CN103765430A - 数据泄漏防止系统和方法 - Google Patents

Abstract

一种数据泄漏防止系统包括驻留在客户端设备上具有不可用或不可修改的源代码的应用。系统调用由于动作而可被应用发出，并且在数据泄漏事件能够发生之前进行。所述动作涉及文档和i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合。系统调用拦截器代理也驻留在客户端设备上。所述拦截器代理包括用于拦截由应用所发出的系统调用并挂起所述系统调用的系统调用拦截器。所述系统还包括策略决策引擎，用于分析以下的至少部分：i）最近完整内容，ii）元数据，或者iii）组合，并且基于所述分析来实施策略动作。

Description

数据泄漏防止系统和方法

背景技术

本公开大体上涉及数据泄漏防止系统和方法。

电子数据通信是普遍存在的。商业实践和商务通常需要数据被安全地传输，以使得客户、内部业务和/或法定标准被满足。这些标准的一个目标是防止信息和附件的未授权传输。在尝试实现该目标中，需要标签（label）和标记（tag）（诸如“私有”、“机密”、“限制”、“敏感”等）被添加到各种文档和数据传输的策略已经被实施。其他策略需要关键字（keyword）被包含在实际文档内容中（例如，将一类敏感文档与另一类敏感文档区分的持续性术语（persistent terminology））。保证这些策略有效可能是困难的，至少部分因为员工能力的不同水平（例如，新到公司、职位或角色；临时代替）、纯粹的错误（例如，注意力分散、遗忘、不专心）或缺少最新的企业、法律或其他策略信息。策略改变可能需要足够的员工培训，所述员工培训在已经做出改变同时或在其不久之后被提供。然而，在期望的策略改变和实际的展开（roll-out）之间可能存在延迟。当策略不被实施时，敏感数据/信息可能被泄漏。数据泄漏事件从例如将敏感电子邮件发送到错误的地址到上传机密文档来代替会议提交（conference submission）；以及从在USB设备上保存未受保护的文档备份到在广泛可访问的打印机上打印敏感文档且然后忘记该文档被打印。用于防止数据泄漏的方法包括例如分析基于网关的系统上的传出信息、安全擦除解决方案和USB锁定（lock-out）和强制加密解决方案。现有方法是基于办公室的（office-based）泄漏防止机制，所述泄漏防止机制可能不适于从办公室外（out-of-office）的设备（例如，DVD、USB、外部硬盘等）的数据泄漏。

附图说明

通过参考下述详细描述和附图，本公开的示例的特征及优势将变得显而易见，其中相同的附图标记对应于类似（不过可能不相同）的组件。为了简洁，具有前述功能的附图标记或特征可以或可以不关于它们出现于其中的其他附图进行描述。

图1是描绘数据泄漏防止方法的示例的流程图；

图2是描绘数据泄漏防止方法的另一个示例的流程图；

图3是数据泄漏防止系统的示例的示意图；

图4是数据泄漏防止系统的另一个示例的示意图；以及

图5是数据泄漏防止系统的又另一个示例的示意图。

具体实施方式

在本文公开的示例中，敏感数据策略实施在本地发生在是可信环境的部分的设备上。这些设备可以从台式计算机（办公室内设备的示例）到移动电话（办公室外设备的示例）。本文公开的系统的至少部分驻留在设备上并且捕获由应用所发出的系统调用（system call），所述应用的源代码不可用或不可修改（例如，由于实践的或法律的考虑）。该类型的应用通常是第三方应用，所述第三方应用已经被安装在设备上并且不被设计成根据针对可信环境而设置的策略来处理敏感数据。本文公开的系统和方法使此类应用沙盒化（sandbox）以便防止策略违背和数据泄漏发生。沙盒化涉及在允许文档被输出到可信环境外之前基于实际文档内容和/或文档元数据以及当时（then-current）的策略而动态评估变化的文档敏感度。当用户试图将文档输出到可信环境外时，所述评估发生。正因为这样，本文公开的系统和方法被设计成在输出有机会发生之前通过阻止敏感数据从可信环境输出而防止敏感数据泄漏。

用于实现敏感数据策略实施的程序可以被安装在用户设备上的安全室/账户中。程序可以被部署于咨询（advisory）模式或强制模式。咨询模式提供安全网以防止意外的用户错误，并且策略实施解决方案/程序为了用户的利益而被部署。强制模式意味着策略实施解决方案/程序不能被用户所访问、修改或禁用。

本文公开的系统和方法的示例自动检测并且在一些实例中修改在意图阶段（即，当对应的系统调用被驻留在用户设备上的应用所调用时，但在与系统调用关联的动作已经被完成之前）的可能的违背策略的用户动作。在部署用于实际防止数据泄漏发生的方法之前，其源代码不可用或不可修改的应用被分析以对应用的系统调用进行分类，并且最小化所述应用的系统调用，所述系统调用被捕获到与其中数据泄漏防止被期望的敏感任务关联的一个或多个系统调用的集合。在图1中示出所述应用的分析。

在图1中概述的每个步骤使用硬件、固件和软件（即，计算机可读指令）来执行。在示例中，硬件（例如，驻留在本地/客户端设备上的处理器）运行嵌入在某一种非临时、有形计算机可读介质上的计算机可读指令（即，软件）。

