CN101572660A - 一种防止数据泄密的综合控制方法 - Google Patents

Abstract

网络盛行的今天，企业内部计算机既需要连接外网(Internet)，又需要防止核心数据泄密的目标，本发明通过提供工作模式或普通模式来改变客户端计算机的状态，为内网构造了一个安全的数据使用环境。完善的模式切换方式。用户可能需要切换各种工作模式，在不同工作模式之间切换的时候，为了有效清除内存和缓冲区的数据，防止不同模式之间的泄密，管理员可以设定不同模式之间切换的动作，包括：注销、重启或者直接切换。建立可信数据区，所有存储的数据都是加密的，客户端仅在进入工作模式的情况下才能访问，所有数据都不会被泄密到普通模式中，从而有效实现数据保密功能。该数据区可分为三部分：本地加密受控空间、远程共享区和远程个人数据区，满足客户端的不同使用需求。本发明在实践过程中实现统一的用户管理模式，用户可以是简单的令牌/口令用户，也可以使用统一的令牌用户。基于以上两层保护，一旦某用户提供了正确的PIN码和对应的证书令牌，即可确信该用户即是合法用户。

Description

一种防止数据泄密的综合控制方法

技术领域

本发明的目的在于采用包括对网络、主机、数据存储和数据交换等的综合控制技术，实现通用的防止单位内部信息网络数据泄密的目标。主要用于计算机信息安全领域。

背景技术

在信息系统中防止数据泄密已经成为一个关注的焦点，也是企事业单位进行数字知识产权保护需要采取的必要手段。现有的防止数据泄密的技术，分为主动防泄密和强制防泄密两种。主动防止数据泄密由于从个人主观意愿出发，实现起来比较容易，采用简单的数据加密等手段即可实现。

强制防泄密技术从单位管理者的角度出发，要防止单位内部任何能够接触到涉密数据的人员有意或者无意泄密数据行为的发生，从而实现对单位数字知识产权的保护和保密。

现有的强制防止泄密技术，都仅单一采用了部分技术措施，难以实现全面的强制防止数据泄密的效果。典型的包括对设备输出端口进行控制，但是从网络发送数据就没有办法控制；还有通过网络协议内容过滤的方式防止数据泄密，但是如果数据经过加密/压缩等简单处理，则无法防止；再有就是对特点类型文件采用加密措施，但是无法防止文件格式转换和内存数据复制带来的数据泄密漏洞。

专利发明内容

本发明以数据分类为基础，通过定义不同的模式，结合服务器访问控制、网络数据加密、网络访问控制、本地数据存储加密、应用程序授权和外设输出设备授权等综合技术手段，实现对单位信息网络中核心数据的保密，从而防止数据泄密。

本发明实现的时候，需要用户对数据进行分类，即需要确定在特定的模式下，可以访问的数据服务器以及数据共享的范围，数据共享范围主要以计算机终端和用户身份来划分。在模式下的数据，不管是存储在服务器还是终端计算机上，都只能在该模式定义允许的范围内共享和流通，未经特殊授权，不能通过网络、存储设备或者外设输出到模式定义共享范围之外的设备上。

本发明采用的综合控制技术，将以管理策略的形式来表现，根据每个具体模式的需要，管理者可以进行灵活的定义。

本发明服务器访问控制技术的核心是网络数据包过滤加密技术和访问端验证技术。系统在服务器和访问端设置了安全网关，执行访问控制的服务器通过IP网络连接方式放置在安全网关后面，当访问端访问服务器时，必须先通过安全网关的过滤。访问端发出的数据包是否可以通过安全网关的过滤，是由该访问端是否定义为允许访问的服务器决定的。

网络数据包过滤加密技术可以通过加密技术的密钥管理来实现，通过此技术给服务器加了道安全屏障，保证了服务器的安全访问，加密客户端以及授权允许访问服务器的机器发出的数据包受到加密技术的保护，而非保密客户端不受保护，故无法通过验证。

访问端验证技术基于IP包的源地址和目标地址两个要素来实现判断，当此IP包的原地址通过了安全网关的验证，此时源地址与目标地址相匹配，客户端通过安全网关验证访问服务器。

