CN101848207A

CN101848207A - 一种基于集中控管的防信息泄密系统

Info

Publication number: CN101848207A
Application number: CN201010138191A
Authority: CN
Inventors: 耿振民; 魏帅卫
Original assignee: WUXI CINSEC INFORMATION TECHNOLOGY Co Ltd
Current assignee: WUXI CINSEC INFORMATION TECHNOLOGY Co Ltd
Priority date: 2010-04-02
Filing date: 2010-04-02
Publication date: 2010-09-29

Abstract

本发明提供了一种基于集中控管的防信息泄密系统，通过透明加密技术来实现事前预防、并辅以网络监控和日志审计来实现多级立体防护。该系统能够实现文件的多版本自动备份和恢复，并能实现集中备份；该系统支持文件的可选透明加解密，克服了强制透明加密所造成的对安全策略指定的文件类型“要么全部加密、要么全部不加密“的一刀切；该系统可实现外发文件的生命周期控制和权限控制，可有效防止第三方泄密。

Description

一种基于集中控管的防信息泄密系统

技术领域

本发明涉及一种防信息泄密方法，尤其是一种基于集中控管的防信息泄密系统，属于信息安全领域。

背景技术

计算机与网络的普及应用使得信息的生产、存储、获取、共享和传播更加方便，同时也增加了组织内部重要信息泄密的风险。来自Gartner的调查显示：有超过85％的安全威胁来自组织内部；各种安全漏洞造成的损失中，30％-40％是由电子文件泄露造成的；在Fortune排名前1000家的公司中，每次电子文件泄露所造成的损失平均是50万美元。尤其是近年来U盘、移动硬盘的存储容量迅速提升，笔记本电脑更加普及，就使得防泄密更加重要和急迫。

最原始的防止电脑泄密的手段是单机上锁、物理隔离，但由于存在散热困难、信息共享困难等问题而已基本淘汰。

后来出现的防水墙、终端安全管理、内网安全审计等产品则主要从“事中”和“事后”的角度来解决信息安全问题，但“事中”的监控即使通过对USB、网口等实行封堵也难以杜绝泄密，通过日志分析来实现的“事后审计”技术则更加被动，因为等到发现泄密事件时往往损失已经发生，只能是亡羊补牢。

文档安全管理类产品，如微软RMS，是由文档作者通过设置权限来实现文件的保护，但不能用来防止内部人员主动泄密，更不能防止文档作者本人的主动泄密。

发明内容

本发明的目的是克服现有技术中存在的不足，提供一种基于集中控管的防信息泄密系统，用于保护组织内部的重要数据，防止泄密。

按照本发明提供的技术方案，所述基于集中控管的防信息泄密系统如下：包括管理中心、控制台和客户端；所述管理中心进行客户端的合法性认证、安全策略的分发、密钥和数字证书的管理；控制台进行用户帐户管理、安全策略的配置与管理、文件审核与解密、日志审计管理、离线客户端授权管理；客户端按照从控制台下发的安全策略具体执行对文件的透明加解密，并对密文使用过程进行全程监控、全程保护；所述管理中心还可兼做集中备份时的文件安全服务器；所述客户端根据安全策略还可对文件进行自动备份和多版本恢复；

系统的管理权限采用分级分权的管理体系，根管理员为一级管理员，系统管理员、文件管理员和日志审计员为二级管理员，所述二级管理员由根管理员创建，并通过分发USB电子钥匙进行授权；

在所述管理中心、控制台和客户端上安装的外发文件安全管理软件模块包括外发文件管理中心、文件外发制作工具和以插件方式安装的绿色隐形客户端软件；

所述外发文件安全管理中心的功能有：企业用户在制作外发文件包时，需要得到系统管理中心的授权，创建证书；对客户端每次使用授权文件的权限进行认证，用户通过认证才能正常使用授权文件；负责证书的生成，用户认证通过后对证书的管理；查询、跟踪所有的企业员工打包制作日志、所有的客户远程验证日志、当前外发文件的状态管理；

