CN110543775B - 一种基于超融合理念的数据安全防护方法及系统 - Google Patents

Abstract

本发明公开了一种基于超融合理念的数据安全防护方法及系统，本发明方法包括云桌面服务器收到登陆请求后进行身份认证，通过则启动云桌面虚拟机，云桌面虚拟机在登陆后禁用登陆用户对外设的写操作，隐藏本地磁盘，重定向桌面到网盘和启动资源管理器，将登陆用户集中加密存储在加密存储服务器上的网盘挂载到云桌面虚拟机中以实现对用户数据的加密存储功能，且并对登陆用户的数据输出操作进行审批审计。本发明能够为数据安全防护提供一体化的解决方案，提供基于挑战的身份认证机制、虚拟化桌面环境、多级授权文档流转审批、终端设备封控、数据集中加密存储等功能，能满足国内对数据安全方法的需求，具备全面防护、跨平台能力支持的特点。

Description

一种基于超融合理念的数据安全防护方法及系统

技术领域

本发明涉及数据安全防护技术领域，具体涉及一种基于超融合理念的数据安全防护方法及系统。

背景技术

数据安全防护技术在国外起步较早，发展至今已经有10多年的技术积累，国外数据安全防护的领导厂商在技术上相比国内厂商具有无可争议的优势，在产品的成熟性、可靠性、稳定性、解决方案的完整性上都领先于国内厂商。但国外厂商的产品经过几年的国内市场的推广，具有明显的“水土不服”现象，由于国外厂商所处的国情不一样，其采用的技术路线以内容识别、出口检测、涉密信息警告和日志审计为主的数据泄漏防护，对于那些处心积虑盗窃内部机密信息的内部人员，或者是满腹怨气拷贝重要资料的离职员工，甚至是把硬盘直接卸下偷走数据的情况，是无法满足需求的。

融合就是将两个或多个组件组合到一个单元中，组件可以是硬件或软件。就虚拟化和私有云而言，按照是否完全以虚拟化为中心，融合分为物理融合和超融合两种。超融合的架构是基于标准通用的硬件平台，通过软件定义实现计算、存储、网络融合，实现以虚拟化为中心的软件定义数据中心的技术架构。因此，根据市场需求，国内的多类型数据安全防护产品必将呈以下趋势发展：数据安全技术将进一步融合；移动互联、云计算的发展给数据安全防护带来了新的挑战；跨平台支持能力要求提高；为应对虚拟化技术而进行全新变革。

发明内容

本发明要解决的技术问题：针对现有技术的上述问题，提供一种基于超融合理念的数据安全防护方法及系统，本发明能够为数据安全防护提供一体化的解决方案，提供基于挑战的身份认证机制、虚拟化桌面环境、多级授权文档流转审批、终端设备封控、数据集中加密存储等功能，能满足国内对数据安全方法的需求，具备全面防护、跨平台能力支持的特点。

为了解决上述技术问题，本发明采用的技术方案为：

一种基于超融合理念的数据安全防护方法，实施步骤包括：

1）云桌面服务器收到云桌面客户端的登陆请求；

2）云桌面服务器针对云桌面客户端的登陆请求进行基于挑战的身份认证，如果认证通过则跳转执行下一步；否则返回认证失败的信息，结束并退出；

3）云桌面服务器启动登陆用户对应的云桌面虚拟机；

4）云桌面虚拟机在登陆后禁用登陆用户对外设的写操作，隐藏本地磁盘，重定向桌面到网盘和启动资源管理器，将登陆用户集中加密存储在加密存储服务器上的网盘挂载到云桌面虚拟机中以实现对用户数据的加密存储功能，且并对登陆用户的数据输出操作进行审批审计。

可选地，步骤2）中进行基于挑战的身份认证的步骤包括：

2.1）收到云桌面客户端的获取随机数请求，向云桌面客户端返回服务端随机数；

2.2）收到云桌面客户端发送的客户端签名结果以及客户端随机数，所述客户端签名结果为云桌面客户端根据服务端随机数、自身生成的客户端随机数以及密码摘要值组合成字符串再进行签名得到；

