CN113626149A - 一种基于终端虚拟化的商业秘密保护方法及系统 - Google Patents

Abstract

本发明公开了一种基于终端虚拟化的商业秘密保护方法及系统，其中涉及的商业秘密保护方法，包括：将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。本发明通过基于硬件虚拟化的终端虚拟机将员工的工作电脑虚拟成两台，一台是商密专用虚拟机，一台是非密虚拟机，使得商密的应用和非密的应用在两个不同的终端环境中运行，这样可以为商密应用和非密应用单独下达不同的安全策略，使得商密保护的安全策略可以有效执行。

Description

一种基于终端虚拟化的商业秘密保护方法及系统

技术领域

本发明涉及数据安全技术领域，尤其涉及一种基于终端虚拟化的商业秘密保护方法及系统。

背景技术

商业秘密是指不为公众所知悉的，具有实用价值的以及权利人采取保护措施的企业信息，包括技术信息和经营信息。

商业秘密保护的现有技术主要包括加密和数据防泄密(DLP)等，数据加解密技术是通过对商业秘密资料进行文件的加密来保障商业秘密数据的机密性，当有权力获悉该商业秘密数据的人，可以自动解密为明文，供该知悉人读取、编辑和处理，反之，对无权获悉该商业秘密数据的人，则保持加密状态，让该人无法获悉本商业秘密数据的信息。

数据防泄密(DLP)是尝试通过各种计算机端口拦截和软件出口监控的方式，对商业秘密数据流转过程进行检测和控制。比如通过对USB口、串口、并口的操作动作的拦截，以及对QQ、微信、云盘、邮件等软件的监控来实现商业秘密数据流出时，进行安全管控。

加密的技术虽然能很好的起到数据机密性的作用，但是透明加解密的方式对复杂的一些应用，比如软件开发、图纸设计、三维模型制作等等有很大的副作用，不断的加解密让这些复杂的应用效率变得很慢，特别是一些设计软件一个工程会包含几十个大型文件，每一次修改编辑带来的保存和打开常常需要十几分钟的时间，让用户体验大大下降。

数据防泄密(DLP)技术也能在一定程度上，保护商业秘密数据的流出，但是DLP技术的原理是封堵各种出口和漏洞，但是出口和漏洞是无法穷举的。比如，目前市场上做的最好的DLP产品，对即时通信工具的封堵也就是能够达到20种左右，相比目前上各种即时通信工具的总数量将近200种来说，还只有十分之一，所以DLP产品的最大问题是漏洞永远存在，商业秘密数据流出的出口无法穷举。

发明内容

本发明的目的是针对现有技术的缺陷，提供了一种基于终端虚拟化的商业秘密保护方法及系统。

为了实现以上目的，本发明采用以下技术方案：

一种基于终端虚拟化的商业秘密保护方法，包括：

将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；

判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

进一步的，所述高密虚拟机的构建方式为：

A1.通过虚拟机监控器虚拟化终端的硬件资源，得到硬件资源，并将虚拟出的硬件资源提供给高密虚拟机；

A2.高密虚拟机启动后，将终端的操作系统镜像启动，形成高密虚拟机的客户操作系统，并继承终端所有的应用环境；

A3.将终端中的数据移植到高密虚拟机的虚拟硬盘中；

A4.对高密虚拟机下载终端安全管控策略，并启动高密虚拟机，得到继承终端所有资源的高密虚拟机；其中，安全管控策略包括网络访问规则、外设访问权限以及数据交换权限。

进一步的，所述非密虚拟机的构建方式为：

B1.虚拟机监控器创建新的虚拟机；其中新的虚拟机中包括内存、CPU和硬盘空间；

B2.申请新的虚拟机的客户操作系统镜像导入，并引导新的虚拟机的客户操作系统启动；

B3.申请新的虚拟机的安全策略，并将申请的安全策略在新的虚拟机的客户操作系统中启用，得到与高密虚拟机完全隔离、独立运行的非密虚拟机。

进一步的，所述虚拟机监控器的数据管道包括单向导入的方式、外发安全管控方式。

进一步的，所述判断是否存在非密虚拟机中的数据导入到高密虚拟机，若是，则使非密虚拟机中的数据通过单向导入的方式导入到高密虚拟机；

所述判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则使高密虚拟机中的商业秘密数据通过外发安全管控方式导出到非密虚拟机。