所述外发文件制作工具的功能有：从认证服务器上获取证书，证书的信息与文件信息和企业名称信息绑定；将待外发的授权文件加密；将证书、客户端程序和加密后的授权文件进行处理，得到本系统可控制的外发文件；

所述隐形客户端的功能有：当客户第一次使用企业提供的授权文件时，客户端将在线进行证书认证。认证成功，则客户可以正常使用授权文件；以后的用户使用该文件均需要在线验证，通过后才可继续使用；当合法客户打开企业提供的授权文件时，客户端程序对授权文件进行自动解密，用户保存时对授权文件进行自动加密，整个过程对客户透明；当非法客户对此授权文件进行操作时将得不到文件明文；当合法客户在使用企业提供的授权文件时，客户端程序将全程监控。

所述根管理员的权限和职责是：对系统密钥进行管理，创建二级管理员并且通过USB电子钥匙为之授权；所述系统管理员的权限和职责是：创建用户组和用户帐号，为创建的用户组和用户帐号分配安全策略，员工外出授权；所述日志审计员的权限和职责是：对系统日志信息查询、审计和管理；所述文件管理员的权限和职责是：对客户端提交的需要解密的文件进行审核和解密。

所述员工外出授权的方法是：通过电子密钥为出差用户进行本地授权、远程授权；本地授权是对电子密钥实体进行授权；出差和加班用户可通过该电子密钥启动客户端，远程授权是当外发电子密钥过期时，补发电子密钥授权文件，延长电子密钥使用期限。

所述当合法客户在使用企业提供的授权文件时，客户端程序全程监控，使客户只能对本文件进行编辑，不可将文件粘贴、复制到其他文件。

所述管理中心有软件和硬件两种形式，软件版的管理中心可以安装在Windows操作系统平台下，硬件的管理中心采用基于Linux操作系统的工控机或嵌入式系统。

本发明的优点是：通过文件加密来实现对信息泄密的主动预防，并辅以网络监控和日志审计来实现多级立体防护；通过对文件的多版本自动备份和恢复防止病毒破坏、误删除等所造成的文件损失；通过外发文件控制而有效防止第三方泄密。

附图说明

图1是本发明的工作原理图。

图2是外发文件安全管理模块工作原理图。

图3是外发文件安全管理模块工作流程图。

具体实施方式

为了克服现有的防信息泄密技术的不足，本发明通过透明加密技术来实现事前预防、并辅以网络监控和日志审计来实现多级立体防护；本发明支持文件的可选透明加解密，克服了强制透明加密所造成的对安全策略指定的文件类型“要么全部加密、要么全部不加密“的一刀切；本发明可实现外发文件的生命周期控制和权限控制，可有效防止第三方泄密。

本发明是一种基于集中控管的防信息泄密的方法。根据延续内网信息共享并保证内部机密资料安全的设计理念，采用透明加密技术来实现事前预防、并辅以网络监控和日志审计来实现多级立体防护。它是一个以用户需求为导向、以数据加密为基础、以使用者为对象的综合性文件安全系统。其特征在于：在完全不改变企业原有工作流程和用户使用习惯的前提下，对符合加密策略的机密文件操作过程进行实时监控对机密文件进行强制加密保护，有效的防止了被动和主动泄密造成的安全隐患，消除内部安全隐患于无形之中。其要点主要包括：

I、系统的管理权限采用“分级分权”的管理体系。

II、外发文件管理中心

III、文件外发制作工具软件

IV、绿色隐形客户端软件

以下结合附图对本发明所采用的技术方案做进一步描述。

1、如图1所示，整个系统由管理中心、控制台和客户端三部分组成。管理中心的作用是进行客户端的合法性认证、安全策略的分发、出差员工授权、密钥和数字证书的管理，还可以兼做集中备份时的文件安全服务器；控制台的作用是进行用户帐户管理、安全策略的配置与管理、文件审核与解密、日志审计管理、离线客户端授权管理等；客户端的作用是按照从控制台下发的安全策略具体执行对文件的透明加解密，并对密文使用过程进行全程监控、全程保护，根据安全策略还可以对文件进行自动备份和多版本恢复。客户端不能直接连通内网时，可通过Internet连接；不连网时，可通过电子密钥(以下称eKey)授权使用。

