CN109190390A - 一种对复制粘贴网站敏感信息行为的截屏取证方法及装置 - Google Patents

Abstract

本发明提供了一种对复制粘贴网站敏感信息行为的截屏取证方法，所述方法包括：监控终端访问指定网站的行为；当存在复制粘贴网页敏感信息的行为时，记录并保存所述行为的审计信息为本地文本文件；同时，截屏所述行为并保存为加密的本地图片文件，所述图片文件中嵌入了含有所述终端信息的水印；上传所述文本文件和所述图片文件至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。通过本方法，可以对复制粘贴行为可能存在的数据泄露风险进行及时排查提供依据，避免网站上的敏感数据由于复制粘贴而导致泄露。

Description

一种对复制粘贴网站敏感信息行为的截屏取证方法及装置

技术领域

本发明涉及信息安全领域，尤其涉及到一种对复制粘贴网站敏感信息行为的截屏取证方法及装置。

背景技术

随着信息时代的全面到来，无论是政府部门还是企事业单位，计算机、网络设备已然成为工作中不可或缺的工具，在此基础上一并产生了大量的应用系统和网站资源，协助办公人员提高作业效率和管理大规模的文件数据。但是近年来，各行业内数据泄露的案例屡屡发生，如公安行业民警利用职权查询或倒卖公民个人信息，如银行业内部员工泄露客户账户信息，如医疗行业管理人员恶意查询病人档案等，这些内部数据泄露行为给工作单位和被泄露信息的对象带来严重的损害。

现有防止数据泄露的方法包括文件加密、权限保护、移动存储介质管理、打印扫描、操作日志审计、数据库审计等手段，这些技术手段或是在数据存储中防泄露，或是在数据传输中防泄露，或是在数据使用中防泄露。但事实上，存在网站访问者先复制网站敏感内容信息，再粘贴该信息到某个文件中，进而将该文件拷贝或传输出去，而目前对网页中的复制粘贴操作还没有一种很好的实时监控手段，无法进行风险评估和截屏取证，使得网络管理者难以及时发现内网中存在这类型行为的终端设备，也没有直观的取证图片记录发生数据泄露的行为，使得在数据泄露发生后，管理人员需要花费更多的成本从历史操作日志或其他记录中进行排查。

因此，本发明提供一种对复制粘贴网站敏感信息行为的自动截屏取证方法及装置，可以给管理人员对复制粘贴行为可能存在的数据泄露风险进行及时排查提供依据，避免网站内敏感数据由于复制粘贴导致数据泄露。

发明内容

本发明要解决的技术问题是提供一种能够实时采集并监控终端访问网站时存在复制粘贴含有敏感信息的行为，并对所述复制粘贴行为进行自动截屏形成取证图片，将审计信息和截屏图片保存至数据库，检索统计数据库中终端复制粘贴次数，形成预警信息。

为了解决上述技术问题，本发明采用一种对复制粘贴网站敏感信息行为的截屏取证方法，所述方法包括：

监控终端访问指定网站的行为；

当存在复制粘贴网页敏感信息的行为时，进行记录并保存所述行为的审计信息为本地文本文件；

同时，截屏所述行为并保存为加密的本地图片文件，所述图片文件中嵌入了含有所述终端信息的水印；

上传所述文本文件和所述图片文件至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。

进一步地，在将所述图片文件解密并与所述文本文件一起存入数据库之后，可检索统计所述数据库中的终端复制粘贴行为次数，并对所有终端按复制粘贴行为的次数进行排序，形成预警信息。