在开始时，应用所发出的系统调用被捕获和分析（见图1中附图标记100）。在示例中，应用所发出的所有系统调用可以被捕获和分析。尽管所有系统调用都能够被捕获和分析，在一些实例中，可能不期望捕获和分析所有系统调用。例如，执行应用分析的计算机可读指令可以被编程成识别某些系统调用（例如，“开放的”、“新的”等）与可能的数据泄漏事件根本不相关，并且因而这些系统调用将不被捕获和分析。在一些示例中，被有可能泄漏数据的对应动作所触发的系统调用被过滤。然后在这些示例中，与可能能够从可信环境泄漏数据的动作关联的任何系统调用被捕获。在一个示例中，StraceNT（即，原始Linux工具的Windows类似物）可以被用于拦截并记录系统调用用于以供随后的分析。过滤过程也可以被手动执行或经由一些自动工具执行以便识别与可能的数据泄漏动作对应的一个或多个系统调用。

在对所捕获的系统调用的分析期间，被识别为与可能的数据泄漏事件对应或相关的那些系统调用（例如，单个调用或一组调用）被过滤掉（见图1中附图标记102）。如本文使用的，“可能的数据泄漏事件”或“数据泄漏事件”是能够导致敏感数据被传输到可信环境外的动作。被包含的动作是能够将策略识别的数据输出到可信环境外的那些动作。应该理解的是，输出数据可以例如通过保存、电子邮件、打印、复制、移动、拖放（drag and drop）、上传等而经由任何信道来完成。

一个或多个动作可以被客户端设备和应用的用户所触发，并且这些一个或多个动作在本文中被称为一个或多个用户动作。用户动作的示例包括按下按钮来保存文档、发送电子邮件（e-mail）、下载文档、打印文档和复制或移动文档（例如，使用Microsoft Windows Explorer）。当例如敏感数据以明文形式被保存在外部设备（诸如，随身存储器（pen drive）、USB密钥、外部硬盘驱动器等）上并且然后该外部设备丢失时，保存可能是数据泄漏事件。当例如敏感数据被保存在可能具有低安全性状态或可能广泛可访问的远程网络驱动器上时，保存也可能是数据泄漏事件。当例如用户意外地将机密电子邮件发送到不期望的接收者或无意地发送到广泛的信息收受者时，或者当用户以明文形式通过公共网络将机密电子邮件发送到正确的接收者时，发送电子邮件可能是数据泄漏事件。当例如包含敏感数据的错误的文件被意外地上传到公共服务器而代替不包含敏感数据的原始预期的文件时，上传文件可能是数据泄漏事件。当例如在不启用个人识别号（PIN）检索的情况下机密或另外的敏感文档被在广泛/公共可访问的打印机进行打印并然后文档被遗忘或无人看管时，打印可能是数据泄漏事件。

一个或多个动作还可以被内部应用过程（即，应用的内部状态）所触发，并且这些一个或多个动作在本文被称为一个或多个应用动作。应用动作的示例是当Microsoft Outlook发送被延迟或调度的电子邮件消息时（例如，用户可以在子菜单“交付选项”下选择菜单“选项”中的期望的交付日期和时间）。应用动作的另一个示例是当Microsoft Word执行“自动保存”时。应用动作的又另一个示例是当应用被编程以自动上传一些信息到远程网站时。

当过滤被执行时，计算机可读指令被编程以分析每个被捕获的系统调用并确定是否一个或多个被捕获的系统调用（唯一地或作为组的部分）与可能的数据泄漏事件相对应（见图1的附图标记104）。被认为与可能的数据泄漏事件无关的一个或多个系统调用不被过滤掉并且不经受任何进一步分析。

相反地，在初始分析期间被过滤掉的那些一个或多个系统调用经受进一步的过程以定义与特定动作对应的一个或多个被过滤的系统调用中的哪一个，在被完全运行的情况下，可能从可信环境泄漏数据（同样见图1的附图标记104）。更特别地，系统确定被过滤掉的系统调用中的哪一个与以下动作对应，所述动作i）在数据泄漏事件能够发生之前进行，以及ii）涉及最近版本的文档（包括其最近的完整内容和/或其元数据）。定义通过以下动作来完成，首先从一个或多个被过滤的系统调用中识别出负责实际执行动作的单个调用或一组调用；并且然后从一个或多个识别出的系统调用中选择一个或多个系统调用或提供对最近的（即，最新的、当时的）版本的文档（即，内容和/或元数据）的访问权限的其他手段。为了防止数据泄漏发生，负责所述动作的一个多个系统调用被临时阻止（即，在分析发生时被挂起），并且所得到的应用行为被观察。响应于一个或多个被阻止/挂起的系统调用的应用行为识别出最低级系统调用或防止所述动作被执行（与不挂起或仅部分挂起动作相反）的调用的组合。换句话说，其上下文提供对最近的文档内容/元数据的访问权限的一个或多个最后的系统调用或一个或多个最方便的系统调用被识别出，所述系统调用在动作有机会发生之前发生。响应于一个或多个被阻止/挂起的系统调用的应用行为还识别出提供最近版本的文档（例如，与仅文档片段相反）的系统调用。例如，负责仅写入文档的一部分的系统调用，或在文档的一部分已经被写入到远程驱动器之后发生的系统调用可能不被使用，至少部分因为第一系统调用不提供完整的文档上下文并且第二系统调用发生得过晚（即，在一些敏感的可能已经被泄漏之后）。换句话说且在一些实例中，涉及最新版本的文档的一个或多个系统调用被识别出并定义为与可能的数据泄漏事件对应。然而，应该理解的是，其他手段可以被部署用于恢复在可能的数据泄漏事件中所涉及的对应文档内容。如果对于特定应用和动作不能从对应的动作阻止系统调用检索到完整的文档内容，则能够使用其他手段来恢复最近的文档内容，例如在文档修改操作期间文档内容可以被常规地高速缓存（cache）以使得当动作阻止系统调用被挂起时最近的文档可用于评估。