进一步的，所述虚拟机监控器的数据管道是存储虚拟机、管理虚拟机实现的。

进一步的，所述通过虚拟机监控器的数据管道将数据导入或将商业秘密导出具体为：向管理虚拟机咨询操作是否合法，若合法，则在存储虚拟机中执行数据导入或将商业秘密导出。

进一步的，所述将数据导入或将商业秘密导出中的文件读写包括文件打开操作、文件读写操作、文件关闭操作。

进一步的，所述外发安全管控方式包括定密模板、外发模板、外发申请、外发审批。

相应的，还提供一种基于终端虚拟化的商业秘密保护系统，包括：

虚拟化模块，用于将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；

判断模块，用于判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

与现有技术相比，本发明的有益效果为：

1)商业秘密数据泄密的根本原因是员工工作电脑上有多种安全级别的应用在同一个环境中运行，使得商业秘密保护的安全策略无法下达。通过基于硬件虚拟化的终端虚拟机将员工的工作电脑虚拟成两台，一台是商密专用虚拟机，一台是非密虚拟机，使得商密的应用和非密的应用在两个不同的终端环境中运行，这样可以为商密应用和非密应用单独下达不同的安全策略，使得商密保护的安全策略可以有效执行。

2)高密虚拟机是一个完整的计算机环境，没有改变任何用户的使用习惯，用户体验很好。

3)高密虚拟机的封闭性和安全性，使得不需要采用加密技术，所以加密技术所带来的复杂应用的非适用性，本技术方法不存在。

4)高密虚拟机天然的安全隔离性，与非密虚拟机基于硬件虚拟化层的安全隔离性，使得高密虚拟机没有商密数据流出的出口和漏洞，不会产生DLP技术带来的安全隐患，将唯一的虚拟机数据管道管控好，就可以严格的控制商密数据的流转。

5)基于三权分立思想的I/O虚拟机的设计，实现了单向导入数据管道的技术路线。

附图说明

图1是实施例一提供的商业秘密保护系统整体结构图；

图2是实施例一提供的高密虚拟机的构建过程示意图；

图3是实施例一提供的非密虚拟机的构建过程示意图；

图4是实施例一提供的虚拟机数据管道设计示意图；

图5是实施例一提供的存储VM结构示意图；

图6是实施例一提供的用户虚拟机VM存储管理示意图；

图7是实施例一提供的文件读写操作的流程示意图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

本发明的目的是针对现有技术的缺陷，提供了一种基于终端虚拟化的商业秘密保护方法及系统。

实施例一

本实施例提供的一种基于终端虚拟化的商业秘密保护方法，包括：

S1.将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；

S2.判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

本实施例的原理是将终端PC机通过基于硬件的终端虚拟化软件，虚拟成两个不同安全级别的环境，高安全级别的环境(高密虚拟机)用于处理商业秘密业务，比如研发、设计图纸、内网办公，低安全级别的环境(非密虚拟机)用于处理非密业务，比如QQ、微信、邮件、上网查询资料等等。而所有的商业秘密数据封闭在高安全级别的虚拟机中，没有通过审批，用户无法将商业秘密数据导出，而非密虚拟机具有开放的环境，可以跟互联网进行联通和数据交换。在高密虚拟机和非密虚拟机之间只有一个通道，即虚拟机数据管道，这个数据管道允许非密虚拟机的数据可以单向导入，而高密虚拟机的数据要导出时，必须通过文档外发工具才能外发，而文档外发工具需要外发审批、外发审计、外发加密等功能，保障外发商业秘密数据的安全管控。

