CN102495987B - 一种电子信息本地防泄密访问的方法和系统 - Google Patents

Abstract

本发明涉及一种电子信息本地防泄密访问的方法，包括以下步骤：初始化本地管控环境，建立与集中存储服务器的安全通道；本地终端设备受控访问集中存储服务器上的电子信息；过滤电子信息在终端环境中的残留内容，不在终端设备环境留下电子信息。本发明利用终端本地安装的应用程序来访问电子信息，系统兼容性强；通过系统接管技术，对本地环境的综合限制，达到电子信息不泄密目标。

Description

一种电子信息本地防泄密访问的方法和系统

技术领域

本发明涉及电子信息防泄密方案，特别是电子信息本地防泄密的技术，属于计算机信息安全领域。

背景技术

电子信息是指利用计算机等电子设备生成的，以数字形式存储的文字、图标、图像、音频、视频等的文件信息记录。电子信息作为一种信息资源，是企业生产、技术、科研和经营等活动的真实记录，在企业管理等各方面发挥着重要作用。规范化、科学化、集中化的电子信息管理，是企业必须做好的一项基础性工作。

电子信息的集中化管理面临的一个问题是如何防止涉密电子信息的泄露。传统的解决方法包括WEB在线管理、无盘工作站、虚拟化、远程桌面等。但是web在线管理技术存在电子信息格式的问题，支持的格式有限，编辑和管理的功能有限；无盘工作站、虚拟化、远程桌面等技术存在对系统架构的改造较大，费用昂贵，终端资源利用率低等问题；且传统方案中通过远程操作或者服务器共享，存在电子信息格式限制，比如只能处理Office、PDF等格式，对于工程制图、专业应用系统无法支持，功能需要第三方的支持，其功能操作方法与习惯有差异。而将电子信息输出到本地环境中访问，这种方法可以充分利用本地的资源，格式兼容型强。

本地终端访问集中存储服务器上的电子信息，需要将电子信息临时保存在终端本地磁盘上或其他可恢复的存储介质上，然后调用本地资源访问文件。但是这种方式会在终端本地环境中留下电子信息的临时数据，电子信息在本地环境中有很多方法泄露出去。如何既能利用终端本地资源访问电子信息，又能在终端本地环境不留下信息，是目前电子信息集中存储环境下需要解决的技术问题。

发明内容

本发明的目的在于提供一种电子信息本地防泄密的方法和系统，达到利用终端本地资源访问集中存储服务器上电子信息，并且终端本地环境在访问过程中和访问完成后不保留电子信息，也无法从本地环境还原电子信息，从而既能保证电子信息防泄露并充分利用终端资源。

本发明的实现过程如下：

一种电子信息本地防泄密访问的方法，包括以下步骤：

（1）初始化本地管控环境，建立与集中存储服务器的安全通道；

（2）本地终端设备受控访问集中存储服务器上的电子信息；

（3）过滤电子信息在终端环境中的残留内容，不在终端设备环境留下电子信息。

步骤（2）还包括下述步骤：

（1）终端管控代理通过安全通道获得集中存储服务器上的电子信息；

（2）利用系统接管技术将电子信息下载并安全缓存到外部环境；

（3）受控调用本地应用程序访问该外部环境的电子信息；

（4）回传电子信息，清除电子信息在终端环境中的残留内容。

上述步骤（2）中，本地终端设备访问涉密电子信息期间，所有本地访问均受控，仅允许对本地文件系统读操作，所有的写操作均被限制访问。

上述步骤（2）中，涉密电子信息在终端设备环境中受限访问，所有与电子信息相关的本地可恢复数据均被指向外部安全存储环境中，电子信息访问完成后，终端环境不保留电子信息。

上述步骤（2）中，电子信息在本地环境访问过程中的缓存和临时数据均被限制，无法输出到非授权外部环境中，并在访问结束后被自动清除。

一种电子信息本地防泄密访问的系统，包括：

本地终端管控代理，用于远程提取集中服务器上的电子信息，调用本地关联应用程序访问该电子信息，调用系统接管安全技术对该电子信息的访问进行限制，并限制其他应用程序访问该电子信息，限制电子信息的关联调用应用程序的访问过程；

