CN105025000B - 一种面向虚拟桌面的数据访问内审方法及信息安全装置 - Google Patents

一种面向虚拟桌面的数据访问内审方法及信息安全装置 Download PDF

Info

Publication number
CN105025000B
CN105025000B CN201510298476.2A CN201510298476A CN105025000B CN 105025000 B CN105025000 B CN 105025000B CN 201510298476 A CN201510298476 A CN 201510298476A CN 105025000 B CN105025000 B CN 105025000B
Authority
CN
China
Prior art keywords
virtual desktop
image
review
user
comparison
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510298476.2A
Other languages
English (en)
Other versions
CN105025000A (zh
Inventor
李晓勇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
BEIJING PENGCHUANG TIANDI TECHNOLOGY CO LTD
Original Assignee
BEIJING PENGCHUANG TIANDI TECHNOLOGY CO LTD
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by BEIJING PENGCHUANG TIANDI TECHNOLOGY CO LTD filed Critical BEIJING PENGCHUANG TIANDI TECHNOLOGY CO LTD
Priority to CN201510298476.2A priority Critical patent/CN105025000B/zh
Publication of CN105025000A publication Critical patent/CN105025000A/zh
Application granted granted Critical
Publication of CN105025000B publication Critical patent/CN105025000B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/131—Protocols for games, networked simulations or virtual reality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/133—Protocols for remote procedure calls [RPC]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开了一种面向虚拟桌面的数据访问内审方法及信息安全装置，该内审方法包括以下步骤：虚拟桌面网关截获并分析用户终端的连接请求；虚拟桌面网关依据用户身份在提供的桌面服务中添加内审标记；虚拟桌面网关恢复具有内审标记的虚拟桌面连接。该装置能够有效防止终端操作人员从虚拟桌面服务器中窃取敏感数据，提高信息泄露事件发生后的事件追踪能力和精度。