2.3）将客户端随机数、服务端随机数、保存在数据库中的密码摘要值进行签名得到服务端签名结果；

2.4）将服务端签名结果与客户端签名结果进行比对，相同则认证通过，否则认证失败。

可选地，步骤3）中的启动登陆用户对应的云桌面虚拟机具体是指从黄金镜像克隆云桌面虚拟机。

可选地，步骤4）中的外设具体是指通过云桌面外设重定向在云桌面虚拟机中产生的外设，所述外设包括USB存储设备、光驱设备、串口、并口设备中的至少一种；步骤4）中的禁用登陆用户对外设的写操作具体是指检测用户对外设的写操作，如果检测到用户对外设的写操作则禁止对应外设重定向到云桌面虚拟机中；否则，允许对应外设重定向到云桌面虚拟机中。

可选地，步骤4）中对登陆用户的数据输出操作进行审批审计的详细步骤包括：

步骤1，监测登陆用户的数据输出操作，所述数据输出操作包括U盘导出、光盘导出、文档共享、文档打印中的至少一种；如果监测到登陆用户的数据输出操作则执行下一步；

步骤2，从指定的数据存储位置拉取审批规则，所述审批规则中记录了当前数据输出操作中所需的审批用户信息；

步骤3，向审批用户发出审批申请；

步骤4，等待审批用户的审批结果，如果审批结果为通过则继续执行登陆用户的数据输出操作，如果审批结果为拒绝则拒绝登陆用户的数据输出操作；

步骤5，对步骤1～步骤4的过程进行详细审计。

可选地，步骤4）中实现对用户数据的加密存储功能具体是指采用文件密钥、用户保险箱密钥、用户公私钥对共三级密钥管理机制的方式来实现加密存储，且针对登陆用户的每一个文件产生一个随机值作为文件密钥以实现一文件一密钥；使用文件密钥作为加密文件的对称密钥，并将文件密钥使用用户保险箱密钥加密后保存在文件头中；将用户保险箱密钥使用用户的公钥加密后以文件形式保存在云桌面服务器上；用户公私钥保存在服务器数据库的用户信息中，使得只有拥有对应的用户私钥才能最终解密文件。

此外，本发明还提供一种基于超融合理念的数据安全防护系统，包括云桌面服务器和加密存储服务器，所述云桌面服务器被编程或配置以执行所述基于超融合理念的数据安全防护方法的步骤。

和现有技术相比，本发明具有下述优点：本发明能够为数据安全防护提供一体化的解决方案，提供基于挑战的身份认证机制、虚拟化桌面环境、多级授权文档流转审批、终端设备封控、数据集中加密存储等功能，能满足国内对数据安全方法的需求，具备全面防护、跨平台能力支持的特点。通过本发明的数据集中加密存储、本地磁盘隐藏技术，结合云桌面系统、桌面重定向技术可实现在不同的操作系统下使用文档数据，用户文档数据强制集中加密存储以及本地不留存的目标，方便普通用户的使用以及管理员对整个机构的文档数据进行管理，可有效防止文档数据的遗失；云桌面的外设控制以及网络控制，结合云桌面本身数据不留存功能，可有效防止文档数据通过外设、网络、硬盘等非法外泄，提供了一个整体的数据防护体系；设计的文档流转审批审计功能为文档在机构和外部之间流转提供了安全的解决方案，既保证了文档的安全又不丧失系统的可用、易用性。

附图说明

图1为本发明实施例方法的基本流程示意图。

图2为本发明实施例基于挑战的身份认证流程示意图。

图3为本发明实施例对登陆用户的数据输出操作进行审批审计的流程示意图。

图4为本发明实施例对用户数据的加密存储原理示意图。

图5为本发明实施例数据安全防护系统的拓扑结构示意图。

图6为本发明实施例数据安全防护系统的工作过程示意图。

具体实施方式

下文将以实际用户A在windows操作系统、linux操作系统、安卓设备登陆并执行文档共享、U盘导出操作为例，对本发明提出的基于超融合理念的数据安全防护方法及系统进行进一步详细说明。

