CN111191270A - 一种基于白名单防护的敏感文件访问控制方法 - Google Patents

一种基于白名单防护的敏感文件访问控制方法 Download PDF

Info

Publication number
CN111191270A
CN111191270A CN201910955200.5A CN201910955200A CN111191270A CN 111191270 A CN111191270 A CN 111191270A CN 201910955200 A CN201910955200 A CN 201910955200A CN 111191270 A CN111191270 A CN 111191270A
Authority
CN
China
Prior art keywords
file
sensitive
program
white list
protection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910955200.5A
Other languages
English (en)
Inventor
章维
邵腾飞
沈利斌
郭正飞
朱希成
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhejiang Supcon Technology Co Ltd
Original Assignee
Zhejiang Supcon Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhejiang Supcon Technology Co Ltd filed Critical Zhejiang Supcon Technology Co Ltd
Priority to CN201910955200.5A priority Critical patent/CN111191270A/zh
Publication of CN111191270A publication Critical patent/CN111191270A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于白名单防护的敏感文件访问控制方法。为了克服现有技术保护范围受到限制，无法有效支持文件保护的扩展的问题。本发明采用包括以下步骤：S1：得到敏感文件和敏感程序的唯一特征值；S2：使用关联配置软件将对应的敏感文件和敏感程序的唯一特征值对应配置；S3：应用层发出访问文件命令；S4：驱动管理层捕捉文件和程序的特征值；S5：驱动管理层判断文件与程序是否相互关联配置。同时保护了PE文件和非PE文件，增加了保护范围且保护文件扩展简单，保证了敏感文件范文的安全性和隐私性。

