CN103207968A - 操作历程的记录方法、以及信息安全的管理方法和系统 - Google Patents

Abstract

本发明涉及一种信息安全的管理方法。本发明的管理方法包括在使用者主机被启动时，每经过第一预设时间就截取使用者主机上所显示的画面，而产生第一画面截取数据。若使用者主机所显示的画面上发生重画事件，则截取使用者主机的操作系统所输出的字符串输出指令的内容。此管理方法会再次截取使用者主机上所显示的画面，而产生第二画面截取数据，并且寻找第一和第二画面截取数据二者的不同处，以获得不同处所对应的字符串输出指令的内容，作为是否存储第一和第二画面截取数据的依据。本发明还涉及一种操作历程的记录方法以及信息安全管理系统。本发明操作历程的记录方法、以及信息安全的管理方法和系统可以有效率地防范信息的外泄。

Description

操作历程的记录方法、以及信息安全的管理方法和系统

技术领域

本发明涉及一种信息安全的管理方法，尤其涉及一种适用于企业内部的信息安全的管理方法。     

背景技术

在这个因特网普遍以及有突破性发展的现今，数据取得变得更加容易。在早期的社会，当人们要查找数据，可能需要到图书馆查询许多相关的书籍，才能够找到相关的资料。然而现今，人们只要坐在家中，然后连接至入口网站，并且键入关键词，就可以获得许多相关的信息。虽然因特网让人类的生活更加便利，但是从反面来说，信息的保密程度也越来越低。

一般企业的信息安全管理，主要有两方面。其中一方面是防范外来的侵入，例如恶意软件或黑客的入侵。为了防范外部的入侵，可以设置防火墙，或是安装防病毒软件或防骇软件。另一方面，企业也要防范内部员工的泄密。对于防范内部的泄密，大致上有可分为两类技术，其一是禁止防堵，另一是弹性管理。

所谓的禁止防堵，就是关闭所有可能泄密的通道，例如禁止使用外接式存储设备、禁止使用者连接至大部分的对外网站、禁止使用实时通信软件等。然而这样的防范方式，有时会引起内部员工的反弹，而导致士气低落。另外，也可能让企业的执行效率下降。因此，目前有些企业，是采用弹性管理的方式来防范数据外泄。

现有弹性管理来防范数据外泄的技术，是从远程的监控主机，监控企业中每一台终端主机。而其监控的手段，包括定期截取终端主机的屏幕上所显示的画面。如此一来，管理者就可以从所截取的画面，来判断内部员工是否泄漏不允许泄漏的信息。

然而，这样的方式却不适用于大企业。由于大企业的员工众多，因此终端主机的数量也非常庞大。换句话说，所要存储的截取画面数据量也非常庞大，因此就需要非常大的存储设备来存储这些所截取到的画面数据。如此一来，就要耗费较多的硬件成本。即便有如此大的存储设备来存储所截取到的画面数据，管理者也几乎无法从如此庞大的数据中找出所需要的信息，导致防范的效果不明显。

发明内容

有鉴于此，本发明提供一种操作历程的记录方法，可以记录使用者在使用者主机上的操作情形。

本发明也提供一种信息安全的管理方法，可以不需要庞大的存储空间，就可以管理使用者主机的操作历程。

另外，本发明更提供一种信息安全管理系统，可以有效率地防范信息的外泄。

本发明提供一种操作历程的记录方法，可以用于安装有操作系统的使用者主机。本实施例所提供的记录方法会在第一预设时间点截取使用者主机上所显示的画面，而产生第一画面截取数据，并且判断使用者主机所显示的画面是否发生重画事件。若使用者主机所显示的画面发生重画事件时，则截取操作系统对重画事件所输出的至少一个字符串输出指令的内容。另外，此记录方法还会在发生重画事件后，在第一预设时间点之后的第二预设时间点截取使用者主机上所显示的画面，而产生第二画面截取数据。这样，就可以将第二画面截取数据与第一画面截取数据进行交集比对，以寻找第二画面截取数据和第一画面截取数据的不同处。接着，记录第一画面截取数据和第二画面截取数据二者至少其中之一，并记录第二画面截取数据和第一画面截取数据的不同处所对应的字符串输出指令的内容。