如图1所示，本实施例基于超融合理念的数据安全防护方法的实施步骤包括：

1）云桌面服务器收到云桌面客户端的登陆请求；

2）云桌面服务器针对云桌面客户端的登陆请求进行基于挑战的身份认证，如果认证通过则跳转执行下一步；否则返回认证失败的信息，结束并退出；

3）云桌面服务器启动登陆用户对应的云桌面虚拟机；

4）云桌面虚拟机在登陆后禁用登陆用户对外设的写操作，将登陆用户集中加密存储在加密存储服务器上的网盘挂载到云桌面虚拟机中以实现对用户数据的加密存储功能，隐藏本地磁盘，重定向桌面到网盘和启动资源管理器，且并对登陆用户的数据输出操作进行审批审计。

管理员预先为每个用户分配一个网盘，网盘用于集中加密存储数据；管理员预先为每个用户创建一个云桌面账户，分配对应的云桌面虚拟机资源，云桌面虚拟机资源指为用户分配的虚拟操作系统环境；预先设置云桌面虚拟机系统资源管理器开机不启动，通过登陆用户登陆才启动云桌面客户端。云桌面客户端可运行于windows系统、linux系统、安卓系统上。

如图2所示，步骤2）中进行基于挑战的身份认证的步骤包括：

2.1）收到云桌面客户端（图2中云桌面客户端简称为云客户端，云桌面服务器简称为云服务端）的获取随机数请求，向云桌面客户端返回服务端随机数sc；

2.2）收到云桌面客户端发送的客户端签名结果sign以及客户端随机数cc，客户端签名结果为云桌面客户端根据服务端随机数sc、自身生成的客户端随机数cc以及密码摘要值pwdsha组合成字符串再进行签名得到；

2.3）将客户端随机数cc、服务端随机数sc、保存在数据库中的密码摘要值pwdsha进行签名得到服务端签名结果signsvr；

2.4）将服务端签名结果signsvr与客户端签名结果sign进行比对，相同则认证通过，否则认证失败。

本实施例中，步骤3）中的启动登陆用户对应的云桌面虚拟机具体是指从黄金镜像克隆云桌面虚拟机。由于云桌面虚机系统提供网盘给用户使用，数据存储在云桌面服务器上，当登陆用户重启或者关闭云桌面虚拟机系统后，该登陆用户的云桌面虚拟机系统除了网盘之外，其余数据均还原成黄金镜像克隆状态。

本实施例中，步骤4）中的外设具体是指通过云桌面外设重定向在云桌面虚拟机中产生的外设，所述外设包括USB存储设备、光驱设备、串口、并口设备中的至少一种；步骤4）中的禁用登陆用户对外设的写操作具体是指检测用户对外设的写操作，如果检测到用户对外设的写操作则禁止对应外设重定向到云桌面虚拟机中；否则，允许对应外设重定向到云桌面虚拟机中。

如图3所示，步骤4）中对登陆用户的数据输出操作进行审批审计的详细步骤包括：

步骤1，监测登陆用户的数据输出操作，所述数据输出操作包括U盘导出、光盘导出、文档共享、文档打印中的至少一种；如果监测到登陆用户的数据输出操作则执行下一步；

步骤2，从指定的数据存储位置拉取审批规则，所述审批规则中记录了当前数据输出操作中所需的审批用户信息；

步骤3，向审批用户发出审批申请；

步骤4，等待审批用户的审批结果，如果审批结果为通过则继续执行登陆用户的数据输出操作，如果审批结果为拒绝则拒绝登陆用户的数据输出操作；

步骤5，对步骤1～步骤4的过程进行详细审计。

本实施例中在云桌面服务器为U盘导出、光盘导出、文档共享、文档打印分别建立审批规则；审批规则描述了指定用户执行U盘导出、光盘导出、文档共享、文档打印需要经由谁审批的流程；用户登陆时会从服务器拉取上述审批规则，当其尝试执行U盘导出、光盘导出、文档共享和文档打印操作时，系统会强制执行相关审批申请；审批员收到请求时可以通过或拒绝该申请，只有审批员通过申请，用户才能执行上述文件导出和流转操作，云桌面服务器对上述过程都会进行详细审计。

