CN104239812A - 一种局域网数据安全防护方法及系统 - Google Patents

Abstract

本专利公开了一种局域网数据安全防护系统，通过分配个人区方式把终端上敏感数据进行集中管理，通过存储加密、通道加密方式保证敏感数据在任何状态下都是安全的，个人区由用户自主操作控制，可以自主的利用多种权限方式共享敏感数据给其他人员，使得敏感文件均处于可控状态。通过备份模块备份敏感数据；通过usbkey保证访问者的物理身份与数字身份的一致性的同时，完成外带数据安全存储和安全使用。

Description

一种局域网数据安全防护方法及系统

技术领域

本发明涉及一种数据安全防护方法及系统，更具体的说是涉及一种局域网内的数据防护方法及系统。

背景技术

随着信息化的发展，单位越来越多的利用计算机进行日常办公操作，单位内部大量的数据信息及重要资料都是以电子文件的形式存在，如何能更好的保证单位内部重要数据信息及资料的安全性、保密性，防止重要资料被非法扩散造成信息泄密，又能使得这些电子文件被合法人员合理的高效的使用，是各单位比较关注的问题。

而对于大型单位来说，其网络环境复杂、基层单位多、分布广，办公环境差异大，电脑终端多。如何构建一种不影响工作效率的全方位防泄密环境是大型单位难解之题。而防泄密环境的构建一般需要同时完成网络数据安全建设和终端数据安全建设；网络数据安全建设现阶段技术已经趋于成熟，且针对网络层数据，对用户的工作效率几乎不影响。而终端是直接面向用户，在终端数据安全建设中对工作效率有很大影响。如何把终端建设的即安全又便捷是防泄密环境构建工作的重点。

针对以上问题，现有技术一般采用如下方法之一：

1.把视角集中在终端上的防护方法：以终端为防护点的主要特征是在各终端上安装管控软件，限制计算机终端上类外部接口的使用，如usb接口和光驱接口，极大的限制了计算机终端的便捷性，现有技术方法有：基于协同方式的内网安全管理方法(专利：201110323798.X)、单机安全防护系统(专利：201310356953.7)等。

2.把视角集中在电子文件上的防护方法：电子文件包括相关政策、法规、决议、筹划、计划、方案、报告、历年业务资料等，对于党政、军事、科研、商业、企业等领域而言，电子文件是最主要的敏感载体，也是发生泄密事件的主要途径。管住电子文件，即可实现终端数据安全。基于电子文件为防护点的主要特征是：对终端的电子文件进行加密，依据服务器分发的策略对电子文件进行解密访问等。加密文件在工作流转过程中所需的解密策略各不相同，需要花费大量时间定制不同的解密策略。主要的方法有：文件安全防范系统(专利-201310388918.3)。

3.把视角集中在用户上的防护方法：主要特征是采用权限控制技术，为用户分配角色及权限，符合条件的用户才能敏感的数据。防止非授权用户有意或无意对文件的操作导致文件的破坏。用户的角色和权限随人员的变化而变化。管理员需要时时跟踪人员的变化。

以上各种方式或各种方式的组合均会对用户使用计算机终端造成影响，对文件的使用习惯造成影响，严重影响工作效率。

发明内容

针对上述解决方案的弱点，本发明提出如下解决大型单位中接入特定网络环境下的终端数据安全的问题的思路与方法，同时保证工作效率不受影响：

在大型单位中，终端可能会处于不同的网络环境中，为了更全面、更有效的防护终端数据安全，不能单纯的以终端、文件、用户为中心，需要把防护的视角提高个层次，把计算机终端用户按照部门或业务类型的不同分为不同的局域网，以局域网为中心来集中防护终端数据安全，把终端的敏感数据转移到局域网中集中管理。

通过分配个人区方式把终端上敏感数据进行集中管理，通过存储加密、通道加密方式保证敏感数据在任何状态下都是安全的，个人区由用户自主操作控制，可以自主的利用多种权限方式共享敏感数据给其他人员，使得敏感文件均处于可控状态。通过备份模块备份敏感数据；通过usbkey保证访问者的物理身份与数字身份的一致性的同时，完成外带数据安全存储和安全使用。

