CN103413088A - 一种计算机文档操作安全审计系统 - Google Patents

Abstract

本发明公开了一种计算机文档操作安全审计系统，其特征在于，它包括监控机以及客户端软件，本发明对被监控终端文档的编辑工作进行监控，根据预先定义的策略，自动分析文档的涉密性，将编辑文档的标题记录成日志发往保密主管部门，并在发现编辑文档存在可能涉密的情况下，立即屏蔽该机网络功能，防止泄密行为发生，同时向保密主管部门及相关领导报警，供日后查证，除了对用户编辑的文档进行监控外，对文档进行复制、剪切、打印等操作时也会自动对该文档进行涉密性分析，一旦发现有涉密功能即向报警服务器报警并在报警服务器上保存该文件的副本以供日后查证。

Description

一种计算机文档操作安全审计系统

技术领域

本发明涉及一种计算机文档操作安全审计系统。

背景技术

随着各行业在生产、管理上信息化程度日益增高，计算机泄密事件的发生已呈上升趋势。计算机泄密较之一般侵占案件，其手段更隐蔽、危害也更大，恶意的机密泄露事件往往会造成难以估量的后果，如果发生泄密的单位是党政机关、军队、金融机构等，则会造成国家利益和人民财产不可挽回的损失，如果是企业发生泄密事件，例如机密技术资料、客户资料等文件的泄露，则可能会导致企业投资的失败、竞争力的下降、客户的流失等严重后果。

传统的安全解决方案都是把目标重点放到边界上，往往忽略了内部网络安全，特别在政府机关、保密部门、科研机构、银行与证券、企事业等单位的办公网、内部业务网、涉密网中的终端设备安全管理非常薄弱，存在很大安全隐患。现有的安全措施并没有发挥应有的作用，网络管理人员无法了解每个网络端点的安全状况，疲于奔命也无法解决各种终端安全与管理问题。尽管有些单位制订严格的安全管理制度，但是由于缺乏有效的技术手段，安全策略无法有效落实，导致机密信息泄露、黑客攻击、蠕虫病毒传播等安全事件频繁发生，对局域网安全提出新的挑战。

面对各种各样的涉密文档泄露事件，如果不采取有效措施，这类事件就会不断发生。越来越多具有安全防范意识的管理者发现了问题所在，并希望通过有效而可靠的途径来实现文档的安全管理。

发明内容

本发明的目的即在于针对现有技术的不足，提供一种计算机文档操作安全审计系统，由于计算机文档是各种机密信息最普遍的载体，如何在局域网内建立一套完善的文档安全防护机制，在终端直接对文档的行为进行监控和审计，是防止涉密文档泄露的最佳解决方案之一。本发明通过对文档的监控和审计，能杜绝很大一部分泄密事件的发生，即使泄密事件发生，也能够很快找到泄密途径，追究责任，挽回损失；同时，通过对大量行为数据的分析，能够为管理者找到安全管理漏洞，不断完善安全管理机制。

本发明的技术方案如下所述：

一种计算机文档操作安全审计系统，其特征在于，它包括监控机以及客户端软件，

所述监控机，包含网络通讯模块，用于监控机与客户端之间的网络通讯；数据库操作模块，用于实时记录客户端软件发送的文档操作日志、涉嫌违规文档及软硬件资产信息；密匙管理及数据加密模块，用于针对传输的涉密文件及日志信息进行专用协议加密，并管理密码口令；监控机服务器配置管理模块，用于定义对客户端的控制策略，包含禁用U盘、禁用无限网络、锁定IP的控制策略，并下发到所有目标客户端；监控机服务器审计日志查看模块，用于查看、管理保存在数据库操作模块中的日志信息及涉密文档；

所述的客户端软件，包含终端安装、注册、卸载模块，用于客户端软件的安装、在监控机上的注册以及卸载的操作；文档操作行为监控模块，用于记录文档的创建、修改、移动、拷贝、删除操作行为；文档内容分析模块，用于分析和记录文档标题内容，并通过与设定关键字进行比较的方法确定文档的涉密性，对涉嫌涉密的文档以加密形式进行备份；客户端通讯加密模块，用于将操作行为信息、文档标题信息及涉嫌涉密文档用专用协议加密，发送至监控机上；控制策略执行模块，用于接收监控机的监控策略，并在客户机上执行策略；网络行为进程监控模块，用于监控与文档相关的网络通讯行为，并向监控机发送报警信息。

本发明监控机与客户端通过交换机及防火墙连接，并采用机架式机箱，带液晶屏。液晶菜单可显示内外网IP地址等整机信息，面板可操控整机复位、关机，具备网络IP冲突监测报警功能，机箱高强度钢壳结构，标配2个10/100MBase-TX(RJ45)自适应以太网接口，并提供1个conSole口可以让管理员连接至监控机。