如图4所示，步骤4）中实现对用户数据的加密存储功能具体是指采用文件密钥、用户保险箱密钥、用户公私钥对共三级密钥管理机制的方式来实现加密存储，且针对登陆用户的每一个文件产生一个随机值作为文件密钥以实现一文件一密钥；使用文件密钥作为加密文件的对称密钥，并将文件密钥使用用户保险箱密钥加密后保存在文件头中；将用户保险箱密钥使用用户的公钥加密后以文件形式保存在云桌面服务器上；用户公私钥保存在服务器数据库的用户信息中，使得只有拥有对应的用户私钥才能最终解密文件。本实施例通过上述方式，实现了非对称密钥技术和对称密钥技术的有效结合，既保证了系统的安全性，又提升了加解密文件的速度。如图4所示，并将文件密钥使用用户保险箱密钥加密后保存在文件头中，其中EFEK即为使用用户保险箱密钥加密后的文件加密密钥，由于针对登陆用户的每一个文件产生一个随机值作为文件密钥，因此文件A具有文件密钥A，文件B具有文件密钥B。

如图5所示，本实施例基于超融合理念的数据安全防护系统包括云桌面服务器和加密存储服务器，该云桌面服务器被编程或配置以执行本实施例前述基于超融合理念的数据安全防护方法的步骤。参见图5，本实施例还包括一台管理服务器，云桌面客户端则包括一台windows系统终端，一台linux系统终端，一台安卓设备。windows系统终端、linux系统终端、安卓设备和加密存储服务器、云桌面服务器、管理服务器之间使用网络进行连接，加密存储服务器用于为登陆用户A提供集中存储空间、cifs网盘服务和流转管理服务，登陆用户A使用3种终端设备登陆云桌面虚机，在虚拟机中通过cifs协议映射存储服务器分配的个人存储空间映射到本地。

如图6所示，本实施例基于超融合理念的数据安全防护系统的工作过程如下：

Step1、管理员预先为用户A在存储服务端分配一块用户A专属的集中加密存储空间；管理员预先为用户A在云桌面服务器上创建云桌面账户，分配用户A的虚机资源；预先设置虚机系统资源管理器开机不启动；用户A启动云桌面客户端，可在windows、linux、安卓上启动，输入用户名和密码登录云桌面客户端；跳转执行步骤Step2；

Step2、对传入密码、用户名与云桌面服务器进行基于挑战的身份认证，认证通过后；跳转执行步骤Step3；

Step3、云桌面虚机禁止USB存储设备、光驱介质、并口串口的写操作，所述禁止USB存储设备的写操作指允许用户读取USB存储设备，但禁止写入USB存储设备，所述禁止光驱设备的写操作指允许用户读取光驱中光盘内容，但禁止刻录光盘，所述禁止串口并口的写操作指只允许从串口并口读数据，不允许写数据；跳转执行步骤Step4；

Step4、用户运行数据存储在虚机中，虚机统一运行在云桌面服务器上，本地不保留用户数据，虚机在重启后，除了指定用户盘数据不还原之外，其他磁盘数据均还原，所述运行数据包括用户文档数据、应用程序数据；所述还原是指磁盘内容还原到修改之前的状态；跳转执行步骤Step5；

Step5、向资源管理器发出隐藏本地磁盘，重定向桌面到网盘和启动资源管理器的配置指令，所述隐藏本地磁盘指修改系统资源管理器实现只显示映射的网盘、USB存储设备和光驱设备，隐藏本地其他路径的图形化访问；所述重定向桌面到网盘指用户的桌面文件全部存放在网盘中，而不是原来的用户主目录特定位置；跳转执行步骤Step6；

Step6、提供U盘导出、光盘导出、文档共享、打印的审批审计功能，所述审批审计功能指上述文档的流转操作支持指定人员对其进行审批，只有审批通过，才能导出文件到U盘、光盘、发送文件给指定用户和打印文件；跳转执行步骤Step7；

Step7、用户在网盘中生成的文件，均集中加密存储在加密服务器上，所述集中加密存储功能指对存储在网盘上的文件进行文件系统级别的数据加密；所述数据加密采用三级加密密钥，确保文档数据安全。

