CN104778415B - 一种基于计算机行为的数据防泄露系统及方法 - Google Patents

Abstract

本发明公开了一种基于计算机行为的数据防泄露系统，包括驱动模块、用户行为分析模块和数据判断模块。其中，当检测到计算机通过网络向外发送文件的事件发生时，驱动模块向用户行为分析模块发送触发信号；用户行为分析模块接收到触发信号后，检测是否有用户输入信息以及窗口信息，经过判断是由用户主动意愿发生的行为，则向数据类型判断模块发出信息；数据类型判断模块对外发文件进行判断，并将外发文件涉密的判断结果传送给驱动模块；驱动模块根据判断结果对向外发送文件的事件进行处理。本发明还公开了相应的数据防泄露方法。本发明针对计算机终端上的数据外发行为进行全面分析、归纳和总结，具有针对性强、误报率低，效率高等优点。

Description

一种基于计算机行为的数据防泄露系统及方法

技术领域

本发明涉及一种数据保护系统，尤其涉及一种基于计算机行为的数据防泄露系统，同时还涉及一种基于计算机行为的数据防泄露方法，属于信息安全技术领域。

背景技术

随着计算机应用越来越广泛，人们对于计算机的数据安全要求也不断提高。在用户的计算机上往往会有一些涉及个人隐私的文件，一旦计算机被非法植入木马，如果没有相应的个人隐私保护措施，则会导致个人隐私数据的泄露。其中，个人隐私数据泄露很大程度上是在数据外发过程中导致的。例如，防火墙可能会拦截一部分涉及用户隐私的数据，但是它主要是通过规则进行限定，针对性不强，还会导致计算机终端在数据外发过程中个人隐私数据泄露的问题。

授权公告号为CN102004886B的中国发明专利公开了一种基于操作系统虚拟化原理的数据防泄漏方法。它在计算机的宿主操作系统中增加虚拟隔离层和虚拟存储区；以虚拟隔离层及虚拟存储区为基础、结合虚拟桌面技术构建一到多个虚拟隔离环境；每个虚拟隔离环境中所储存的、包括文件和注册表在内的数据资源，均受到完善地隔离保护，能够确保环境中产生的数据不被泄漏到环境之外，从而防止主动或被动的数据泄露行为。但是，该方法需要增加虚拟系统，增加了系统运行时的系统开销；对于用户主动发送的机密数据，没有进行合理的分类处理，给用户造成不便。

申请公布号为CN103778377A的中国专利申请公开了一种终端及防止敏感信息泄露的方法，通过检测是否启动敏感信息或者敏感软件，而关闭日志生成功能，从而防止恶意程序对日志进行统计分析获取到敏感信息。由于需要设定敏感软件或者敏感词，对于用户主动发送的敏感数据会关闭日志生成功能，从而影响了后续的安全检查功能的实现。如果软件自动发送的敏感数据也无法进行判断，不能阻止敏感消息泄露，关闭日志生成功能反而对用户查找泄露敏感信息不利。

发明内容

针对现有技术的不足，本发明所要解决的首要技术问题在于提供一种基于计算机行为的数据防泄露系统。

本发明所要解决的另一技术问题在于提供一种基于计算机行为的数据防泄露方法。

为实现上述发明目的，本发明采用下述的技术方案：

一种基于计算机行为的数据防泄露系统，包括：驱动模块、用户行为分析模块和数据判断模块，其中，

所述驱动模块用于监听计算机，当检测到所述计算机通过网络向外发送文件的事件发生时，所述驱动模块向所述用户行为分析模块发送触发信号；

所述用户行为分析模块接收到所述触发信号后，检测是否有用户输入信息以及窗口信息，经过判断是由用户主动意愿发生的行为，则向所述数据类型判断模块发出信息；

所述数据类型判断模块对所述外发文件进行判断，并将所述外发文件涉密的判断结果传送给所述驱动模块；

所述驱动模块根据判断结果对向外发送文件的事件进行处理。

其中较优地，还包括用户展示模块；其中，

所述用户展示模块接收所述数据类型判断模块的信息，然后并将展示结果传送至所述驱动模块。

其中较优地，所述驱动模块设置在网络层，用来过滤计算机的数据外发情况。

一种基于计算机行为的数据防泄露方法，基于上述的数据防泄露系统实现，包括以下步骤：

(1)当监测到计算机向外界发送文件时，获取所述数据所在的外发文件的后缀名和路径，并发出触发信号；

(2)判断所述外发文件的后缀名和路径是否在数据库中，如果不存在于所述数据库中，转步骤(3)；如果存在于所述数据库中，转到步骤(4)；

(3)当前活动窗口所在进程是外发文件的进程，并且用户主动意愿，则判断所述外发文件的文件类型合法，允许所述进程进行联网发送文件；

(4)判断外发文件的动作是否为后台触发：如果不是后台触发，且所述外发文件的路径中与外发进程的单位名为同一单位，则所述外发文件的文件类型合法；如果所述外发文件的动作是后台触发，且所述外发文件的路径不包含外发进程的单位名，则所述外发文件的动作为疑似泄密行为，终止所述进程的联网动作。