在本发明的一个实施例中，上述字符串输出指令的内容包括输入字符串在使用者主机画面上的起始坐标数据、输入字符串的长宽数据以及输入字符串的内容。

在本发明的一个实施例中，上述将第二画面截取数据与第一画面截取数据进行交集比对的步骤，包括将第二画面截取数据与第一画面截取数据中位于最上层的窗口的区域进行交集比对。

在本发明的一个实施例中，上述操作历程的记录方法更包括下列步骤：在获得第一画面截取数据后，侦测使用者主机的键盘是否被使用；以及当侦测到使用者主机的键盘在获得第一画面截取数据后被使用时，则延迟一段延迟时间后再截取第二画面截取数据。

在本发明的一个实施例中，上述截取字符串输出指令的步骤，包括利用钩子应用程序来截取字符串输出指令的内容。

从另一观点来看，本发明也提供一种信息安全的管理方法，可以用于管理安装有操作系统的使用者主机。本发明的管理方法包括侦测使用者主机是否被启动。当使用者主机被启动时，则开始计时。每经过第一预设时间，则截取使用者主机上所显示的画面，而产生第一画面截取数据，并且侦测使用者主机所显示的画面是否发生重画事件。当侦测到使用者主机所显示的画面发生重画事件时，则截取操作系统对重画事件所输出的至少一个字符串输出指令的内容。另外，此管理方法还会在发生重画事件后，在取得第一画面截取数据后经过第二预设时间，截取使用者主机上所显示的画面，而产生第二画面截取数据。这样，就可以将第二画面截取数据与第一画面截取数据进行交集比对，以寻找第二画面截取数据和第一画面截取数据的不同处。接着，依据第二画面截取数据和第一画面截取数据的不同处所对应的字符串输出指令的内容，而获得输入至使用者主机的字符，并且产生输入字符截取数据。当此输入字符截取数据符合多个预设关键字词其中之一时，则存储第一画面截取数据和第二画面截取数据二者至少其中之一，以供管理者检视。

在本发明的一个实施例中，当输入字符截取数据不符合上述预设关键字词任一个时，则删除第一画面截取数据和第二画面截取数据。

在本发明的一个实施例中，上述字符串输出指令的内容包括输入字符串在使用者主机画面上的起始坐标数据、输入字符串的长宽数据以及输入字符串的内容。

在本发明的一个实施例中，上述将第二画面截取数据与第一画面截取数据进行交集比对的步骤，包括将第二画面截取数据与第一画面截取数据中位于最上层的窗口的区域进行交集比对。

在本发明的一个实施例中，上述信息安全的管理方法更包括下列步骤：在获得第一画面截取数据后，侦测使用者主机的键盘是否被使用；以及当侦测到使用者主机的键盘在获得第一画面截取数据后被使用时，则延迟一段延迟时间后再截取第二画面截取数据。

在本发明的一个实施例中，上述截取字符串输出指令的步骤，包括利用钩子应用程序来截取字符串输出指令的内容。

在本发明的一个实施例中，上述信息安全的管理方法更包括建立数据库，以存储预设关键字词，并存储需要被存储的画面截取数据。

从另一观点来看，本发明更提供一种信息安全管理系统，可以管理使用者主机。本发明的信息安全管理系统，包括连接模块、控制模块和管理工具。连接模块会通过网络连接至使用者主机，使用者主机安装有操作系统。另外，控制模块则耦接连线模块，以通过连接模块监测使用者主机。管理工具也会与控制模块连接，以在发现使用者主机开机时，定期截取使用者主机上所显示的画面以产生第一画面截取数据。此时，若使用者主机上所显示的画面上发生重画事件时，则截取操作系统所产生的至少一个字符串输出指令的内容，并且再次截取使用者主机上所显示的画面而产生第二画面截取数据。这样，就可以将第二画面截取数据与第一画面截取数据进行交集比对，而取得输入至使用者主机的字符数据，且管理工具更依据输入至使用者主机的字符数据而决定是否存储第一画面截取数据和第二画面截取数据二者至少其中之一，以供管理者检视。

