略。也可以设定每当虚拟机系统中建立一个新的客户虚拟机时，防泄漏决策模块根据应用类型自动生成其输出控制策略；在得到管理员指令要求调整时，防泄漏决策模块根据根据指令制定新的输出控制策略，然后通过通知模块更新到防泄漏策略缓存模块。

安全日志模块用于记录所有客户虚拟机违反输出控制策略的非法数据输出请求。具体实施时，记录可以包括详细信息，例如非法数据输出请求的具体行为、请求发生时间等。可以利用安全日志模块实现自动警报功能，例如对于同一客户虚拟机提出连续多次非法数据输出请求之后，安全日志模块以安全警告方式通知特权域管理员，以便特权域管理员采取进一步的安全措施。具体安全警告方式可为在人机界面展示或者从音频设备发声等。

防泄漏监控模块用于截获所有客户虚拟机的数据输出请求，根据防泄漏决策模块的制定的输出控制策略对数据输出请求进行分析，若分析结果为符合输出控制策略则允许输出，否则不允许输出并报告安全日志模块进行记录，报告过程通过通知模块传递实现。

防泄漏策略缓存模块用于缓存防泄漏决策模块制定的输出控制策略，当防泄漏监控模块对数据输出请求进行分析时向其提供输出控制策略。该模块可采用硬件高速存储器(如SDRAM)缓存虚拟机的输出控制策略实现，由此每一次防泄漏监控模块在分析输出行为时，可以快速查询到缓存的输出控制策略，提高防泄漏系统效率。具体实施时，为降低成本可以不设该模块，防泄漏监控模块需要在对数据输出请求进行分析时直接从位于特权域中的防泄漏决策模块读取相应输出控制策略，但这样不及从同在VMM层的防泄漏策略缓存模块查询提取效率高。

通知模块用于在防泄漏管理组件和防泄漏实施组件之间输送信息，包括当防泄漏监控模块的分析结果为不符合时，为防泄漏监控模块转交报告给安全日志模块；当防泄漏决策模块制定出新的输出控制策略时，为防泄漏决策模块转交新的输出控制策略到防泄漏策略缓存模块，实现更新。通知模块起到的是防泄漏管理组件和防泄漏实施组件之间的桥梁作用。

以上模块化实现数据防泄漏系统的技术方案，在具体实施时可以采用计算机软件技术实现，或者采用系统化芯片、可编程逻辑器件等硬件进行固化实现。用上述数据防泄漏系统进行防泄漏，就是对于虚拟机系统中各客户虚拟机的每一次数据输出请求，都受到防泄漏实施组件的监控，防泄漏实施组件在防泄漏管理组件的控制下进行监控。只需对每一次数据输出请求，都按防泄漏管理组件制定的输出控制策略进行监控，就能达到保护敏感数据的效果。

监控关键在于防泄漏监控模块，更进一步的技术方案是：当客户虚拟机提出数据输出请求时，防泄漏监控模块的具体监控处理方式为，防泄漏监控模块立刻截获该数据输出请求，并从防泄漏策略缓存模块查询相应输出控制策略，根据输出控制策略对该数据输出请求进行分析，

若分析结果为符合输出控制策略则允许输出，防泄漏监控模块对此次数据输出请求不再干预，该数据输出请求由虚拟机监控层进行虚拟化处理；

若分析结果为不符合输出控制策略则不允许输出，防泄漏监控模块屏蔽此次数据输出请求，并向通知模块汇报发现了非法输出请求。

为了便于实施，本发明提供了实施例的数据防泄露系统工作流，参见图2：

各客户虚拟机中都有各自独立的操作系统、应用程序和敏感数据。

①防泄漏决策模块根据新建的客户虚拟机的应用类型，向通知模块发出更新输出控制策略的指令，通知模块根据该指令更新VMM层内防泄漏策略缓存模块的缓存内容。

②客户虚拟机在运行过程中，发起数据输出请求，防泄漏监控模块立刻截获该请求进行分析。

③防泄漏监控模块查询输出控制策略，根据策略决定是否允许此次输出操作。如果禁止输出，则转到操作④；如果允许输出，则转到操作⑥。

④如果此次输出请求不符合输出控制策略的要求，涉及敏感数据；则防泄漏监控模块屏蔽此次输出请求，并向通知模块汇报发现了非法访问。然后进行操作⑤，通知模块通知安全日志模块，对此次非法访问进行记录。本次输出操作结束。