涉密文件的集中存储服务器，用于集中存储涉密文件；

外部安全存储环境，用于临时缓存涉密文件。

上述本地终端管控代理在应用层和系统驱动层上对电子信息在本地的访问进行管控。

上述本地终端管控代理包括：

管控模块：负责系统的初始化、资源的回收以及驱动层安全模块、应用层安全模块、通信模块和辅助模块的协调和内部通信；

驱动层安全模块：负责实现驱动层的文件访问接管，采用文件系统层接管、磁盘层接管、核心API接管和网络访问接管技术，限制允许终端管控代理及代理授权的进程访问涉密电子信息，限制网络访问的地址、协议或进程；

应用层安全模块：负责实现应用层的文件、进程控制，限制其复制、拷贝、打印等应用层泄密电子信息的行为；

通信模块：负责与集中存储服务器建立安全网络通道，以及获取和回传电子信息；

辅助模块：负责系统的配置、外部环境的支撑。

上述外部安全存储环境是只有在本地终端管控代理授权的情况下才能访问。

本发明的有益效果在于：

（1）利用终端本地资源来安全的访问集中服务器上的电子信息，相比于传统远程访问、无盘工作站方案，可以充分利用终端本地资源，避免了现有投资的浪费，简化了电子信息集中化管理部署的复杂性；

（2）利用终端本地安装的应用程序来访问电子信息，系统兼容性强；

（3）提供一种电子信息本地不泄密问题的通用解决方法，通过系统接管技术，对本地环境的综合限制，达到电子信息不泄密目标。

附图说明

图1是电子信息本地防泄密访问系统的组成示意图；

图2是本地终端管控代理的模块组成结构图；

图3是电子信息本地防泄密访问系统的初始化流程；

图4是本地终端访问电子信息的流程；

图5是本地进程受控访问涉密电子信息的接管流程；

图6是本地进程受控访问非涉密电子信息的接管流程。

具体实施方式

下面将结合附图对本发明所述的电子信息本地防泄密的方法和系统的具体实施方式作进一步说明。

本发明中电子信息集中存储在在服务器上，终端本地不保存电子信息。当需要访问电子信息时，通过网络传输到本地，并存储在外部安全存储环境中，利用终端本地的资源访问该电子信息，访问过程中电子信息不保存在终端本地环境中，所有的临时文件和缓存均被系统接管，并指向到受控环境中，当电子信息在本地环境访问完成后，根据需要可以将电子信息回传回集中存储服务器上，并清除所有临时信息和缓存。

本发明中的外部安全存储环境可以采用安全U盘、网络存储以及虚拟磁盘等技术和设备，该安全存储环境只能在本地终端管控代理授权的情况下才能访问。

本发明利用系统接管技术，在系统驱动层、应用层上对所有电子信息内容的读写操作进行接管，并指向到外部安全存储环境中，在外部安全环境开辟临时空间，将本地环境的写操作均定位到该临时空间，或者直接丢弃，从而避免在终端本地环境留下内容。

本发明利用的系统接管技术，包括系统驱动层和应用层两个方面。在系统驱动层从底层上将限制只允许终端管控代理访问电子信息，将系统本地环境所有写操作接管并指向外部安全存储环境上，避免系统缓存、临时文件、页面文件造成信息泄露。为了防止网络上的泄露，对网络访问也受控，只允许终端管控代理网络访问或只允许网络访问集中服务器。从而堵住网络上以及本地磁盘环境的泄露。驱动层上的可用技术包括：Hook SSDT，Object Hook，Fsd Hook等驱动层Hook以及中间层驱动技术。但不限于这里的技术。为了加强控制，在应用层上也进行了接管，对打开电子信息的应用程序的访问进行控制，限制其打印、复制、另存、发送等泄密行为。可用的技术包括：SetWindowsHook，Api Hook等技术，但不限于这些技术。