在本发明的一个实施例中，上述网络包括有线网络和无线网络。

在本发明的一个实施例中，上述网络为局域网络。

在本发明的一个实施例中，上述信息安全管理系统更包括数据库，耦接控制模块，并存储多个预设关键字词，以让管理工具将输入字符截取数据与预设关键字词进行比对，再依据比对的结果来决定是否存储画面截取数据。

由于本发明是在所截取到的输入字符截取数据符合预设关键词其中之一的条件下，才会存储对应的画面截取数据，因此本发明不需要庞大的存储设备。也因为如此，本发明也能辅助管理者更精确地并且更有效率地判断是否发生泄密事件。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举较佳实施例，并配合附图，详细说明如下。

附图说明

图1为依照本发明的一个较佳实施例的一种信息安全管理系统的方块图。

图2A到图2C分别为使用者在入口网站输入字符的示意图。

图3A和图3B为依照本发明的一个较佳实施例的一种信息安全的管理方法的步骤流程图。

具体实施方式

为更进一步阐述本发明为达成预定发明目的所采取的技术手段及功效，以下结合附图及较佳实施例，对依据本发明提出的操作历程的记录方法、以及信息安全的管理方法和系统其具体实施方式、方法、步骤、结构、特征及功效，详细说明如后。

图1为依照本发明的一个较佳实施例的一种信息安全管理系统的方块图。请参考图1，本实施例所提供的信息安全管理系统100，可以通过网络150而连接至使用者主机160。在本实施例中，信息安全管理系统100利用服务器、个人计算机、便携式计算机或平板计算机来实现。另外，网络150可以是有线网络或是无线网络，其例如是局域网络。

本实施例中的信息安全管理系统100包括控制模块102、连接模块104和管理工具106。连接模块104会与网络150连接，并且通过网络150连接至使用者主机160。控制模块102则与管理工具106连接，并且耦接至连接模块104。这样，控制模块102可以通过网络150来监控使用者主机160。

在一些实施例中，信息安全管理系统100还具有存储单元110，例如是硬盘、闪存等，其可以耦接控制模块102。此外，在一些实施例中，管理工具106可以利用软件来实现，其可以存储在存储单元110内，并且用来记录使用者在使用者主机160上的操作历程。另外，在存储单元110中，还可以安装数据库112，其可以与管理工具106连接。其中，数据库112可以存有多个预设关键字词，其可以由管理者自行设定。

请继续参考图1，使用者主机160也可以是个人计算机、便携式计算机或是平板计算机。使用者主机160可以耦接屏幕162和键盘164。在一些实施例中，屏幕162和键盘164是外接的外围装置。然而，在另外一些实施例中，屏幕162和键盘164是被包含在使用者主机160内。当使用者主机160被启动时，控制模块102会将此信息通知管理工具106。此时，管理工具106会在第一预设时间点通过网络150，而截取使用者主机160的屏幕162上所显示的画面，并且产生第一画面截取数据。

当取得第一画面截取数据后，管理工具106还会侦测使用者主机106的屏幕162所显示的画面上，是否发生重画事件。所谓的重画事件，就是当使用者在使用者主机160的屏幕162上进行任何操作时，安装在使用者主机160中的操作系统会根据使用者的操作，而对屏幕162所显示的画面进行重画操作。

图2A到图2C分别为使用者在入口网站输入字符的示意图。请分别参考图2A到图2C，并且一同参考图1，当使用者操作使用者主机160连接至入口网站时，在屏幕162上就会显示此入口网站的网页200。若使用者在第一时间点在网页200上的关键词输入字段202中键入字符“N”（如图2A所示）；接着在第二时间点在关键词输入字段202再输入字符“N”（如图2B所示）；然后在第三时间点再在关键词输入字段202输入字符“N”（如图2C所示），此时使用者主机160的操作系统就会在第一时间点、第二时间点和第三时间点分别对屏幕162相对于关键词输入字段202的位置进行重画动作，以在关键词字段202中分别显示“N”、“NN”和“NNN”。另外，若使用者操作鼠标而在屏幕162上移动整个入口网站的页面200，则使用者主机160的操作系统会对整个屏幕162的范围进行重画操作。