进一步地，在所述监控终端访问指定网站的行为步骤之前，还包括：

（1）配置指定网站，所述指定网站是指需要采集复制粘贴行为的网站，具体包括配置网站URL信息以及URL级别目录，所述URL信息包括域名、IP以及端口号；

（2）配置敏感信息的判定规则，所述判定规则包括模糊匹配、正则表达式匹配和语义识别匹配；

（3）配置所述保存在本地的图片文件格式。

进一步地，还可以配置时间范围，所述时间范围包括所述文本文件和所述图片文件上传至监控服务器的时间范围，以及所述检索统计数据库中的终端复制粘贴行为次数的时间范围。

进一步地，所述审计信息包括复制审计信息和粘贴审计信息，具体包括终端IP、MAC地址、网站URL、复制信息的时间、粘贴信息的时间以及粘贴信息的文件进程名。

另外，本发明还提供了一种对复制粘贴网站敏感信息行为的截屏取证装置，所述装置包括：

监控模块，用于监控终端访问指定网站的行为，判断是否存在复制粘贴网页敏感信息的行为，若存在，则记录并保存所述行为的审计信息为本地文本文件，并启动截屏模块；

截屏模块，用于截屏复制粘贴含有敏感信息的行为，保存为加密的本地图片文件，并为所述图片嵌入含有所述终端信息的水印；

入库模块，用于将所述本地文本文件和图片文件发送至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。

进一步地，所述装置还包括检索预警模块，用于检索统计所述数据库中的终端复制粘贴行为次数，并对所有终端按复制粘贴行为的次数进行排序，形成预警信息。

进一步地，所述装置还包括配置模块，

（1）用于配置指定网站，所述指定网站是指需要采集复制粘贴行为的网站，具体包括配置网站URL信息以及URL级别目录，所述URL信息包括域名、IP以及端口号；

（2）用于配置敏感信息的判定规则，所述判定规则包括模糊匹配、正则表达式匹配和语义识别匹配；

（3）用于配置所述保存在本地的图片文件格式。

进一步地，所述配置模块还用于配置时间范围，所述时间范围包括所述文本文件和所述图片文件上传至监控服务器的时间范围，以及所述检索统计数据库中的终端复制粘贴行为次数的时间范围。

进一步地，所述审计信息包括复制审计信息和粘贴审计信息，具体包括终端IP、MAC地址、网站URL、复制信息的时间、粘贴信息的时间以及粘贴信息的文件进程名。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种对复制粘贴网站敏感信息行为的截屏取证方法流程图；

图2为本发明实施例提供的一种对复制粘贴网站敏感信息行为的截屏取证方法流程图；

图3为本发明提供的一种对复制粘贴网站敏感信息行为的截屏取证装置结构示意图；

图4为本发明提供的另一种对复制粘贴网站敏感信息行为的截屏取证装置结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，需要指出的是，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供的一种对复制粘贴网站敏感信息行为的截屏取证方法流程图，如图1所示，所述方法包括如下步骤：

步骤S101，监控终端访问指定网站的行为；

上述网站通过浏览器打开，所述浏览器包括IE、Firefox、Chrome或以这些浏览器为内核的其他浏览器，网站访问协议包括http和https两种。

其中所述指定网站是指用户配置需要监控的网站，具体通过配置网站URL信息以及目录级别；所述URL信息包括但不限于域名、IP以及端口号，所配置的目录及其下级目录网页页面的复制粘贴行为会被监控审计，其上级目录则不被监控审计。例如某网站A，其域名为https://www.aaa.com，网站A包括2个二级目录，分别为https://www.aaa.com/a1，https://www.aaa.com/a2。

现需要对https://www.aaa.com/a1及该目录下的下级目录所有页面进行监控审计，则在配置文件中，只需将https://www.aaa.com/a1配置进去。与此同时，网站A本身https://www.aaa.com，另一个二级目录https://www.aaa.com/a2及该目录下的下级目录所有页面均不被监控。

步骤S102，当存在复制粘贴含有敏感信息的行为时，进行记录并保存所述行为的审计信息为本地文本文件；

其中，所述敏感信息的判定规则包括模糊匹配、正则表达式匹配和语义识别匹配。若未配置任何判定信息，则表示网站页面内所有复制粘贴的内容均为敏感信息，都将进行审计和截屏。

配置模糊匹配规则，如*专利*，则只要监控到网站页面内出现复制粘贴含有“专利”字样的内容时，即判断所复制粘贴的信息属于敏感信息；

配置正则表达式匹配规则，如配置身份证号码，((1[1-5])|(2[1-3])|(3[1-7])|(4[1-6])|(5[0-4])|(6[1-5])|71|(8[12])|91)\d{4}((19\d{2}(0[13-9]|1[012])(0[1-9]|[12]\d|30))|(19\d{2}(0[13578]|1[02])31)|(19\d{2}02(0[1-9]|1\d|2[0-8]))|(19([13579][26]|[2468][048]|0[48])0229))\d{3}(\d|X|x)，则只要监控到网站页面内出现复制粘贴包含所配置身份证的内容时，则判断所复制粘贴的信息属于敏感信息；

配置语义识别匹配规则，如身份证、手机、电话、姓名，则只要监控到网站页面内出现复制粘贴包含与人相关的信息内容时，如所复制粘贴的内容中出现人名如“刘二”，则判断所复制粘贴的信息属于敏感信息。