敏感数据仅在显示时内存中的数据是明文，并对内存数据进行管控；在存储状态、传输状态，都是密文存在，确保了重要信息数据无论采取任何技术手段拿到的也只是加密后的乱码文件，没有合法的使用身份、访问权限、正确的安全通道，所有重要的文件都是密文状态，确保了数据无论在何时、何地、何种状态下都是安全的。在严密的防泄密环境下不影响用户的工作效率。

具体来说，本发明设置一种局域网数据安全防护的系统，包括计算机、局域网络，

所述系统设置集控存储设备，计算机通过局域网访问集控存储设备存储的涉密数据，本处所述的涉密数据主要是指涉及业务的数据，操作系统、通用软件等不属于涉密数据；

所述集控存储设备划分为个人用户区和群用户区，个人用户区供单个用户对数据进行操作，包括增、删、改、上传、下载、打印，共享，群用户区供多个用户对数据进行操作，包括增、删、改、上传、下载、打印；

用户将存储在所述集控存储设备中的数据复制至外部存储设备时，必须通过具有加密安全存储区的usbkey。

所述usbkey包括如下模块：

A.用户认证usbkey使用者身份；

B.对外带文件的加密；

C.对外带文件的解密；

D.对外带文件的所做操作的记录；

E.对外带文件的防复制；

F.对外带文件的存储。

用户编辑所述系统中存储在集控存储设备中的数据时，采用如下三种内存管理方法之一：

A.计算机不使用计算机本地的内存空间，将集控存储设备中部分映射到终端为本地磁盘，在映射磁盘中设置虚拟内存空间，文件的内存数据均缓存在虚拟内存空间中，系统通过虚拟内存空间防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在虚拟内存空间内，并对编辑进程进行防泄密控制(防打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送)

B.计算机使用计算机本地的内存空间，对访问数据的进程进行防泄密操作控制，禁止对数据进行打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送操作。

C.计算机不使用计算机本地的内存空间，计算机在存储在集控存储设备中的数据时，在usbkey中设置虚拟内存空间，数据的内存数据均缓存在usbkey中，系统通过usbkey防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在usbkey内，禁止对数据进行打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送操作。

所述局域网与另一局域网交换数据时：

A.一局域网与另一局域网之间设置专用数据安全通道；

B.一局域网中用户指定文件后，先选择另一局域网的集控存储设备，再选择另一局域网内的用户名，并指定共享权限后，把通过专用数据安全通道安全的共享给另一局域网的被选择用户；

C.另一局域网的被选择用户登录自己网内的集控存储设备，通过专用数据安全通道，安全的跨网访问共享数据。

所述系统具备用户间消息通信模块，用户通过消息通信模块进行自动的共享通知、即时通信和非在线留言，并可阅读与回复。

所述系统具备日志记录模块，日志记录模块记录系统中数据全生命周期的日志，及usbkey中脱离系统的可回收的日志记录。

附图说明

图1是系统安全划区及管理模块示意图

图2是系统安全共享模块示意图

图3是系统日志模块示意图

图4是在跨局域网时用户之间进行数据共享示意图

具体实施方式

下面结合图示来说明该发明的一种具体实施方法：

1、安全划区及管理模块

如图1，系统对集中存储空间进行隔离，划分出相互隔离的空间，把空间分配给每个用户个人使用，也可以把空间作为公共区分配给某特定群体人使用，通过公共区和个人区来集中管理文件，公共区中存放的是整个公司或某个业务部门的公共文件，个人区中存放的是个人用户的个人文件，分区所有者可对其所属分区进行权限管理，如将分区中的文件或文件夹授权给他人访问。终端上不保留任何敏感文件信息。

管理员可以为整个局域网或每个部门或某个业务创建一个公共区，为每个员工创建一个个人区。个人区用于存放员工个人有关的文件。空间与空间之间的内容在未授权的情况下无法互相访问，空间由终端用户自己管理维护，包括文件的上传、读、写、删、打印、下载等以及文件权限包括：读、写、删、打印的分配。相比于与以文件为中心的防护方法，管理员可以不必操心用户文件流转过程中的权限设置问题。

