CN102063388A - 一种数据保护方法和装置 - Google Patents

Abstract

本发明公开了一种数据保护方法，该方法包括：将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中；将应用程序的启动运行模式划分为受控模式运行和自由模式运行；根据应用程序的启动运行模式，控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。本发明同时公开了一种数据保护装置，应用本发明所述的数据保护方法和装置，能够有效地实现对需要保护数据的保护。

Description

一种数据保护方法和装置

技术领域

本发明涉及信息安全技术领域，特别涉及一种数据保护方法和装置。

背景技术

内部战略规划、技术秘密、商业机密等数据广泛存在于政府机关、企事业单位中，如果它们被泄露到外部，将会对组织利益造成严重的破坏，甚至是毁灭性的打击，因此，需要采取一定的措施对其进行保护，以防止数据被泄露到组织外部。

目前，对于组织内部数据进行保护的方法主要有两种，一是使用文件透明加密方法，二是使用标记和过滤方法，以下分别介绍。

一、文件透明加密方法

文件透明加密方法是在操作系统的文件系统中安装一个过滤层驱动程序，当被保护的数据写入存储器时，过滤层驱动先对数据进行加密，再将加密后的数据写入存储器；当读取这些数据时，过滤层驱动将自动对加密过的数据进行解密处理，并将解密后的数据返回。

在采用这种方法以后，由于需要被保护的数据是以密文的方式保存在所有通过文件系统进行读写的存储设备(例如移动硬盘、U盘、本地硬盘、软盘等)中的，且加密和解密所使用的密钥被妥善保管在计算机中或者组织内部的服务器上，因此，如果将计算机上被保护的数据复制到U盘中携带出去，数据将因为被透明加密而以密文的方式保存在U盘中，离开所使用的计算机或者企业网络环境，就无法访问解密所需要的密钥，从而不能查看数据的内容，达到了防止泄露的目的。

但是这种方法存在严重的不足：数据被读取后在内存中是明文状态，不能防止通过文件系统操作之外的方式泄露，例如透过邮件、FTP、蓝牙传输等方式将被保护的数据传播出去。所以这种方法只能在有限的范围内使用，尤其适用于防止通过U盘进行非法文件复制的情况。

二、标记和过滤方法

这种方法是对被保护的数据进行敏感性标记，对于打开这些数据的应用程序进行监控，禁止这些应用程序把数据写入或者传输到不安全的环境中。例如，如果Word程序打开了一个敏感性标记的Doc文件，那么监控程序将阻止Word程序发送邮件到组织之外或者直接禁止Word程序进行网络操作。相对于第一种方法，这种方法不把数据加密作为必要条件，而是通过对访问被保护数据的程序进行行为控制来达到保护的目的，其适应范围更加广泛，例如可以部分解决通过网络而不是文件系统复制数据的问题。

这种方法虽然能够对数据进行保护，但是由于一个应用程序可能同时要对不同的数据进行访问，所以很容易就把被保护的数据写入到了其他文件中，再通过后续的操作泄密。举例来说，Word程序必须对Nomal.dot文件取得访问权限，所以Word程序在打开被保护的数据之后，就可以把这些数据写入到Normal.dot文件中，并在下一个Word程序进程/线程中把被保护的数据读出来，从而泄漏出去。

综上，现有对数据进行保护的方法存在严重的可行性问题，且很难达到预期的保护效果。

发明内容

有鉴于此，本发明提供了一种数据保护方法，能够有效地实现对需要保护数据的保护。

本发明还提供了一种数据保护装置，能够有效地实现对需要保护数据的保护。

为了达到上述目的，本发明提出的技术方案为：

一种数据保护方法，该方法包括：

将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中；

将应用程序的启动运行模式划分为受控模式运行和自由模式运行；

根据应用程序的启动运行模式，控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。

该方法还包括：为能够以受控模式运行的应用程序提供以受控模式运行的启动入口。

所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护包括：

阻止以自由模式运行的应用程序向开放区中写入数据；允许以受控模式运行的应用程序读写开放区中的数据。

所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护还包括：

阻止以自由模式运行的应用程序读取开放区中的数据。

该方法进一步包括：为所述以受控模式运行的每一个应用程序维护一个授权访问资源列表，允许以受控模式运行的应用程序读取或者读写所述授权访问资源列表中的资源。

一种数据保护装置，该装置包括：数据区分模块、数据存储模块、运行模式控制模块和资源访问控制模块，其中，

所述数据区分模块，用于将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据；

所述数据存储模块，用于将数据区分模块区分后的需要保护的数据和不需要保护的数据分别存储至敏感区和开放区中；

所述运行模式控制模块，用于将应用程序的启动运行模式划分为受控模式运行和自由模式运行；

所述资源访问控制模块，用于根据应用程序的启动运行模式，控制每一个运行的应用程序对数据存储模块的开放区和敏感区中数据的访问，实现对数据存储模块的敏感区中数据的保护。

