CN101827102A - 基于内容过滤的数据防护方法 - Google Patents

Abstract

本发明公开了一种基于内容过滤的数据防护方法，首先采用网络过滤驱动技术对网络数据流进行监控，采用设备过滤驱动技术对外设数据流进行监控，并对终端计算机的网络设备、外设接口的数据进行捕获，然后采用基于多模式匹配的内容过滤技术，对截获的网络数据流和设备数据流进行特征匹配，判断为敏感信息的数据流将被阻止外流，判断为一般信息的数据流则允许外流，从而确保敏感数据外泄。本发明数据防护粒度更细；内容过滤效率高；提高核心数据安全性；不影响用户正常操作，提高工作效率。

Description

基于内容过滤的数据防护方法

技术领域

本发明属于涉及信息安全领域数据防护技术，特别是一种采用网络过滤驱动、设备过滤驱动技术、基于多模式匹配的内容过滤技术相结合的数据防护方法。

背景技术

近年来，媒体报道的泄密事件有增无减，包括企业核心技术被窃取从而导致竞争企业发展壮大，造成严重经济损失；医疗机构大量泄漏病人隐私信息，导致病人被恶意骚扰等等。无论数据丢失是无意发生的还是恶意行为所致，对企业的影响都是极其严重的。泄漏交易秘密、影响与客户的友好关系，甚至招致法律严惩。要阻止这种对公司业绩、品牌形象和竞争优势影响巨大的破坏行为。无论是从企业自身发展，还是从法规对隐私信息的保护来看，如何有效防范核心信息的泄漏成为企业和政府单位迫切解决的问题。

根据《2009CSI/FBI计算机犯罪和安全问题调查》(CSI/FBI Computer Crime andSecurity Survey)，其中68％的被调查者曾经遭受过由内部人员所导致的巨大损失。据统计超过70％的安全威胁源自于部门内部。而边界防护措施对部门内部用户的防护作用几乎可以忽略。当前，关于网络内部引发的安全问题却常常因为没有引起足够的重视而疏于防范，数据防护的完整解决方案和产品比较缺乏。针对这样的情况，提出一种完善的数据防护方法，能便捷、安全、有效地控制网络资源的共享及传递，保护重要部门内部敏感数据的安全，是非常有意义的。

当前数据防护方法主要包括三种。一是功能单一的加密方法(如RAR、PGP等)，通过软件用户主动对文档进行加密操作，对文档内容进行保护，这种方法属于用户主动要求文档安全，适合于保护单个用户文档，不能用于企业数据防护方案。二是利用基于流加密算法的透明加解密软件(如亿赛通、新模式等)，通过文件过滤驱动，在文件进行磁盘读操作时进行透明解密，磁盘写操作时进行透明加密，该技术可以确保文档在磁盘存在时为密文，非授权用户无法浏览明文内容，可以用于企业数据防护，但该方法不适合于企业内部人员恶意窃取核心数据，该类人员有较高的访问权限，在获取明文后，可直接将数据通过网络、U盘、打印等方式外泄。三是内网安全防护方法(如奥德内网安全平台、中软防水墙等)，通过对外部设备接口、网络通信接口、存储设备接口的有效监控，对涉密数据的外流途径进行控制，此方法较前两种方法更为全面，能够满足企业数据防护需求，但由于其控制粒度太粗，基本采用一刀切的方式(只有允许使用U盘和禁止使用两种策略)，对用户的正常操作行为带来极大不便，影响工作效率，并导致用户排斥使用该类产品。

发明内容

本发明的目的在于提供一种基于内容过滤的数据防护方法，能够不影响用户的正常操作，同时提高企业核心数据的安全级别，防止有意或无意的泄漏企业核心数据。

实现本发明目的的技术解决方案为：一种基于内容过滤的数据防护方法，首先采用网络过滤驱动技术对网络数据流进行监控，采用设备过滤驱动技术对外设数据流进行监控，并对终端计算机的网络设备、外设接口的数据进行捕获，然后采用基于多模式匹配的内容过滤技术，对截获的网络数据流和设备数据流进行特征匹配，判断为敏感信息的数据流将被阻止外流，判断为一般信息的数据流则允许外流，从而确保敏感数据外泄。