这种方法带来的好处是给商业秘密数据在终端PC机上构建了一个封闭的安全可控的数据安全边界，商业秘密数据只能在数据安全边界内流转，大大提高了商业秘密数据的机密性。

在步骤S1中，将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机。

商业秘密保护系统整体结构图如图1所示，员工终端A是企业内部某一员工的PC电脑，它可以通过交换机访问公司内部的内网业务系统，也可以通过外网访问Internet。通过终端虚拟机软件，将该电脑虚拟化成高密虚拟机和非密虚拟机，通过虚拟机内的软件防火墙，使得高密虚拟机只能访问商密业务服务器，不能访问互联网；使得非密虚拟机只能访问互联网，不能访问商业秘密业务服务器。两台虚拟机之间网络隔离、存储隔离、外设访问权限隔离，非密虚拟机上的数据只能单向导入到高密虚拟机中；高密虚拟机中的商业秘密数据，只能通过专用外发安全管控系统才能导出到非密虚拟机。

员工原有的工作环境中拥有很多已有的商业秘密数据和商密业务的应用软件，因此高密虚拟机一般是对员工原有的工作环境进行改造，继承原有工作环境的数据、应用和安全部署，并对该环境进行包装，纳入到某一个虚拟机中，再增加强安全策略进行安全加固。

如图2所示，高密虚拟机的构建过程如下：

A1.通过虚拟机监控器虚拟化终端的硬件资源，得到硬件资源，并将虚拟出的硬件资源提供给高密虚拟机；

对原有电脑的引导过程进行修改，使得管理中心BIOS校验后的第一步直接指向虚拟机监控器VMM，虚拟机监控器VMM启动后虚拟化该电脑的硬件资源，虚拟出一份硬件资源提供给高密虚拟机SC-VM；

A2.高密虚拟机启动后，将终端的操作系统镜像启动，形成高密虚拟机的客户操作系统，并继承终端所有的应用环境；

高密虚拟机SC-VM启动后，将原有操作系统镜像启动起来，形成高密虚拟机的客户操作系统，继承原有所有的应用环境。

A3.将终端中的数据移植到高密虚拟机的虚拟硬盘中；

将原有电脑上的数据移植到高密虚拟机的虚拟硬盘中，这样，原有电脑的操作系统、所有应用、数据都继承到高密虚拟机中。

A4.对高密虚拟机下载终端安全管控策略，并启动高密虚拟机，得到继承终端所有资源的高密虚拟机；其中，安全管控策略包括网络访问规则、外设访问权限以及数据交换权限。

经历步骤A1-A4，一个具有完整安全策略的独立运行的继承了原生所有资源的高密虚拟机构建完毕。

非密虚拟机是完全新创建的干净的虚拟机环境，所以由虚拟机监控器VMM创建好虚拟机资源后，导入新的客户操作系统镜像，其中本实施例自带镜像制作工具，新的操作系统镜像导入后，根据配置导入一定的虚拟硬件，包括一定的CPU、内存和硬盘空间，然后根据管理中心配置的信息导入安全策略，一般的，非密虚拟机不能访问内网资源。

如图3所示，非密虚拟机的构建过程如下：

B1.虚拟机监控器创建新的虚拟机，并为该新的虚拟机分配相应内存、CPU和硬盘空间；

B2.从管理中心申请新的虚拟机的客户操作系统镜像导入，并引导新的虚拟机的客户操作系统启动；

B3.从管理中心申请新的虚拟机的安全策略，并将申请的安全策略在新的虚拟机的客户操作系统中启用，得到与高密虚拟机完全隔离、独立运行的非密虚拟机。

根据步骤B1-B3，形成了与高密虚拟机完全隔离、独立运行的非密虚拟机，非密虚拟机只能访问互联网，不能访问内外。非密虚拟机的数据可以单向导入到高密虚拟机中，高密虚拟机的数据不能导出到非密虚拟机中。

在步骤S2中，判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

在本实施例中，虚拟机监控器的数据管道包括单向导入的方式、外发安全管控方式。具体为：判断是否存在非密虚拟机中的数据导入到高密虚拟机，若是，则使非密虚拟机中的数据通过单向导入的方式导入到高密虚拟机；判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则使高密虚拟机中的商业秘密数据通过外发安全管控方式导出到非密虚拟机。