所述运行模式控制模块，还用于为能够以受控模式运行的应用程序提供以受控模式运行的启动入口。

所述资源访问控制模块，用于阻止以自由模式运行的应用程序向数据存储模块的开放区中写入数据和允许以受控模式运行的应用程序读写数据存储模块的开放区中的数据。

所述资源访问控制模块，还用于阻止以自由模式运行的应用程序读取数据存储模块的开放区中的数据。

该装置还包括资源列表维护模块，用于为能够以受控模式运行的应用程序维护一个授权访问资源列表；

所述资源访问控制模块，进一步用于以受控模式运行的应用程序读取或者读写所述资源列表维护模块维护的授权访问资源列表中的资源。

综上所述，本发明所采用的数据保护方法，是通过将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中后，进而控制以受控模式运行的应用程序和以自由模式运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。因此，本发明方法能够有效地实现对需要保护数据的保护。

附图说明

图1为本发明数据保护方法实施例的工作流程图；

图2为本发明数据保护装置实施例的结构示意图。

具体实施方式

为了解决现有技术中存在的问题，本发明提出了一种数据保护方法，即通过将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中后，进而控制以受控模式运行的应用程序和以自由模式运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。

在介绍具体的实现方案之前，首先对应用程序的自由模式运行和受控模式运行两种运行状态进行说明。其中，自由模式运行是指应用程序的正常运行模式，即应用程序在启动时不需要对其进行任何操作；受控模式运行是指应用程序在启动后的进程被添加一个模式标记，以便资源访问控制模块读取。

基于上述介绍，本发明所述方案的具体实现包括：

将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中；将应用程序的启动运行模式划分为受控模式运行和自由模式运行；根据应用程序的启动运行模式，控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步地详细描述。

图1为本发明数据保护方法实施例的工作流程图。如图1所示，该流程包括：

步骤101：将应用程序的启动运行模式划分为受控模式运行和自由模式运行。

在本步骤中，计算机中的一部分应用程序既要能够以自由模式运行，又要能够以受控模式运行，且需要为能够以受控模式运行的应用程序提供以受控模式运行的启动入口。

需要说明的是，在本步骤中，还需要为每一个能够以受控模式运行的应用程序维护一个授权访问资源列表，其中包含了文件、注册表项和网络资源等应用程序可以访问的资源，所述文件是能保证该应用程序正常执行的最小集合。所述授权访问资源列表，还可以包含一个数字签名，以防止该授权访问资源列表在未经许可的情况下被修改。

还需说明的是，在本步骤中，当应用程序以受控模式运行时，对其中的授权访问资源列表中的文件、和/或注册表项、和/或网络资源等应用程序可以访问的资源限制为只读访问，或者是可读写访问，实际中以不影响本发明实施例的实现为准。

步骤102：将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中。

计算机中数据有些是需要保护的数据，有些是不需要保护的数据，因此，需要对这些数据进行区分，并对区分后的不需要保护的数据存储到计算机中划分出的开放区中；而将其他所有数据作为需要保护的数据存储到划分出的敏感区中。在本步骤中，是通过对不需要保护的数据进行标记，从而确认其是不需要保护的数据的，由于未被标记的所有数据都认为是需要保护的数据，也就增大了需要保护数据的范围，提高了数据保护的能力。

需要说明的是，在本步骤中，对数据进行区分时可以按照数据的存储位置、数据的类型、网络和本地资源、网络资源的访问地址、注册表的表项等一种或几种的组合来进行，实际中以不影响本发明实施例的实现为准。

步骤103：根据应用程序的启动运行模式，控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。

在本步骤中，所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护包括：

阻止以自由模式运行的应用程序向开放区中写入数据，避免了以自由模式运行的应用程序在读取出敏感区中的数据后，将敏感区中的需要保护的数据写入到开放区中；

允许以受控模式运行的应用程序读写开放区中的数据，以使得应用程序能够正常地读写开放区中的数据。

所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护还包括：阻止以自由模式运行的应用程序读取开放区中的数据，从而可以防止以自由模式运行的应用程序读取开放区中的木马程序，并将其写入到敏感区中，破坏敏感区中的数据，也实现了对敏感区中需要保护的数据的保护。