图1图示应用12的分析以确定当可能的数据泄漏事件将要发生时哪个或哪些系统调用被应用12所调用，以及在提供完整的文档内容和/或元数据的同时选择有效防止数据泄漏事件发生的那些一个或多个系统调用。尽管未在图1中示出，应该理解的是，对于策略定义的或规定的一个或多个系统调用来说，客户端设备14可以执行迂回（detour）功能。在示例中，迂回功能可以针对在分析期间被发现的每个可疑的/挂起的系统调用来执行以确定例如哪个或哪些系统调用对迂回最容易和/或最安全，和/或最适于附接/运行期望的策略动作。在一些示例中，在分析期间可能的数据泄漏事件可以被模拟并且所述迂回功能被实施和测试以便当在部署期间被使用时改进迂回功能。迂回功能可以涉及挂起一个或多个系统调用，并且在分析进行的同时通知用户例如一个或多个系统调用已经被临时阻止、分析正在进行、或者该应用即刻恢复。被发送到用户的通信可以依赖于部署场景。

当测试多个系统调用时，所述调用可以被一个接一个地或者成组地被阻止。被识别为执行/防止动作以及被识别为与最近版本的文档关联的一个或多个系统调用被添加到用于特定动作的系统调用集。正因为这样，所述集合包括与特定动作关联的一个或多个最低限度的必要系统调用。如将在下文进一步描述的，在应用使用期间所述集合内任何系统调用的发出触发一系列过程以防止数据泄漏发生。

表1提供动作、应用和系统调用的示例，作为对于特定动作和特定应用的集合的部分。除传统的系统调用（例如， writefile（写文件）、replacefile（替换文件）等）之外，本文公开的系统和方法也可以通过使用应用附加组件（add-on）、插件等作为“系统调用”而被增加。如表1所示，高级调用（诸如，来自Outlook MAPI的事件（例如，fnevCreated）或者浏览器助手对象（Browser Helper Object，BHO）事件（例如，BeforeNavigate2））可以被设计为用于特定动作的一个或多个系统调用。浏览器助手对象是被设计为用于Microsoft的Internet Explorer网络浏览器以提供添加的功能的插件的DLL模块。例如，利用BHO，能够写入每次启动时Internet Explorer将加载的组件。BHO运行于与浏览器相同的存储器上下文，并且能够在可用的窗口和模块上执行任何动作。

表1

如上所述，图1中示出的方法可以针对其源代码是不可用和/或不可修改的任何应用来执行。不同的应用所使用的系统调用，甚至对于看起来相同的动作，依赖于内部应用行为及其实际实施方式。因此，与Microsoft Word中保存文件的动作对应的系统调用可以与Notepad中保存文件的动作对应的系统调用不同。正因为这样，可能期望的是，针对每个应用和针对每个应用的每个数据泄漏事件生成一个或多个系统调用的集合。

图2图示数据泄漏防止方法的示例，所述方法包括应用的分析以及在应用的分析已经进行之后的实际部署。图2的描述由始至终，图3和4中示出的系统10和10'的组件可以被参考和描述。

在图2中示出的方法的开始（如附图标记200处所示），应用12被加载到本地或客户端设备14、14'上。本地或客户端设备14、14'可以是内网外设备或外围设备。内网外设备包括可能能够携带敏感信息并能够在安全/可信环境内或外使用的任何公司所有的移动设备（例如，膝上型计算机、智能电话等）。外围设备是连接到或者能够被连接到公司内网的设备，诸如未受保护的驱动器、USB或其他存储设备、公共可访问的打印机等。

在本文公开的示例中，应用12是对用户有用但未被设计成根据针对用户、文档等所阐述的策略集来处理敏感数据的应用。应用12的源代码不可用或不可修改。对于该类型的应用12，由于敏感数据正使用应用12被打开或者敏感数据正被复制到应用12内，敏感数据的意外或有意的交叉污染能够发生。由于应用12初始无能力处理敏感数据，图1中描述的沙盒化方法被执行以更好地装备应用12来处理敏感数据和防止数据泄漏（见图2的附图标记202）。为了简洁地从上文重申，图1的分析生成用于特定动作的系统调用的集合（可以包括一个系统调用或一组系统调用），其中系统调用在与动作关联的任何数据输出发生之前发生并同时提供文档及其完整内容和/或元数据。

如本文所使用的，术语“文档”包括文本、媒体、视频、音频、文件、标签、标记、元素、短语、模式、程序、网络数据、分组流、信号传输、记录、电子邮件和任何类型的数据。文档的“内容”包括在（如果被完成可能泄漏数据的）动作被发起之前被合并到文档内的最近的数据（例如，最终编辑）。所述文档还可以包括最近的文档元数据。