综上所述，本实施例能够为数据安全防护提供一体化的解决方案，提供基于挑战的身份认证机制、虚拟化桌面环境、多级授权文档流转审批、终端设备封控、数据集中加密存储等功能，能满足国内对数据安全方法的需求，具备全面防护、跨平台能力支持的特点。通过本实施例的数据集中加密存储、本地磁盘隐藏技术，结合云桌面系统、桌面重定向技术可实现在不同的操作系统下使用文档数据，用户文档数据强制集中加密存储以及本地不留存的目标，方便普通用户的使用以及管理员对整个机构的文档数据进行管理，可有效防止文档数据的遗失；云桌面的外设控制以及网络控制，结合云桌面本身数据不留存功能，可有效防止文档数据通过外设、网络、硬盘等非法外泄，提供了一个整体的数据防护体系；设计的文档流转审批审计功能为文档在机构和外部之间流转提供了安全的解决方案，既保证了文档的安全又不丧失系统的可用、易用性。

以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (3)

1.一种基于超融合理念的数据安全防护方法，其特征在于实施步骤包括：

1)云桌面服务器收到云桌面客户端的登陆请求；

2)云桌面服务器针对云桌面客户端的登陆请求进行基于挑战的身份认证，如果认证通过则跳转执行下一步；否则返回认证失败的信息，结束并退出；

3)云桌面服务器启动登陆用户对应的云桌面虚拟机；

4)云桌面虚拟机在登陆后禁用登陆用户对外设的写操作，隐藏本地磁盘，重定向桌面到网盘和启动资源管理器，将登陆用户集中加密存储在加密存储服务器上的网盘挂载到云桌面虚拟机中以实现对用户数据的加密存储功能，且并对登陆用户的数据输出操作进行审批审计；

步骤2)中进行基于挑战的身份认证的步骤包括：

2.1)收到云桌面客户端的获取随机数请求，向云桌面客户端返回服务端随机数；

2.2)收到云桌面客户端发送的客户端签名结果以及客户端随机数，所述客户端签名结果为云桌面客户端根据服务端随机数、自身生成的客户端随机数以及密码摘要值组合成字符串再进行签名得到；

2.3)将客户端随机数、服务端随机数、保存在数据库中的密码摘要值进行签名得到服务端签名结果；

2.4)将服务端签名结果与客户端签名结果进行比对，相同则认证通过，否则认证失败；

步骤4)中的外设具体是指通过云桌面外设重定向在云桌面虚拟机中产生的外设，所述外设包括USB存储设备、光驱设备、串口、并口设备中的至少一种；步骤4)中的禁用登陆用户对外设的写操作具体是指检测用户对外设的写操作，如果检测到用户对外设的写操作则禁止对应外设重定向到云桌面虚拟机中；否则，允许对应外设重定向到云桌面虚拟机中；

步骤4)中实现对用户数据的加密存储功能具体是指采用文件密钥、用户保险箱密钥、用户公私钥对共三级密钥管理机制的方式来实现加密存储，且针对登陆用户的每一个文件产生一个随机值作为文件密钥以实现一文件一密钥；使用文件密钥作为加密文件的对称密钥，并将文件密钥使用用户保险箱密钥加密后保存在文件头中；将用户保险箱密钥使用用户的公钥加密后以文件形式保存在云桌面服务器上；用户公私钥保存在服务器数据库的用户信息中，使得只有拥有对应的用户私钥才能最终解密文件；

步骤4)中对登陆用户的数据输出操作进行审批审计的详细步骤包括：

步骤1，监测登陆用户的数据输出操作，所述数据输出操作包括U盘导出、光盘导出、文档共享、文档打印中的至少一种；如果监测到登陆用户的数据输出操作则执行下一步；

步骤2，从指定的数据存储位置拉取审批规则，所述审批规则中记录了当前数据输出操作中所需的审批用户信息；

步骤3，向审批用户发出审批申请；

步骤4，等待审批用户的审批结果，如果审批结果为通过则继续执行登陆用户的数据输出操作，如果审批结果为拒绝则拒绝登陆用户的数据输出操作；

步骤5，对步骤1～步骤4的过程进行详细审计。

2.根据权利要求1所述的基于超融合理念的数据安全防护方法，其特征在于，步骤3)中的启动登陆用户对应的云桌面虚拟机具体是指从黄金镜像克隆云桌面虚拟机。

3.一种基于超融合理念的数据安全防护系统，包括云桌面服务器和加密存储服务器，其特征在于，所述云桌面服务器被编程或配置以执行权利要求1和2中任意一项所述基于超融合理念的数据安全防护方法的步骤。

Images