Description

一种基于白名单防护的敏感文件访问控制方法
技术领域
本发明涉及一种工控安全技术领域，尤其涉及一种基于白名单防护的敏感文件访问控制方法。
背景技术
白名单防护所针对的是可执行性程序的防护，而对于部分组态文件无法起到保护控制的作用。目前，对软件产品的保护一般采用保护可执行程序以及对一些文本文件进行加密的方法。该方法是指在对软件产品测试过程中一般只选择对想保护的文件进行开发保护，对某一对象实现特殊保护方式，单独的一对一模式。该方法不能对所有文件类型进行有效的保护，大多是只保护数据库或者某个配置文件，现场人员想要查看还需要对应的解密工具。并且无法添加配置后续想要保护的文件，保护限制太窄，无法有效支持多文件保护的扩展。
例如，一种在中国专利文献上公开的“一种敏感文件安全存储办法”，其公告号“CN105975877B”，包括以下步骤：S1、对文件进行数据分割；S2、分割后数据块的随机离散；S3、分割后数据块依据离散地址进行安全存储；S4、用户访问文件申请鉴权。该方法对保护对象实现特殊保护方式，采用固定保护模式，无法添加配置后续想要保护的文件，保护限制太窄，无法有效支持多文件保护的扩展。
发明内容
本发明主要解决现有技术保护范围受到限制，无法有效支持文件保护的扩展的问题；提供一种基于白名单防护的敏感文件访问控制方法，在基于PE防护的基础上通过配置敏感文件及敏感程序来保护非PE文件的安全访问，增加保护范围，文件保护扩展简单，保护敏感文件的安全访问和隐私性。
本发明的上述技术问题主要是通过下述技术方案得以解决的：
本发明包括以下步骤：
S1：得到敏感文件和敏感程序的唯一特征值；
S2：使用关联配置软件将对应的敏感文件和敏感程序的唯一特征值对应配置；
S3：应用层发出访问文件命令；
S4：驱动管理层捕捉文件和程序的特征值；
S5：驱动管理层判断文件与程序是否相互关联配置。
本发明包括配置方法和访问方法，步骤S1和步骤S2为配置方法，步骤S3、步骤S4和步骤S5为访问方法。在基于原有的白名单防护的基础上保护敏感文件，白名单防护只保护可执行文件，敏感文件防护保护非可执行文件，增加了保护范围。在配置方法中，得到文件和程序的特征值，使用关联配置软件将对应的敏感文件和敏感程序的特征值一一对应。关联配置软件为自主研发的主机安全卫士软件。在需要为敏感文件添加对应的敏感程序或者需要为敏感程序添加对应的敏感文件时，只需要在关联配置软件中添加对应关系的配置即可，文件保护扩展简单。通过敏感文件的访问方法，敏感文件只能通过对应配置的敏感程序访问，控制敏感文件的安全访问，增加了敏感文件访问的可控性，也增加了敏感文件访问的隐私性。
作为优选，所述的文件的特征值为文件的路径，程序的特征值为HASH值；通过文件过滤模型捕捉文件路径，通过HASH算法得到程序的HASH值。使用文件的路径作为文件的特征值，方便使用文件过滤模型捕捉。文件过滤模型为Minifilter。使用程序的HASH值作为程序的唯一特征值，HASH算法将任意长度的二进制值映射为固定长度的较小二进制值，方便储存，特征值唯一。使用HASH值能够有效避免其它可执行性程序因修改成同名或者同路径而访问该敏感文件。
作为优选，所述的配置的关系包括敏感文件和敏感程序的一对一配置、一对多配置、多对一配置、多对多配置。在关联配置软件中，能够选择敏感文件和敏感程序的配置关系，配置的关系包括一对一配置，一个敏感文件关联一个敏感程序，该敏感文件只能通过关联的敏感程序访问；一对多配置，一个敏感文件关联多个敏感程序，敏感程序的数量不限，该敏感文件能够用关联的多个敏感程序访问；多对一配置，多个敏感文件关联一个敏感程序，敏感文件的数量不限，该多个敏感文件仅能通过关联的敏感程序访问；多对多配置，多个敏感文件配置多个敏感程序，敏感文件和敏感程序的数量不限，该多个敏感文件均能使用关联的多个敏感程序访问。配置关系多样、灵活，方便添加关联文件和程序，方便文件保护的拓展。
作为优选，所述的敏感文件的路径、敏感程序的HASH值和配置关系储存数据库中，驱动管理层通过读取数据库中的数据写入内存表中。将敏感文件的路径和敏感程序的HASH值写入驱动管理层的内存表中，之后访问敏感文件时，只需要在内存表中查找是否存在该文件的路径和访问该文件的程序的HASH值以及配置关系即可。方便控制敏感程序对敏感文件的安全访问，查找方式简单。
作为优选，所述的骤S2包括以下步骤：
S21：关联配置软件通过PE检测判断文件是否为可执行文件，若是，则为白名单文件，不能进行配置，若否，则为敏感文件，进入步骤S22；
S22：关联配置软件将敏感文件和对应的敏感程序相互关联配置。
在关联配置时区分关联的文件是可执行文件或是非可执行文件，若是可执行文件，则为白名单文件，在原有的白名单防护的保护范围内，若为非可执行文件，则为敏感文件，可以进行敏感文件的配置。保证对敏感文件的防护不干扰白名单的防护，在对可执行文件防护的基础上再对非可执行文件进行防护，扩大了文件保护的范围。
作为优选，所述的步骤B1包括以下步骤：
S31：应用层发出访问文件命令；
S32：驱动管理层判断文件类型，是否是PE文件，若是，则为白名单文件，进入步骤B13，若否，则为敏感文件，进入步骤B2；
S33：执行白名单防护方案。
白名单保护方案是现有技术，现有就存在对可执行文件的防护。在访问一个文件时，先判断该文件是可执行文件或是非可执行文件，若是可执行文件，则为白名单文件，进行报名单防护；若是非可执行文件，则为敏感文件，进行敏感文件的防护。白名单防护和敏感文件防护互补，且互不干扰，扩大了文件保护的范围。
作为优选，所述的步骤S5包括以下步骤：
S51：驱动管理层在内存表中查找是否存在捕捉到的文件路径，若是，则进入步骤S52，若否，则访问失败；
S52：驱动管理层在内存表中查找是否存在关联所述文件的程序的HASH值，若是，则访问成功，若否，则访问失败。