当应用12运行在本地设备14、14'上时（图2的附图标记204），系统调用拦截器代理16也在后台运行以在应用12的每次使用期间拦截一个或多个定义的系统调用。系统调用拦截器代理16驻留在本地设备14、14'上并包括硬件和被至少部分硬件可执行的计算机可读指令。在一个示例中，系统调用拦截器代理16的硬件包括客户端设备14、14'的处理器。系统调用拦截器代理16的配置至少部分基于用于不同的应用12的一个或多个系统调用和动作之间的联系。应该理解的是，系统调用提供用户级过程（例如，运行应用）和客户端/本地设备14、14'的操作系统30之间的接口。如上文所述，对DLL（动态链接库）、API（应用编程接口）、或其他组件（BHO）的更高级调用被包含作为本公开中的“系统调用”。不同的操作系统30可以具有不同的接口，所述不同的接口至少部分依赖于操作系统30架构、结构和实施方式。正因为这样，不同版本的系统调用拦截器代理16可以被利用于不同的操作系统30。

在一些示例中，拦截器代理16包括扫描被应用12所发出的系统调用的系统调用拦截器20。当对应的动作被设备14、14'的用户手动发起或被应用12自动发起时，系统调用被发出。系统调用拦截器20被编程以扫描一个或多个当时被发出的系统调用以及捕获先前已经被分配到用于特定动作的系统调用集合的那些一个或多个系统调用（见图2的附图标记206）。正因为这样，系统调用拦截器20监听应用12尝试做什么（即，其做出什么系统调用），以及是否应用12尝试实施系统调用拦截器20被编程以检测的任何动作，然后系统调用拦截器20捕获或拦截所述请求。例如，系统调用拦截器20可以扫描被应用所发出的所有系统调用，并且可以仅捕获/拦截那些一个或多个系统调用，所述一个或多个系统调用作为被指定用于打印、保存、上传、复制、移动、拖放、或电子邮件的动作的集合的部分。用于特定动作的系统调用集合（被图1中示出的方法所标识）可以被存储在例如本地设备14、14'的存储器22中。由于仅先前已经被分配到系统调用集合的一个或多个系统调用被捕获，拦截器代理16的计算开销被最小化。

当系统调用拦截器20捕获先前定义的集合的一个或多个系统调用时，其使一个或多个系统调用被暂停运行，并且因而防止与一个或多个系统调用关联的动作被运行（图2的附图标记208）。例如，当关联的系统调用被捕获时，打印、电子邮件、保存、移动、复制、拖放或上传的动作被防止运行。一个或多个系统调用是从应用去往操作系统30的一个或多个调用，所述调用请求/指示操作系统30执行动作。拦截器20在来自应用12的一个或多个系统调用到达操作系统30前挂起所述系统调用。因此，由于挂起，操作系统30未接收到所述请求并从而所预期的动作不被执行。

尽管一个或多个系统调用被挂起，策略决策引擎24（在一些实例中是拦截器代理16的部分，见图3和4）被编程以扫描并执行与所述动作关联的文档内的预定结构化和/或非结构化字段的集合的深度内容解析。换句话说，策略决策引擎24在文档内查找，并解开文档的内容和/或元数据（见图2的附图标记210）。文档的内容和/或元数据被分析以确定文档敏感度和确定是否策略应用于被试图从本地设备14、14'输出的文档。策略决策引擎24可以被编程以成功地实时操作，以及最小化在应用12被挂起以及用户等待的同时其阻止应用12的时间。换句话说，策略决策引擎24被编程以快速确定所讨论的动作是否可以被继续。应该进一步理解的是，总体内部系统调用拦截框架被编程，以使得一个或多个被挂起的系统调用不使应用12不稳定和/或崩溃。

策略决策引擎24针对每个可疑/挂起的系统调用执行某一迂回功能，以使得文档和/或数据分析可以被执行以确定如果动作被继续的话是否数据泄漏将发生，以及使得引擎24能够确定（基于所述分析）要实施哪个策略动作。

不同的策略可以代替不同的动作，诸如打印、保存、上传、电子邮件等。在一些实例中，策略可以是一致的。例如，如果不允许文档被电子邮件到外部地址，则还可以不允许将其上传到外部服务器。策略被使用安全授权工具26而生成和更新，在一些示例中，所述安全授权工具26是策略服务器28（图3中所示）的部分，并且在其他示例中是客户端设备14、14'的部分（图4中所示），而在又其他示例中，是可信服务器/服务34的部分（图5中所示）。当是策略服务器28或可信服务器/服务34的部分时，安全授权工具26可以驻留在远程设备上（例如，中央服务器、带有或不带有本地化的分布式服务器、混合的中央/分布式服务器等），所述远程设备与本地设备14（或14'）进行选择性通信，或者工具26可以驻留在云计算系统的服务器上，所述云计算系统与本地设备14（或14'）进行选择性通信。

在一些示例中，策略服务器28或可信服务器/服务34可以是组织范围（organization-wide）的服务，所述服务可以是单个服务器或通过冗余而提供可靠访问的经同步的服务器集群。这些板外（off-board）（即，不驻留在设备14'上）策略服务器28或可信服务器/服务34中的任何一个包括用于存储策略的策略存储库32。在图3中示出的示例中，策略存储库32可以与客户端设备14的存储器22进行选择性通信，并且两个组件22、32可以应调度或当需要时同步。作为一个示例，策略存储库32可以在创建/修改时将新的和/或更新后的策略推送到客户端设备14的存储器22。相反地，当安全授权工具26是本地设备14'的部分时，安全授权工具26可以被加载作为本地设备14'上的程序。从板上（on-board）安全授权工具26所生成的策略（如图4中所示）可以被直接存储在存储器22中。当可信服务器/服务34被利用时，安全授权工具26可以是服务器/服务34的部分，并且可以将策略传输到也作为服务器/服务34的部分的存储库32和/或决策引擎24。