其中较优地，所述步骤(1)中，所述外发文件的后缀名为doc、jpg、xls或pdf中的一种或多种。

其中较优地，所述步骤(2)中，所述数据库中包含个人隐私文件的后缀名以及不同安全级别的关键词。

其中较优地，所述步骤(3)中，判断是否为用户主动意愿的方法包括：

(21)检索外部输入设备的动作信息，若无动作信息，则提示用户；若有动作信息，则转到步骤(22)；

(22)检测是否有活动窗口消息，如果无活动窗口信息，则提示用户；如果有动作消息，则转到步骤(23)；

(23)判断所述外发文件是否由所述活动窗口实现的：如果不是，则阻止向外发送文件的行为；如果是，则为用户主动意愿发起的，允许向外发送文件。

其中较优地，所述步骤(3)中，判断是否为用户主动意愿的方法为：若某一个软件在每次向外发送文件之前，都需要用户进行确认操作，则该次外发行为判定为用户主动意愿；若某一个软件只在第一次向外发送文件的时候通知用户进行确认，后面的外发行为判定为非用户主动意愿。

其中较优地，所述步骤(4)中，在判断所述外发文件的路径中与外发进程的单位名为同一单位时，查询包含软件与其开发单位之间映射关系的数据库。

其中较优地，若外发文件与外发行为属于同一单位，则判定该外发行为是合法的，允许该外发行为继续操作；若外发文件与外发行为不属于同一单位，则判定该外发行为是非法的，拦截该外发行为。

与现有技术相比较，本发明针对计算机终端上的数据外发行为进行全面分析、归纳和总结，具有针对性强、误报率低、效率高等优点，可以有效防止计算机终端上个人隐私数据泄露的情况发生。

附图说明

图1是本发明的一个实施例中，基于计算机行为的数据防泄露系统的数据流向示意图；

图2是本发明的另外一实施例中，基于计算机行为的数据防泄露系统的数据流向示意图；

图3是本发明提供的一种基于计算机行为的数据防泄露方法的流程图。

具体实施方式

下面结合附图和具体实施例对本发明的技术内容作进一步的详细说明。

本发明首先提供了一种基于计算机行为的数据防泄露系统。如图1所示，在本发明的一个实施例中包括驱动模块、用户行为分析模块、数据判断模块和用户展示模块。其中，驱动模块对计算机进行监听，当检测到有计算机通过网络向外发送文件的事件发生时，驱动模块向用户行为分析模块发送驱动信号。此时，用户行为分析模块启动，开始检测用户的鼠标、键盘、触摸屏等是否有用户输入信息。如果用户有动作发生，则继续判断是何种动作，并且该动作是否在事件对应的窗口进程发生的，当条件都成立时，则判断该行为是由用户主动发出的。此时，用户行为分析模块向数据类型判断模块发出信号，当数据类型判断模块接收到该信号时，则对用户外传的文件进行判断：首先，提取所外传文件的后缀名，同时提取关键词，对后缀名与关键词与数据防泄露系统在本地的数据库进行比对，数据库中包括不同安全级别的关键词，例如秘密、机密、绝密等，并将比对结果传送给驱动模块。驱动模块根据比对结果进行判断，如果比对结果不是用户主动外发的机密文件，则阻止文件外发，从而保证文件的安全性。如果是用户主动外发的文件，对用户进行提示：该操作有可能泄密，请谨慎操作等。

如图2所示，在本发明的另外一个实施例中，不包括用户展示模块。在该实施例中，驱动模块对计算机进行监听，当检测到有计算机通过网络向外发送文件的事件发生时，驱动模块向用户行为分析模块发送驱动信号。用户行为分析模块开始检测用户的鼠标、键盘、触摸屏等是否有用户输入信息，如果用户有动作发生，则继续判断是何种动作，并且该动作是否在事件对应的窗口进程发生的。当条件都成立时，则判断该行为是由用户主动发出的，并将比对结果传送给驱动模块。驱动模块根据比对结果进行判断，如果比对结果不是用户主动外发的机密文件，则阻止文件外发，从而保证文件的安全性。如果是用户主动外发的文件，则直接允许操作，无需用户各种操作，极大提高了数据防泄露系统的效率。

