CN102480492A

CN102480492A - 对敏感文件的输入输出进行监控的方法和装置

Info

Publication number: CN102480492A
Application number: CN2010105533305A
Authority: CN
Inventors: 刘国萍; 杨明川
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2010-11-22
Filing date: 2010-11-22
Publication date: 2012-05-30
Anticipated expiration: 2030-11-22
Also published as: CN102480492B

Abstract

本发明公开了一种对敏感文件的输入输出进行监控的方法和装置。其中，该方法包括监测是否对敏感文件进行输入/输出操作；如果监测到对敏感文件进行输入/输出操作，则检索敏感文件是否包含关键字；如果敏感文件不包含关键字，则继续对敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理。本发明通过对敏感文件的动态输入/输出过程进行监测和处理，不仅可以避免用户无意间上传/下载敏感文件或收发带有敏感文件的邮件，同时还可以避免由于网络攻击而导致用户敏感文件的泄露。此外，本发明无需创建本地索引、不影响本地对敏感文件的使用、且用户端资源占用少。

Description

对敏感文件的输入输出进行监控的方法和装置

技术领域

本发明涉及安全技术领域，特别地，涉及一种对敏感文件的输入输出进行监控的方法和装置。

背景技术

政府及企事业单位为标识文件的重要性和特殊性，通常在文件发布时将文件加上绝密、机密、秘密等标识，这在引起内部员工或合作伙伴对资料信息高度重视的同时，也给国内外间谍及网络黑客以可乘之机，他们利用种种基于互联网的探测及攻击手段非法获取该类文件以牟取暴利。另一方面，由于互联网的资源分享的便利性，一些防范意识不强的用户也因无意间通过网络下载或上传一些标有密级的文件而受到国家安全监测机构审查，给单位或个人带来不必要的麻烦。

目前针对此类问题的解决方案通常是在用户终端上安装支持文件关键字搜索(例如，百度硬盘搜索)的软件。为加快搜索速度，此类软件通常需要对磁盘文件先建立索引，然后再按文件关键字进行搜索，对检索到的文件根据文件重要性或用户需求进行手工删除、移除、加密等处理。

上述现有技术对敏感文件进行检测与处理的方案至少存在以下四种缺陷：

(1)缺乏对敏感文件输入/输出过程(例如，上传/下载或带有附件的邮件收发)的检测机制：

互联网的资源分享的便利性使得用户可随时随地的进行文件的上传/下载及邮件的收发，此外一些黑客攻击也会利用一些软件盗取敏感文件，如果缺乏对这一过程的检测，那些基于静态过程对敏感文件的搜索与处理等同于无。

(2)建立文件索引时占用的用户终端资源大且花费时间长：

由于文件索引服务需要频繁地对磁盘进行读操作，CPU的使用率通常会达到70％以上，导致系统运行缓慢，影响用户正常工作；对于一个通用办公计算机，完成首次索引建立的时间一般在3小时以上。如果本地文件数量较大，需检索的文件类型较多，则花费的时间一般在6小时以上。

(3)手工处理方式繁琐、费时：

由于文件重要性不同，需要对检测到的文件根据情况分别进行处理，有的可能需要彻底删除，有的需要转移到其它安全移动介质上存档，有的需要进行本地加密保存。如果本地磁盘含有众多重要性不同的敏感文件，这种处理需要用户进行大量繁琐的判别和手工处理操作，耗费用户大量时间。

(4)经处理后的敏感文件给用户的再次使用带来不便：

由于敏感文件经上述检测处理后已被删除、移除或加密，因此当需要再次使用这些敏感文件时，查找、拷贝或解密等操作后还需要再次进行移除或加密。如果文件已被删除，则给使用带来更大的不便。

发明内容

本发明要解决的一个技术问题是提供一种对敏感文件的输入输出进行监控的方法和装置，能够对敏感文件的输入/输出过程进行有效地检测以防止敏感文件的泄露。

根据本发明的一方面，提出了一种对敏感文件的输入输出进行监控的方法，包括监测是否对敏感文件进行输入/输出操作；如果监测到对敏感文件进行输入/输出操作，则检索敏感文件是否包含关键字；如果敏感文件不包含关键字，则继续对敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理。