依赖于谁具有对安全授权工具26的访问权限，策略可以被策略管理器、系统管理员或本地设备14、14'、14''的用户所创建、改变、更新、删除、管理、测试、检查等。作为示例，管理员可以针对多用户环境中的用户而定义策略，并且当工作于多个应用时用户可以实施他/她自己的安保策略（本地于他/她的设备14、14'）以保护他/她自己免于犯错。安全授权工具26响应于从个体手动接收的或从另一个程序以自动化的形式接收的输入。安全授权工具26被用于创建适用于与特定动作关联的文档和/或数据的可定制的策略集合。应该理解的是，任何数量的策略能够被创建。

所述策略可以至少包括策略标识符（由唯一的策略标识符和策略修正版本（即，按序编号的策略更新）组成）；与要被捕获的一个或多个系统调用关联的动作；为了使策略可应用，文档内容和/或其元数据必须满足的策略条件；以及策略动作，如果策略条件被满足的话，所述策略动作将被实施。单个策略可以包括多个策略条件和/或多个策略动作。在示例中，如果策略动作的集合被包含在单个策略中，则当策略条件被满足时一个动作可以被实施，并且当策略条件不被满足时，另一个动作可以被实施。每个策略组件将在下文被进一步描述。

如上所述，尽管动作被挂起，策略决策引擎24执行与所述动作关联的文档的深度扫描（如对应的策略条件所定义）以确定是否策略适用。策略决策引擎24可以从文档存储区48中检索文档内容和/或元数据。文档存储区18可以包括本地或网络存储区、硬盘驱动器、可移除介质等。当执行扫描时，策略决策引擎24可以从策略存储库/存储区32和/或存储器22中检索与特定动作关联的策略。

文档的敏感度是动态属性，所述动态属性依赖于文档内容和元数据的当前状态和策略的当前状态。例如，文档敏感度能够在文档被编辑（例如，敏感数据能够被输入、粘贴、添加到文档、从文档中移除）时被改变，在策略被改变（例如，文档可能满足新添加的策略、或不再满足现有策略的修改版本）时被改变，或者在时间依赖性策略条件期满时被改变。正因为这样，期望确定在将文档输出到本地设备14、14'外之前最近的点的文档敏感度。在本文公开的示例中，实时文档敏感度可以被确定，因为就在文档被输出之前但是在已经做出最终编辑之后，一个或多个系统调用和关联的文档被捕获。

在示例中，文档内容和/或其元数据的深度扫描根据策略条件而被执行。在示例中，策略条件是包含在文档内的关键字的布尔值的函数上的运算链。所述关键字是策略引出项（包括其模式），所述策略引出项能够是单个项、复合项或项的组合。策略引出项可以使用安全授权工具26来定义，并广泛地包括任何信息集，诸如，分类级别、安全标签、词语、段落、页面、符号、短语、模式、数据、标记、日期、标志、码、文件、文档，以及可以在文档中找到的任何其他信息。策略引出项的示例包括下述示例：机密的、限制的、私人、安全、机密（法语）、私人（法语）；高安全性、中安全性、低安全性、级别0、级别1、信用卡号、社保号、客户标识符、表格、模板、工作流引出项、作者、所有者、创建日期、修改日期、版权作品部分、新产品的名称/代号等。

为了满足策略条件，可以需要文档同时包含规定的策略引出项，作为替代或其任何组合。例如，为了满足下述条件：

（其中

表示“与（AND）”并且

表示“或（OR）”），文档必须同时包含来自第一组{“customer”、“client”}的一个词以及来自另一组{“contract”、“agreement”}的一个词。因而，包含“customer”和“agreement”的文档满足该策略条件（策略适用于该文档），但不包含“contract”也不包含“agreement”的文档不满足该策略条件（策略不适用于该文档）。统计语言处理（SLP）技术（例如，Levenshtein或Damerau-Levenshtein距离）可以被用于提供这些关键字的模糊匹配以适应打字错误，包括拼写错误，诸如错误的字符和交换的字符。例如，下述策略条件：

需要文档包含i）词语contract，可能被错误拼写而有一个错误E=1，然而，该词语应该不是contact或者ii）词语agreement有不多于两个错误E=2。

策略决策引擎24能够进一步被扩展以适应策略引出项词根化（stem）和词元化（lemmatization），这可以使得策略决策引擎24在处理策略引出项变形上更健壮。

又进一步，策略决策引擎24能够进一步被扩展以适应文档元数据条件。在这些示例中，布尔值的元数据条件使用对应的布尔运算而被添加到前述基于内容的策略条件。作为元数据的示例，当带有敏感数据的文件要被保存时，预期的目的地可以是策略条件之一。例如，如果目的地被分类为本地硬盘驱动器或另一个安全位置，则文档可以被保存。然而，如果目的地被分类为外部设备，则文档可以不被保存。作为元数据的另一个示例，当电子邮件将要被发送时，接收者的电子邮件地址可以是策略条件之一。例如，将机密的电子邮件发送到合作者但不发送到不属于该组织的任何电子邮件地址是可接受的。作为元数据的又其他示例，当文件要被上传时，服务器的IP地址可以作为策略条件，并且当文档要被打印时，打印机的IP地址或者打印机是否是本地的可以充当策略条件。

应该理解的是，策略条件可以与文档和/或其元数据的任何属性相关联。正因为这样，策略条件可以是文档特定的（例如，在文档本身内的关键字）、用户特定的（例如，接收者的电子邮件地址）或者可以是动作特定的（例如，保存目的地）。