本发明还提供了一种基于计算机行为的数据防泄露方法，基于上述的数据防泄露系统实现，如图3所示，包括以下步骤:

1.探测计算机是否向外界发送文件，如果是的话则获取该数据所在文件的后缀名和路径。

上述的数据防泄露系统监听计算机是否有向外界发送文件的事件发生。为此，本发明在网络层设置了一个驱动模块，用来过滤计算机的数据外发情况。如果驱动模块未监听到计算机有外发文件的事件，则继续监听；如果检测到有事件发生时，则发出触发信号。

2.分析计算机外发行为。

当收到触发信号时，数据防泄露系统继续对用户行为、以及向外界发送文件(以下简称外发文件)的类型进行判断，从而分析是否为用户主动发送文件。

首先，需要分析外发文件是否有可能涉及到用户隐私。一般情况下，通过可能涉及到用户隐私的文件的后缀名进行判断即可，后缀名包括但不限于doc、jpg、xls、pdf等，这些种类的文件都可能存在涉及用户隐私的数据，

如果是可能涉及用户隐私的文件，则需要进一步判断该外发行为是否属于用户的主动意愿。

其次，分析是否为用户主动意愿。用户主要通过鼠标、键盘或者触摸屏等进行操作，因此可以根据鼠标、键盘或者触摸屏等动作情况以及当前活动窗口的情况对用户行为进行评价。

在本发明的一个实施例中，设置用来检测鼠标、键盘事件的钩子(Hook)，用来判断当前活动窗口所在进程是否正在进行数据外发的操作，并且用户在活动窗口是否有鼠标、键盘或者触摸板的动作。如果监测到计算机当前的行为既有鼠标键盘消息又有活动窗口消息，并且所发送文件是由对应的活动窗口过程实现的，则认为该外发行为是用户主动意愿发起的。反之，则为非用户主动意愿发起的。

3.判断计算机外发行为是否合法。

如果计算机在用户不知情(即非用户主观意愿)的情况下将可能涉及用户隐私数据的文件通过网络向外传播，且这些文件确实涉及用户隐私，如果满足以上条件，将会拦截该次向外发送文件的行为并通知用户。

例如，某一个软件在每次向外发送文件之前，都让用户进行确认操作，本发明认为该次向外发送文件行为是用户知情的。如果某一个软件只是在第一次向外发送文件的时候通知用户进行确认，则在该次以后的向外发送文件的行为，本发明都会认为用户对此不知情。

通过上述判断原则，可以对外发文件的行为是否进行拦截进行判断，包括以下情况：

(A)当外发文件可能涉及用户隐私时，并且外发文件的行为是用户主动意愿，则不拦截该外发文件行为；

(B)当外发文件可能涉及用户隐私时，并且外发文件的行为为非用户主动意愿时，拦截该外发文件行为；

(C)当外发文件不可能涉及用户隐私时，并且外发文件的行为是用户主动意愿，则不拦截该外发文件行为；

(D)当外发文件不可能涉及用户隐私时，并且外发文件的行为是非用户主动意愿，则不拦截该外发文件行为。

4.分析外发文件与外发进程是否属于同一单位。

本发明建立相关软件与对应单位的数据库。该数据库包含计算机内的软件与其开发单位的映射关系。通过该数据库来判断软件与单位是否属于同一单位。

文件所在的全路径中会包括该发生外发行为的进程所在的单位名。在本发明的一个实施例中，通过有数据外发行为的进程，获取该进程资源中CompanyName字段和签名信息，以签名信息为主要判断依据，从而获得该进程对应的软件出品公司。

例如，检测到QQ软件有外发文件的行为，QQ软件进程的单位为Tencent，QQ软件的签名为Tencent Technology(Shenzhen)Company Limited。若外发文件的全路径中包含单位名“Tencent”，通过搜索数据库去匹配该单位的关键字，从而会判断外发文件和外发文件的进程为同一个单位。