根据本发明方法的一个实施例，处理模式为交互式或静默式。

根据本发明方法的另一实施例，处理策略包括删除关键字、删除敏感文件副本、对敏感文件副本进行加密以及取消输入/输出操作。

根据本发明方法的又一实施例，输入/输出操作的类型包括为邮件添加附件、FTP上传或下载。

根据本发明方法的再一实施例，在处理模式为交互式时，根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理的步骤包括生成处理策略交互式选择提示；根据提示选择对敏感文件副本和输入/输出操作的处理策略；根据所选择的处理策略对敏感文件副本和输入/输出操作进行处理。

根据本发明的另一方面，还提出了一种对敏感文件的输入输出进行监控的装置，包括监测模块，用于监测是否对敏感文件进行输入/输出操作；检索模块，与监测模块相连，用于如果监测到对敏感文件进行输入/输出操作，则检索敏感文件是否包含关键字；控制模块，与检索模块相连，用于如果敏感文件不包含关键字，则继续对敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理。

根据本发明装置的一个实施例，处理模式为交互式或静默式。

根据本发明装置的另一实施例，处理策略包括删除关键字、删除敏感文件副本、对敏感文件副本进行加密以及取消输入/输出操作。

根据本发明装置的又一实施例，输入/输出操作的类型包括为邮件添加附件、FTP上传或下载。

根据本发明装置的再一实施例，控制模块包括第一处理单元，用于在敏感文件不包含关键字的情况下，继续对敏感文件进行输入/输出操作；副本生成单元，用于在敏感文件包含关键字的情况下，生成敏感文件副本；第二处理单元，与副本生成单元相连，用于根据预先设定的处理模式和处理策略对敏感文件副本和输入/输出操作进行处理。

本发明提供的对敏感文件的输入输出进行监控的方法和装置，通过对敏感文件的动态输入/输出过程进行监测和处理，不仅可以避免用户无意间上传/下载敏感文件或收发带有敏感文件的邮件，同时还可以避免由于网络攻击而导致用户敏感文件的泄露。此外，本发明无需创建本地索引、不影响本地对敏感文件的使用、且用户端资源占用少。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分。在附图中：

图1是本发明方法的一个实施例的流程示意图。

图2是本发明方法的另一实施例的流程示意图。

图3是本发明方法的另一实施例的流程示意图。

图4是本发明装置的一个实施例的结构示意图。

图5是本发明装置的另一实施例的结构示意图。

图6是对敏感文件的输入输出进行监控的系统的一个实施例的结构示意图。

具体实施方式

下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。本发明的示例性实施例及其说明用于解释本发明，但并不构成对本发明的不当限定。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

本发明提供了一种对敏感文件的输入输出进行监控的方法和装置，对满足监测规则的敏感文件根据用户设定的处理策略进行处理，实现敏感文件在进出用户系统时及时告知用户并按需或自动进行处理，以解决用户自身无意上传/下载敏感文件或未授权用户非法盗取敏感文件而导致泄密事件的发生。

图1是本发明方法的一个实施例的流程示意图。

如图1所示，该实施例可以包括以下步骤：

S102，监测是否对敏感文件进行输入/输出操作，其中，输入/输出操作的类型可以包括为邮件添加附件、FTP上传或下载；

S104，如果监测到对敏感文件进行输入/输出操作，则检索敏感文件是否包含关键字；

S106，如果敏感文件不包含关键字，则继续对敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理，可选地，处理模式可以为交互式或静默式，处理策略可以包括删除关键字、删除敏感文件副本、对敏感文件副本进行加密以及取消输入/输出操作。

该实施例仅对敏感文件进出用户系统时进行监测，避免了对大量敏感文件建立索引和检索的过程，节省了用户的时间，减轻了对用户系统资源的占用，降低了对用户终端性能的影响。而且，仅对敏感文件输入/输出时生成的副本进行，不影响用户对敏感文件本身的正常使用，方便了用户的使用。

在一个实例中，在处理模式为交互式时，根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理的步骤可以包括：生成处理策略交互式选择提示；根据提示选择对敏感文件副本和输入/输出操作的处理策略；根据所选择的处理策略对敏感文件副本和输入/输出操作进行处理。这样不仅简化了用户操作，而且还可以适用于用户的多样化应用场景。