在本文公开的一些示例中，文档敏感度的确定在完整的文档内容和/或元数据上做出，并且因而按一个或多个策略的要求而在每一个文档部分或文档整体上执行扫描。在其他示例中，文档“热（hot）”区（例如，页眉、页脚、首页、标题等）可以被单独分析或者在分析文档的剩余部分之前被分析。例如，如果文档页眉包含标签“机密的”，则策略决策引擎24可以不分析文档主体来做出决策；或者可以分析完整的文档主体并且当做出决策时至少考虑该标记。策略决策引擎24的动作至少部分依赖于被应用的一个或多个策略。

每个策略包括策略动作。要采取的策略动作由策略定义并且基于当前的文档敏感度级别。策略决策引擎24基于文档敏感度来实施所述策略（图2的附图标记212）。

策略动作可以使用以下机制来实施/运行：Microsoft Detours（即，用于将任意的Win32功能插装（instrument）在x86、x64和IA64机器上的库，其通过重写用于目标功能的内存中代码来拦截Win32功能并包含用于将任意的DLL和数据段附接到任何Win32库的实用程序）、Microsoft Hooks（即，在可加载的kernel（核）模块（例如，其可以被部署在Linus OS上）的同时调用钩（hook）程序）、或其他合适的机制。如将在下文进一步描述的，策略动作可以是简单地继续原始系统调用，简单地拒绝原始系统调用，或者提供代替原始系统调用的替代动作。策略动作还可以包括其他动作，诸如将事件安全地记入日志，通过引用对应的策略来主动告知用户关于数据泄漏检测，警告用户他/她的动作正被拒绝因为这将导致数据泄漏，指导用户通过用于数据和/或文档释放的替代路径（例如，通过要求明确授权、加密等）。

如果所述扫描指示文档是敏感的并且策略违背可能发生（例如，策略条件被满足或指示不安全目的地），则策略动作可以是要拒绝/禁止所述动作或提供将不导致数据泄漏的替代动作。当所述动作被完全拒绝/禁止时，用户可以被提供有原始动作还未被允许的清楚的信息。例如，弹出窗口可以出现而指示所述动作由于特定策略的违反而不被允许。替代动作可以被提供给用户作为选项或者当被特定文档的特定应用的可能的策略违背被检测到时，所述替代动作可以被自动运行。替代动作包括保护执行动作、强制文档加密、重定向到安全打印机或电子邮件地址、重定向到安全目的地等。替代动作的一些特定示例包括在加密被使用的情况下允许保存或电子邮件发生，在电子邮件地址被改变为公司/企业地址的情况下允许机密文档被电子邮件，以及需要在打印机处输入安全码的情况下允许打印发生。当替代动作可用时，替代动作可以被呈现给用户（经由客户端设备接口，例如监视器、屏幕等），并且系统/程序可以指导用户通过一个或多个替代路径。

如果扫描的结果指示文档不是敏感的并且策略违背未产生（例如，策略条件未满足或指示安全目的地），则策略动作可以是将允许动作继续。在该示例中，先前捕获的系统调用将重新开始。在这些示例中，应用被恢复到当它被挂起时其所处的状态。当动作被挂起且随后被允许时，用户可以经由弹出窗口或其他屏幕上指示而被告知传输、保存、打印等在进行中。

使用安全授权工具26来定义策略的一个或多个策略动作。

在一些实例中，当与动作关联的文档不能被分析时，已经被挂起的动作默认将被阻止。例如，文档可能不按被支持的格式或可能包括未知字符集。在此类实例中，策略决策引擎24可能不能扫描文档来确定其当前敏感度级别。在此类实例中，为了保证数据泄漏防止，被挂起的动作可以被禁止。

下文是可以被挂起的四个动作（例如，保存、电子邮件、上传、和打印）以及可以被实施的文档分析和所得到的策略动作的示例。这些示例意为说明性而非限制性的。

当敏感文件以明文形式保存在随后丢失的外部设备（例如，随身存储器、USB密钥、外部硬盘驱动器）上时，数据泄漏可能发生。当“将文件保存到外部设备”请求被用户输入时，与将文件保存到外部设备的动作关联的系统调用可以被捕获。将文件保存到外部设备的动作然后被挂起。对于将文件保存到外部设备的动作来说，策略元数据可以是用户想要保存该文件的路径，并且策略引出项（其可以被设计成识别敏感文档内容）可以在完整的文档内容中或仅在规定的区域内（例如，页眉、页脚）被搜索。在该示例中，一个或多个策略可能命令：敏感文档当被保存到外部设备内时需要被加密，或者一个或多个策略可能禁止敏感文档被保存到外部设备上。

数据泄漏还可能发生在当包含敏感信息或附有敏感文档的电子邮件被发送到未授权的电子邮件地址时。当“发送电子邮件”请求被用户所输入时，与发送电子邮件的动作关联的系统调用可以被捕获。发送电子邮件的动作然后被挂起。对于发送电子邮件的动作来说，策略元数据可以是接收者的电子邮件地址，并且策略引出项（其可以被设计成识别敏感文档内容）可以在电子邮件主题、主体和附件中被搜索。在该示例中，一个或多个策略可能命令：敏感文档需要从电子邮件中移除和/或电子邮件地址需要被改变为授权的电子邮件地址。