如图1所示，本发明提供了一种电子信息本地防泄密访问的系统，包括本地终端管控代理、涉密文件的集中存储服务器和外部安全存储环境，其中，

所述本地终端管控代理是在终端本地环境运行的控制程序，用于远程提取集中服务器上的电子信息，调用本地关联应用程序访问该电子信息，调用系统接管安全技术对该电子信息的访问进行限制，并限制其他应用程序访问该电子信息，限制电子信息的关联调用应用程序的访问过程；

所述涉密文件的集中存储服务器，用于集中存储涉密文件；

所述外部安全存储环境，用于临时缓存涉密文件。

如图2所示，本发明所述的电子信息本地防泄密访问系统，其中，所述本地终端管控代理包括：

管控模块：负责系统的初始化、资源的回收以及驱动层安全模块、应用层安全模块、通信模块和辅助模块的协调和内部通信；

驱动层安全模块：负责实现驱动层的文件访问接管，采用文件系统层接管、磁盘层接管、核心API接管和网络访问接管技术，限制允许终端管控代理及代理授权的进程访问涉密电子信息，限制网络访问的地址、协议或进程；

应用层安全模块：负责实现应用层的文件、进程控制，限制其复制、拷贝、打印等应用层泄密电子信息的行为；

通信模块：负责与集中存储服务器建立安全网络通道，以及获取和回传电子信息；

辅助模块：负责系统的配置、外部环境的支撑。

附图3所示是电子信息本地防泄密访问系统的初始化流程，包括如下步骤：

步骤S301，在本地终端上启动终端管控代理；

步骤S302，终端管控代理初始化安全模块和辅助模块，初始化管控环境，包括初始化外部安全存储环境、文件系统、网络环境、应用层控制；

步骤S303，终端管控代理初始化通信模块，建立与集中存储服务器的安全通道。

附图4所示是本发明方法中的本地终端访问电子信息的流程，包括如下步骤：

步骤S401，终端管控代理通过安全通道获得集中存储服务器上的电子信息；

步骤S402，终端管控代理将电子信息缓存在外部安全存储环境中，该外部安全存储环境包括网络存储、安全U盘等；

步骤S403，终端管控代理调用电子信息的本地应用程序，比如调用本地的office应用程序打开word文档；

步骤S404，终端管控代理授权当前本地应用进程访问电子信息；

步骤S405，终端管控代理限制步骤S404的应用进程的本地操作权限；

步骤S406，终端管控代理监控步骤S404的应用进程是否完成;

步骤S407，若应用进程操作完成，则根据需要回传电子信息；

步骤S408，清除电子信息的缓存。

附图5和附图6所示是本发明方法中的本地进程受控访问接管流程，所述接管流程区分访问涉密电子信息和非涉密电子信息。其中涉密电子信息是保存在集中存储服务器上，临时在本地环境中打开。非涉密电子信息是本地终端环境正常的资源和系统文件，包括应用程序临时文件，系统动态库、页面文件等。

附图5是本地进程受控访问涉密电子信息的接管流程，包括如下步骤：

步骤S501，判断本地进程是否为终端管控代理；

步骤S502，如果本地进程是终端管控代理，则允许本地进程访问涉密电子信息；

步骤S503，如果本地进程非终端管控代理，则判断是否授权的本地应用进程；

步骤S504，如果是授权的本地应用进程，则允许本地进程访问涉密电子信息，否则禁止。

附图6是本地进程受控访问非涉密电子信息的接管流程，目的是加强对终端环境的控制，根据受控环境的需要可以选择使用，包括如下步骤：

步骤1，判断本地进程是否访问本地磁盘，不是则执行步骤3；

步骤2，如果本地进程是访问本地磁盘，继续判断本地进程是写操作还是读操作，如果是读操作，则允许本地进程访问非涉密电子信息，否则执行步骤4；

步骤3，判断本地进程是否终端管控代理，是则允许本地进程访问非涉密电子信息，并执行步骤4；

步骤4，根据目的地，或者接管本地进程访问，并指向到外部安全存储环境，或丢弃本地进程；

步骤5，判断是否授权的本地应用进程，是则允许本地进程访问非涉密电子信息，否则禁止。

步骤6，返回。

可以看出，本发明所描述的方法可以有诸多变化，不能认为这些变化就偏离了本发明的精神和范围。因此，所有对本领域人员显而易见的改变，都包括在本发明所附权利要求的涵盖范围之内。