⑥如果此次输出请求符合输出控制策略的要求，则允许输出，防泄漏监控模块对此次数据输出请求不再干预，该数据输出请求由由虚拟机监控层进行虚拟化处理。具体操作就是将数据输出请求转交给VMM层继续进行虚拟化处理。继续向下执行操作⑦、操作⑧。

⑦VMM层中的I/O虚拟化处理模块对于实际的数据输出请求进行处理，在特权域的调度下进行输出操作。

⑧特权域中的硬件驱动和硬件设备交互，完成实际的输出操作。

值得注意的是，⑨数据输入是向客户虚拟机输入数据，不会造成虚拟机内部的敏感数据泄漏，因此本发明提供的数据防泄漏系统未予干预。

Claims (4)

1.一种基于虚拟机的数据防泄漏系统，其特征在于：

设置有位于虚拟机系统的特权域中的防泄漏管理组件，用于制订输出控制策略和管理违反输出控制策略的记录；

设置有位于虚拟机监控层中的防泄漏实施组件，用于根据防泄漏管理组件的决策对虚拟机系统中所有客户虚拟机的数据输出请求进行监控；

防泄漏管理组件和防泄漏实施组件之间建立通信连接，防泄漏管理组件制订的输出控制策略通过通信连接输送到防泄漏实施组件，防泄漏实施组件对数据输出请求进行监控所获违反输出控制策略的记录通过通信连接输送到防泄漏实施组件。

2.根据权利要求1所述的数据防泄漏系统，其特征在于：所述防泄漏管理组件包括有防泄漏决策模块和安全日志模块，

防泄漏决策模块用于根据虚拟机系统中各客户虚拟机的应用类型和管理员指令，制定相应的输出控制策略，

安全日志模块用于记录所有客户虚拟机违反输出控制策略的数据输出请求；

所述防泄漏实施组件包括有防泄漏监控模块、防泄漏策略缓存模块和通知模块，

防泄漏监控模块用于截获所有客户虚拟机的数据输出请求，根据防泄漏决策模块的制定的输出控制策略对数据输出请求进行分析，若分析结果为符合输出控制策略则允许输出，否则不允许输出并报告安全日志模块进行记录，

防泄漏策略缓存模块用于缓存防泄漏决策模块制定的输出控制策略，当防泄漏监控模块对数据输出请求进行分析时向其提供输出控制策略，

通知模块用于在防泄漏管理组件和防泄漏实施组件之间输送信息，包括当防泄漏监控模块的分析结果为不符合时，为其报告给安全日志模块；当防泄漏决策模块制定出新的输出控制策略时，为其更新防泄漏策略缓存模块。

3.用权利要求2所述数据防泄漏系统实现的防泄露方法，其特征在于：对于虚拟机系统中各客户虚拟机的每一次数据输出请求，都受到防泄漏实施组件的监控，防泄漏实施组件在防泄漏管理组件的控制下进行监控。

4.根据权利要求2所述的防泄露方法，其特征在于：当客户虚拟机提出数据输出请求时，防泄漏监控模块的具体监控处理方式为，防泄漏监控模块立刻截获该数据输出请求，并从防泄漏策略缓存模块查询相应输出控制策略，根据输出控制策略对该数据输出请求进行分析，

若分析结果为符合输出控制策略则允许输出，防泄漏监控模块对此次数据输出请求不再干预，该数据输出请求由虚拟机监控层进行虚拟化处理；

若分析结果为不符合输出控制策略则不允许输出，防泄漏监控模块屏蔽此次数据输出请求，并向通知模块汇报发现了非法输出请求。

Images