Description

一种面向虚拟桌面的数据访问内审方法及信息安全装置
技术领域
本发明涉及信息安全技术领域，尤其涉及一种在虚拟桌面环境下控制数据流的装置。
背景技术
虚拟桌面技术是一种实现应用终端集中化的可行技术手段，通过虚拟桌面技术可以使原来分散的数据处理和存储集中化成为可能。在数据处理和存储实现集中化的同时，用户可以通过多种类的、多位置的访问手段来访问虚拟桌面中的数据。用户终端与虚拟桌面服务器之间依靠虚拟桌面协议进行通信。
在企业中应用虚拟桌面技术具有安全性、保密性的优点，但是终端使用人员的恶意窃取虚拟桌面内存储的隐私数据的行为却很难及时防御，尤其是使用“录屏”等手段实施的信息窃取行为很难被发现和事后追踪。因此需要设计方法，能够根据用户身份为其整个对虚拟桌面的数据访问过程添加内审标记，以便为事后的取证和追踪带来依据和便利。
发明内容
本发明解决的技术问题在于提出一种面向虚拟桌面的数据访问内审方法，提高虚拟桌面环境下的数据安全性。在虚拟桌面环境下，用户终端和虚拟桌面服务器之间，部署有相应的虚拟桌面网关，其中主要包括身份认证模块、图像处理模块和策略管理模块。
为了解决以上问题，一种面向虚拟桌面的数据访问内审方法，包括以下步骤：
虚拟桌面网关截获并分析用户终端的连接请求；
虚拟桌面网关依据用户身份为虚拟桌面服务添加内审标记;
虚拟桌面网关完成具有内审标记的虚拟桌面连接。
进一步，作为一种优选，为了降低应用的复杂性，用户终端从虚拟桌面服务器获取虚拟桌面服务的过程可以被分解成两个阶段：连接建立阶段和虚拟桌面图像交换阶段。
进一步，作为一种优选，所述虚拟桌面网关截获并分析用户终端的连接请求步骤进一步包括：在连接建立阶段，用户终端向虚拟桌面服务器发起连接请求时，请求中应包括详细的用户身份信息，包括用户的ID（用户名/证书/USB-Key等）、所使用终端的标识（主机名/IP地址/MAC地址等），而连接请求必定经由虚拟桌面网关发送给虚拟桌面服务器。
进一步，作为一种优选，所述虚拟桌面网关截获并分析用户终端的连接请求步骤进一步包括：对于虚拟桌面网关来说，用户终端向虚拟桌面服务器发出的连接请求中包含的所有身份信息均是可以被虚拟桌面网关的身份认证模块解析得到的。
进一步，作为一种优选，所述虚拟桌面网关依据用户身份为虚拟桌面服务添加内审标记步骤进一步包括：虚拟桌面网关的身份认证模块在连接建立阶段劫持（hijack）用户连接请求，即在用户终端申请建立连接时暂时挂起该连接请求，对请求进行解析，解析得到的用户身份信息和用户使用的终端身份信息后，将信息传递给图像处理模块，进入为虚拟桌面服务添加内审标记的过程，包括生成内审标记：由图像处理模块使用单向函数（如散列函数）计算出用户特征，将此特征作为该用户独有的内审标记；内审标记编码：通过策略管理模块读取预先定义的图像策略，使用策略中规定的图像编码算法和图像格式将特征编码为图像信息进行存储。最后完成连接请求，亦即完成连接建立阶段，开始虚拟桌面图像交换阶段。
进一步，作为一种优选，虚拟桌面网关完成具有内审标记的虚拟桌面连接的步骤进一步包括：当用户终端通过虚拟桌面网关向虚拟桌面服务器申请图像时，虚拟桌面服务器会向用户发送当前的虚拟桌面图像帧。而虚拟桌面网关的图像处理模块会首先暂时挂起该申请，当收到来自虚拟桌面服务器的准备发送给用户终端的原始虚拟桌面图像帧后，将内审标记图像植入其中，即将内审标记与虚拟桌面图像帧进行融合；最后图像处理模块恢复前述申请，将植入了与用户身份和终端身份绑定的内审标记后的虚拟桌面图像信息发送回用户终端。
进一步，作为一种优选，进一步包括：虚拟桌面网关应当保证在虚拟桌面图像传输过程中能够对每一帧虚拟桌面图像进行处理，以确保该方法无法被旁路或绕开。
进一步，作为一种优选，虚拟桌面网关完成具有内审标记的虚拟桌面连接的步骤包括，虚拟桌面的图像处理模块恢复之前挂起的来自于用户终端的服务申请，将植入了与用户身份和终端身份绑定的内审标记后的虚拟桌面图像信息发送回用户终端，完成此次虚拟桌面图像帧的请求过程。
在具体实施中，本发明提出了一种能有效防止数据被窃取并提高失泄密事件追踪能力的信息安全装置，该装置包括：
一个及以上的服务器，在服务器上实施硬件虚拟化技术，虚拟出多个虚拟机，所述虚拟机上部署虚拟桌面系统；
一个及以上的用户终端，用户在终端操作平台上操作，访问所述虚拟桌面系统，并发送数据交换的请求；
硬件网关，部署在所述虚拟桌面和操作平台间；
该硬件网关预定义一套内审标记策略；
内审标记策略是一组用于定义如何生成以及使用内审标记的规则，其中主要包含了以图像形式存储的内审标记的编码算法、储存格式、以及将内审标记植入虚拟桌面图像时所使用的的方式（包括显式植入即终端可见式植入以及隐式植入即终端不可见式植入）；
该硬件网关作为虚拟桌面服务的代理，截获并分析用户终端发向虚拟桌面服务器的连接请求，依据连接请求中的身份信息以及预定义的内审标记策略，生成内审标记图像；