Claims (3)

1.一种电子信息本地防泄密访问的方法，其特征在于，包括以下步骤：

（1）初始化本地管控环境，建立与集中存储服务器的安全通道；

（2）本地终端设备受控访问集中存储服务器上的电子信息，包括下述步骤：

（A）终端管控代理通过安全通道获得集中存储服务器上的电子信息；

（B）利用系统接管技术将电子信息下载并安全缓存到外部环境；

（C）受控调用本地应用程序访问该外部环境的电子信息；

（D）回传电子信息，清除电子信息在终端环境中的残留内容；

本发明利用的系统接管技术，包括系统驱动层和应用层两个方面，在系统驱动层从底层上将限制只允许终端管控代理访问电子信息，将系统本地环境所有写操作接管并指向外部安全存储环境上，对网络访问也受控，只允许终端管控代理网络访问或只允许网络访问集中服务器，同时在应用层上也进行了接管，对打开电子信息的应用程序的访问进行控制，限制其打印、复制、另存、发送的泄密行为；

（3）过滤电子信息在终端环境中的残留内容，不在终端设备环境留下电子信息。

2.如权利要求1所述的电子信息本地防泄密访问的方法，其特征在于步骤（2）中，本地终端设备访问涉密电子信息期间，所有本地访问均受控，仅允许对本地文件系统读操作，所有的写操作均被限制访问；涉密电子信息在终端设备环境中受限访问，所有与电子信息相关的本地可恢复数据均被指向外部安全存储环境中，电子信息访问完成后，终端环境不保留电子信息；电子信息在本地环境访问过程中的缓存和临时数据均被限制，无法输出到非授权外部环境中，并在访问结束后被自动清除。

3.一种电子信息本地防泄密访问的系统，其特征在于，包括：

本地终端管控代理，用于远程提取集中服务器上的电子信息，调用本地关联应用程序访问该电子信息，调用系统接管安全技术对该电子信息的访问进行限制，并限制其他应用程序访问该电子信息，限制电子信息的关联调用应用程序的访问过程；本发明利用的系统接管技术，包括系统驱动层和应用层两个方面，在系统驱动层从底层上将限制只允许终端管控代理访问电子信息，将系统本地环境所有写操作接管并指向外部安全存储环境上，对网络访问也受控，只允许终端管控代理网络访问或只允许网络访问集中服务器，同时在应用层上也进行了接管，对打开电子信息的应用程序的访问进行控制，限制其打印、复制、另存、发送的泄密行为；

涉密文件的集中存储服务器，用于集中存储涉密文件；

外部安全存储环境，用于临时缓存涉密文件，是只有在本地终端管控代理授权的情况下才能访问；

上述本地终端管控代理在应用层和系统驱动层上对电子信息在本地的访问进行管控，本地终端管控代理包括：

管控模块：负责系统的初始化、资源的回收以及驱动层安全模块、应用层安全模块、通信模块和辅助模块的协调和内部通信；

驱动层安全模块：负责实现驱动层的文件访问接管，采用文件系统层接管、磁盘层接管、核心API接管和网络访问接管技术，限制允许终端管控代理及代理授权的进程访问涉密电子信息，限制网络访问的地址、协议或进程；

应用层安全模块：负责实现应用层的文件、进程控制，限制其复制、拷贝、打印等应用层泄密电子信息的行为；

通信模块：负责与集中存储服务器建立安全网络通道，以及获取和回传电子信息；

辅助模块：负责系统的配置、外部环境的支撑。