2、加密模块，存储加密，数据传输通道加密

3、灵活的安全共享模块

用户自主操作，灵活、安全、可控数据共享，不需要管理员的参与，用户可以自主把文件共享给确定的共享目标(用户或组)，同时设定访问权根控制(包括：读、写、删、打印、下载等)，在方便用户数据交互的同时，又能杜绝传统网上邻居不安全的共享方式，比如，易被感染病毒、易被人为(黑客)攻击等。

系统具有文件及文件夹安全共享模块，用户可以通过该模块将自己个人区中的文件共享给别人查看，共享时可以进行灵活的权限设置，可选择要授权的组、部门或个人，可设置每个授权人的访问权限(包括：读、写、删、打印、下载等)。

4、安全的模块

当需要外出办公时，为了防止数据泄漏问题，数据集控存储保护系统采用具有加密安全存储区的usbkey，可以存储重要的外带文件。

其中usbkey具有的模块：

a\用于保证访问者的物理身份与数字身份的一致性；

b\授权终端用户访问相应的个人区空间外；

c\用于加密存储敏感的外带文件；

d\用户认证usbkey使用着的身份；

e\在身份认证成功的情况下，用户访问文件时自动解密存储在usbkey上的的敏感文件。

f\全程记录外带文件的使用记录

这些模块usbkey可同时具有，也可部分具有，根据实际应用定制。

保证外带文件的安全性，如果强行把没有经过正常认证过程的外带文件复制或镜像出来，该文件为密文；只有经过正常认证usbkey，保证usbkey的访问者的物理身份与数据身份一致时，才可主动解密访问。外带的文件仅允许存在于usbkey中，可在usbkey中修改编辑保存，但不能另存、和复制。

①外带文件：把usbkey插入终端，认证成功后，把外带文件下载到usbkey中，如果用户没有外带文件的下载权限，需要先文件所有者修改权限。

②外带文件的使用：外出人员拿着外带usbkey就可以外出办公，当需要使用外带文件时，用户插入外带usbkey到外出终端主机，usbkey认证通过后，在访问文件时主动解密文件。

③日志记录、文件使用过程全程记录日志，并防止用户对打开的外发文件进行复制、粘贴、屏幕拷贝、网络发送等泄密行为；外带U盘的安全机制：外带的文件不会在终端机上产生临时文件，临时缓存文件直接放在外带usbkey的隐藏区进行临时保存，退出时会自动清除。外带U盘的所有文件的编写、缓存都是在外带usbkey中完成。

④外带文件日志回收：用户外出回到局域网后，直接将usbkey插入与局域网相连的任何一台终端上，外带文件的使用操作日志回收保存到系统中。

5、在线处理及内存数据管控模块：

用户对各类文件的操作包括文件的上传、读、写、删、打印、下载等，为了不让敏感数据在终端上保留任何痕迹。数据集控存储保护系统还提供三种文件在线处理模块。

①在线编辑时，计算机不使用计算机本地的内存空间，将集控存储设备中部分空间映射到终端为本地磁盘，在映射磁盘中设置虚拟内存空间，文件的内存数据均缓存在虚拟内存空间中，系统通过虚拟内存空间防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在虚拟内存空间内，并对编辑进程进行防泄密控制(防打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送)。

②在线编辑文件时，使用终端本地的内存空间，在线编辑操作便捷，等同与本地编辑，包括在线新建文件、在线编辑文件、在线复制黏贴等。

数据集控存储保护系统对访问敏感文件的进程进行存储控制，防止敏感进程将终端内存中的文件内容写出安全环境。对访问文件的进程进行防泄密操作控制，防止敏感进程将文件内容通过打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送等渠道泄密出去。

③在线编辑文件时，不使用终端本地内存空间，终端在编辑一个在线文件时，在usbkey中设置虚拟内存空间，文件的内存数据均缓存在usbkey中，系统通过usbkey防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在usbkey内，并对编辑进程进行防泄密控制(防打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送等)。