虚拟机监控器的数据管道是存储虚拟机、管理虚拟机实现的。

虚拟机监控器内置数据管道作为商密虚拟机和非密虚拟机数据交换的唯一安全通道。高密虚拟机和非密虚拟机在虚拟硬件层完全安全隔离，封闭的高密虚拟机没有其它出口，本实施例的方案在虚拟机监控器VMM内部，设计了一个数据通道可以在高密虚拟机和非密虚拟机之间交换数据。

如图4所述为虚拟机数据管道设计示意图(图4中的图中I/O虚拟机即存储虚拟机)，高密虚拟机和非密虚拟机之间没有直接可以互通的访问通道，所有的数据交换申请，必须通过虚拟机监控器VMM中的数据管道。虚拟机监控器VMM中的数据管道根据管理中心的数据交换策略进行数据交换的行为实施，比如单向策略，比如审批策略等等。如此，为高密虚拟机和非密虚拟机之间的数据交换提供了一个安全可控的数据管道，并且同时限制了其它商密数据泄密的出口，提供了比DLP安全隐患更低的商业秘密数据保护方法。

为了保障高密虚拟机和低密虚拟机之间的高安全隔离的同时，能够进行安全的数据交换，本实施例设计了专门的存储虚拟机。

存储虚拟机是执行虚拟机中的一个组成部分，跨域终端数据安全交换的安全性即依赖于存储虚拟机的设计。

主流的机械式硬盘或固态硬盘及SATA接口不易实现虚拟化分区式管理，因此只能采用单独的存储虚拟机用于托管所有存储相关代码并为其它虚拟机提供存储资源。

如图5所示，本实施例通过存储虚拟机VM(存根域)来独占式管理磁盘设备，该虚拟机实现了虚拟块设备的后端，并将虚拟存储设备暴露给包括高密虚拟机在内的其它虚拟机VM。采用这种做法，即使攻击者设法破坏了存储虚拟机VM，也不会渗透到系统的其余部分。

除了将存储虚拟机VM以单独的存根域实现之外，还需要考虑存储在硬盘上的数据的安全。

存储虚拟机及其负责管理的硬盘中主要保存有三类数据：

(1)终端的基础软件(终端引导程序、虚拟机监控器VMM、管理虚拟机/网络虚拟机VM/存储虚拟机VM的虚拟机映像等)；

(2)用户虚拟机VM的虚拟装置(主要是供用户虚拟机VM使用的虚拟机映像)；其中，用户虚拟机为高密虚拟机或非密虚拟机；

(3)用户虚拟机VM的私有数据，即用户虚拟机VM工作过程中产生的数据，其中可能包含有从各个域网中获取的敏感数据，需要重点考虑在终端失控情况下的数据保护问题。

在终端失控情况下，攻击者可能通过插入U盘或光盘等引导设备启动终端，或拆卸终端存储设备并安装到其它计算机中，以便绕过原有终端启动过程中的口令认证措施，进而修改终端系统程序(如引导程序、虚拟机监控器VMM、管理虚拟机映像等)并向其中植入恶意代码，或读取用户虚拟机VM的虚拟磁盘映像中留存的敏感信息。在存储虚拟机VM被攻陷情况下，攻击者可能向虚拟机VM中植入木马程序，进而访问存储在磁盘中的数据。

综上所述，如图6为用户虚拟机VM存储管理方案，并通过可信计算和数据加密机制来为防控以上安全风险。

存储虚拟机的数据安全交换执行逻辑设计具体为：

用户虚拟机中的文件系统、管理虚拟机中的元数据管理系统、管理虚拟机策略管理系统、存储虚拟机中的对象管理系统一起构成一个基于对象的分布式并行文件系统，共同管理块设备上的数据。