进一步地，所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护还包括：

允许以受控模式运行的应用程序读取或者读写所述应用程序维护的授权访问资源列表中的资源，以使得应用程序能够正常运行。

需要说明的是，在本步骤中，对应用程序进行控制是通过一个符合Windows操作系统的过滤驱动程序来实现的，该过滤驱动程序在系统内核运行，监控磁盘数据访问请求，根据安全策略禁止或允许某一应用程序进程对某一数据的访问。如果涉及到网络资源，还应该包含一个网络过滤驱动程序，监控网络访问请求，根据安全策略禁止或允许某一应用程序进程对某网络地址的访问。

至此，即完成了本发明数据保护方法实施例的整个工作流程。

基于上述方法，图2为本发明数据保护装置实施例的结构示意图，如图2所示，该装置包括：应用程序模块21、数据区分模块22、数据存储模块23、运行模式控制模块24和资源访问控制模块25，其中，

所述应用程序模块21，用于存储计算机中的应用程序。

所述数据区分模块22，用于将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据。

所述数据存储模块23，用于将数据区分模块22区分后的需要保护的数据和不需要保护的数据分别存储至敏感区和开放区中。

所述运行模式控制模块24，用于将应用程序模块21中的应用程序的启动运行模式划分为受控模式运行和自由模式运行。

所述资源访问控制模块25，通过根据应用程序的启动运行模式，控制应用程序模块21中每一个运行的应用程序对数据存储模块23的开放区和敏感区中数据的访问，实现对数据存储模块23的敏感区中数据的保护。

进一步地，所述运行模式控制模块24，还用于为能够以受控模式运行的应用程序提供以受控模式运行的启动入口。

进一步地，所述资源访问控制模块25，用于阻止应用程序模块21中以自由模式运行的应用程序向数据存储模块23的开放区中写入数据，避免了以自由模式运行的应用程序在读取出敏感区中的数据后，将敏感区中的需要保护的数据写入到开放区中；和，允许程应用程序模块21中以受控模式运行的应用程序读写数据存储模块23的开放区中的数据，以使得应用程序能够正常地读写开放区中的数据。

所述资源访问控制模块25，还用于阻止应用程序模块21中以自由模式运行的应用程序读取数据存储模块23的开放区中的数据，从而可以防止开放区中的木马程序入侵到数据存储模块23的敏感区中，破坏敏感区中的数据，也实现了对敏感区中需要保护的数据的保护。

该装置还可以包括资源列表维护模块26，用于为应用程序模块21中能够以受控模式运行的应用程序维护一个授权访问资源列表；

所述资源访问控制模块24，进一步用于允许应用程序模块21中以受控模式运行的应用程序读取或者读写所述资源列表维护模块26中维护的授权访问资源列表中的资源，以使得应用程序能够正常运行。

至此，即得到了本发明所采用的数据保护装置。图2所示装置的具体工作流程可参见图1，这里不再赘述。

以下举例说明本发明数据保护方法对数据进行保护的具体实现过程：

将本地计算机上C盘下的一个目录标记为开放区，例如C:\Open\，同时将所有移动存储设备标记为开放区，具体可通过生成一个标记文件用于标记；

运行公开软件工具ProcessExplorer(该工具可以从互联网上下载)，然后启动Notepad.exe程序，从ProcessExplorer中可以得到启动Notepad.exe所需要的系统文件，以Windows7为例，所需要的文件列表如下：

advapi32.dll

comctl32.dll

comctl32.dll.mui

comdlg32.dll

cyptbase.dll

dwapi.dll

gdi32.dll

imm32.dll

kernel32.dll

kenelbase.dll

locale.nis

lpk.dll

msctf.dll

msctf.dll.mui

msvcrt.dll

notepad.exe

notepad.exe.mui

ntdll.dll

ole32.dll

oleaut32.dll

rpcrt4.dll

sechost.dll

shell32.dll

shlwapi.dll

sortdefauit.nls

staticcache.dat

user32.dll

uspl0.dll

uxtheme.dll

version.dll

winspool.drv

将上述文件全部添加到Notepad.exe的授权访问资源列表中，允许notepad.exe对上述授权访问资源列表中的资源进行只读访问；

为Notepad.exe提供以受控模块运行的启动入口，以支持notepad.exe以受控模式启动。

在执行完上述操作之后，可通过如下测试来完成对需要被保护的数据的保护：

测试1：

直接运行Notepad.exe，即以自由模式运行Notepad.exe，然后打开本地硬盘上开放区之外的一个文本文件，例如d:\critical.txt，并尝试将该文件另存到c:\open目录，结果将失败，因为禁止以自由模式运行的应用程序将数据写入开放区。