图2是本发明方法的另一实施例的流程示意图。

如图2所示，该实施例可以包括以下步骤：

S202，用户根据自身需求设定并保存监测规则、处理模式和处理策略；

S204，系统监测客户端的与敏感文件有关的I/O操作；

S206，在检测到有敏感文件的I/O操作时，则检测该敏感文件是否含有关键字信息；

S208，如不含，则继续原I/O操作；如含有，则根据用户事先设定的处理模式和用户设置的处理策略，对敏感文件和文件I/O进行处理。

图3是本发明方法的又一实施例的流程示意图。

如图3所示，该实施例可以包括以下步骤：

S302，根据需求设定对敏感文件的监测规则、处理模式和处理策略，其中，监测规则可以包括监测目标文件类型，例如，doc、pdf等，敏感文件的I/O操作类型，例如，为邮件添加附件、网站FTP上传/下载等，检测关键字，例如，绝密、国家秘密、企业机密等，匹配规则，例如，首次全字匹配、标题匹配等；处理模式指检测到关键字后的处理方式，例如，交互式、静默式等；处理策略指对包含关键字的敏感文件及相应I/O操作的处理方式，例如，删除关键字、删除敏感文件、对敏感文件加密、取消I/O操作、不做处理等；

S304，系统根据S302的规则和策略监测敏感文件的I/O操作，例如，对邮件收发时附件所包含的文件进行监测；

S306，监测到有敏感文件的I/O操作时，根据设置的检索关键字分析并判决敏感文件是否含有关键字信息；

S308，如果监测到I/O操作的敏感文件含有关键字信息，则生成敏感文件的副本；

S310，根据预先设定的处理模式，确定对敏感文件副本及相关I/O操作的处理方式(交互式或静默式)；

S312，针对交互式处理模式，系统生成处理策略交互式选择提示；

S314，用户根据敏感文件处理需求选择确认对敏感文件副本及相关I/O的处理策略，例如，选择加密敏感文件后继续发送；

S316，系统对敏感文件副本及相应I/O操作进行处理，例如，对敏感文件副本进行加密，完成加密后继续发送邮件；

S318，针对静默式处理模式，系统按用户预先设定的处理策略对敏感文件副本进行处理，例如，删除关键字后进行发送；

S320，对于检测不包含关键字的目标文件则继续原操作。

该实施例可以根据需求选择交互式或静默式处理模式，适合用户多样化的敏感文件处理场景。此外，还可以免除大量的手工对敏感文件的检测及处理操作，并能防止网络非法分子对敏感文件的盗取。

图4是本发明装置的一个实施例的结构示意图。

如图4所示，该实施例的监控装置10可以包括：

监测模块11，用于监测是否对敏感文件进行输入/输出操作，其中，输入/输出操作的类型包括为邮件添加附件、FTP上传或下载；

检索模块12，与监测模块11相连，用于如果监测到对敏感文件进行输入/输出操作，则检索敏感文件是否包含关键字；

控制模块13，与检索模块12相连，用于如果敏感文件不包含关键字，则继续对敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对敏感文件副本和输入/输出操作的处理，可选地，处理模式可以为交互式或静默式，处理策略可以包括删除关键字、删除敏感文件副本、对敏感文件副本进行加密以及取消输入/输出操作。

图5是本发明装置的另一实施例的结构示意图。

如图5所示，与图4中的实施例相比，该实施例的监控装置20中的控制模块21可以包括：

第一处理单元211，用于在敏感文件不包含关键字的情况下，继续对敏感文件进行输入/输出操作；

副本生成单元212，用于在敏感文件包含关键字的情况下，生成敏感文件副本；

第二处理单元213，与副本生成单元212相连，用于根据预先设定的处理模式和处理策略对敏感文件副本和输入/输出操作进行处理。

如图6所示，该实施例的监控系统30可以包括客户端31和服务器端32，客户端31设定监测规则并上传监测规则到服务器端，如果用户预先设定的处理模式为交互式，则根据服务器端的处理策略选择提示确认处理策略；服务器端32根据用户设定的监测规则和处理策略监测敏感文件的I/O操作，并对符合监测条件的敏感文件按照预先设置的关键字进行检索，如果敏感文件含有设定的关键字，则按照预先设定的处理模式和处理策略对敏感文件和文件I/O操作进行处理。