6、文件全生命周期使用日志记录模块

记录文件全生命周期的使用日志。安全员可以对日志记录的各种事件进行查找、统计和分析，对文件的使用过程进行监控。

7、跨局域网文件共享模块

在实际的应用过程中，不管是按照部门或业务类型或其他方式来划分局域网，局域网与局域网之间也有可能进行数据交互。

如图4，局域网与局域网之间由各自的数据集控存储保护系统建立跨局域网专用数据安全通道来实现安全共享。如A局域网内用户要把文件以读写方式共享给B局域网内用户，

①局域网与局域网之间都存在专用数据安全通道，在需要时使用。

②A用户指定文件后，先选择B局域网的数据集控存储保护系统，再选择B局域网内的用户名，并指定共享权限后，把文件安全的共享给B局域网用户；

③B局域网用户登录自己网内的数据集控存储保护系统，利用专用数据安全通道，安全的跨网访问共享数据。

8、消息通知模块

数据集控存储保护系统具备用户间消息通信模块，可以进行即时通信和非在线留言，同时查看留言是否已被阅读，信息回复等消息管理模块，为单位内部协同办公提供灵活便捷的沟通途径。具有共享信息的消息提醒的模块。为用户日常办工起到协同的作用。

通过私人区方式把终端的敏感数据转移到数据集控存储保护系统下进行集中防护，在数据集控存储保护系统中使用者使用的操作系统与终端保持一致，均有有文件新建、修改、删除、共享、打印、搜索等功能，不改变任何使用习惯，正常使用时只在计算机内存中是明文存在，在终端硬盘上不存在任何敏感的数据。没有合法的使用身份、访问权限、正确的安全通道，所有重要的文件都是密文状态，确保了重要信息数据无论采取任何技术手段拿到的也只是加密后的乱码文件，确保了数据无论在何时、何地、何种状态下都是安全的。并且记录文件全生命周期的使用日志。安全员可以对日志记录的各种事件进行查找、统计和分析，对文件的使用过程进行监控。

Claims (14)

1.一种局域网数据安全防护的方法，建立一包括计算机、局域网络的系统，其特征在于：

对所述系统设置集控存储设备，计算机通过局域网访问集控存储设备存储的涉密数据；

将所述集控存储设备划分为个人用户区和群用户区，个人用户区供单个用户对数据进行操作，包括增、删、改、上传、下载、打印，共享，群用户区供多个用户对数据进行操作，包括增、删、改、上传、下载、打印；

用户将存储在集控存储设备中的数据复制至外部存储设备时，必须通过具有加密安全存储区的usbkey。

2.一种如权利要求1所述的局域网数据安全防护的方法，其特征在于：

对所述防护系统设置用户访问集控存储设备的控制权限；

所述个人用户可对分配给该个人用户的个人用户区中的数据设置对外共享的权限；

所述个人用户可对其他用户共享给该用户的数据进行再共享。

3.一种如权利要求1所述的局域网数据安全防护方法，其特征在于：

所述的个人用户通过在线编辑方式对个人用户区数据或其他用户共享的数据进行访问。

4.一种如权利要求1所述的局域网数据安全防护方法，其特征在于：

所述usbkey可实现如下功能步骤：

A.用户认证usbkey使用者身份；

B.对外带文件的存储；

C.对外带文件的加密；

D.对外带文件的解密；

E.对外带文件的所做操作的记录；

F.对外带文件的防复制。

5.一种如权利要求1所述的局域网数据安全防护方法，其特征在于：

用户编辑所述系统中存储在集控存储设备中的数据时，采用如下三种内存管理方法之一：

A.计算机不使用计算机本地的内存空间，将集控存储设备中部分空间映射到终端为本地磁盘，在映射磁盘中设置虚拟内存空间，文件的内存数据均缓存在虚拟内存空间中，系统通过虚拟内存空间防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在虚拟内存空间内，并对编辑进程进行防泄密控制(防打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送)；

B.计算机使用计算机本地的内存空间，对访问数据的进程进行防泄密操作控制，禁止对数据进行打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送操作；