2、系统的管理权限采用“分级分权”的管理体系，根管理员为一级管理员，系统管理员、文件管理员和日志审计员为二级管理员(由根管理员创建，并通过分发USB电子钥匙进行授权)。四类管理员的权限和职责：

根管理员：

(1)对系统密钥进行管理(包括密钥备份，恢复，更新)；

(2)创建二级管理员并且通过USB电子钥匙为之授权。

系统管理员：

(1)客户端用户管理：创建用户组和用户帐号；

(2)安全策略管理：为创建的用户组和用户分配安全策略；

(3)员工外出授权：通过eKey为出差用户进行本地授权、远程授权，本地授权是对eKey实体进行授权，出差和加班用户可通过该eKey启动客户端，远程授权是当外发eKey过期时，补发eKey授权文件，延长eKey使用期限。

日志审计员：

(1)对系统日志信息审计：可以按照时间、类型、用户(组)对日志信息查询、审计；

(2)对日志信息管理(备份、清除、导入)。

文件管理员：对客户端提交的需要解密的文件进行审核和解密(支持批量文件解密)。

3、如图2所示，系统的外发文件管理软件模块由前置远程认证服务器和企业内部管理服务器组成，架设于企业的局域网之中，并负责调度企业内部管理服务器(工控机)、前置远程认证服务器以及企业内部员工和企业外部合作伙伴的客户端之间的信息传输。其中企业内部管理服务器位于局域网内部，用来打包形成数字信封；前置远程认证服务器位于企业局域网入口处，用来认证数字信封。当企业内部员工需要外发文件时，向服务器发出外发文件请求，服务器接收，经系统管理中心授权后，由外发文件管理中心生成控制文件的数字证书并将文件和隐形客户端打包为一个数字信封，然后发送到员工主机中，由员工发送到合作伙伴那里，当合作伙伴打开数字信封后，数字信封发送认证信息到前置远程认证服务器，由服务器认证后发送认证信息到合作伙伴，合作伙伴方可根据控制信息打开文件。所述外发文件安全管理模块包括“外发文件管理中心”、“文件外发制作工具软件”和以插件方式安装的“绿色隐形客户端软件”。

(1)外发文件安全管理中心功能：

打包制作：企业用户在制作外发文件包时，需要得到系统管理中心的授权，创建证书。

在线认证：对客户端每次使用授权文件的权限进行认证，合法的用户通过认证后才可以正常使用授权文件。

证书管理：负责证书的生成，用户认证通过后对证书的管理。

日志查询和管理：查询所有的企业员工打包制作日志、所有的客户远程验证日志、当前外发文件的状态管理，可以时刻跟踪控制每一个外发的文件。

(2)外发文件制作工具功能：

获取证书：从认证服务器上获取证书，证书的信息与文件信息和企业名称信息绑定。

外发授权文件转换：将待外发的授权文件加密。

打包制作：将证书、客户端程序和加密后的授权文件进行处理，得到本系统可控制的外发文件(以压缩的可执行文件存在，即是一个可自解压的可执行文件)。

(3)隐形客户端功能：

授权文件第一次使用认证：当客户第一次使用企业提供的授权文件时，客户端将在线进行证书认证。认证成功，则客户可以正常使用授权文件。

在线控制：以后的用户使用该文件均需要在线验证，通过后才可继续使用。(断线方式时，默认可使用)

文件透明加、解密：当合法客户打开企业提供的授权文件时，客户端程序对授权文件进行自动解密，用户保存时对授权文件进行自动加密，整个过程对客户透明；当非法客户对此授权文件进行操作时将得不到文件明文。

授权文件使用监控：当合法客户在使用企业提供的授权文件时，客户端程序将全程监控：客户只能对本文件进行编辑，不可将文件粘贴、复制到其他文件，确保了文件的明文不被窃取。