当使用者主机160的操作系统对屏幕162所显示的画面进行重画操作时，会发出字符串输出指令，例如是TextOut或是TextOutW。因此，当管理工具106取得画面截取数据时，侦测到使用者主机160的屏幕162发生重画事件，就会去截取使用者主机160的操作系统所发出的至少一个字符串输出指令的内容。在一些实施例中，管理工具106截取字符串输出指令的方式，是利用使用者主机160中所提供的钩子应用程序来截取。此时，管理工具106会记录字符串输出指令的内容，例如是输入至使用者主机160的字符数据在其画面上的起始坐标数据、输入至使用者主机160的字符数据的长宽值以及内容。在图2A到图2C中，输入至使用者主机160的字符串输出指令的内容分别是“N”、“NN”和“NNN”。

另一方面，管理工具106会在使用者主机160的屏幕162所显示的画面发生重画事件后，在第一预设时间点后的第二预设时间点再次截取使用者主机160的屏幕162上所显示的画面，而产生第二画面截取数据。此时，管理工具就会将第一画面截取数据和第二画面截取数据进行交集比对，以找出第一画面截取数据和第二画面截取数据二者的不同处。这样，管理工具106就可以记录第一画面截取数据和第二画面截取数据二者不同处所对应的字符串输出指令的内容，而产生输入字符截取数据。接着，管理工具106会将所获得的输入字符截取数据与数据库112中的预设关键字词进行比对。

例如，管理工具106在第一时间点所获得的第一画面截取数据，是如图2A所示的画面，而在第二时间点所获得的第二画面截取数据则是如图2C所示的画面。此时，管理工具106将第一画面截取数据和第二画面截取数据进行交集比对，就会发现不同处是关键词输入字段202的区域。此时，管理工具106就会记录关键词输入字段202的区域所对应的字符串输出指令的内容，而产生输入字符截取数据。

另外，上述管理工具106将第一画面截取数据和第二画面截取数据进行交集比对的步骤，可以是对第二画面截取数据与第一画面截取数据中的焦点窗口的区域进行比对。所谓的焦点窗口，就是位于使用者主机160的屏幕162所显示的画面最上层的窗口。当显示画面上被开启多个窗口，而位于最上层的窗口就是目前正在被使用的窗口，在此被定义为焦点窗口。

在另外一些实施例中，当管理工具106取得第一画面截取数据后，还会侦测使用者主机的键盘164是否被使用。当管理工具106侦测到使用者主机160的键盘164在获得第一画面截取数据后被使用时，则会延迟一段延迟时间后，也就是在上述的第二时间点，再截取屏幕162上所显示的画面而产生第二画面截取数据。

若管理工具106发现所获得的输入字符截取数据符合存储于数据库112中的预设关键字词其中之一时，则将画面截取数据存储于存储单元110中，以让管理者检视。在一些实施例中，管理工具106还会将输入字符截取数据存储在存储单元110内。相对地，若管理工具106发现输入字符截取数据不符合数据库112中的预设关键字词任一个时，则删除所获得的画面截取数据。

在一些实施例中，当管理工具106发现输入字符截取数据符合预设关键字词其中之一时，还可以呼叫控制模块102产生通知信息通知管理者。此通知信息例如是语音通知信息、音频通知信息、在信息安全管理系统100的屏幕上显示通知对话框等。

图3A和图3B为依照本发明的一个较佳实施例的一种信息安全的管理方法的步骤流程图。请先参考图3A，本实施例所提供的管理方法，可以适用于使用者主机。首先，本实施例可以如步骤S302所述，判断使用者主机是否被开机。当使用者开机时（就如步骤S302所标示的“是”），则进行步骤S304，就是开始计时，在每经过第一预设时间就截取使用者主机上所显示的画面，而产生第一画面截取数据，就是步骤S306。接着，如步骤S308所述，判断使用者主机所显示的画面上是否发生重画事件。