本发明与现有技术相比，其显著优点：(1)数据防护粒度更细。本发明基于文本特征的内容过滤技术，能够对外向数据流的重要程度进行判断，决定是否进行控制，该方法改变现存方法中开关式控制手段，细化了数据防护粒度。(2)内容过滤效率高。采用一种消耗空间比较小的高效多模式匹配算法，能取得比较低时空开销和较高的匹配准确率。在多模式匹配算法应用下，完成敏感内容过滤，阻止敏感信息外泄。(3)提高核心数据安全性。本发明采用Windows过滤驱动技术，控制级别低，对所有的数据外流途径进行过滤，能够确保敏感信息留存在企业内部，提高核心数据安全性。(4)不影响用户正常操作，提高工作效率。本发明细化数据防护粒度，能够智能判断外传数据的敏感程度，在用户正常操作时，所有控制均不生效，不影响用户正常操作，加快工作效率。只有在外传数据敏感程度高是，系统控制开始生效，避免核心数据外泄。

下面结合附图对本发明作进一步详细描述。

附图说明

图1是本发明基于内容过滤的数据方法原理图。

图2是本发明网络过滤驱动数据流捕获处理流程图。

图3是本发明设备过滤驱动数据流捕获对象结构示意图。

图4是本发明基于多模式字符串扫描匹配流程图。

图5是本发明的实验模拟结果-多个样本集的关键词匹配运行时间。

图6是本发明基于内容过滤的数据方法的流程图。

具体实施方式

结合图6，本发明基于内容过滤的数据防护方法，首先采用网络过滤驱动技术对网络数据流进行监控，采用设备过滤驱动技术对外设数据流进行监控，并对终端计算机的网络设备、外设接口的数据进行捕获，然后采用基于多模式匹配的内容过滤技术，对截获的网络数据流和设备数据流进行特征匹配，判断为敏感信息的数据流将被阻止外流，判断为一般信息的数据流则允许外流，从而确保敏感数据外泄。如图1，本发明基于内容过滤的数据防护方法，具体流程如下：