其中，客户端31包括但不仅限于计算机、手机、PDA等设备，具体可以包括以下模块：

规则存储模块311，存储设置的敏感文件的监测规则、处理模式及处理策略；

规则上传模块312，与规则存储模块311相连，用于将所存储的规则上传到服务器端32；

策略确认模块313，用于获取服务器端32生成的处理策略交互式选择提示，并上传对处理策略的选择确认信息；

服务器端32既可以在上述的各类用户终端上实现，也可以在网关设备或集中的服务器设备上实现，具体可以包括以下模块：

规则接收模块321，与规则上传模块312相连，用于接收客户端上传的监测及处理规则，并保存在服务器端内；

监测模块11，与规则接收模块321相连，用于监测敏感文件相关的I/O操作；

检索模块12，与监测模块11相连，用于对监测的敏感文件是否含有关键字信息进行匹配分析和判决；

副本生成单元212，与检索模块12相连，用于在敏感文件中包含关键字信息时生成敏感文件的副本；

提示生成单元322，与副本生成单元212和策略确认模块313相连，用于生成处理策略选择提示信息，并向策略确认模块313发送提示信息；

第二处理单元213，与副本生成单元212和策略确认模块313相连，用于根据用户选择的处理策略处理敏感文件副本及相关I/O操作。

本发明的上述实施例通过对敏感文件动态输入/输出的过程进行监测与处理，不仅可以避免用户无意间上传/下载敏感文件或收发带有敏感文件的邮件，同时还可以避免由于网络攻击而导致的用户敏感文件泄露。此外，本发明无需创建本地索引、不影响本地对敏感文件的使用、且用户端资源占用少，同时，交互式自动化的处理方式不仅简化了用户操作，还可以适用于用户多样化的应用场景。

本发明还可以扩展到基于关键字信息的其他对象的监测与处理，例如，对包含敏感信息的Web网页的检测和处理。

虽然已经通过示例对本发明的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本发明的范围。本领域的技术人员应该理解，可在不脱离本发明的范围和精神的情况下，对以上实施例进行修改。本发明的范围由所附权利要求来限定。

Claims

1.一种对敏感文件的输入输出进行监控的方法，其特征在于，包括：

监测是否对敏感文件进行输入/输出操作；

如果监测到对所述敏感文件进行输入/输出操作，则检索所述敏感文件是否包含关键字；

如果所述敏感文件不包含所述关键字，则继续对所述敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对所述敏感文件副本和输入/输出操作的处理。

2.根据权利要求1所述的方法，其特征在于，所述处理模式为交互式或静默式。

3.根据权利要求1所述的方法，其特征在于，所述处理策略包括删除所述关键字、删除所述敏感文件副本、对所述敏感文件副本进行加密以及取消输入/输出操作。

4.根据权利要求1所述的方法，其特征在于，所述输入/输出操作的类型包括为邮件添加附件、FTP上传或下载。

5.根据权利要求2所述的方法，其特征在于，在所述处理模式为交互式时，所述根据预先设定的处理模式和处理策略控制对所述敏感文件副本和输入/输出操作的处理的步骤包括：

生成所述处理策略交互式选择提示；

根据提示选择对所述敏感文件副本和输入/输出操作的处理策略；

根据所选择的处理策略对所述敏感文件副本和输入/输出操作进行处理。

6.一种对敏感文件的输入输出进行监控的装置，其特征在于，包括：

监测模块，用于监测是否对敏感文件进行输入/输出操作；

检索模块，与所述监测模块相连，用于如果监测到对所述敏感文件进行输入/输出操作，则检索所述敏感文件是否包含关键字；

控制模块，与所述检索模块相连，用于如果所述敏感文件不包含所述关键字，则继续对所述敏感文件进行输入/输出操作，否则，生成敏感文件副本，并根据预先设定的处理模式和处理策略控制对所述敏感文件副本和输入/输出操作的处理。

7.根据权利要求6所述的装置，其特征在于，所述处理模式为交互式或静默式。

8.根据权利要求6所述的装置，其特征在于，所述处理策略包括删除所述关键字、删除所述敏感文件副本、对所述敏感文件副本进行加密以及取消输入/输出操作。

9.根据权利要求6所述的装置，其特征在于，所述输入/输出操作的类型包括为邮件添加附件、FTP上传或下载。

10.根据权利要求7所述的装置，其特征在于，所述控制模块包括：

第一处理单元，用于在所述敏感文件不包含所述关键字的情况下，继续对所述敏感文件进行输入/输出操作；

副本生成单元，用于在所述敏感文件包含所述关键字的情况下，生成敏感文件副本；

第二处理单元，与所述副本生成单元相连，用于根据预先设定的处理模式和处理策略对所述敏感文件副本和输入/输出操作进行处理。