在内存表中查找捕获的文件路径，在对应的配置关系中查找调用该文件的HASH值，匹配方式简单，流程便捷、精确。HASH值的选取有效避免其它可执行性程序因修改成同名或者同路径而访问该敏感文件，保证了敏感文件的安全访问和确保了敏感文件的隐私性。
作为优选，所述的白名单访问失败和敏感文件访问失败时，弹出的对话框内容不同。白名单访问和敏感文件访问失败时弹出的对话框内容不同，能区分是白名单拦截或是敏感文件拦截，方便用户区分和纠错更改配置，提高用户使用体验，
本发明的有益效果是：
1. 在基于原有的白名单防护可执行文件的基础上配置敏感文件防护，保护了非可执行文件，增加了保护范围。
2. 使用关联配置软件将对应的敏感文件的路径和敏感程序的HASH值对应关联匹配，保护文件拓展简单。
3.关联配置的关系包括一对一、多对一、一对多和多多对，配置关系多样灵活，方便保护文件的拓展。
4.敏感文件只能通过配置的敏感程序访问，保证了敏感文件访问的安全性和隐私性。
5.在配置时区分可执行文件和非可执行文件，保证了敏感文件保护与原有的白名单防护不冲突，保证了保护范围。
附图说明
图1是本发明的一种敏感文件访问控制流程图。
具体实施方式
下面通过实施例，并结合附图，对本发明的技术方案作进一步具体的说明。
实施例：
本实施例的一种基于白名单防护的敏感文件访问控制方法，包括了敏感文件的配置方法和敏感文件的访问方法。
如图1所示，基于白名单防护的敏感文件访问控制方法包括以下步骤：
S1：得到敏感文件和敏感程序的唯一特征值。
文件过滤模型为Minifilter。文件的特征值为文件的路径，程序的特征值为HASH值；通过Minifilter捕捉文件路径，通过HASH算法得到程序的HASH值。使用程序的HASH值作为程序的唯一特征值，HASH算法将任意长度的二进制值映射为固定长度的较小二进制值，方便储存，特征值唯一。使用HASH值能够有效避免其它可执行性程序因修改成同名或者同路径而访问该敏感文件。
S2：使用关联配置软件将对应的敏感文件和敏感程序的唯一特征值对应配置。
关联配置软件为自主研发的主机安全卫士软件。使用自主研发的主机安全卫士软件将敏感文件的路径和对应的敏感程序的HASH值对应关联配置。
S21：关联配置软件通过PE检测判断文件是否为可执行文件，若是，则为白名单文件，不能进行配置，若否，则为敏感文件，进入步骤S22。
在关联配置时区分关联的文件是可执行文件或是非可执行文件，若是可执行文件，则为白名单文件，在原有的白名单防护的保护范围内，若为非可执行文件，则为敏感文件，可以进行敏感文件的配置。保证对敏感文件的防护不干扰白名单的防护，在对可执行文件防护的基础上再对非可执行文件进行防护，扩大了文件保护的范围。
S22：关联配置软件将敏感文件和对应的敏感程序相互关联配置。
配置的关系包括敏感文件和敏感程序的一对一配置、一对多配置、多对一配置、多对多配置。在主机安全卫士软件中，能够选择敏感文件和敏感程序的配置关系，配置的关系包括一对一配置，一个敏感文件关联一个敏感程序，该敏感文件只能通过关联的敏感程序访问；一对多配置，一个敏感文件关联多个敏感程序，敏感程序的数量不限，该敏感文件能够用关联的多个敏感程序访问；多对一配置，多个敏感文件关联一个敏感程序，敏感文件的数量不限，该多个敏感文件仅能通过关联的敏感程序访问；多对多配置，多个敏感文件配置多个敏感程序，敏感文件和敏感程序的数量不限，该多个敏感文件均能使用关联的多个敏感程序访问。配置关系多样、灵活，方便添加关联文件和程序，方便文件保护的拓展。敏感文件的路径、敏感程序的HASH值和配置关系储存数据库中，驱动管理层通过读取数据库中的数据写入内存表中。
S3：应用层发出访问文件命令。
S31：应用层发出访问文件命令。
S32：驱动管理层判断文件类型，是否是PE文件，若是，则为白名单文件，进入步骤B13，若否，则为敏感文件，进入步骤B2。
在访问一个文件时，先判断该文件是可执行文件或是非可执行文件，若是可执行文件，则为白名单文件，进行报名单防护；若是非可执行文件，则为敏感文件，进行敏感文件的防护。白名单防护和敏感文件防护互补，且互不干扰，扩大了文件保护的范围。
S33：执行白名单防护方案。
白名单保护方案是现有技术，现有就存在对可执行文件的防护。若可执行文件拥有访问权限，则对可执行文件安全访问，若对可执行文件访问失败，则弹出白名单拦截对话框。保证了原有的可执行文件的安全访问。
S4：驱动管理层捕捉文件和程序的特征值。
驱动管理层通过文件过滤模型Miniflter捕捉文件的路径，通过HASH算法计算程序的HASH值。
S5：驱动管理层判断文件与程序是否相互关联配置
S51：驱动管理层在内存表中查找是否存在捕捉到的文件路径，若是，则进入步骤S52，若否，则访问失败，弹出敏感文件拦截对话框。
在内存表中查找捕获的文件路径，匹配方式简单，流程便捷、精确。
S52：驱动管理层在内存表中查找是否存在关联所述文件的程序的HASH值，若是，则访问成功，若否，则访问失败。
使用HASH算法计算访问该敏感文件的程序的HASH值，驱动管理层验证计算得到的程序的HASH值是否存在与敏感文件对应配置的内存表中，若是，则访问成功，若否，则访问失败，弹出敏感文件拦截对话框。在内存表中敏感文件对应的配置关系中查找调用该文件的HASH值，匹配方式简单，流程便捷、精确。HASH值的选取有效避免其它可执行性程序因修改成同名或者同路径而访问该敏感文件，保证了敏感文件的安全访问和确保了敏感文件的隐私性。
本发明在基于原有的白名单防护对可执行文件的保护的基础上，通过配置敏感文件及敏感程序，保护了非可执行文件，增加了保护范围。使用关联配置软件将对应的敏感文件的路径和敏感程序的HASH值对应关联匹配，保护文件拓展简单。关联配置的关系包括一对一、多对一、一对多和多多对，配置关系多样灵活，方便保护文件的拓展。敏感文件只能通过配置的敏感程序访问，保证了敏感文件访问的安全性和隐私性。在配置时区分可执行文件和非可执行文件，保证了敏感文件保护与原有的白名单防护不冲突，保证了保护范围。