数据泄漏还能够发生在当包含敏感数据的文档被非故意地上传到公共服务器时。当“上传文档”请求被用户所输入时，与上传动作关联的系统调用可以被捕获。上传文档的动作然后被挂起。对于上传文档的动作来说，策略元数据可以是目的地服务器的IP地址，并且策略引出项（其可以被设计成识别敏感文档内容）可以在HTTP Post（投递）请求主体中、在post请求中所定义的任何文件的文件名称和内容中被搜索。当所述文件要被上传到被（用户的组织之外的）其他方所有/管理的服务器时，所述一个或多个策略可能命令：包含敏感信息的文档可以不被上传到该服务器。当文件要经由公共网络（其分组可能容易被拦截）被上传到安全服务器时，所述一个或多个策略可能命令：这些通信需要被加密。

数据泄漏还能够发生在当包含敏感数据的文档被发送到不安全的打印机（即，位于公共域中或被外部客户以及员工可访问的打印机）时。当“打印”请求被用户所输入时，与打印动作关联的系统调用可以被捕获。打印动作然后被挂起。对于打印动作来说，策略元数据可以是打印机的IP地址或是否打印机是本地的，并且一旦策略引出项（其可以被设计成识别敏感文档内容）已经被解析，它可以在PCL/PDF/Postscript文件中被搜索。如果打印机未被分类为安全，则对应的策略可以通过自动启用PIN检索来执行，或者作业可以被重定向到另一个（安全）打印机或被取消。

在适当的策略动作被执行之后，所述动作将已经被拒绝或者在有修改或无修改的情况下被允许。在任何实例中，用户可以继续运行应用12，并且原本可能已经发生的数据泄漏将被防止。

前述一个或多个方法也可以例如使用图5中示出的系统10''被执行。在该示例中，驻留在客户端/本地设备14''上的系统调用拦截器代理16包括拦截器20，并且策略决策引擎24驻留在某个其他可信服务器/服务34上（其可以是设备14''所预订的中央的和/或分布式服务）。在该示例中，策略决策（即，根据一个或多个策略条件的文档分析）被外包（outsource）给可信服务器/服务34。在该示例中，可信服务器/服务34执行策略决策并然后将信号传输回系统调用拦截器代理16，所述系统调用拦截器代理16指示应用12如何根据应该被发起的策略动作来进行。该系统10''可以尤其适合于小型有限容量的设备（例如，智能电话）。例如，对于小型有限容量的设备14''来说，策略决策引擎24可能是复杂的，并且因此可能更期望将所捕获的文档安全上传到某个可信服务器/服务34，在可信服务器/服务34处分析所述文档，并随后通过将合适的信号传输回客户端设备14''而允许/禁止所述动作。因而，对于连接良好的额外的小容量设备来说，当去往可信服务/服务器34的安全连接在试图执行所述动作时被可靠建立时，将所述决策外包给服务器/服务34可以是有益的。

下述示例被提供用于说明本公开的方法的示例。应该理解的是，这些示例为了说明的目的而被提供，而不被解释为对本公开的范围的限制。

示例1

Notepad调用系统调用WriteFile来保存文件。Notepad将文件的副本保存在本地机器的临时位置中，所述文件副本被分析、删除，并且然后利用用户想要保存的实际文件作出决策。Microsoft Word具有用于保存文件的更复杂的机制。Microsoft Word使用WriteFile系统调用来保存临时文件，它在用户希望保存所述文件的位置创建doc/docx文件，并且然后通过临时文件调用ReplaceFile系统调用来代替其内容。因此，上下文感知系统调用是Replacefile。

为了使用本文公开的系统和方法来处理这些应用的不同行为，如果WriteFile被调用用于被禁止的位置（例如，外部硬盘驱动器），则系统调用可以被自动阻止并且用户可以被通知。然而，如果该位置被允许或在某些条件下被允许，则WriteFile系统调用可以被允许。当ReplaceFile被调用时，动作可以被挂起，并且可信本地临时文件夹中的临时文件的副本可以被做出并分析。如果策略允许将文档保存在用户规定的位置，则ReplaceFile被允许并且该过程结束。如果在用户规定的位置中文档不被允许，则Microsoft Word的临时文件被删除，且ReplaceFile被阻止。Microsoft Word可以另外尝试通过针对doc/docx文档直接调用WriteFile来保存文件，但是该WriteFile调用可以被阻止，因为文件扩展名已知。

Microsoft Excel也针对临时文件调用WriteFile并然后调用ReplaceFile以将临时文件的内容放入xls/xlsx文件内。然而，如果ReplaceFile如上所述被阻止，则应用不尝试针对xls/xlsx文件直接调用WriteFile来保存文件。正因为这样，对于该应用，WriteFile不被阻止。

示例2

对于Microsoft Outlook来说，事件fnevObjectCreated（当MAPI对象被保存时被调用）被利用作为系统调用。当日历事件或电子邮件将要被发送时，该系统调用可以被调用。电子邮件主题、接收者、主体和附件可以根据一个或多个策略而被分析。如果电子邮件不能被发送，则RpcAsyncCompleteCall（用于发送电子邮件的Microsoft Outlook的最接近系统调用）被阻止。这是捕获内容感知系统调用用于分析（fnevObjectCreated）并阻止另一个系统调用（其不被用于提取信息，但是是执行“发送电子邮件”动作的系统调用）的示例。