①当用户通过网络接口发送文件，通过网络过滤驱动监视数据流；

②网络过滤驱动将分散网络报文重组，并提取文件内容信息，转发给匹配器进行处理：

③采用基于多模式匹配的内容过滤算法进行内容过滤，如果发现敏感内容，及丢弃，否则将根据原报文信息构造新报文数据，继续流转；

④当用户通过外设接口发送文件，通过设备过滤驱动监视数据流；

⑤设备过滤驱动捕获外设交换数据，转发给匹配器进行处理；

⑥采用基于多模式匹配的内容过滤算法进行内容过滤，如果发现敏感内容，及丢弃，否则将数据转交给下层驱动，继续流转。

结合图2，为对网络接口流出报文内容进行过滤分析，本发明采用网络过滤驱动技术对网络数据流进行监控，即基于网络过滤驱动设计报文捕获和内容过滤流程为：

(1)在网卡上安装网络过滤驱动程序，对数据报文进行截获；

(2)判断被截获报文是否为IP帧，如果是则继续，否则丢弃，结束一次流程；

(3)判断数据报文是否需要重组，如果不需要，则继续，否则等待后续内容，进入重组流程，完成重组后继续；

(4)判断完整报文是否为TCP报文，如果不是则丢弃，如果是，则继续；

(5)从报文中剥离报头提取报文元组(即源IP地址，源端口，目的IP地址，目的端口)；

(6)判断元组是否存在于HASH表中，如果是则继续，否则检查是否SYN＝1并且ACK＝1，如果不是，则丢弃；

(7)生成应用协议会话；

(8)在会话中生成TCP数据流；

(9)还原应用层文本，进入关键词匹配算法，如果匹配成功则，记录日志，结束流程，如果匹配不成功，则根据报文源地址，构造新报文继续发送。

其中，检查元组是否存在于HASH表中，是因为系统中主要处理TCP/IP协议数据包，为了减少系统负荷，首先要过滤掉其它协议的数据。根据TCP/IP协议，每一个网络连接可由四元组惟一标识，四元组即源IP地址，源端口，目的IP地址，目的端口。应用还原的过程是通过这个四元组来实现的，首先根据四元组利用HASH查找算法判定该连接的协议类对象是否存在，如果不存在，根据目的端口判断该数据连接的类型(HTTP，SMTP，POP3，FTP，TELNET)，再建立相应的协议类(CHttpConncct，CSmtpConnect，CPop3Connect，CFtpConnect，CTelnetConnect)对象，将该对象和四元组建立映射关系。如果该四元组对应的协议类对象已经存在，则重载该协议类对象的数据处理函数：ParseData(TCP._DATAtcp_data)。

此外，检查是否SYN＝1并且ACK＝1，是由于一个完整的报文的特征是：重组链表中的第一个节点的SYN标志为1，最后一个节点的FIN标志为1，且所有节点的序号seq应连续。由于数据包传输时可能会乱序或重传，IP数据的重组过程实际是对重组链表的插入和删除过程。针对每个四元组，在捕获到第一个包时，为这个连接建立一个重组链表，以后每捕获到一个新的数据包，都要对重组链表进行搜索。如果这个数据包的序号及数据长度与链表中某个节点的序号及数据长度相同，则是重发包，直接丢弃；否则，将这个包插入到链表中。一旦形成了一个完整的报文，就可以拼接其中的数据部分，重现一个应用层会话。

根据报文源地址构造新报文进行发送，即：

(1)在驱动程序初始化或是每次向网卡绑定时，调用NdisAllocatePacketPool请求分配一个数据包池，其中包含有指定数量的数据包描述符。

(2)从NdisAUocatePacketPool申请得到的数据包池中请求分配一个数据包描述符。

(3)在得到了数据包描述符之后，还要通过调用NdisChainBufferAtBack或者NdisChainBufferAtFront向上面链接一个或是多个缓冲区描述符。而缓冲区描述符所描述的存储区域则可由内核提供的NdisAllocatePacketPool函数得到，最后还要用缓冲区描述符对刚刚得到的存储区域加以映射。

结合图3，为对外部设备接口流出报文内容进行过滤分析，本发明基于设备过滤驱动捕获传输数据，即：

(1)安装设备过滤驱动程序，设置设备过滤驱动数据流捕获对象，对外设接口交换数据进行截获；

(2)判断被截获传输包是否为数据包，如果是则继续，否则丢弃，结束一次流程；

(3)转入基于多模式匹配的内容过滤流程；

(4)如果包含敏感信息，则记录日志并阻止该包发送；

(5)如果不包含敏感信息，则直接将该包返回正常流程，继续发送。

其中，设备过滤驱动数据流捕获对象结构为：过滤驱动对象依附于具体设备对象之上，在数据流入流出时，过滤驱动可以获取数据流，并进行处理后交换具体设备驱动继续处理；设备过滤驱动对象需要实现包括DriverInit()，DriverStart()，DrvierUnload()，MajorFunction()等函数，在驱动程序初始化过程中，它的DriverEntry例程会把其它驱动程序例程(Unload、StartIo等)的指针装入到其驱动程序对象中，以便I/O管理器调用。当驱动程序被卸载时，I/O管理器会调用Unload例程并删除驱动程序对象。拟设备驱动中，通过拦截IRP消息，进入MajorFunction()处理函数，在此对设备的通讯数据进行处理。

结合图4，针对多目标字符串匹配特点，本发明基于多模式匹配的内容过滤的扫描匹配流程。基于多模式匹配的内容过滤，即：首先从文本串strMsg的位置iMinPatLen开始匹配，设当前匹配的位置为i，以strMsg[i-1]strMsg[i]两个相邻字符为窗口取样观察：把这两个字符的编码值按照顺序用位操作移入观测窗口T，形成文本字符流。然后把T和掩码常量iHMask相与，得到最后的两个字符的编码值Test，接着根据ShiftTab[Test]值的情况决定下一步是回溯匹配还是继续移动。具体步骤：