C.计算机不使用计算机本地的内存空间，计算机在访问集控存储设备中或usbkey安全存储区中的数据时，在usbkey中设置虚拟内存空间，数据的内存数据均缓存在usbkey中，系统通过usbkey防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在usbkey内，禁止对数据进行打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送操作。

6.一种如权利要求1-4中任一所述的局域网数据安全防护方法，其特征在于：

所述局域网与另一局域网交换数据时：

A.一局域网与另一局域网之间设置专用数据安全通道；

B.一局域网中用户指定文件后，先选择另一局域网的集控存储设备，再选择另一局域网内的用户名，并指定共享权限后，把通过专用数据安全通道安全的共享给另一局域网的被选择用户；

C.另一局域网的被选择用户登录自己网内的集控存储设备，通过专用数据安全通道，安全的跨网访问共享数据。

7.一种如权利要求1-4中任一所述的局域网数据安全防护方法，其特征在于：

所述系统具备用户间消息通信模块，用户通过消息通信模块进行自动的共享通知、即时通信和非在线留言，并可阅读与回复。

8.一种如权利要求1-4中任一所述的局域网数据安全防护方法，其特征在于：

所述系统具备日志记录模块，日志记录模块记录系统中数据全生命周期的日志，及usbkey中脱离系统的回收的日志记录。

9.一种局域网数据安全防护的系统，包括计算机、局域网络，其特征在于：

所述系统设置集控存储设备，计算机通过局域网访问集控存储设备存储的涉密数据；

所述集控存储设备划分为个人用户区和群用户区，个人用户区供单个用户对数据进行操作，包括增、删、改、上传、下载、打印，共享，群用户区供多个用户对数据进行操作，包括增、删、改、上传、下载、打印；

用户将存储在所述集控存储设备中的数据复制至外部存储设备时，必须通过具有加密安全存储区的usbkey。

10.一种如权利要求9所述的局域网数据安全防护系统，其特征在于：

所述usbkey包括如下模块：

A.用户认证usbkey使用者身份；

B.对外带文件的加密；

C.对外带文件的解密；

D.对外带文件的所做操作的记录；

E.对外带文件的防复制；

F.对外带文件的存储。

11.一种如权利要求9所述的局域网数据安全防护系统，其特征在于：用户编辑所述系统中存储在集控存储设备中的数据时，采用如下三种内存管理方法之一：

A.计算机不使用计算机本地的内存空间，将集控存储设备中部分映射到终端为本地磁盘，在映射磁盘中设置虚拟内存空间，文件的内存数据均缓存在虚拟内存空间中，系统通过虚拟内存空间防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在虚拟内存空间内，并对编辑进程进行防泄密控制(防打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送)；

B.计算机使用计算机本地的内存空间，对访问数据的进程进行防泄密操作控制，禁止对数据进行打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送操作；

C.计算机不使用计算机本地的内存空间，计算机在存储在集控存储设备中的数据时，在usbkey中设置虚拟内存空间，数据的内存数据均缓存在usbkey中，系统通过usbkey防护内核对数据进行安全控制，保证在编辑过程中内存信息都控制在usbkey内，禁止对数据进行打印、拷屏、内容复制粘贴、拖拽、屏幕取词、网络发送操作。

12.一种如权利要求9-11中任一所述的局域网数据安全防护方系统，其特征在于：

所述局域网与另一局域网交换数据时：

A.一局域网与另一局域网之间设置专用数据安全通道；

B.一局域网中用户指定文件后，先选择另一局域网的集控存储设备，再选择另一局域网内的用户名，并指定共享权限后，把通过专用数据安全通道安全的共享给另一局域网的被选择用户；

C.另一局域网的被选择用户登录自己网内的集控存储设备，通过专用数据安全通道，安全的跨网访问共享数据。

13.一种如权利要求9-11中任一所述的局域网数据安全防护系统，其特征在于：

所述系统具备用户间消息通信模块，用户通过消息通信模块进行自动的共享通知、即时通信和非在线留言，并可阅读与回复。

14.一种如权利要求8-11中任一所述的局域网数据安全防护系统，其特征在于：

所述系统具备日志记录模块，日志记录模块记录系统中数据全生命周期的日志，及usbkey中脱离系统的可回收的日志记录。