本发明磁盘数据隐藏技术的核心是磁盘驱动技术。系统将磁盘分成若干分区，管理员运用磁盘驱动技术将其中的一个或若干个分区做成工作盘，并自动划分一个固定的区域作为缓存区。客户端在使用的过程中将数据写入工作盘，其他用户无法看到工作盘的内容，也无法对工作盘做写入或修改等操作。工作盘的用户在对非工作盘操作时，表象上写入了工作盘，但低层上是写入了事先划分好的缓存区，故重新再进入系统时写在非工作区的数据丢失，根本原因是缓存区的数据是不保存而造成的，这样用户就无法在非工作盘工作。

磁盘驱动技术是在磁盘扇区加解密信息。通过磁盘驱动技术，使磁盘数据隐藏有效实现，工作盘用户只能在工作盘工作，在非工作盘的工作成果将被删除，实现了工作区数据的保密不可外泄。非工作盘用户对工作盘的内容是不可见更不可操作的，这就使磁盘数据无法外泄的同时也不可破坏。

本发明存储空间隔离技术的核心是文件驱动技术。系统把磁盘分区划分成多个工作盘，管理员运用文件驱动技术使这些工作盘针对不同用户，即每个用户只能在分配好的工作盘上工作，而其他的工作盘是被隐藏的，使工作盘在物理上实现隔离效果。

通过文件驱动技术，使用户在特定的权限下使用特定的工作区，在工作区对文件进行各种操作，其中用户的权限是由管理员设置，实现了存储空间的隔离，这种隔离是有针对性的，也是极有实际意义的，存储空间在实现物理地址上的隔离的同时实现了针对用户的特定隔离，使访问磁盘时有了针对性的保密措施。

本发明移动存储加密技术的核心是文件加密驱动技术。文件加密技术就是只在文件级识别文件是否加密，系统不在磁盘扇区加解密信息。系统依据服务器的策略，将加密密钥和相关加密信息加给文件驱动，在文件驱动的判断下控制用户访问权。

通过文件加密驱动技术，使用户在特定的权限下访问移动存储文件，在文件层加入了一层过滤层判断文件是否加密，也就是对不同的存储位置进行加密，实现了存储设备的安全存储和使用。

本发明所描述的防止数据泄密综合控制方法，主要分为服务器访问控制、本地存储数据访问控制、网络访问控制、网络存储管理、移动存储介质控制、外设授权管理和应用授权管理方法。

1、模式定义

本发明的模式，其定义内容描述如下：

1)一种模式是一个相对封闭和独立的数据存储、使用和交换环境；

2)模式定义的数据存储空间包括数据服务器和客户端的硬盘存储空间；

3)模式定义了一组服务器访问控制、网络访问控制、本地存储控制、移动存储介质管理、应用程序授权和计算机外设授权管理策略。

2、服务器访问控制

本发明服务器访问控制通过网关设备，实现在网关后连接的服务器访问控制。

服务器访问控制功能描述如下：

1)需要归入到特定模式下执行访问控制的服务器，通过IP网络连接方式放置在安全网关后面；

2)客户端发出的IP包能否发送到网关后面特定的服务器，取决于该客户端当前所在的模式是否定义为允许访问该服务器；

3)访问控制粒度可以细化到服务器IP和相应的服务端口；

服务器访问控制的流程如附图1所示，描述如下：

1)使用专业工具设置安全网关的网络地址，网络资源地址及其保护的网络地址一一对应；

2)客户端通过身份验证登陆系统进入工作模式；

3)访问安全网关后的服务器的网络资源，并进行各种控制。

3、本地存储数据访问控制

本发明所描述的基于身份认证的存储数据隔离方法，主要使用存储数据隔离控制方法实现。将用户身份认证与存储空间绑定，使攻击者不可能在没有通过身份验证的情况下越权访问存储空间。

存储数据隔离控制功能描述如下：

1)执行存储数据隔离控制，将用户身份与存储空间绑定，再加上相关的保密技术实现数据的保密。

2)执行存储数据隔离控制，用户只对客户机上指定的工作区域进行访问控制，防止特定用户的工作区被其他用户随意访问导致工作区数据泄密；

3)执行存储数据隔离控制，用户可在其他非特定数据区(无用户指定的存储区即公共磁盘区域)写入数据，在退出系统后写入的数据被自动删除，防止特定用户数据区域的数据被复制到非特定的数据区而造成泄密；