该硬件网关作为虚拟桌面服务的代理，在虚拟桌面服务器响应用户终端的请求，向用户终端发送虚拟桌面图像时，会截获待发送的虚拟桌面图像，将之前生成的内审标记图像植入到虚拟桌面图像后，发送融合的图像帧。
本发明的有益效果在于，第一，内审标记由用户身份信息和用户当前使用的终端的身份信息综合计算得出，能够有效与当前用户形成绑定关系，增强了内审标记的有效性和实时性；第二，内审标记的图像编码在整个虚拟桌面会话过程中持续存在于有虚拟桌面服务器传送给用户终端的每一帧画面中，确保了内审方法不会出现纰漏；第三，内审标记的生成和植入均在虚拟桌面网关完成，整个过程对终端用户透明，无法被终端用户绕过，同时也保证了内审标记自身的完整性，综上，这种方法能够有效防止终端操作人员从虚拟桌面服务器中窃取敏感数据，提高信息泄露事件发生后的事件追踪能力和精度。
附图说明
当结合附图考虑时，通过参照下面的详细描述，能够更完整更好地理解本发明以及容易得知其中许多伴随的优点，但此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。
图1是本发明中虚拟桌面网关三个模块的协同工作示意。
图2是本发明中连接建立阶段的流程图。
图3是本发明中虚拟桌面图像传输阶段的流程图。
具体实施方式
以下参照图2、图3对本发明的实施例进行说明。
为使上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。
一种面向虚拟桌面的数据访问内审方法，包括以下步骤：
虚拟桌面网关截获并分析用户终端的连接请求； 虚拟桌面网关依据用户身份在提供的虚拟桌面服务中添加内审标记； 虚拟桌面网关恢复具有内审标记的虚拟桌面连接。
用户终端从虚拟桌面服务器申请服务的流程可以分为两个阶段，虚拟桌面连接建立阶段和虚拟桌面图像交换阶段。其中连接建立阶段主要完成用户终端和虚拟桌面服务器之间的连接和认证，虚拟桌面网关截获并分析用户终端的连接请求步骤主要在这个阶段内进行；虚拟桌面图像交换阶段主要完成虚拟桌面服务器把用户请求的虚拟桌面以图像的方式传输给用户终端，虚拟桌面服务器依据用户身份在提供的桌面服务中添加内审标记步骤主要在此阶段内进行。
如图1所示，在连接建立阶段，包括以下步骤：
S1、虚拟桌面网关的身份认证模块截获连接请求；
S2、虚拟桌面网关的身份认证模块解析用户身份信息；
S3、虚拟桌面网关的图像处理模块依据身份信息使用单向函数生成内审标记；
S4、虚拟桌面网关的策略管理模块读取内审标记策略，依据策略由虚拟桌面网关的图像处理模块将内审标记编码为图像；
S5、完成连接。
如图2所示，在虚拟桌面图像传输阶段，包括以下步骤：
S1、虚拟桌面网关的图像处理模块截获来自用户终端的图像传输请求；
S2、虚拟桌面网关的图像处理模块从虚拟桌面服务器获取原始虚拟桌面图像信息；
S3、虚拟桌面网关的图像处理模块获取内审标记图像信息；
S4、虚拟桌面网关的图像处理模块将原始虚拟桌面图像信息与内审标记图像信息融合；
S5、虚拟桌面网关的图像处理模块发送融合后的图像。
用户终端和虚拟桌面服务器之间通过虚拟桌面协议（如RDP、SPICE、ICA等）进行通信，本发明提出的一种面向虚拟桌面的数据访问内审方法需要虚拟桌面网关在用户终端和虚拟桌面服务器之间扮演协议代理中间人的角色。
在用户终端申请连接虚拟桌面服务器的处理阶段，虚拟桌面网关的身份认证会模块处理用户的连接请求。当用户从终端申请连接虚拟桌面服务器时，身份认证模块会暂时挂起该连接请求，并进入处理流程。首先，从请求中解析出用户的详细身份信息，包括用户自身的身份（用户名/USB-Key/证书等）以及所使用终端的身份（主机名/IP地址/MAC地址等）；然后，身份认证模块把获取的身份信息交给图像处理模块，图像处理模块会使用单向函数(例如MD5,SHA系列算法等)计算出与该用户身份所绑定的内审标记，即Taguser=H（Uid）；再然后，依据内审标记策略（由策略管理模块读取），图像处理模块使用图像编码算法(如空域算法,patchwork算法等)将内审标记转化为图像信息进行存储，即Encodeimgage（Taguser）；最后，结束处理，将用户请求完成。
在用户终端向虚拟桌面服务器请求虚拟桌面图像的阶段，虚拟桌面网关会作为代理向用户传回带有内审标记的虚拟桌面图像。流程为：当用户终端向虚拟桌面服务器请求一帧虚拟桌面图像时，虚拟桌面网关的图像处理模块将请求暂时挂起，然后从虚拟桌面服务器获取到相应的虚拟桌面图像帧，同时取出用户的内审标记图像信息，将内审标记图像植入到虚拟桌面图像帧中，即将图像进行融合后，形成新的图像，作为用户请求的一帧图像传回。
如上所述，对本发明的实施例进行了详细地说明，但是只要实质上没有脱离本发明的发明点及效果可以有很多的变形，这对本领域的技术人员来说是显而易见的。因此，这样的变形例也全部包含在本发明的保护范围之内。