若是在步骤S308中，本实施例的管理方法在取得第一画面截取数据后，发现使用者主机所显示的画面上发生重画事件（就如步骤S308所标示的“是”），则进行步骤S310，就是截取使用者主机的操作系统对于重画事件所产生的字符串输出指令的内容。另外，本实施例的管理方法还会如步骤S312所述，在取得第一画面截取数据后经过第二预设时间，再次截取使用者主机所显示的画面而产生第二画面截取数据。由于在步骤S310所取得的字符串输出指令的内容可能太过庞大，所以需要进一步的将其过滤，以找出所需要的数据。

因此，请参考图3B，本实施例此时可以进行步骤S314，就是将第一画面截取数据和第二画面截取数据进行交集比对，以找出二者的不同处。这样，本实施例的管理方法就可以如步骤S312所述，记录第一画面截取数据和第二画面截取数据二者不同处所对应的字符串输出指令的内容，而产生输入字符截取数据。如此一来，就可以取得所需要的字符串输出指令的内容。

接着，如步骤S318所述，判断输入字符截取数据是否符合多个预设关键字词其中任一个。若是所获得的输入字符截取数据不符合预设关键字词任一个时（就如步骤S318所标示的“否”），则进行步骤S320，就是删除第一画面截取数据和第二画面截取数据。当然，也会删除输入字符截取数据。相对地，若输入字符截取数据符合预设关键字词其中之一时（就如步骤S318所标示的“是”），则如步骤S322所述，就是存储画面截取数据，以供管理者检视。在一些实施例中，还会存储所取得的输入字符截取数据，以供管理者分析。

综上所述，本发明在截取使用者主机画面的时候，还会截取输入至使用者主机的字符数据，并且以此作为是否存储画面截取数据的依据。因此，本发明不需要太大的存储设备，就可以实现弹性监控远程使用者主机的技术。另外，管理者不必检视许多不相干的数据，而仅要检视符合预设关键字词的输入字符截取数据所对应的画面截取数据。因此，本发明也可以让使用者更有效率地并且更准确地判断是否发生信息外泄的事件。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容作出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (16)

1.一种操作历程的记录方法，适用于安装有操作系统的使用者主机，且所述记录方法包括下列步骤：

在第一预设时间点截取所述使用者主机上所显示的画面，而产生第一画面截取数据，并判断所述使用者主机所显示的画面是否发生重画事件；

当所述使用者主机所显示的画面发生所述重画事件时，则截取所述操作系统对所述重画事件所输出的字符串输出指令的内容，并在所述第一预设时间点之后的第二预设时间点截取所述使用者主机上所显示的画面，而产生第二画面截取数据；

将第二画面截取数据与所述第一画面截取数据进行交集比对，以寻找所述第二画面截取数据和所述第一画面截取数据的不同处；以及

记录所述第一画面截取数据和所述第二画面截取数据二者至少其中之一，并记录所述第二画面截取数据和所述第一画面截取数据的不同处所对应的字符串输出指令的内容。

2.根据权利要求1所述的操作历程的记录方法，其特征是：所述字符串输出指令的内容包括输入字符串在使用者主机画面上的起始坐标数据、输入字符串的长宽数据以及输入字符串的内容。

3.根据权利要求1所述的操作历程的记录方法，其特征是：将所述第二画面截取数据与所述第一画面截取数据进行交集比对的步骤，包括将所述第二画面截取数据与所述第一画面截取数据中位于最上层的窗口的区域进行交集比对。

