CN103095530A - 一种基于前置网关的敏感信息监测及防泄漏方法及系统 - Google Patents

Abstract

本发明涉及基于前置网关的敏感信息检测及防泄露方法及系统，系统包括配置模块、非信任列表生成模块和敏感信息防泄漏模块，其步骤为：1）在Web网站服务器的数据流链路中设置一前置网关，前置网关代理客户端向网站服务器发送和/或接受请求；2）前置网关配置该代理网站需要监测的敏感信息，配置成功后开始监测敏感信息；3）前置网关将包含敏感信息的URL作为网站的非信任URL并建立非信任列表，当客户端请求该URL内容时，前置网关代替网站响应该请求，防止敏感信息泄露。本发明不依赖于网站的构建系统，不干扰网站的管理方式，能够不间断对Web网站包含敏感信息的情况进行监测，同时通过前置网关代理响应的方式确保敏感信息不泄露。

Description

一种基于前置网关的敏感信息监测及防泄漏方法及系统

技术领域

本发明涉及信息安全。具体来说，涉及到基于前置网关实现对保护网站进行敏感信息监测及防泄漏的方法。

背景技术

随着互联网技术的发展，网站作为网络信息的载体，承担对外传播信息的职能，文本信息作为网站的主要组成部分，一旦被恶意添加敏感信息将会误导访问用户，甚至影响舆论导向，甚至造成巨大的社会影响，所以需要有一种方法能够实现对网站内部敏感信息进行监测以及防止已有敏感信息对外泄露的要求。

目前，敏感信息监测分为两种类型，客户端敏感信息监测和服务器端敏感信息监测。客户端敏感信息监测主要目的是防止客户端敏感信息泄露到恶意网站，该技术不在本文叙述范围内。服务器端敏感信息监测目前使用的对象有两种：

其一，针对对象是FTP以及SMB等文件服务器，监测的方式集中在将敏感信息监测软件部署在服务器端，该方法主要用于普通文件监测的需求背景。如申请号为：200610061403.2的发明专利申请，服务器上传文件的敏感信息过滤系统及方法，在系统中包括了一控制中心及若干敏感信息过滤组件，存在缺陷比如：服务器只能针对上传文件进行敏感信息的过滤；使用了控制中心加文件服务器过滤组件，主要的应用背景是ftp和/或smb服务器，再如申请号为：200710122234.3的发明专利申请，敏感信息监控及自动回复的系统和方法，建立监控装置和主机的连接，监控装置读取并存储主机内部的敏感信息，监控主机中的普通文件，需要与主机适配。存在的缺陷：同样也是需要在主机上运行监控软件和监控装置来监控敏感信息。还比如专利申请号为：200910168863.1的发明专利申请，一种敏感信息分析系统及方法，使用已有的敏感信息获取新的敏感信息，缺陷同样在于只能用于普通文件的监控管理。

其二，针对全网定义敏感信息（专利200910162263.1），使用搜索引擎技术进行全网搜索和分析，该方法主要用于舆情监控的需求背景。

由以上叙述可知，一方面，网站已经成为主流的信息发布媒介，WEB应用服务器作为网站对外提供服务的主要设备，具有服务器通用的特点，可采用将敏感信息监控软件部署在服务器端的方式对源文件进行敏感信息监测和防泄漏，如专利申请号为：200710300405.7的发明专利申请，预防敏感信息泄露的方法和装置以及计算机终端，终端是否访问钓鱼网站，保证敏感信息不泄露给非法的站点，存在的缺陷：由于WEB应用服务的特殊性该方法具有一定的局限性。如申请号为：200710118490.5的发明专利申请，一种限制读取敏感信息的方法和存储装置，方法为：将多条敏感信息写入存储装置中，收到索取指令后，在存储装置中读取一条敏感信息，并将敏感信息删除，存在的缺陷比如：基于智能卡进行敏感信息防泄露保护，限制了对敏感信息的读取次数，而且监测过程较为被动；但是由于WEB应用服务的特殊性该方法具有一定的局限性，随着网站容量的不断增加，WEB应用服务如果只依靠静态技术对外提供信息显然已经不够，所以多数的WEB应用服务采用动态技术将大部分内容信息保存在数据库中，当客户端请求该信息时，WEB应用服务将用户请求的信息从数据库中提取并生成浏览器可解析的html格式发送给客户端，这种响应请求的方式导致传统对源文件进行敏感信息监测和防泄漏的方法无法监测到文件的真正内容，而只是开发WEB应用服务的源代码文件；另一方面，使用全网定义敏感信息的监测方法能够通过获取网站响应的方法监测内容信息，但由于其未工作在网络数据流链路中，对于敏感信息泄露的防护无法进行。