Claims (8)

1.一种基于白名单防护的敏感文件访问控制方法，其特征在于，包括以下步骤：
S1：得到敏感文件和敏感程序的唯一特征值；
S2：使用关联配置软件将对应的敏感文件和敏感程序的唯一特征值对应配置；
S3：应用层发出访问文件命令；
S4：驱动管理层捕捉文件和程序的特征值；
S5：驱动管理层判断文件与程序是否相互关联配置。
2.根据权利要求1所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，所述的文件的特征值为文件的路径，程序的特征值为HASH值；通过文件过滤模型捕捉文件路径，通过HASH算法得到程序的HASH值。
3.根据权利要求2所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，配置的关系包括敏感文件和敏感程序的一对一配置、一对多配置、多对一配置、多对多配置。
4.根据权利要求2或3所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，所述的敏感文件的路径、敏感程序的HASH值和配置关系储存数据库中，驱动管理层通过读取数据库中的数据写入内存表中。
5.根据权利要求4所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，所述步骤S2包括以下步骤：
S21：关联配置软件通过PE检测判断文件是否为可执行文件，若是，则为白名单文件，不能进行配置，若否，则为敏感文件，进入步骤S22；
S22：关联配置软件将敏感文件和对应的敏感程序相互关联配置。
6.根据权利要求4所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，所述的步骤B1包括以下步骤：
S31：应用层发出访问文件命令；
S32：驱动管理层判断文件类型，是否是PE文件，若是，则为白名单文件，进入步骤B13，若否，则为敏感文件，进入步骤B2；
S33：执行白名单防护方案。
7.根据权利要求4所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，所述的步骤S5包括以下步骤：
S51：驱动管理层在内存表中查找是否存在捕捉到的文件路径，若是，则进入步骤S52，若否，则访问失败；
S52：驱动管理层在内存表中查找是否存在关联所述文件的程序的HASH值，若是，则访问成功，若否，则访问失败。
8.根据权利要求1所述的一种基于白名单防护的敏感文件访问控制方法，其特征在于，所述的白名单访问失败和敏感文件访问失败时，弹出的对话框内容不同。
CN201910955200.5A 2019-10-09 2019-10-09 一种基于白名单防护的敏感文件访问控制方法 Pending CN111191270A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910955200.5A CN111191270A (zh) 2019-10-09 2019-10-09 一种基于白名单防护的敏感文件访问控制方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910955200.5A CN111191270A (zh) 2019-10-09 2019-10-09 一种基于白名单防护的敏感文件访问控制方法

Publications (1)

Publication Number Publication Date
CN111191270A true CN111191270A (zh) 2020-05-22

Family

ID=70707181

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910955200.5A Pending CN111191270A (zh) 2019-10-09 2019-10-09 一种基于白名单防护的敏感文件访问控制方法

Country Status (1)