测试2：

以受控模式运行Notepad.exe，打开U盘上的一个文本文件，例如open.txt，在Notepad.exe中将open.txt另存到c:\open目录中，结果成功，因为都是允许以受控模式运行的应用程序读写开放区中的数据。

在Notepad.exe中关闭open.txt，然后尝试打开d:\critical.txt文件，结果将失败，因为禁止以受控模式运行的应用程序访问敏感区中的数据，除非该文件存在于资源访问授权列表(d:\critical.txt不在该列表)中。

测试3：

运行Windows资源管理器，选择d:\critical.txt文件，然后尝试复制到U盘中，结果将失败，因为禁止以自由模式运行的应用程序将数据写入到开放区。

通过上述实施例可以看出，由于本发明方法阻止所有以自由模式运行的应用程序向开放区写入数据，所以能够有效地防止敏感区中的数据被复制到开放区中，同时，本发明方法还允许以受控模式运行的应用程序正常读写开放区中的数据，所以能够保持对开放区中的数据的正常访问。

进一步地，由于本发明方法还为以受控模式运行的应用程序维护授权访问资源列表，从而保证了应用程序在受控模式下的正常运行。例如，可以将Word.exe所需要的系统文件添加到相应的授权访问资源列表中，这样Word.exe就能以受控模式运行，并打开U盘上的数据。

总之，本发明所采用的数据保护方法，通过将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中后，进而控制以受控模式运行的应用程序和以自由模式运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。

进一步地，由于本发明方法在对数据进行区分时能够对不需要保护的数据进行标记，并将其他所有数据作为需要保护的数据的，因此，杜绝了由于数据标记不正确而导致的需要保护的数据的意外泄密。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种数据保护方法，其特征在于，该方法包括：

将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据后再分别存储至敏感区和开放区中；

将应用程序的启动运行模式划分为受控模式运行和自由模式运行；

根据应用程序的启动运行模式，控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护。

2.根据权利要求1所述的方法，其特征在于，该方法还包括：为能够以受控模式运行的应用程序提供以受控模式运行的启动入口。

3.根据权利要求1所述的方法，其特征在于，所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护包括：

阻止以自由模式运行的应用程序向开放区中写入数据；允许以受控模式运行的应用程序读写开放区中的数据。

4.根据权利要求3所述的方法，其特征在于，所述控制每一个运行的应用程序对开放区和敏感区中数据的访问，实现对敏感区中数据的保护还包括：

阻止以自由模式运行的应用程序读取开放区中的数据。

5.根据权利要求1所述的方法，其特征在于，该方法进一步包括：为所述以受控模式运行的每一个应用程序维护一个授权访问资源列表，允许以受控模式运行的应用程序读取或者读写所述授权访问资源列表中的资源。

6.一种数据保护装置，其特征在于，该装置包括：数据区分模块、数据存储模块、运行模式控制模块和资源访问控制模块，其中，

所述数据区分模块，用于将数据存储区划分为敏感区和开放区，并将所有的数据区分为需要保护的数据和不需要保护的数据；

所述数据存储模块，用于将数据区分模块区分后的需要保护的数据和不需要保护的数据分别存储至敏感区和开放区中；

所述运行模式控制模块，用于将应用程序的启动运行模式划分为受控模式运行和自由模式运行；

所述资源访问控制模块，用于根据应用程序的启动运行模式，控制每一个运行的应用程序对数据存储模块的开放区和敏感区中数据的访问，实现对数据存储模块的敏感区中数据的保护。

7.根据权利要求6所述的装置，其特征在于，所述运行模式控制模块，还用于为能够以受控模式运行的应用程序提供以受控模式运行的启动入口。

8.根据权利要求7所述的装置，其特征在于，所述资源访问控制模块，用于阻止以自由模式运行的应用程序向数据存储模块的开放区中写入数据和允许以受控模式运行的应用程序读写数据存储模块的开放区中的数据。

9.根据权利要求7所述的装置，其特征在于，所述资源访问控制模块，还用于阻止以自由模式运行的应用程序读取数据存储模块的开放区中的数据。

10.根据权利要求7所述的装置，其特征在于，该装置还包括资源列表维护模块，用于为能够以受控模式运行的应用程序维护一个授权访问资源列表；

所述资源访问控制模块，进一步用于以受控模式运行的应用程序读取或者读写所述资源列表维护模块维护的授权访问资源列表中的资源。

Images