综上，需要有一种WEB应用服务中敏感信息监测以及防泄漏的方法，能够对WEB应用服务器中最终产生的响应内容进行监测和防泄漏保护。

发明内容

有鉴于此，本发明提出了一种基于前置网关的敏感信息监测及防泄漏的方法，基于网站服务器的前置代理网关实现对指定网站中敏感信息的监测和防泄漏，该方法能够有针对性的不间断的对网站中的敏感信息进行监测，同时由于网关置于网站数据流链路之中，故能够在监测到敏感信息后立即对网站中的敏感信息进行屏蔽，避免敏感信息对外泄露。

为了达到上述目的，本发明提出的技术方案为：一种基于前置网关的敏感信息监测及防泄露方法，其步骤包括：

1）在Web网站服务器的数据流链路中设置一前置网关，所述前置网关代理客户端向Web网站服务器发送和/或接受请求；

2）所述前置网关配置该代理Web网站需要监测的敏感信息，配置成功后开始监测敏感信息；

3）所述前置网关将包含敏感信息的URL作为Web网站的非信任URL并建立非信任列表，当客户端请求该URL内容时，前置网关代替Web网站响应该请求，防止敏感信息泄露。

所述前置网关根据需要监测敏感信息生成一敏感信息监测列表。

所述前置网关将敏感信息监测列表中与客户端请求URL匹配的项信息组成该Web网站的非信任列表，当客户端请求资源时，该前置网关将请求资源的URL与非信任列表中的内容作比较：

若非信任列表中找到与客户端请求URL匹配的项，则所述前置网关代替Web网站向客户端响应友好页面，保证敏感信息不泄露。

若非信任列表中未找到与客户端请求URL匹配的项，则所述前置网关将请求转发至Web网站，由Web网站响应该请求。

Web网站的页面信息保存为Web网站镜像目录后保存至所述前置网关硬盘，当页面获取完成后，网关遍历镜像目录提取该镜像目录中的每个镜像的Web网站信息。

优选地，所述前置网关将敏感信息监测列表和Web网站页面信息按如下方法进行配置：

将所述敏感信息列表和Web网站提取内容转化为UTF-8统一编码方式后进行处理并采用AC算法或BM算法在敏感信息列表中寻找是否有匹配的模式。

优选地，若Web网站的页面中包敏感信息列表中的一个或多个敏感信息，则根据所述镜像目录信息恢复该页面的URL信息，并提取包含敏感信息的上下文信息，所述恢复该页面URL信息指的是从页面的保存路径，所述URI恢复到形如http://host/URI的格式。

优选地，根据所述镜像目录信息恢复该页面的URL信息，并提取包含敏感信息的上下文信息，所述上下文字信息保存敏感信息本身同时保存包含该敏感信息的句子或者短语信息。

优选地，所述前置网关在结束一轮监测过程后，不间断启动新一轮监测过程并及时更新所述敏感信息记录列表。

优选地，其特征在于，所述敏感信息记录保存至网关中包括：敏感信息监测列表中内容的页面资源地址、敏感信息以及敏感信息上下文信息。

基于上述方案，本发明还提出一种基于前置网关的敏感信息监测及防泄漏系统，包括配置模块、非信任列表生成模块和敏感信息防泄漏模块；

所述配置模块，用于进行Web网站需要监测的敏感信息列表的配置；

所述非信任列表生成模块，用于对Web网站中是否存在配置中的敏感信息进行检查，同时将检查结果保存为包括网页资源地址、敏感信息、敏感信息上下文摘要信息的监测结果列表，并生成非信任列表；