外发文件安全管理模块整体的工作流程如图3所示：

1.将待授权文件输入文件制作工具；

2.由服务器生成证书，传送到文件制作工具；

3.由文件制作工具将待授权文件、客户端程序和证书打包为压缩文件；

4.压缩文件发送到客户后，双击打开，得到加密的授权文件；

5.第一次打开加密授权文件后，服务器将对文件验证，验证成功将得到明文；验证不成功将得不到明文；

6.对明文进行写入，修改，或者另存为密文；明文拷贝到其他文件将会失败；

7.第一次打开明文和修改，另存后的明文绑定本机，只可在本机打开，转发后将无法验证成功。

管理中心有软件和硬件两种形式，软件版的管理中心可以安装在WindowsXP/2000/2003/Vista等操作系统平台下，硬件的管理中心采用基于Linux操作系统的工控机或嵌入式系统。控制台软件安装于管理人员的PC机上，同一个使用单位可以有多个控制台。管理中心和控制台都需要配合硬件的USB KEY来使用。客户端软件安装于每台需要进行文件保护的PC机上。客户端软件安装后就会在该PC机上自动启动两个保护进程，设置双进程的目的是防止客户端进程被强制终止，万一其中的一个进程被强行终止，则另一个进行就会自动把这个被终止的进程启动起来。

对文件的透明加密保护都是在客户端实现的，控制台所设置的安全策略将自动通过管理中心分发到客户端，客户端根据管理中心所下发的安全策略具体执行保护。这种保护分为如下几种：

一是对于安全策略中所指定的应用程序所产生的文件，在存盘时就自动加密，在合法客户端打开时自动解密。未经授权带出单位时打开是乱码。

二是可以控制常用的截屏软件，不允许截屏。

三是根据安全策略进行文件的自动备份，并在需要恢复时自动恢复所备份的文件。

四是根据安全策略执行硬件资源控制策略，如是否允许使用USB安装多个。

Claims

1.一种基于集中控管的防信息泄密系统，其特征是：包括管理中心、控制台和客户端；所述管理中心进行客户端的合法性认证、安全策略的分发、密钥和数字证书的管理；控制台进行用户帐户管理、安全策略的配置与管理、文件审核与解密、日志审计管理、离线客户端授权管理；客户端按照从控制台下发的安全策略具体执行对文件的透明加解密，并对密文使用过程进行全程监控、全程保护；

2.如权利要求1所述的基于集中控管的防信息泄密系统，其特征是所述管理中心还兼做集中备份时的文件安全服务器。

3.如权利要求1所述的基于集中控管的防信息泄密系统，其特征是所述客户端根据安全策略还对文件进行自动备份和多版本恢复。

4.如权利要求1所述的基于集中控管的防信息泄密系统，其特征是所述根管理员的权限和职责是：对系统密钥进行管理，创建二级管理员并且通过USB电子钥匙为之授权；所述系统管理员的权限和职责是：创建用户组和用户帐号，为创建的用户组和用户帐号分配安全策略，员工外出授权；所述日志审计员的权限和职责是：对系统日志信息查询、审计和管理；所述文件管理员的权限和职责是：对客户端提交的需要解密的文件进行审核和解密。

5.如权利要求4所述的基于集中控管的防信息泄密系统，其特征是所述员工外出授权的方法是：通过电子密钥为出差用户进行本地授权、远程授权；本地授权是对电子密钥实体进行授权；出差和加班用户可通过该电子密钥启动客户端，远程授权是当外发电子密钥过期时，补发电子密钥授权文件，延长电子密钥使用期限。

6.如权利要求1所述的基于集中控管的防信息泄密系统，其特征是所述当合法客户在使用企业提供的授权文件时，客户端程序全程监控，使客户只能对本文件进行编辑，不可将文件粘贴、复制到其他文件。

7.如权利要求1所述的基于集中控管的防信息泄密系统，其特征是所述管理中心有软件和硬件两种形式，软件版的管理中心可以安装在Windows操作系统平台下，硬件的管理中心采用基于Linux操作系统的工控机或嵌入式系统。