(1)计算最短模式长度iMinPatLen，根据字符集的大小|∑|，确定二进制编码位数iE＝log2(|∑|+1)，定义编码函数Encode，确定两字符组合的掩码iHMask；

(2)按照两个字符组合遍历字符集计算编码值，求出最大索引iMaxIndex和最小索引iMinIndex，定义移动表ShiftTab大小为iMaxIndex；

(3)设置移动表shiftTab和HASH表HashTab；

(4)初始化窗口变量T＝O，设文本当前字符位置为i；

(5)左移T，把strgsg[i-1]strMsg[i]移入T中；

(6)窗口变量T和掩码iHMask执行AND操作求得测试变量Test；

(7)根据Test值的情况判断：如果Test不在有效范围Range＝[iMinIndex，iMaxIndex]内，说明该字符组合至少有一个字符不属于字符集∑，直接跳跃iMinPatLen-1；

(8)否则，查移动表ShiftTab，即Shift＝ShiftTab[Test]；

(9)如果Shift不等于0说明该字符组合不是任何模式串的后缀，继续移i，使i＝i+Shift；

(10)否则该字符组合可能是一些模式串的后缀，取出HashTab[Test]所指的模式链表逐项回溯匹配，报告匹配结果

(11)本步骤循环执行直到i到达文本串的结尾，流程结束。

例如，假设文本串strMsg＝’security military…’，从iMinPatLen＝1开始匹配，设i＝1，则取strMsg[i-1]strMsg[i]＝’se’两个相邻字符为窗口，移入观察窗口T形成文本字符串，将T和常量iHMask相与，得到两个字符的编码值Test，接着根据ShiftTab[Test]值的情况决定回溯匹配或者继续前移，一直循环执行到i达到文本串尾部，匹配过程结束。

图5表明，随着模式串长度的不断增加，两种数据集下的运行时间都有一定的下降趋势。同时，企业数据集的算法运行时间一直都比部队单位数据集的运行时间短。可以预测，当模式串长度增加到一定量时，两种算法运行的时间可能相差不大。因此在系统正常处理时，运行时间的长短并不受限于具体数据集。此外，我们还进行了精确度、错误容忍等试验，各项试验表明，无论从空间利用上还是时间消耗上该算法都能够满足系统要求，由于在匹配时，跳跃性得到了更好的发挥，所以性能上得到了很大的提高。

Claims (7)

1.一种基于内容过滤的数据防护方法，其特征在于首先采用网络过滤驱动技术对网络数据流进行监控，采用设备过滤驱动技术对外设数据流进行监控，并对终端计算机的网络设备、外设接口的数据进行捕获，然后采用基于多模式匹配的内容过滤技术，对截获的网络数据流和设备数据流进行特征匹配，判断为敏感信息的数据流将被阻止外流，判断为一般信息的数据流则允许外流，从而确保敏感数据外泄。