在基于对象的分布式并行文件系统中，传统文件系统的功能被分割并重组，其中名字空间管理部分交给了管理虚拟机中的元数据管理系统，存储空间管理部分交给了执行虚拟机中的对象管理系统，用户虚拟机中仅剩余一个文件系统接口。传统文件系统中的通信流也被分割开了，用户虚拟机与管理虚拟机之间仅传送控制流，用户虚拟机和执行虚拟机之间仅传送数据流。用户的文件管理操作，如创建文件、删除文件等，仅需要与元数据管理系统交互即可，不需要与对象管理系统通信。文件读写操作需要与元数据管理系统和对象管理系统交互，但也仅在打开、关闭文件时需要访问元数据管理系统，真正的文件读写操作不再需要元数据管理系统的参与。

如图7所示为文件读写操作的流程，其中图7中的图中I/O虚拟机即存储虚拟机，流程具体为：

(1)文件打开操作

①当用户打开文件系统中的某个文件时，用户虚拟机中的文件系统向元数据管理系统发出请求：解析文件路径名并申请访问存储对象的安全证书；

②元数据管理系统解析文件路径名，获得文件控制块，得到存储文件的对象ID。而后向策略管理系统申请存取对象的安全证书；策略管理系统验证用户请求的合法性，颁发安全证书；

③元数据服务器将文件所在的对象ID、文件在对象上的布局方式及各对象的安全证书等返还给文件系统。

(2)文件读写操作

①文件系统向对象管理系统发送对象读写操作请求，请求中需包含对象ID和安全证书；

②对象管理系统验证请求的合法性，请求块设备驱动程序完成用户请求的块操作；

③块设备完成操作，将结果返还给驱动程序，并进而返还给对象管理系统；

④对象管理系统将对象操作结果返还给文件系统。

(3)文件关闭操作

①文件系统向元数据管理系统发送请求，关闭已打开的文件；

②元数据管理系统释放有关的数据结构等，关闭文件。

经过以上方案的设计，用户虚拟机之间(即高密虚拟机和非密虚拟机之间)交换数据时，不能直接访问、复制粘贴数据，而需要向管理虚拟机咨询操作是否合法，如果管理虚拟机通过审批为合法操作，该数据交换的操作需要存储虚拟机(I/O虚拟机)进行执行，这样可以通过用户虚拟机、管理虚拟机、存储虚拟机三权分立(数据交换的操作权、审批权和执行权)的方法，让数据交换过程更加安全，而在管理虚拟机中，安全策略默认为高密虚拟机无法向低密虚拟机发送数据，反之低密虚拟机可以向高密虚拟机发送数据，从而实现数据单向导入的功能。

在本实施例中，某些用户需要将一些商密文件外发给供应商、客户或者其他合作伙伴，为了保障外发动作的合规性，本实施例设计了从高密虚拟机向非密虚拟机的外发需要事前审批、事后审计的方案。

外发安全管控方式包括定密模板、外发模板、外发申请、外发审批扥功能设计。

(1)定密模板

通过后台制定一个或多个定密模板，其中包括：审批人、审批步骤等。所有对文件进行定密的步骤都按照对应的定密流程模板执行。

(2)外发模板

通过后台制定一个或多个外发模板，其中包括：审批人、审批步骤等。所有对文件进行外发的步骤都按照对应的定密流程模板执行。

(3)外发申请

通过客户端可以对定密过的文件进行外发申请提交，在申请外发的时候可以选择外发文件的基本属性如：打开次数、是否可复制等。

(4)外发审批

通过客户端的文件审批功能，对外发文件的申请信息进行审批和下载操作，审批同意后则文件完成外发操作，拒绝则不同意外发操作。

在本实施例中，外发的文件进行加密、加壳以达到外发后的数据安全管控，防止二次泄密。

通过外发审批的文件可以被外发，但是为了进一步控制外发后的文件的机密性，本实施例可以针对外发的文件做加密加壳等处理，具体如下：

外发文件加密：对外发的商密文件支持加密，加密秘钥由外发当事人设置，使用其它方式告知外发文件接收人，这样其他人员即使获取了外发文件，也不能获取明文信息。

外发文件加壳：为了进一步降低外发商密文件的额二次泄密风险，本实施例设计了外发文件加壳的安全加固方法，即对外发文件可以进行是否可以编辑、复制粘贴、能打开几次、能保留多长时间等权限属性信息的设置。为了保障这些权限属性信息的有效执行，外发文件会自带文件浏览器，文件浏览器能够支持接收用户正常的访问外发文件，并对外发文件进行上述权限的生效。