示例3

为了上传到Microsoft Internet Explorer，BHO（浏览器帮助对象）可以被创建，并且事件BeforeNavigate2（其刚好在每个http请求被发送之前被调用）可以被沉没。为了处理该事件，所述请求根据策略而被分析，并且如果在post序列中存在文件名，则该文件也被分析。如果被决定的动作是阻止http请求，则“真”被返回，因为如果系统调用BeforeNavigate2返回真，则http post消息将不被发送。否则，BeforeNavigate2在其还没有被捕获的情况下已经返回的值被返回，意味着应用的自然行为继续不改变。

示例4

通用打印驱动（UPD）可以被使用，所述UPD将文件发送到假脱机程序（spooler），调用WritePrinter和WriteFile。对于打印动作来说，WriteFile可以被捕获，文件的副本可以被保存在本地临时位置并被解析（以PCL格式），并且然后根据当前策略做出决策。如果决策是要防止文件被打印，则WriteFile当其针对敏感PCL文件被调用时被阻止。

本文公开的一个或多个系统和一个或多个方法通过以下方式自动防止向可信环境外的未授权的数据传输，即通过i）实时捕获在输出已经发生之前触发数据输出的任何动作，以及ii）针对可能的策略违背而分析对应的文档内容和元数据。本文所述的方法防止数据泄漏并且还提供立即的用户反馈。

应该理解的是词语“一”和“一个”和其他单数指示词的使用在说明书和权利要求二者中也包括复数。

尽管已经详细描述数个示例，但对本领域技术人员显而易见的是公开的示例可以被修改。因此，前述描述被认为是非限制性的。

Claims (15)

1.一种数据泄漏防止系统，包括：

客户端设备；

驻留在客户端设备上的应用，所述应用具有不可用或不可修改的源代码；

由于动作而可被应用发出的系统调用，所述系统调用在数据泄漏事件能够发生之前进行，并且所述动作涉及文档和i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合；

驻留在客户端设备上的系统调用拦截器代理，所述系统调用拦截器代理包括用于拦截由应用所发出的系统调用并挂起所述系统调用的系统调用拦截器；以及

策略决策引擎，用于分析以下的至少部分：i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合，并且基于所述分析来实施策略动作。

2.根据权利要求1所述的数据泄漏防止系统，进一步包括由策略决策引擎所接收的策略，所述策略包括标识符、动作、策略条件和包括所述策略动作的策略动作集。

3.根据权利要求2所述的数据泄漏防止系统，其中所述策略决策引擎运行计算机可读指令以：

在拦截所述系统调用之后捕获i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合；

根据所述策略条件来分析以下的至少部分：i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合；以及

响应于所述分析而从策略动作集中选择并发起所述策略动作。

4.根据权利要求1所述的数据泄漏防止系统，进一步包括与策略决策引擎进行选择性通信的安全授权工具，所述策略决策引擎从安全授权工具选择性地接收策略，所述安全授权工具包括嵌入在非临时有形计算机可读介质上的计算机可读指令，所述计算机可读指令用于以下的任何一个：i）添加新策略，ii）删除现有策略，iii）修改现有策略，iv）管理现有策略，v）测试策略，或者vi）查看现有策略。

5.根据权利要求4所述的数据泄漏防止系统，进一步包括：

策略服务器，与安全授权工具和策略决策引擎进行选择性通信；以及

安全通信信道，将策略服务器选择性地连接到客户端设备的存储器，其中所述存储器与策略决策引擎进行通信。

6.根据权利要求1所述的数据泄漏防止系统，其中所述系统调用拦截器代理包括驻留在客户端设备上的策略决策引擎。

7.根据权利要求1所述的数据泄漏防止系统，其中所述用户动作从发送电子邮件、保存、打印、上传、移动、复制、和拖放中选择。

8.一种用于防止数据泄漏的方法，包括：

分析应用的系统调用，所述应用具有不可用或不可修改的源代码；

在所述分析期间，对被识别为与可能的数据泄漏事件相对应的系统调用进行过滤；以及

定义被过滤的系统调用，所述被过滤的系统调用与在可能的数据泄漏事件能够发生之前进行的并且涉及文档和i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合的动作相对应；

其中每个步骤由运行嵌入在非临时有形计算机可读介质上的计算机可读指令的处理器来执行。

9.根据权利要求8所述的方法，进一步包括：

将所述应用加载在客户端设备上；

在客户端设备上运行所述应用；

经由客户端设备的系统调用拦截器来拦截所定义的被过滤的系统调用；

经由系统调用拦截器来自动挂起被拦截的系统调用，由此防止所述动作被执行；

在系统调用被挂起的同时，并且经由客户端设备的策略决策引擎根据与所述动作关联的策略条件来分析以下的至少部分：i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合；以及

响应于所述分析，并且经由策略决策引擎来发起策略动作。

10.根据权利要求9所述的方法，其中自动挂起防止文档被传输到客户端设备外。

11.根据权利要求9所述的方法，其中分析包括经由策略决策引擎来搜索以下的至少部分以确定是否策略条件被应用于文档：i）文档的最近完整内容，ii）文档的元数据，或者iii）最近完整内容和元数据的组合。

12.根据权利要求11所述的方法，其中分析文档的最近完整内容的至少部分包括根据策略条件的规定分析文档热区。

13.根据权利要求11所述的方法，其中发起策略动作包括当策略条件适用于所述文档时拒绝所述动作或矫正所述动作。

14.根据权利要求11所述的方法，其中发起策略动作包括当策略条件未能适用于所述文档时允许所述动作。

15.根据权利要求9所述的方法，其中分析揭示所述文档满足多个策略条件，并且其中所述方法进一步包括执行与具有更高指定优先级的策略条件关联的策略动作。

Images