本发明有如下功能：

1、客户端软件记录监控计算机上文档的创建、修改、移动、拷贝、删除等一系列操作行为，记录被操作文档的标题，记录终端计算机的CPU、硬盘、内存等硬件资产及资产异动，搜索并记录各主流文档编辑软件的软件信息，综合多方面信息进行关联分析，并将以上信息发往监控机。

2、监控与文档相关的程序和进程，在进程有网络通信的情况下，向监控机发送报警信息。

3、通过关键字比对的方法分析和记录文档的涉密性，将涉嫌涉密的文档发送自监控机备份，并自动执行相应的策略。

4、终端主机外联检测，一旦发现涉密文档暴露在外网环境下，即刻断开该主机的网络，并记录外联主机IP地址、MAC地址、用户名、主机名、外联发生事件等。

5、日志传输过程采用高强度加密及压缩算法，并设置日志传输错误提醒功能，保证日志的安全性和完整性。

6、客户端控制程序采用进程隐藏技术，耗用硬件资源极少，用户无法中止或者删除控制程序。

7、日志支持多种自定义查询方式，并可以导出、打印，支持各种图形报表方式，便于内网安全性分析。

8、采用匹配分析违规行为，对违规行为进行记录并报警。

9、提供基于Web的管理方式，支持HTTPS方式访问。

目前，一般的主机监控审计软件，只是针对主机操作行为进行监控，通过主机日志分析是否遭受木马、病毒或外部入侵，但是这种审计行为缺乏针对性，使用率不高，不能很好的保护涉密信息。而本发明在监控文档操作行为、终端软硬件资产信息的基础上，主动分析文档的涉密性，针对监控文档操作行为同时针对操作的文档内容进行分析，并针对特殊词汇语句来分析操作行为，极大的提高审计的有效性。

故此，根据上述的技术方案，本发明的有益效果在于，本发明对终端文档的编辑工作进行监控，根据预先定义的策略，自动分析文档的涉密性，将编辑文档的标题记录成日志发往保密主管部门，并在发现编辑文档存在可能涉密的情况下，立即屏蔽该机网络功能，防止泄密行为发生，同时向保密主管部门及相关领导报警，供日后查证，除了对用户编辑的文档进行监控外，对文档进行复制、剪切、打印等操作时也会自动对该文档进行涉密性分析，一旦发现有涉密嫌疑即向监控机报警并在监控机上保存该文件的副本以供日后查证。

附图说明

图1为本发明构成图。

图2为本发明网络拓扑图。

图3为本发明客户端工作流程图。

具体实施方式

下面结合附图以及实施例对本发明详细加以说明：

如图1、图2所示，它包括监控机以及客户端软件，所述监控机，包含网络通讯模块，用于监控机与客户端之间的网络通讯；数据库操作模块，用于实时记录客户端软件发送的文档操作日志、涉嫌违规文档及软硬件资产信息；密匙管理及数据加密模块，用于针对传输的涉密文件及日志信息进行专用协议加密，并管理密码口令；监控机服务器配置管理模块，用于定义对客户端的控制策略，包含禁用U盘、禁用无限网络、锁定IP的控制策略，并下发到所有目标客户端；监控机服务器审计日志查看模块，用于查看、管理保存在数据库操作模块中的日志信息及涉密文档；

所述的客户端软件，包含终端安装、注册、卸载模块，用于客户端软件的安装、在监控机上的注册以及卸载的操作；文档操作行为监控模块，用于记录文档的创建、修改、移动、拷贝、删除操作行为；文档内容分析模块，用于分析和记录文档内容的涉密性，对涉嫌涉密的文档以加密形式进行备份；客户端通讯加密模块，用于将操作行为信息及涉嫌涉密文档用专用协议加密，发送至监控机上；控制策略执行模块，用于接收监控机的监控策略，并在客户机上执行策略；网络行为进程监控模块，用于监控与文档相关的网络通讯行为，并向监控机发送报警信息。

本发明采用机架式机箱，带液晶屏。液晶菜单可显示内外网IP地址等整机信息，面板可操控整机复位、关机，具备网络IP冲突监测报警功能，机箱高强度钢壳结构，标配2个10/100MBase-TX(RJ45)自适应以太网接口，并提供1个console口可以让管理员连接至监控机。

本发明采用B/S模式，分级管理模式，方便管理者监控、审查终端机文档行为操作，服务器设备通过自主开发专用硬件，既保证监控机的稳定性，又保证系统搭建的方便性。

采用HOOK技术对文档操作行为进行拦截，office控件技术对文档内容进行分析，获取文档标题，并采用关键字比对方法分析文档涉密性，然后将搜集到的信息发送到监控机中，保证取证行为的实时有效。