所述敏感信息防泄漏模块，用于依据监测结果列表生成的非信任列表，对请求非信任页面的请求由网关代替Web网站对客户端进行响应，保证敏感信息不泄露。同时支持网站管理员手动调整检非信任列表的操作。

本发明的有益效果

本发明网关模拟客户端请求Web网站资源，使用模式匹配算法查找获取资源中是否存在预定义敏感信息，对包含敏感信息的资源建立敏感信息列表，该列表中包括资源URL信息、该资源所包含的敏感信息以及敏感信息的上下文摘要信息。当客户端请求Web网站资源时，网关依据敏感信息列表建立非信任列表，如果请求资源URL在非信任列表中，则网关代替Web网站对该请求进行响应，如果请求资源URL不在非信任列表中，则网关将该请求转发至Web网站进行响应。该方法能够不间断对Web网站包含敏感信息的情况进行监测，同时通过前置网关代理响应的方式确保敏感信息不泄露。不依赖于网站的构建系统，不干扰网站的管理方式，通过前置网关对Web网站中的敏感信息进行监测，并且依据监测结果对包含敏感信息的页面进行屏蔽处理，保证敏感信息不泄露。

附图说明

图1为一种基于前置网关的敏感信息监测及防泄漏方法的示意图。

图2为本发明一种基于前置网关的敏感信息监测及防泄漏方法一实施例中敏感信息监测逻辑执行流程图。

图3为本发明一种基于前置网关的敏感信息监测及防泄漏方法一实施例中敏感信息防泄漏逻辑执行流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，可以理解的是，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在该技术方案中，前置网关全面代理受保护的Web网站，来自客户端的HTTP请求被先提交到网关然后再转发给Web网站，Web网站返回的HTTP（即URL信息）应答先到达网关然后再转发给客户端。前置网关能够为其代理的Web网站配置需要在该网站中监测的敏感信息，上述步骤可通过网关中的Web UI实现，配置生效后，前置网关为该Web网站启动敏感信息监测功能。

前置网关作为客户端主动向Web网站通过标准HTTP协议请求页面内容，并对页面内容在网关硬盘中进行保存。页面请求完成后，前置网关将依据Web网站配置的敏感信息对保存的页面内容进行检查，如果发现页面中包含有大于等于一个敏感信息，则将记录该页面的URL信息。记录页面URL信息后，为了防止Web网站敏感信息泄露，前置网关将自动将包含敏感信息的URL作为Web网站的非信任URL，当客户端请求该URL内容时，前置网关将自动代替Web网站响应该请求，保证敏感信息不对外泄露。

当网站管理员认为某个或者某些URL不应该作为非信任页面被屏蔽时，可以将这些URL加入到信任列表，则网关将不会对这些URL的请求进行自动响应。在本发明中监测可配置循环执行，周期可任意配置，这个步骤是由监测后结果产生的URL列表信息。当检查出包含敏感信息的URL中的内容被Web网站管理员修正，则网关将自动修正非信任URL列表，保证对不包含敏感信息的URL的请求不被网关响应。该方法能够自动监测到网站中包含敏感信息的页面，同时对于包含敏感信息的页面予以自动屏蔽，保证了信息从源头不泄露。