需要说明的是，上述列举只是举例说明，并不是限定本发明，而是为了更容易理解本技术方案。

此外，所述审计信息包括复制审计信息和粘贴审计信息，具体包括：终端IP、MAC地址、网站URL、复制信息的时间、粘贴信息的时间以及粘贴信息的文件进程名。在采集时会对其内容通过计算形成唯一标识，如计算内容的MD5值，因此可以筛选出内容相同的复制审计信息和粘贴审计信息，而不用保存内容原始信息，从而避免重复取证。

步骤S103，截屏所述行为并保存为加密的本地图片文件，所述图片中嵌入了含有所述终端信息的水印；

所述保存的图片文件格式可以配置，如.jpg格式或.png格式，方便在图片存储大小和图片精度上做选取，且保存在本地的图片文件是被加密的，不能直接打开。所述终端嵌入水印中的信息包括但不限于终端计算机IP、MAC。

步骤S104，上传所述文本文件和所述图片文件至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。

在步骤S104中，还包括在所述文本和图片文件上传成功后，删除本地文件；且所述上传时间范围是可以配置的。为了快速的查询审计信息和图片取证，还可将所述审计信息和图片分别存储在不同的数据库中。

本发明还可通过检索统计数据库中的终端复制粘贴行为次数，并对所有终端按复制粘贴行为的次数进行排序，形成预警信息。

为了进一步的说明本发明的技术方案，如图2所示，为本发明实施例提供的一种对复制粘贴网站敏感信息行为的截屏取证方法流程图，所述方法包括以下步骤：

步骤S201，配置网站URL信息以及目录级别，敏感信息判定规则，截屏图片格式；比如，配置需要监控的网站URL域名为https://www.zhihu.com/question，此URL的上级域名为https://www.zhihu.com；敏感信息判定规则配置为模糊匹配，如配置了“*保密*”；配置保存在本地的截屏图片文件为.jpg格式。

除此之外，还可配置时间范围，所述时间范围包括所述文件上传至中间监控服务器的时间范围和所述检索统计数据库中终端复制粘贴次数的时间范围。通过配置上传的时间范围可以避免所有终端计算机同时上传数据造成网络堵塞或中间件监控服务器资源超负荷，减轻网络压力和中间件监控服务器压力；配置检索统计的时间范围，可以根据用户的需求来设置需要某个时间段内的复制粘贴敏感信息的终端，从而可以形成更精确的预警信息。

步骤S202，监控到终端访问指定网站并有复制粘贴的行为时，根据所配置的敏感信息判定规则判断所述复制粘贴的内容是否属于敏感信息；若属于敏感信息，则进入步骤S203，反之，不属于所配置规则的敏感信息，则不进行任何操作。

本装置实时采集并监控终端打开网站的行为，比如用户打开知乎https://www.zhihu.com，此时还不会监控，但一旦打开了https://www.zhihu.com/question，则开启监控，如果是打开了https://www.zhihu.com的另一个下级网站，则也不会开启监控，如https://www.zhihu.com/explore。进一步地，当在https://www.zhihu.com/question页面内存在“保密”，而此时如果存在复制粘贴行为，则将会进行下一个步骤S203。