文档涉密性采用自定义多关键字的匹配分析，从而大幅提高内容分析识别的准确性。同时对可能含有涉密信息的文档在监控机上以加密方式备份，以供日后取证。

监控管理系统、日志审计系统采用B/S框架，采取“硬件加密锁+口令密码”认证管理监控机，在PC机上通过专用管道与监控机进行通讯，确保配置信息与日志信息的安全可靠性。

监控机采用自主研发的专用安全操作系统及嵌入式程序控制确保系统本身免受攻击，加上严格的身份认证措施、完善的审计日志保证应用的安全性。

本发明通过驻留在终端的客户端程序，监控着计算机用户对文档的操作行为，包括对文档的创建、修改、移动、拷贝、删除等操作行为进行监控并实时对操作记录进行安全审计。以及可对文档进行内容信息配置过滤、源文件的获取用于事后查证依据，在处理涉密文档时，客户端程序对违规现场进行抓捕并上传到监控机，监控机往客户端下发应对策略，并记录事件。

本发明管理设置与日志审计采用B/S架构，数据采用专用协议通讯。

本发明采用统一控制策略由监控机强制下发给下一级，即由监控机发出策略，客户端被动接受且不可更改下发的策略信息。在管理配置当中，管理员可自定义禁用U盘、禁用无线网络、锁定IP等多个控制策略。

本发明的日志审计记录在监控机上，在客户端上通过浏览器来查看设计日志。

本发明客户端软件从终端搜集文档操作行为、文档属性、软硬件资产信息等，上报到监控机，监控机日志审计系统按照统一时间生产数据报表，数据报表记录了资产变动及文档的详细操作信息，提供给审查单位审核。

如图3所示，本发明客户端软件，具有收集文档行为操作信息，收集软硬件资产信息，分析打开文档的进程信息，执行禁止U盘、禁止无线网络、禁止IP等策略，主动分析文档涉密性等职责。

当文档被打开，客户端软件首先分析打开文档的进程，判断文档打开的合法性并记录相关信息，再而分析文档涉密性，文档被打开之后，开始记录文档每一步操作，并严密监控文档进程的网络通信；客户端软件还监控着软硬件资产变动；客户端软件将记录的信息发往监控机，并接受监控机下发策略的指令。

上述实施例仅是本发明众多实施方式的几种，本发明包括但不限于上述实施方式。

Claims (5)

1.一种计算机文档操作安全审计系统，其特征在于，它包括监控机以及客户端软件，

所述监控机，包含网络通讯模块，用于监控机与客户端之间的网络通讯；数据库操作模块，用于实时记录客户端软件发送的文档操作日志、涉嫌违规文档及软硬件资产信息；密匙管理及数据加密模块，用于针对传输的涉密文件及日志信息进行专用协议加密，并管理密码口令；监控机服务器配置管理模块，用于定义文档内容检查关键字及对客户端的控制策略，包含禁用U盘、禁用无限网络、锁定IP的控制策略，并下发到所有目标客户端；监控机服务器审计日志查看模块，用于查看、管理保存在数据库操作模块中的日志信息及涉密文档；

所述的客户端软件，包含终端安装、注册、卸载模块，用于客户端软件的安装、在监控机上的注册以及卸载的操作；文档操作行为监控模块，用于记录文档的创建、修改、移动、拷贝、删除操作行为；文档内容分析模块，用于分析和记录文档标题内容，并通过与设定关键字进行比较的方法确定文档的涉密性，对涉嫌涉密的文档以加密形式进行备份；客户端通讯加密模块，用于将操作行为信息、文档标题信息及涉嫌涉密文档用专用协议加密，发送至监控机上；控制策略执行模块，用于接收监控机的监控策略，并在客户机上执行策略；网络行为进程监控模块，用于监控与文档相关的网络通讯行为，并向监控机发送报警信息。

2.根据权利要求1所述的计算机文档操作安全审计系统，其特征还在于，监控机与客户端通过交换机及防火墙连接。

3.根据权利要求1所述的计算机文档操作安全审计系统，其特征还在于，客户端软件使用HOOK技术对文档操作行为进行拦截，采用office控件技术获取文档的标题，并对文档内容进行关键字分析。

4.根据权利要求1所述的计算机文档操作安全审计系统，其特征还在于，客户端软件搜集文档操作行为、软硬件资产信息，并生成日志信息，通过专用议加密，发送至监控机。

5.根据权利要求1所述的计算机文档操作安全审计系统，其特征还在于，客户端软件在监控与文档相关的程序与进程时，当进程有网络通信，向监控机发送报警信息。

Images