本发明的技术内容主要包括：非信任列表生成、敏感信息防泄漏。

本发明所述非信任列表生成过程发生在配置针对Web网站的敏感信息列表，以及生效敏感信息监测过程之后。敏感信息列表记为K_list，前置网关模拟客户端方式周期性通过HTTP协议主动获取Web网站的页面信息（可采用爬虫技术），所述前置网关获取所有能通过http请求获取的响应信息。页面信息保存为Web网站镜像目录记为M,保存至网关硬盘中，页面获取完成后，网关遍历M目录，对目录中每一个镜像页面提取内容信息C_sig，网关采用模式匹配算法（如：AC算法和BM算法）在C_sig中寻找是否有匹配K_list的模式，由于页面的内容采用不同的编码方式进行保存，所以匹配前需要将页面提取内容C_sig与K_list的编码方式转换为UTF-8编码方式后进行处理，如果页面中包含K_list中的一个或者多个敏感信息，则依据镜像目录信息恢复该页面的URL信息记为P_url，并提取包含敏感信息的上下文信息T_url，所述上下文字信息指的不仅保存敏感信息本身，并且保存包含该敏感信息的句子或者短语信息。如此往复直到遍历完M中所有页面的内容为止，该过程将产生一个敏感信息记录列表U_list，将敏感信息列表存放在网关硬盘上的数据库中，该列表中包含页面URL信息P_url、该URL中包含的敏感信息K_sig,以及每一个敏感信息的上下文信息T_url。上述的恢复该页面URL信息指的是从页面的保存路径，即URI恢复到形如http://host/URI的格式。

当一次敏感信息监测过程完成之后，系统将自动启动新一轮敏感信息监测过程，直到网关中停止对该Web站点进行敏感信息监测为止，每一轮的监测过程均将更新U_list。

本发明所述敏感信息防泄漏过程发生在当客户端请求包含敏感信息的资源时。

当客户端通过网关请求Web网站中的资源时，网关将查找U_list中是否存在客户端请求的URL，即是否存在P_url与URL相同，如果存在，则认为客户端请求了包含敏感信息的资源，网关将代替Web网站向客户端响应友好提示页面，保证该资源不被客户端获取；如果不存在，则认为客户端请求正常页面，网关将请求转发至Web网站。

由于U_list中保存了页面地址P_url、该URL中包含的敏感信息K_sig以及每一个敏感信息的上下文信息T_url，当网站管理员查看U_list记录之后，认为该URL不应该被加入非信任列表中，则可手动将该P_url添加为信任列表，则U_list将会把与该P_url相关的记录删除，保证当客户端再次请求该页面资源的时候，网关将不代替Web网站对客户端进行响应。

本发明提供的基于前置网关的敏感信息监测及防泄漏系统，功能上主要包括：配置模块、非信任列表生成模块、敏感信息防泄漏模块。

配置模块主要功能是进行Web网站需要监测的敏感信息列表的配置。

非信任列表生成模块主要功能是不间断对Web网站中是否存在配置中的敏感信息进行检查，同时将检查结果保存为包括网页资源地址、敏感信息、敏感信息上下文摘要信息的监测结果列表，并生成非信任列表。

敏感信息防泄漏模块主要功能是依据监测结果列表生成的非信任列表，对请求非信任页面的请求由网关代替Web网站对客户端进行响应，保证敏感信息不泄露。同时支持网站管理员手动调整检非信任列表的操作。

如图1所示是本发明一种基于前置网关的敏感信息监测及防泄漏方法的示意图，将网关部署在客户端与Web网站之间，网关起到代理作用，使得客户端不能绕过网关而直接访问Web网站，并在监测发现Web网站包含敏感信息的情况下代替服务器向客户端提非信任资源的响应。

如图2所示是本发明一种基于前置网关的敏感信息监测及防泄漏方法一实施例中敏感信息监测逻辑执行流程图，敏感信息监测使用和执行步骤为：

1.对网关进行配置设置，设置完之后网关生成敏感信息列表，例如，敏感信息为“法轮功”。

2.启动敏感信息监测过程：

a)网关模拟客户端以HTTP请求从Web网站中获取页面信息，并保存在网关中，例如，采用爬虫技术请求www.example.com站点，并将站点的内容保存在网关硬盘指定的目录下/hdd/www_example_com；

b)通过模式匹配算法遍历/hdd/www_example_com中所有页面，判断页面是否包含预定义的敏感信息列表中的内容；

c)当页面/hdd/www_example_com/index.html中包含“法轮功”信息，则网关将/hdd/www_example_com/index.hmtl还原为url信息

http://www.example.com/index.html，该url将作为敏感信息列表中的一条记录保存在敏感信息列表中，并且列表中包含url信息、敏感信息“法轮功”以及敏感信息上下文信息“修炼法轮功有益身体健康”。