4.根据权利要求1所述的操作历程的记录方法，其特征是：更包括下列步骤：

在获得所述第一画面截取数据后，侦测所述使用者主机的键盘是否被使用；以及

当侦测到所述使用者主机的键盘在获得所述第一画面截取数据后被使用时，则延迟一段延迟时间后再截取所述第二画面截取数据。

5.根据权利要求1所述的操作历程的记录方法，其特征是：截取所述字符串输出指令的步骤，包括利用钩子应用程序来截取所述字符串输出指令的内容。

6.一种信息安全的管理方法，适于管理安装有操作系统的使用者主机，而所述管理方法包括下列步骤：

侦测所述使用者主机是否被启动；

当所述使用者主机被启动时，则开始计时；

每经过第一预设时间，则截取所述使用者主机上所显示的画面，而产生第一画面截取数据，并判断所述使用者主机所显示的画面是否发生重画事件；

当所述使用者主机所显示的画面发生所述重画事件时，则截取所述操作系统对所述重画事件所输出的字符串输出指令的内容，并在取得所述第一画面截取数据后经过第二预设时间，截取所述使用者主机上所显示的画面，而产生第二画面截取数据；

将所述第二画面截取数据与所述第一画面截取数据进行交集比对，以寻找所述第二画面截取数据和所述第一画面截取数据的不同处；

依据所述第二画面截取数据和所述第一画面截取数据的不同处所对应的字符串输出指令的内容，而获得输入至所述使用者主机的字符，并产生输入字符截取数据；以及

当所述输入字符截取数据符合多个预设关键字词其中之一时，则存储所述第一画面截取数据和所述第二画面截取数据二者至少其中之一，以供管理者检视。

7.根据权利要求6所述的信息安全的管理方法，其特征是：当所述输入字符截取数据不符合所述预设关键字词任一个时，则删除所述第一画面截取数据和所述第二画面截取数据。

8.根据权利要求6所述的信息安全的管理方法，其特征是：所述字符串输出指令的内容包括输入字符串在使用者主机画面上的起始坐标数据、输入字符串的长宽数据以及输入字符串的内容。

9.根据权利要求6所述的信息安全的管理方法，其特征是：将所述第二画面截取数据与所述第一画面截取数据进行交集比对的步骤，包括将所述第二画面截取数据与所述第一画面截取数据中位于最上层的窗口的区域进行交集比对。

10.根据权利要求6所述的信息安全的管理方法，其特征是：更包括下列步骤：

在获得所述第一画面截取数据后，侦测所述使用者主机的键盘是否被使用；以及

当侦测到所述使用者主机的键盘在获得所述第一画面截取数据后被使用时，则延迟一段延迟时间后再截取所述第二画面截取数据。

11.根据权利要求6所述的信息安全的管理方法，其特征是：截取所述字符串输出指令的步骤，包括利用钩子应用程序来截取所述字符串输出指令的内容。

12.根据权利要求6所述的信息安全的管理方法，其特征是：更包括建立数据库，以存储所述预设关键字词，并存储需要被存储的画面截取数据。

13.一种信息安全管理系统，适于管理使用者主机，包括：

连接模块，通过网络连接至所述使用者主机，其中所述使用者主机安装有操作系统；

控制模块，耦接所述连接模块，以通过所述连接模块监测所述使用者主机；以及

管理工具，连接至所述控制模块，以在所述使用者主机开机后，定期截取所述使用者主机上所显示的画面而产生第一画面截取数据，并在判断在所述使用者主机上所显示的画面上发生重画事件时，则截取操作系统所产生的至少一个字符串输出指令的内容，并再次截取所述使用者主机上所显示的画面而产生第二画面截取数据，以将所述第二画面截取数据与所述第一画面截取数据进行交集比对，而取得输入至所述使用者主机的字符数据，且所述管理工具更依据输入至所述使用者主机的字符数据而决定是否存储所述第一画面截取数据和所述第二画面截取数据二者至少其中之一，以供管理者检视。

14.根据权利要求13所述的信息安全管理系统，其特征是：所述网络包括有线网络和无线网络。

15.根据权利要求13所述的信息安全管理系统，其特征是：所述网络为局域网络。

16.根据权利要求13所述的信息安全管理系统，其特征是：更包括数据库，耦接所述控制模块，并存储多个预设关键字词，以让所述管理工具将所述输入字符截取数据与所述预设关键字词进行比对，再依据比对的结果来决定是否存储所述画面截取数据。

Images