2.根据权利要求1所述的基于内容过滤的数据防护方法，其特征在于采用网络过滤驱动技术对网络数据流进行监控，即：

(1)在网卡上安装网络过滤驱动程序，对数据报文进行截获；

(2)判断被截获报文是否为IP帧，如果是则继续，否则丢弃，结束一次流程；

(3)判断数据报文是否需要重组，如果不需要，则继续，否则等待后续内容，进入重组流程，完成重组后继续；

(4)判断完整报文是否为TCP报文，如果不是则丢弃，如果是，则继续；

(5)从报文中剥离报头提取报文元组；

(6)判断元组是否存在于HASH表中，如果是则继续，否则检查是否SYN＝1并且ACK＝1，如果不是，则丢弃；

(7)生成应用协议会话；

(8)在会话中生成TCP数据流；

(9)还原应用层文本，进入关键词匹配算法，如果匹配成功则，记录日志，结束流程，如果匹配不成功，则根据报文源地址，构造新报文继续发送。

3.根据权利要求2所述的基于内容过滤的数据防护方法，其特征在于根据报文源地址构造新报文进行发送，即：

(1)在驱动程序初始化或是每次向网卡绑定时，调用NdisAllocatePacketPool请求分配一个数据包池，其中包含有指定数量的数据包描述符；

(2)从NdisAUocatePacketPool申请得到的数据包池中请求分配一个数据包描述符；

(3)在得到了数据包描述符之后，还要通过调用NdisChainBufferAtBack或者NdisChainBufferAtFront向上面链接一个或是多个缓冲区描述符，而缓冲区描述符所描述的存储区域则由内核提供的NdisAllocatePacketPool函数得到，最后还要用缓冲区描述符对刚刚得到的存储区域加以映射。

4.根据权利要求1所述的基于内容过滤的数据防护方法，其特征在于采用设备过滤驱动技术对设备数据流进行监控，即：

(1)安装设备过滤驱动程序，设置设备过滤驱动数据流捕获对象，对外设接口交换数据进行截获；

(2)判断被截获传输包是否为数据包，如果是则继续，否则丢弃，结束一次流程；

(3)转入基于多模式匹配的内容过滤流程；

(4)如果包含敏感信息，则记录日志并阻止该包发送；

(5)如果不包含敏感信息，则直接将该包返回正常流程，继续发送。

5.根据权利要求4所述的基于内容过滤的数据防护方法，其特征在于第(1)步中设备过滤驱动数据流捕获对象结构：

设备过滤驱动对象依附于具体设备对象之上，在数据流入流出时，过滤驱动可以获取数据流，并进行处理后交换具体设备驱动继续处理；设备过滤驱动对象需要实现包括DriverInit()，DriverStart()，DrvierUnload()，MajorFunction()函数，在驱动程序初始化过程中，它的DriverEntry例程会把其它驱动程序例程(Unload、StartIo)的指针装入到其驱动程序对象中，以便I/O管理器调用；当驱动程序被卸载时，I/O管理器会调用Unload例程并删除驱动程序对象；拟设备驱动中，通过拦截IRP消息，进入MajorFunction()处理函数，在此对设备的通讯数据进行处理。

6.根据权利要求1所述的基于内容过滤的数据防护方法，其特征在于基于多模式匹配的内容过滤，即：

首先从文本串strMsg的位置iMinPatLen开始匹配，设当前匹配的位置为i，以strMsg[i-1]strMsg[i]两个相邻字符为窗口取样观察：把这两个字符的编码值按照顺序用位操作移入观测窗口T，形成文本字符流；然后把T和掩码常量iHMask相与，得到最后的两个字符的编码值Test，接着根据ShiftTab[Test]值的情况决定下一步是回溯匹配还是继续移动。

7.根据权利要求6所述的基于内容过滤的数据防护方法，其特征在于

(1)计算最短模式长度iMinPatLen，根据字符集的大小|∑|，确定二进制编码位数iE＝log2(|∑|+1)，定义编码函数Encode，确定两字符组合的掩码iHMask；

(2)按照两个字符组合遍历字符集计算编码值，求出最大索引iMaxIndex和最小索引iMinIndex，定义移动表ShiftTab大小为iMaxIndex；

(3)设置移动表shiftTab和HASH表HashTab；

(4)初始化窗口变量T＝O，设文本当前字符位置为i；

(5)左移T，把strgsg[i-1]strMsg[i]移入T中；

(6)窗口变量T和掩码iHMask执行AND操作求得测试变量Test；

(7)根据Test值的情况判断：如果Test不在有效范围Range＝[iMinIndex，iMaxIndex]内，说明该字符组合至少有一个字符不属于字符集∑，直接跳跃iMinPatLen-1；

(8)否则，查移动表ShiftTab，即Shift＝ShiftTab[Test]；

(9)如果Shift不等于0说明该字符组合不是任何模式串的后缀，继续移i，使i＝i+Shift；

(10)否则该字符组合可能是一些模式串的后缀，取出HashTab[Test]所指的模式链表逐项回溯匹配，报告匹配结果；

(11)循环执行直到i到达文本串的结尾，流程结束。

Images