步骤S203，记录并保存所述复制粘贴行为的审计信息为本地文本文件，同时将所述行为进行截屏并根据所配置的图片格式保存为加密的图片文件；

步骤S204，将所述本地文件和所述图片文件上传至监控服务器；是否上传成功，若成功，则进入步骤S205，反之则继续步骤S204；

步骤S205，将本地文本和图片文件分别上传至数据库Elasticsearch和Hbase，并删除本地文件；

步骤S206，检索统计数据库中的终端复制粘贴行为的次数，对所有终端按复制粘贴行为的次数进行排序，形成预警信息。

所述预警信息可以图表形式展示，可导出到本地表格文件，也可提供给其他平台作为基础数据展示。

本发明提供了一种对复制粘贴网站敏感信息行为的自动截屏取证装置，如图3所示，所示装置包括：

监控模块11，用于监控终端访问指定网站的行为，判断是否存在复制粘贴网页敏感信息的行为，若存在，则记录并保存所述行为的审计信息为本地文本文件，并启动截屏模块；

截屏模块12，用于截屏复制粘贴含有敏感信息的行为，保存为加密的本地图片文件，并为所述图片嵌入含有所述终端信息的水印；

入库模块13，用于将所述本地文本文件和图片文件发送至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。

所述装置还包括检索预警模块和配置模块，如图4所示，

检索预警模块14，用于检索统计数据库中的终端复制粘贴行为的次数并对所述终端复制粘贴行为的次数排序，形成预警信息。

配置模块15，包括：

（1）用于配置指定网站，所述指定网站是指需要采集复制粘贴行为的网站，具体包括配置网站URL信息以及URL级别目录，所述URL信息包括域名、IP以及端口号；

（2）用于配置敏感信息的判定规则，所述判定规则包括模糊匹配、正则表达式匹配和语义识别匹配；

（3）用于配置所述保存在本地的图片文件格式。

所述配置模块15还包括用于配置时间范围，所述时间范围包括所述文件上传至中间监控服务器的时间范围，以及所述检索统计数据库中的终端复制粘贴行为次数的时间范围。

综上所述，通过本发明的方法及装置能够实时采集监控终端访问网站时存在复制粘贴含有敏感信息的行为，并对所述复制粘贴行为进行自动截屏形成取证图片，将审计信息和截屏图片保存至数据库，检索统计数据库中终端复制粘贴次数，形成预警信息。可以给管理人员对复制粘贴行为可能存在的数据泄露风险进行及时排查提供依据，避免网站上的敏感数据由于复制粘贴而导致泄露。

Claims (10)

1.一种对复制粘贴网站敏感信息行为的截屏取证方法，其特征在于，所述方法包括：

监控终端访问指定网站的行为；

当存在复制粘贴网页敏感信息的行为时，进行记录并保存所述行为的审计信息为本地文本文件；

同时，截屏所述行为并保存为加密的本地图片文件，所述图片文件中嵌入了含有所述终端信息的水印；

上传所述文本文件和所述图片文件至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。

2.如权利要求1所述的自动截屏取证方法，其特征还在于，在将所述图片文件解密并与所述文本文件一起存入数据库之后，可检索统计所述数据库中的终端复制粘贴行为次数，并对所有终端按复制粘贴行为的次数进行排序，形成预警信息。

3.如权利要求1所述的自动截屏取证方法，其特征还在于，在所述监控终端访问指定网站的行为步骤之前，还包括：

（1）配置指定网站，所述指定网站是指需要采集复制粘贴行为的网站，具体包括配置网站URL信息以及URL级别目录，所述URL信息包括域名、IP以及端口号；

（2）配置敏感信息的判定规则，所述判定规则包括模糊匹配、正则表达式匹配和语义识别匹配；

（3）配置所述保存在本地的图片文件格式。

4.如权利要求1或2所述的自动截屏取证方法，其特征在于，还可以配置时间范围，所述时间范围包括所述文本文件和所述图片文件上传至监控服务器的时间范围，以及所述检索统计数据库中的终端复制粘贴行为次数的时间范围。

5.如权利要求1所述的自动截屏取证的方法，其特征在于，所述审计信息包括复制审计信息和粘贴审计信息，具体包括终端IP、MAC地址、网站URL、复制信息的时间、粘贴信息的时间以及粘贴信息的文件进程名。

6.一种对复制粘贴网站敏感信息行为的截屏取证装置，其特征在于，所述装置包括：

监控模块，用于监控终端访问指定网站的行为，判断是否存在复制粘贴网页敏感信息的行为，若存在，则记录并保存所述行为的审计信息为本地文本文件，并启动截屏模块；

截屏模块，用于截屏复制粘贴含有敏感信息的行为，保存为加密的本地图片文件，并为所述图片嵌入含有所述终端信息的水印；

入库模块，用于将所述本地文本文件和图片文件发送至监控服务器，然后将所述图片文件解密并与所述文本文件一起存入数据库。

7.如权利要求6所述的自动截屏取证的装置，其特征在于，所述装置还包括检索预警模块，用于检索统计所述数据库中的终端复制粘贴行为次数，并对所有终端按复制粘贴行为的次数进行排序，形成预警信息。

8.如权利要求6所述的自动截屏取证的装置，其特征还在于，所述装置还包括配置模块，

（1）用于配置指定网站，所述指定网站是指需要采集复制粘贴行为的网站，具体包括配置网站URL信息以及URL级别目录，所述URL信息包括域名、IP以及端口号；

（2）用于配置敏感信息的判定规则，所述判定规则包括模糊匹配、正则表达式匹配和语义识别匹配；

（3）用于配置所述保存在本地的图片文件格式。

9.如权利要去8所述的自动截屏取证的装置，其特征在于，所述配置模块还用于配置时间范围，所述时间范围包括所述文本文件和所述图片文件上传至监控监控服务器的时间范围，以及所述检索统计数据库中的终端复制粘贴行为次数的时间范围。

10.如权利要求6所述的自动截屏取证的装置，其特征在于，所述审计信息包括复制审计信息和粘贴审计信息，具体包括终端IP、MAC地址、网站URL、复制信息的时间、粘贴信息的时间以及粘贴信息的文件进程名。