d)启动下一轮敏感信息监测过程。

如图3所示是本发明一种基于前置网关的敏感信息监测及防泄漏方法一实施例中敏感信息防泄漏逻辑执行流程图，敏感信息防泄漏使用和执行步骤为：

1.客户端请求Web网站的资源；

2.执行敏感信息防泄漏模块：

a)读取敏感信息列表，获取非信任列表信息中的url信息，例如以上例子中提到的http://www.example.com/index.html；

b)判断客户端请求资源是否为http://www.example.com/index.html，如果用户访问该url则网关代替Web网站发送不包含该信息的响应，如果用户未访问该url则网关将客户端请求转发给Web网站；

c)等待下一次资源请求过程。

Claims (10)

1.一种基于前置网关的敏感信息监测及防泄露方法，其步骤包括：

1）在Web网站服务器的数据流链路中设置一前置网关，所述前置网关代理客户端向Web网站服务器发送和/或接受请求；

2）所述前置网关配置该代理Web网站需要监测的敏感信息，配置成功后开始监测敏感信息；

3）所述前置网关将包含敏感信息的URL作为Web网站的非信任URL并建立非信任列表，当客户端请求该URL内容时，前置网关代替Web网站响应该请求，防止敏感信息泄露。

2.如权利要求1所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，所述前置网关根据需要监测敏感信息生成一敏感信息监测列表。

3.如权利要求2所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，所述前置网关将敏感信息监测列表中与客户端请求URL匹配的项信息组成该Web网站的非信任列表，当客户端请求资源时，该前置网关将请求资源的URL与非信任列表中的内容作比较：

若非信任列表中找到与客户端请求URL匹配的项，则所述前置网关代替Web网站向客户端响应友好页面，保证敏感信息不泄露。

若非信任列表中未找到与客户端请求URL匹配的项，则所述前置网关将请求转发至Web网站，由Web网站响应该请求。

4.如权利要求1所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，Web网站的页面信息保存为Web网站镜像目录后保存至所述前置网关硬盘，当页面获取完成后，网关遍历镜像目录提取该镜像目录中的每个镜像的Web网站信息。

5.如权利要求1所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，所述前置网关将敏感信息监测列表和Web网站页面信息按如下方法进行配置：

将所述敏感信息列表和Web网站提取内容转化为UTF-8统一编码方式后进行处理并采用AC算法或BM算法在敏感信息列表中寻找是否有匹配的模式。

6.如权利要求1所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，若Web网站的页面中包敏感信息列表中的一个或多个敏感信息，则根据所述镜像目录信息恢复该页面的URL信息，并提取包含敏感信息的上下文信息，所述恢复该页面URL信息指的是从页面的保存路径，所述URI恢复到形如http://host/URI的格式。

7.如权利要求4或6所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，根据所述镜像目录信息恢复该页面的URL信息，并提取包含敏感信息的上下文信息，所述上下文字信息保存敏感信息本身同时保存包含该敏感信息的句子或者短语信息。

8.如权利要求1所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，所述前置网关在结束一轮监测过程后，不间断启动新一轮监测过程并及时更新所述敏感信息记录列表。

9.如权利要求2-8中任意一项所述的基于前置网关的敏感信息监测及防泄露方法，其特征在于，所述敏感信息记录保存至网关中包括：敏感信息监测列表中内容的页面资源地址、敏感信息以及敏感信息上下文信息。

10.一种基于前置网关的敏感信息监测及防泄漏系统，其特征在于，包括配置模块、非信任列表生成模块和敏感信息防泄漏模块；

所述配置模块，用于进行Web网站需要监测的敏感信息列表的配置；

所述非信任列表生成模块，用于对Web网站中是否存在配置中的敏感信息进行检查，同时将检查结果保存为包括网页资源地址、敏感信息、敏感信息上下文摘要信息的监测结果列表，并生成非信任列表；

所述敏感信息防泄漏模块，用于依据监测结果列表生成的非信任列表，对请求非信任页面的请求由网关代替Web网站对客户端进行响应，保证敏感信息不泄露。同时支持网站管理员手动调整检非信任列表的操作。

Images