Claims (10)

1.一种面向虚拟桌面的数据访问内审方法，其特征在于，包括以下步骤：
第一阶段,亦即虚拟桌面的连接建立阶段,包括以下步骤: 虚拟桌面网关截获并分析用户终端的连接请求, 虚拟桌面网关依据用户身份为虚拟桌面服务添加内审标记，完成用户终端和虚拟桌面服务器之间的连接；
第二阶段,亦即虚拟桌面的图像交换阶段,包括以下步骤:虚拟桌面服务器把用户请求的虚拟桌面以图像的方式传输给用户终端；
所述为虚拟桌面服务添加内审标记包括两个阶段，即内审标记的生成以及内审标记的编码；
其中，内审标记的生成指的是图像处理模块根据从身份认证模块解析得到的用户自身的身份以及用户所使用的终端身份，通过单向函数计算所得；
内审标记的编码则是由图像处理模块使用图像编码函数，将生成的内审标记编码为图像格式并存储。
2.根据权利要求1所述的一种面向虚拟桌面的数据访问内审方法，其特征在于，本方法应用于虚拟桌面服务，所述虚拟桌面服务包含两个阶段：虚拟桌面连接建立阶段和虚拟桌面图像交换阶段，其中虚拟桌面连接建立阶段主要完成用户终端与虚拟桌面服务器之间的相互认证与协商过程，当虚拟桌面连接正式建立后，会进入虚拟桌面图像交换阶段，即虚拟桌面服务器将虚拟桌面服务以图像的形式发送给用户终端。
3.根据权利要求1所述的一种面向虚拟桌面的数据访问内审方法，其特征在于，虚拟桌面用户终端与虚拟桌面服务器之间，具有一台虚拟桌面网关，虚拟桌面网关主要包括身份认证模块、图像处理模块和策略管理模块。
4.根据权利要求1所述的一种面向虚拟桌面的数据访问内审方法，其中虚拟桌面服务器截获并分析用户终端的连接请求步骤进一步包含：在虚拟桌面连接建立阶段，虚拟桌面网关的身份认证模块会对连接请求进行劫持（hijack），即在身份认证模块接收到从用户终端发来的连接请求时，并不立即完成，而是暂时挂起进行分析。
5.根据权利要求1所述的一种面向虚拟桌面的数据访问内审方法，其中虚拟桌面网关依据用户身份为虚拟桌面服务添加内审标记步骤进一步包括：虚拟桌面网关的图像处理模块根据从连接请求中解析得到的用户身份信息和当前终端的身份信息，生成相应的内审标记。
6.根据权利要求5所述的一种面向虚拟桌面的数据访问内审方法，其中：
所述终端身份是指主机名、IP地址、MAC地址等；
所述用户自身的身份是指用户名、USB-Key或证书等；
所述的内审标记编码为图像格式过程，其中图像的编码算法、编码格式等由策略管理模块读取预定义的内审标记策略所决定。
7.根据权利要求书6所述的一种面向虚拟桌面的数据访问内审方法，内审标记策略中主要包含了以图像形式存储的内审标记的编码算法、格式、以及植入的方式，植入的方式可采用显式或隐式。
8.根据权利要求书6所述的虚拟桌面网关依据用户身份在提供的桌面服务中添加内审标记步骤进一步包括：虚拟桌面服务器的图像处理模块将用户独有的内审标记信息以图像的形式编码存储后，完成所述连接建立阶段，进入在用户终端与虚拟桌面服务器交换图像的所述虚拟桌面图像交换阶段。
9.根据权利要求书1所述的虚拟桌面网关完成具有内审标记的虚拟桌面连接步骤进一步包括：在所述虚拟图像交换阶段，虚拟桌面服务器挂起从用户终端发来的每个即时图像请求，对每个即将传输给用户的虚拟桌面图像帧执行内审标记的植入，即将内审标记的图像与虚拟桌面图像帧进行融合，并最终将融合后的完整图像帧回传给终端用户以完成该次请求，保证了整个会话过程中用户终端的虚拟桌面图像中总保持有与其用户身份匹配的内审标记。
10.一种能有效防止数据被窃取并提高失泄密事件追踪能力的信息安全装置，该装置包括：
一个及以上的服务器，在服务器上实施硬件虚拟化技术，虚拟出多个虚拟机，所述虚拟机上部署虚拟桌面系统；
一个及以上的用户终端，用户在终端操作平台上操作，访问所述虚拟桌面系统，并发送数据交换的请求；
硬件网关，部署在所述虚拟桌面和操作平台间；
该硬件网关预定义一套内审标记策略；
该硬件网关作为虚拟桌面服务的代理，截获并分析用户终端发向虚拟桌面服务器的连接请求，依据连接请求中的身份信息以及预定义的内审标记策略，生成内审标记图像；
该硬件网关作为虚拟桌面服务的代理，在虚拟桌面服务器响应用户终端发送桌面图像的请求后，会先截获待发送给用户终端的虚拟桌面图像，并将之前生成的所述内审标记图像植入到所述虚拟桌面图像，发送融合的图像帧给用户终端。
CN201510298476.2A 2015-06-03 2015-06-03 一种面向虚拟桌面的数据访问内审方法及信息安全装置 Active CN105025000B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510298476.2A CN105025000B (zh) 2015-06-03 2015-06-03 一种面向虚拟桌面的数据访问内审方法及信息安全装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510298476.2A CN105025000B (zh) 2015-06-03 2015-06-03 一种面向虚拟桌面的数据访问内审方法及信息安全装置