Country Link
CN (1) CN111191270A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111931178A (zh) * 2020-07-21 2020-11-13 贵州黔源电力股份有限公司 工业环境中基于白名单与文件特征码的主机保护方法及系统

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040123308A1 (en) * 2002-12-20 2004-06-24 Siemens Information And Communication Networks, Inc. Hybird of implicit and explicit linkage of windows dynamic link labraries
CN103001947A (zh) * 2012-11-09 2013-03-27 北京奇虎科技有限公司 一种程序处理方法和系统
CN103020526A (zh) * 2012-12-21 2013-04-03 北京奇虎科技有限公司 恶意程序主动拦截方法和装置及客户端设备
CN104850775A (zh) * 2014-02-14 2015-08-19 北京奇虎科技有限公司 一种应用程序安全性的鉴定方法和装置
CN105631317A (zh) * 2015-12-18 2016-06-01 浪潮电子信息产业股份有限公司 一种系统调用方法及装置
CN107480522A (zh) * 2017-08-14 2017-12-15 郑州云海信息技术有限公司 一种elf文件执行控制系统及方法
CN108959929A (zh) * 2018-07-23 2018-12-07 北京奇安信科技有限公司 程序文件处理方法及装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040123308A1 (en) * 2002-12-20 2004-06-24 Siemens Information And Communication Networks, Inc. Hybird of implicit and explicit linkage of windows dynamic link labraries
CN103001947A (zh) * 2012-11-09 2013-03-27 北京奇虎科技有限公司 一种程序处理方法和系统
CN103020526A (zh) * 2012-12-21 2013-04-03 北京奇虎科技有限公司 恶意程序主动拦截方法和装置及客户端设备
CN104850775A (zh) * 2014-02-14 2015-08-19 北京奇虎科技有限公司 一种应用程序安全性的鉴定方法和装置
CN105631317A (zh) * 2015-12-18 2016-06-01 浪潮电子信息产业股份有限公司 一种系统调用方法及装置
CN107480522A (zh) * 2017-08-14 2017-12-15 郑州云海信息技术有限公司 一种elf文件执行控制系统及方法
CN108959929A (zh) * 2018-07-23 2018-12-07 北京奇安信科技有限公司 程序文件处理方法及装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111931178A (zh) * 2020-07-21 2020-11-13 贵州黔源电力股份有限公司 工业环境中基于白名单与文件特征码的主机保护方法及系统

Similar Documents

Publication Publication Date Title
US9245140B2 (en) Secure data encryption in shared storage using namespaces
US20100058073A1 (en) Storage system, controller, and data protection method thereof
US20110093503A1 (en) Computer Hardware Identity Tracking Using Characteristic Parameter-Derived Data
AU2006205315B2 (en) Method and portable storage device for allocating secure area in insecure area
EP3779745A1 (en) Code pointer authentication for hardware flow control
US9678760B2 (en) Memory card and storage system having authentication program and method for operating thereof
CN107609027B (zh) 设置文件防删除标志位和防止误删除文件的方法及装置
US20130191636A1 (en) Storage device, host device, and information processing method
CN104063641A (zh) 硬盘安全访问控制方法和硬盘
US9262631B2 (en) Embedded device and control method thereof
CN107315973B (zh) 用于安全元数据修改的一般化验证方案
SG185640A1 (en) Method and system of secure computing environment having auditable control of data movement
US20100011221A1 (en) Secured storage device with two-stage symmetric-key algorithm
WO2010021269A1 (ja) 記憶装置、情報処理装置およびプログラム
CN111191270A (zh) 一种基于白名单防护的敏感文件访问控制方法
CN113505363B (zh) 通过软件方式实现存储空间防重放的方法和系统
CN104951707A (zh) 基于Android平台的敏感资源访问控制策略系统
CN104361280A (zh) 一种通过smi中断实现对usb存储设备进行可信认证的方法
CN108345804B (zh) 一种可信计算环境中的存储方法和装置
RU2467389C1 (ru) Способ защиты программно-информационного обеспечения от несанкционированного использования
CN110298175A (zh) 一种dll文件的处理方法及相关装置
CN105631310A (zh) 高效可信进程认证方案
CN112445705B (zh) 基于可信校验的软件运行系统、方法、装置和计算机设备
CN113127141B (zh) 一种容器系统管理方法、装置、终端设备及存储介质
US20160299854A1 (en) Techniques for preventing physical attacks on contents of memory

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20200522

RJ01 Rejection of invention patent application after publication