4)可进行访问控制的数据区域由管理员事先设定，实现了存储数据区的隔离。

存储数据访问控制的流程如图2所示，描述如下：

1)在客户机上设置针对特定用户的工作区域；

2)用户对特定的工作区域进行访问控制；

3)实现数据存储隔离退出系统。

4、网络访问控制

本发明网络访问控制是在授权的情况下，客户端可通过各种访问机制访问服务器，或访问有特别授权下的其它客户机。

网络访问控制功能描述如下：

1)在特定的工作模式下用户通过安全网关访问网络资源，安全网关保护网络资源不被任意访问；

2)在工作模式下客户端可以访问开放服务器的共享数据，访问开放服务器是授权给管理员实施的，保护了服务器端数据不被非法访问；

3)在特定工作模式下只有拥有相同保密等级的客户端之间可以互相通信，实现了客户端之间的安全通信。

网络访问控制的流程如附图3所示，描述如下：

1)设置客户端访问其他网络资源的访问方式，二者形成一一对应的关系；

2)客户端验证身份登陆系统，选择工作模式；

3)客户端通过设置的网络渠道进行网络访问控制。

5、网络存储管理

本发明网络存储管理在管理员模式下，针对不同用户设置不同级别的管理、访问、文件夹和文件权限。

网络存储管理功能描述如下：

1)在特定工作模式下用户通过网络进行访问控制，管理员授权给用户修改权限，访问该区域权限，以及控制该区域文件夹或文件的权限；

2)在特定工作模式下，实现可共享的网络存储，即特定用户在授权的范围内进行数据存储，其他用户也可以对相同的区域存储数据并进行访问，只是权限不同而已；

3)用户的权限可以控制，不同用户的权限可以有交叉相同点。

网络存储管理的流程如附图4所示，描述如下：

1)管理设置用户的控制权限；

2)客户端验证身份进入管理员工作模式；

3)不同用户按照设置好的权限进行工作。

6、移动存储介质控制

本发明移动存储介质控制通过身份验证进入工作模式，实现用户对移动存储设备的控制。进入工作模式后，移动存储设备将默认为加密使用，此时新写入的数据将被加密，未授权的计算机无法对移动存储介质进行控制。