Publications (2)

Publication Number Publication Date
CN105025000A CN105025000A (zh) 2015-11-04
CN105025000B true CN105025000B (zh) 2017-12-12

Family

ID=54414707

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510298476.2A Active CN105025000B (zh) 2015-06-03 2015-06-03 一种面向虚拟桌面的数据访问内审方法及信息安全装置

Country Status (1)

Country Link
CN (1) CN105025000B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105718823A (zh) * 2015-12-25 2016-06-29 中电科华云信息技术有限公司 密级标识嵌入云桌面显示的方法
CN107346380A (zh) * 2016-05-05 2017-11-14 北京北信源软件股份有限公司 一种基于rdp的数据防泄漏系统和方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102571773A (zh) * 2011-12-27 2012-07-11 浙江省电力公司 一种信息安全综合审计系统和方法
CN102820999A (zh) * 2012-05-11 2012-12-12 中华电信股份有限公司 云端虚拟桌面应用的网络服务等级与功能的管控系统与方法
CN103888302A (zh) * 2014-04-17 2014-06-25 德讯科技股份有限公司 一种基于vdp的网络安全审计监控系统及方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102571773A (zh) * 2011-12-27 2012-07-11 浙江省电力公司 一种信息安全综合审计系统和方法
CN102820999A (zh) * 2012-05-11 2012-12-12 中华电信股份有限公司 云端虚拟桌面应用的网络服务等级与功能的管控系统与方法
CN103888302A (zh) * 2014-04-17 2014-06-25 德讯科技股份有限公司 一种基于vdp的网络安全审计监控系统及方法

Also Published As

Publication number Publication date
CN105025000A (zh) 2015-11-04

Similar Documents

Publication Publication Date Title
Nieto et al. Digital witness: Safeguarding digital evidence by using secure architectures in personal devices
CN102833235B (zh) 身份认证管理装置
CN106713508B (zh) 一种基于云服务器的数据存取方法及系统
CN101237443B (zh) 管理协议中对用户进行认证的方法和系统
CN110380864B (zh) 人脸数据采集、验证的方法、设备及系统
CN108830109A (zh) 电子印章应用、客户端实现方法、系统及设备、存储介质
CN110958111A (zh) 一种基于区块链的电力移动终端身份认证机制
CN110912711B (zh) 一种基于电子公证技术的跨内外网域电子文书签署方法
CN107169364B (zh) 一种数据保全方法及相关系统
CN208092659U (zh) 基于增强现实技术的计算机实验室管理系统
CN104580553A (zh) 网络地址转换设备的识别方法和装置
CN109104726A (zh) 网络切片的认证方法及相应装置、系统和介质
CN104113598A (zh) 一种数据库三层审计的方法
CN107766430A (zh) 一种文件搜索方法及系统
CN111835755B (zh) 物联网设备和物联网业务系统的相互认证方法及其设备
CN109978479A (zh) 一种电子发票报销方法、装置、数据共享服务器及系统
CN101039181A (zh) 防止通用鉴权框架中服务功能实体受攻击的方法
CN105025000B (zh) 一种面向虚拟桌面的数据访问内审方法及信息安全装置
Badertscher et al. A constructive perspective on signcryption security
CN101436936A (zh) 一种基于dhcp协议的接入认证方法及系统
CN103051594A (zh) 一种标识网端到端安全建立的方法、网络侧设备及系统
CN106339623A (zh) 登录方法和装置
CN110198320A (zh) 一种加密信息传输方法
CN109815715A (zh) 一种数据加密方法和相关装置
CN116743850A (zh) 一种基于物联网平台的设备自发现系统及其实现方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant