CN108304695A

CN108304695A - 面向文件外发的数据防泄漏控制方法、系统

Info

Publication number: CN108304695A
Application number: CN201810091803.0A
Authority: CN
Inventors: 刘立军; 蔡建; 汪楫人
Original assignee: Yun Yi Tiancheng (beijing) Safety Technology Development Co Ltd
Current assignee: Yun Yi Tiancheng (beijing) Safety Technology Development Co Ltd
Priority date: 2018-01-30
Filing date: 2018-01-30
Publication date: 2018-07-20

Abstract

本发明属于数据安全技术领域，提供了一种面向文件外发的数据防泄漏控制方法、系统。该方法包括获取应用程序请求，根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理，将加密后的目标文件写入磁盘，或加载解密后的目标文件。本发明面向文件外发的数据防泄漏控制方法、系统，能够防止数据泄漏，提高文件外发的安全性能。

Description

面向文件外发的数据防泄漏控制方法、系统

技术领域

本发明涉及数据安全技术领域，具体涉及一种面向文件外发的数据防泄漏控制方法、系统。

背景技术

外发文件通常采用加密的方式防止文件内容泄漏，但是，解密后的文件未能受到保护，仍有可能导致内容泄漏。

并且，以明文形式存储在U盘上的文件，任何人都可以方便的浏览，编辑，若U盘保管不善，机密文件的内容很容易被窃取、篡改。

另外，传统的文件加密方式总会改变用户的操作习惯，不能做到强制性加密。

如何防止数据泄漏，提高文件外发的安全性能，是本领域技术人员亟需解决的问题。

发明内容

针对现有技术中的缺陷，本发明提供了一种面向文件外发的数据防泄漏控制方法、系统，能够防止数据泄漏，提高文件外发的安全性能。

第一方面，本发明提供一种面向文件外发的数据防泄漏控制方法，该方法包括：获取应用程序请求。

根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理。

将加密后的目标文件写入磁盘，或加载解密后的目标文件。

进一步地，获取应用程序请求之前，该方法还包括：

获取文件系统驱动的注册信息。

根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理，包括：

根据应用程序请求，确定目标文件，并触发磁盘逻辑卷访问请求。

根据文件系统驱动的注册信息，识别磁盘逻辑卷访问请求。

根据识别出的磁盘逻辑卷访问请求，对目标文件进行加密或解密处理。

基于上述任意面向文件外发的数据防泄漏控制方法实施例，进一步地，根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理，包括：当应用程序请求为加密写操作IRP包时，则：获取加密密钥。

从加密写操作IRP包指定的地址中读取目标文件，目标文件为明文。

采用对称加密算法对目标文件进行加密。

当应用程序请求为读操作IRP包时，则：

判断目标文件是否为加密文件：若是，则对加密文件进行解密。

进一步地，获取加密密钥之前，该方法还包括：

针对每个文件，随机生成加密密钥，并保存至该文件的文件头。

采用非对称加密方式，对文件的文件头进行加密，并将私钥保存至目标服务器。

获取加密密钥，包括：

向目标服务器申请私钥。

根据私钥，确定加密密钥。

基于上述任意面向文件外发的数据防泄漏控制方法实施例，进一步地，该方法还包括：加载API函数。

采用自定义函数地址替换API函数地址，自定义函数地址，用于在应用程序执行时传输数据。

基于上述任意面向文件外发的数据防泄漏控制方法实施例，进一步地，将加密后的目标文件写入磁盘之前，该方法还包括：

按照磁盘格式，对内存进行区域划分。

根据应用程序请求，访问区域划分后的内存。

第二方面，本发明提供一种面向文件外发的数据防泄漏控制系统，该系统包括依次连接的I/O管理器、文件系统驱动、存储设备驱动和磁盘，I/O管理器用于获取应用程序请求。文件系统驱动用于根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理。存储设备驱动用于将加密后的目标文件写入磁盘，或使磁盘加载解密后的目标文件。

进一步地，本实施例面向文件外发的数据防泄漏控制系统还包括：服务器，服务器与文件系统驱动连接，服务器用于针对每个文件，随机生成加密密钥，并保存至该文件的文件头，采用非对称加密方式，对文件的文件头进行加密，并保存。

由上述技术方案可知，本实施例提供的面向文件外发的数据防泄漏控制方法、系统，综合运用多种技术，能够自动对未加密的目标文件进行加密，实现强制性加密，并且，只有在特定的环境中，才能够对已加密的目标文件进行解密，无需改变用户的操作习惯，防止数据泄漏，提高文件外发的安全性能。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。在所有附图中，类似的元件或部分一般由类似的附图标记标识。附图中，各元件或部分并不一定按照实际的比例绘制。

图1示出了本发明所提供的一种面向文件外发的数据防泄漏控制方法的方法流程图；

图2示出了本发明所提供的API HOOK技术的原理示意图；

图3示出了本发明所提供的一种面向文件外发的数据防泄漏控制系统的连接示意图；

图4示出了本发明所提供的透明文件加密的原理示意图。

具体实施方式

下面将结合附图对本发明技术方案的实施例进行详细的描述。以下实施例仅用于更加清楚地说明本发明的技术方案，因此只是作为示例，而不能以此来限制本发明的保护范围。

需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本发明所属领域技术人员所理解的通常意义。

本发明实施例提供的面向文件外发的数据防泄漏控制方法、系统，综合运用多种技术，对文件外发的全过程进行保护，最大限度地防止文件内容泄漏。

其中，本发明实施例提供的面向文件外发的数据防泄漏控制方法的核心技术为：基于文件系统的透明加解密技术、API HOOK的防篡改、防打印、防复制、防截屏技术和虚拟磁盘技术。

针对特定的应用程序，透明加解密技术确保每个外发文件不能以明文形式外发，外发文件必须使用特定的外发工具才能打开，同时，保持文件的原有格式不变。

外发工具首先利用内存创建虚拟的不可见的磁盘，然后解密文件释放到虚拟磁盘上，文件关闭，又以密文形式保存在原始文件目录中，整个过程处于全保护之中。

第一方面，本发明实施例所提供的一种面向文件外发的数据防泄漏控制方法，结合图1，该方法包括：

步骤S1，获取应用程序请求，如应用程序Open、Create、Read、Write和Close文件的请求。

步骤S2，根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理，实现透明加解密，如目标文件在U盘上是密文，在内存中是明文。

步骤S3，将加密后的目标文件写入磁盘，或加载解密后的目标文件。

由上述技术方案可知，本实施例提供的面向文件外发的数据防泄漏控制方法，能够自动对未加密的目标文件进行加密，实现强制性加密，并且，只有在特定的环境中，才能够自动对已加密的目标文件进行解密，无需改变用户的操作习惯，防止数据泄漏，提高文件外发的安全性能。

为了进一步提高本实施例面向文件外发的数据防泄漏控制方法的准确性，具体地，在获取应用程序请求之前，该方法还包括：

获取文件系统驱动的注册信息。文件系统驱动工作原理主要是依赖I/O管理器的，若I/O管理器预先取得文件系统驱动的注册信息，则能够有效识别磁盘逻辑卷访问请求。

根据文件系统驱动的注册信息，识别磁盘逻辑卷访问请求。

在此，本实施例面向文件外发的数据防泄漏控制方法，能够预先获取文件系统驱动的注册信息，并有效识别出磁盘逻辑卷访问请求，提高目标文件加密、解密操作的准确性。

具体地，在透明加解密执行方面，结合图4，根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理时，具体实现过程如下：

当应用程序请求为加密写操作IRP包时，则：获取加密密钥与文件加密标志。

采用对称加密算法对目标文件进行加密。向下层传递IRP包，将密文写入磁盘上，同时，将文件的相关信息记录到文件加密属性中。

若针对的应用程序并不是特定的应用程序，则不执行透明加解密处理。例如，针对Word文档会自动执行加解密过程，而对于画图板则不会执行自动加解密过程。

当应用程序请求为读操作IRP包时，则：

判断目标文件是否为加密文件：若是，则对加密文件进行解密，若否，则直接把文档数据向下提交。

在此，在内核态，本实施例面向文件外发的数据防泄漏控制方法能够执行加密、解密操作，无需用户参与，对用户来讲是透明的，以确保文件以密文形式外发，并且，外发文件在特定的外发工具中才能够打开，却保证文件格式不变。

具体地，本实施例面向文件外发的数据防泄漏控制方法还能够生成与保护加密密钥，即在获取加密密钥之前，该方法还包括：针对每个文件，随机生成加密密钥，并保存至该文件的文件头。

例如，伴随每个文件随机生成一组256位的加密密钥，保存在文件内容中。每个文件增加一个文件头，加密密钥保存在文件头中，并对加密密钥采取多重保护的方式。

首先，对存有加密密钥的文件头生成checksum，保存到文件头的固定位置，解密时必须保证checksum一致。

然后，对文件头采用2048位的非对称加密方式再加密，公钥保存在本地，私钥保存在认证服务器上，需要时，从服务器上获取。

获取加密密钥时，具体执行过程如下：

向目标服务器申请私钥。

根据私钥，确定加密密钥。

在此，本实施例面向文件外发的数据防泄漏控制方法能够为每个文件生成加密密钥，并且，采用多重方式对加密密钥进行保护，提高文件密钥的安全性能。

具体地，本实施例面向文件外发的数据防泄漏控制方法还能够采用APIHOOK原理，控制读写、打印、水印和屏幕复制等行为，结合图2，系统的API函数都封装在DLL中，在系统启动时DLL被加载，且只在内存中存在一次，即加载API函数。采用自定义函数地址替换API函数地址，自定义函数地址，用于在应用程序执行时传输数据，通过Hook系统的CreateFile，WriteFile，ReadFile，StartDoc，TextOut，BitBlt等，API就可以控制文件的读写，打印，水印，屏幕复制等行为。在此，应用程序执行时，就会先调用自定义函数，因而就能够改变API函数的被调用行为。

具体地，本实施例面向文件外发的数据防泄漏控制方法还能够采用磁盘原理，提高安全性能，即将加密后的目标文件写入磁盘之前，该方法还包括：在内核驱动程序中创建一个命名的设备对象，设备对象的类型设置为FILE_DEVICE_DISK，分配一块非分页内存，大小为512的整数倍。

按照磁盘格式，对内存进行区域划分，划分柱面数、磁道数、扇区数。

根据应用程序请求，访问区域划分后的内存。

在此，应用程序就可以像读取磁盘的方式访问这块内存，因为数据驻留在非分页内存，这种类型的内存不会把数据交换到磁盘上，所以安全性更高。

第二方面，本发明实施例所提供的一种面向文件外发的数据防泄漏控制系统，结合图3，该系统包括依次连接的I/O管理器1、文件系统驱动2、存储设备驱动3和磁盘4，I/O管理器1用于获取应用程序请求，文件系统驱动2是负责维护各种文件系统的磁盘4结构以及用户与底层非易失型存储介质之间的交互，具体用于根据应用程序请求，确定目标文件，并对目标文件进行加密或解密处理，存储设备驱动3用于将加密后的目标文件写入磁盘4，或使磁盘4加载解密后的目标文件。

由上述技术方案可知，本实施例提供的面向文件外发的数据防泄漏控制系统，能够自动对未加密的目标文件进行加密，实现强制性加密，并且，只有在特定的环境中，才能够对已加密的目标文件进行解密，无需改变用户的操作习惯，防止数据泄漏，提高文件外发的安全性能。

为了进一步提高本实施例面向文件外发的数据防泄漏控制系统的准确性，具体地，I/O管理器1获取文件系统驱动2的注册信息。文件系统驱动2工作原理主要是依赖I/O管理器1的，若I/O管理器1预先取得文件系统驱动2的注册信息，则能够有效识别磁盘逻辑卷访问请求。I/O管理器1具体用于：根据应用程序请求，确定目标文件，并触发磁盘逻辑卷访问请求。根据文件系统驱动2的注册信息，识别磁盘逻辑卷访问请求，并发送至文件系统驱动2。

文件系统驱动2具体用于：根据识别出的磁盘逻辑卷访问请求，对目标文件进行加密或解密处理。

当文件系统驱动2处理完之后会，将处理完的请求发送到底层的存储设备驱动3，通过存储设备驱动3将文件信息写到物理磁盘4上面，如图3所示。

在此，本实施例面向文件外发的数据防泄漏控制方法，能够预先获取文件系统驱动2的注册信息，并有效识别出磁盘逻辑卷访问请求，提高目标文件加密、解密操作的准确性。

具体地，在透明加解密执行方面，结合图4，文件系统驱动2具体用于：当应用程序请求为加密写操作IRP包时，则：获取加密密钥与文件加密标志。从加密写操作IRP包指定的地址中读取目标文件，目标文件为明文。采用对称加密算法对目标文件进行加密。向下层传递IRP包，将密文写入磁盘4上，同时，将文件的相关信息记录到文件加密属性中。

当应用程序请求为读操作IRP包时，则：判断目标文件是否为加密文件：若是，则对加密文件进行解密，若否，则直接把文档数据向下提交。

具体地，该系统还包括服务器，服务器与文件系统驱动2连接，服务器用于针对每个文件，随机生成加密密钥，并保存至该文件的文件头，采用非对称加密方式，对文件的文件头进行加密，并保存。

在此，本实施例面向文件外发的数据防泄漏控制系统能够为每个文件生成加密密钥，并且，采用多重方式对加密密钥进行保护，提高文件密钥的安全性能。

本发明的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims

1.一种面向文件外发的数据防泄漏控制方法，其特征在于，包括：

获取应用程序请求；

根据所述应用程序请求，确定目标文件，并对所述目标文件进行加密或解密处理；

将加密后的目标文件写入磁盘，或加载解密后的目标文件。

2.根据权利要求1所述面向文件外发的数据防泄漏控制方法，其特征在于，获取应用程序请求之前，该方法还包括：

获取文件系统驱动的注册信息；

根据所述应用程序请求，确定目标文件，并对所述目标文件进行加密或解密处理，包括：

根据所述应用程序请求，确定目标文件，并触发磁盘逻辑卷访问请求；

根据所述文件系统驱动的注册信息，识别所述磁盘逻辑卷访问请求；

根据识别出的磁盘逻辑卷访问请求，对所述目标文件进行加密或解密处理。

3.根据权利要求1所述面向文件外发的数据防泄漏控制方法，其特征在于，

当所述应用程序请求为加密写操作IRP包时，则：

获取加密密钥；

从所述加密写操作IRP包指定的地址中读取目标文件，所述目标文件为明文；

采用对称加密算法对所述目标文件进行加密；

当所述应用程序请求为读操作IRP包时，则：

判断目标文件是否为加密文件：

若是，则对所述加密文件进行解密。

4.根据权利要求3所述面向文件外发的数据防泄漏控制方法，其特征在于，获取加密密钥之前，该方法还包括：

针对每个文件，随机生成加密密钥，并保存至该文件的文件头；

采用非对称加密方式，对文件的文件头进行加密，并将私钥保存至目标服务器；

获取加密密钥，包括：

向所述目标服务器申请私钥；

根据所述私钥，确定所述加密密钥。

5.根据权利要求1所述面向文件外发的数据防泄漏控制方法，其特征在于，该方法还包括：

加载API函数；

采用自定义函数地址替换API函数地址，所述自定义函数地址，用于在应用程序执行时传输数据。

6.根据权利要求1所述面向文件外发的数据防泄漏控制方法，其特征在于，将加密后的目标文件写入磁盘之前，该方法还包括：

按照磁盘格式，对内存进行区域划分；

根据所述应用程序请求，访问区域划分后的内存。

7.一种面向文件外发的数据防泄漏控制系统，其特征在于，包括：

依次连接的I/O管理器、文件系统驱动、存储设备驱动和磁盘，

所述I/O管理器，用于获取应用程序请求；

所述文件系统驱动，用于根据所述应用程序请求，确定目标文件，并对所述目标文件进行加密或解密处理；

所述存储设备驱动，用于将加密后的目标文件写入磁盘，或使磁盘加载解密后的目标文件。

8.根据权利要求7所述面向文件外发的数据防泄漏控制系统，其特征在于，该系统还包括：服务器，与所述文件系统驱动连接，

所述服务器，用于针对每个文件，随机生成加密密钥，并保存至该文件的文件头，采用非对称加密方式，对文件的文件头进行加密，并保存。