移动存储介质控制功能描述如下：

1)在特定的工作模式下执行移动存储介质访问控制，移动存储加密使用，用户写入移动存储介质的数据被加密，防止本地数据被窃取带走；

2)在特定的工作模式下给移动存储写入数据，数据可以被有相同工作模式的客户端读取，而其它普通模式下的客户端不可读取数据，防止了数据泄密但又保证了数据的安全通信；

移动存储介质控制的流程如附图5所示，描述如下：

1)客户端验证身份登陆系统，选择工作模式；

2)移动存储设备将默认加密使用，未授权的计算机无法读取数据；

3)退出工作模式。

7、外设授权管理

本发明外设授权管理客户端通过身份验证后，可以实现用户对客户端的外设进行管理。

外设授权管理功能描述如下：

1)工作模式下授权使用打印、LPT端口和COM端口等设备，满足用户在工作模式下控制这些特殊端口的需求；

2)工作模式下设备分为在线禁用和离线禁用两种方式，避免了在普通模式下系统数据通过打印机或其它外设外泄；

3)授权管理功能可以细粒度对各种外设进行控制操作，提高了安全性能。

8、应用授权管理方法

本发明应用授权管理可以设置用户的控制权限，设置后用户才能够对系统应用程序进行权限内的管理。

应用授权管理方法功能描述如下：

1)在特定的工作模式下执行应用授权管理方法，实现客户端按照设定的应用管理权限访问系统；

2)在特定工作模式下可控制应用程序访问系统资源，防止了普通模式下，用户进入系统随意对系统资源进行各种操作，提高了系统资源的保密性；

3)客户端授权管理员有此权限，而其他用户则被禁用。

应用授权管理方法的流程如附图6所示，描述如下：

1)客户端授权使用设定好的应用管理权限；

2)用户验证身份登陆系统，选择工作模式，用户登陆系统受应用管理权限控制；

3)退出工作模式，并注销用户退出系统；

附图说明

图1A为本发明中使用服务器访问控制的技术原理图；

图1B为本发明中使用磁盘数据隐藏的原理图；

图1C为本发明中存储空间隔离的原理图；

图1D为本发明中移动存储加密的原理；

图1为服务器访问控制的流程示意图；

图2为本地存储数据访问控制的流程示意图；

图3为网络访问控制的流程示意图；

图4为网络存储管理的流程示意图；

图5为移动存储介质控制的流程示意图；

图6为只允许令牌用户进入此工作模式的流程示意图；

具体实施方式

1、安装服务器和控制台

请参看《用户手册-可信系统基础平台》相关章节，安装服务器和控制台。

2、授权令牌和增加口令用户

根据用户数量，将厂家提供的令牌进行授权操作(添加到系统中)，也可以添加口令用户。可根据用户的特点，如组织机构等，将用户划分成不同的用户组。

3、安装客户端代理

在需要安装的计算机上安装客户端代理软件，安装时注意：

1)请先确认安装认证代理的计算机可以访问认证服务器。

2)同一计算机不同的操作系统将认为是不同的认证代理。

3)若以前安装过认证代理，卸载后再次安装时，若服务器上有上次安装的客户端信息，将直接使用上次安装的客户端信息，不再自动添加新客户端。

4、分组管理计算机

在所有计算机安装完毕后，可以新建计算机组对所有计算机进行分组管理。

5、策略集中控制

在认证代理安装过程中，将自动添加使用的令牌与计算机之间的登陆权限，其他功能的设定，均需要管理员在控制台上进行操作。

Claims (10)

1、一种防止数据泄密的综合控制方法，其特征在于：其功能实现以数据及磁盘分类为基础，在特定的模式下，确定可以访问的数据服务器以及数据共享的范围。

2、如权利要求1所述的防止数据泄密的综合控制方法，其特征在于：采用包括对网络、主机、数据存储和数据交换等的综合控制技术，实现通用的防止单位内部信息网络数据泄密的目标。以管理策略的形式来表现，根据每个具体模式的需要，管理者可以进行灵活的定义。

3、如权利要求1或2所述的防止数据泄密的综合控制方法，其特征在于：通过网络数据包过滤加密技术和访问端验证技术，给服务器加了道安全屏障，保证了服务器的安全访问。

4、如权利要求1或2所述的防止数据泄密的综合控制方法，其特征在于：通过磁盘数据隐藏技术和存储空间隔离技术，同时结合加密控制技术，实现不同的用户数据存储空间相互隔离和保密，同时实现个人工作目录的一机多用，把计算机设置成不同的工作环境，实现了既能访问外网又能保密工作区数据。

5、如权利要求1或2所述的防止数据泄密的综合控制方法，其特征在于：通过文件加密驱动技术，使用户在特定的权限下访问移动存储文件，在文件层加入了一层过滤层，以此判断文件是否加密，也就是对不同的存储位置进行加密，实现了存储设备的安全存储和使用。

6、如权利要求1或2所述的防止数据泄密的综合控制方法，其特征在于：网络存储管理在管理员模式下，针对不同用户设置不同级别的管理权限、访问权限、文件夹权限和文件权限。应用程序授权管理，可以设置用户的控制权限，设置后用户才能够对系统应用程序进行权限内的管理。外设授权管理，客户端通过身份验证后，可以实现用户对客户端的外设进行管理。

7、利用权利要求3所述的防止数据泄密的综合控制方法，其特征在于：服务器访问控制通过网关设备，实现对网关后连接的服务器进行访问控制。同时网络访问控制是在授权的情况下，客户端可通过各种访问机制访问服务器，或访问有特别授权下的其它客户机。

8、利用权利要求4所述的防止数据泄密的综合控制方法，其特征在于：管理员根据不同用户的不同安全级别定义存储数据的磁盘空间。用户只能访问自己(或者相同安全级别)的存储区域，不能访问其他用户(或者不同安全级别)的存储区域。这个过程是通过磁盘数据隐藏技术，以及文件访问控制技术实现的。整个过程非常灵活，控制了存储数据磁盘之间的隔离和保密程度。

9、如权利要求8所述的防止数据泄密的综合控制方法，其特征在于：所述方法同时可实现本地存储隔离时操作系统被写保护，可以防病毒和木马，在此基础上同时支持Windows补丁升级和Norton等杀毒软件的病毒库升级。

10、利用权利要求5所述的防止数据泄密的综合控制方法，其特征在于：移动存储介质控制通过身份验证进入工作模式，实现用户对移动存储设备的控制。工作模式下移动存储设备将加密使用，此时新写入的数据将被加密，未授权的计算机无法对移动存储介质进行控制。

Images