如果外发文件与外发行为属于同一单位，则判定该外发行为是合法的，允许此外发行为；如果外发文件与外发行为不属于同一单位，则判定该外发行为是非法的，拦截该外发行为。

另外，判断外发文件与外发进程是否为同一单位，如果为同一单位，则不需要拦截，也不需要通知用户；如果不是同一单位，则需要进行拦截，并通知用户，由用户做出判断。

本发明针对计算机终端上的数据外发行为进行全面分析、归纳和总结，具有针对性强、误报率低，效率高等优点，可以有效防止计算机终端上个人隐私数据泄露的情况发生。

以上对本发明所提供的基于计算机行为的数据防泄露系统及方法进行了详细的说明。对本领域的一般技术人员而言，在不背离本发明实质精神的前提下对它所做的任何显而易见的改动，都将构成对本发明专利权的侵犯，将承担相应的法律责任。

Claims (9)

1.一种基于计算机行为的数据防泄露方法，基于数据防泄露系统实现，所述数据防泄露系统包括驱动模块、用户行为分析模块和数据判断模块，其中，

所述驱动模块用于监听计算机，当检测到所述计算机通过网络向外发送文件的事件发生时，所述驱动模块向所述用户行为分析模块发送触发信号；

所述用户行为分析模块接收到所述触发信号后，检测是否有用户输入信息以及窗口信息，经过判断是由用户主动意愿发生的行为，则向所述数据类型判断模块发出信息；

所述数据类型判断模块对所述外发文件进行判断，并将所述外发文件涉密的判断结果传送给所述驱动模块；

所述驱动模块根据判断结果对向外发送文件的事件进行处理；

其特征在于包括以下步骤：

(1)当监测到计算机向外界发送文件时，获取所述数据所在的外发文件的后缀名和路径，并发出触发信号；

(2)判断所述外发文件的后缀名和路径是否在数据库中，如果不存在于所述数据库中，转步骤(3)；如果存在于所述数据库中，转到步骤(4)；

(3)当前活动窗口所在进程是外发文件的进程，并且用户主动意愿，则判断所述外发文件的文件类型合法，允许所述进程进行联网发送文件；

(4)判断外发文件的动作是否为后台触发：如果不是后台触发，且所述外发文件的路径中与外发进程的单位名为同一单位，则所述外发文件的文件类型合法；如果所述外发文件的动作是后台触发，且所述外发文件的路径不包含外发进程的单位名，则所述外发文件的动作为疑似泄密行为，终止所述进程的联网动作。

2.如权利要求1所述的数据防泄露方法，其特征在于，

所述步骤(1)中，所述外发文件的后缀名为doc、jpg、xls或pdf中的一种或多种。

3.如权利要求1所述的数据防泄露方法，其特征在于，

所述步骤(2)中，所述数据库中包含个人隐私文件的后缀名以及不同安全级别的关键词。

4.如权利要求1所述的数据防泄露方法，其特征在于所述步骤(3)中，判断是否为用户主动意愿的方法包括如下步骤：

(21)检索外部输入设备的动作信息，若无动作信息，则提示用户；若有动作信息，则转到步骤(22)；

(22)检测是否有活动窗口消息，如果无活动窗口信息，则提示用户；如果有动作消息，则转到步骤(23)；

(23)判断所述外发文件是否由所述活动窗口实现的：如果不是，则阻止向外发送文件的行为；如果是，则为用户主动意愿发起的，允许向外发送文件。

5.如权利要求1所述的数据防泄露方法，其特征在于所述步骤(3)中，判断是否为用户主动意愿的方法为：

若某一个软件在每次向外发送文件之前，都需要用户进行确认操作，则该次外发行为判定为用户主动意愿；若某一个软件只在第一次向外发送文件的时候通知用户进行确认，后面的外发行为判定为非用户主动意愿。

6.如权利要求1所述的数据防泄露方法，其特征在于，

所述步骤(4)中，在判断所述外发文件的路径中与外发进程的单位名为同一单位时，查询包含软件与其开发单位之间映射关系的数据库。

7.如权利要求6所述的数据防泄露方法，其特征在于，

若外发文件与外发行为属于同一单位，则判定该外发行为是合法的，允许该外发行为继续操作；若外发文件与外发行为不属于同一单位，则判定该外发行为是非法的，拦截该外发行为。

8.如权利要求1所述的数据防泄露方法，其特征在于还包括用户展示模块；其中，

所述用户展示模块接收所述数据类型判断模块的信息，然后并将展示结果传送至所述驱动模块。

9.如权利要求1所述的数据防泄露方法，其特征在于，

所述驱动模块设置在网络层，用来过滤计算机的数据外发情况。