与现有技术相比，本实施例的有益效果为：

1)商业秘密数据泄密的根本原因是员工工作电脑上有多种安全级别的应用在同一个环境中运行，使得商业秘密保护的安全策略无法下达。通过基于硬件虚拟化的终端虚拟机将员工的工作电脑虚拟成两台，一台是商密专用虚拟机，一台是非密虚拟机，使得商密的应用和非密的应用在两个不同的终端环境中运行，这样可以为商密应用和非密应用单独下达不同的安全策略，使得商密保护的安全策略可以有效执行。

2)高密虚拟机是一个完整的计算机环境，没有改变任何用户的使用习惯，用户体验很好。

3)高密虚拟机的封闭性和安全性，使得不需要采用加密技术，所以加密技术所带来的复杂应用的非适用性，本技术方法不存在。

4)高密虚拟机天然的安全隔离性，与非密虚拟机基于硬件虚拟化层的安全隔离性，使得高密虚拟机没有商密数据流出的出口和漏洞，不会产生DLP技术带来的安全隐患，将唯一的虚拟机数据管道管控好，就可以严格的控制商密数据的流转。

5)基于三权分立思想的I/O虚拟机的设计，实现了单向导入数据管道的技术路线。

实施例二

本实施例提供一种基于终端虚拟化的商业秘密保护系统，包括：

虚拟化模块，用于将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；

判断模块，用于判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

需要说明的是，本实施例提供的一种基于终端虚拟化的商业秘密保护系统与实施例一类似，在此不多做赘述。

与现有技术相比，本实施例的有益效果为：

1)商业秘密数据泄密的根本原因是员工工作电脑上有多种安全级别的应用在同一个环境中运行，使得商业秘密保护的安全策略无法下达。通过基于硬件虚拟化的终端虚拟机将员工的工作电脑虚拟成两台，一台是商密专用虚拟机，一台是非密虚拟机，使得商密的应用和非密的应用在两个不同的终端环境中运行，这样可以为商密应用和非密应用单独下达不同的安全策略，使得商密保护的安全策略可以有效执行。

2)高密虚拟机是一个完整的计算机环境，没有改变任何用户的使用习惯，用户体验很好。

3)高密虚拟机的封闭性和安全性，使得不需要采用加密技术，所以加密技术所带来的复杂应用的非适用性，本技术方法不存在。

4)高密虚拟机天然的安全隔离性，与非密虚拟机基于硬件虚拟化层的安全隔离性，使得高密虚拟机没有商密数据流出的出口和漏洞，不会产生DLP技术带来的安全隐患，将唯一的虚拟机数据管道管控好，就可以严格的控制商密数据的流转。

5)基于三权分立思想的I/O虚拟机的设计，实现了单向导入数据管道的技术路线。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种基于终端虚拟化的商业秘密保护方法，其特征在于，包括：

将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；

判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

2.根据权利要求1所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述高密虚拟机的构建方式为：

A1.通过虚拟机监控器虚拟化终端的硬件资源，得到硬件资源，并将虚拟出的硬件资源提供给高密虚拟机；

A2.高密虚拟机启动后，将终端的操作系统镜像启动，形成高密虚拟机的客户操作系统，并继承终端所有的应用环境；

A3.将终端中的数据移植到高密虚拟机的虚拟硬盘中；

A4.对高密虚拟机下载终端安全管控策略，并启动高密虚拟机，得到继承终端所有资源的高密虚拟机；其中，安全管控策略包括网络访问规则、外设访问权限以及数据交换权限。

3.根据权利要求1所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述非密虚拟机的构建方式为：

B1.虚拟机监控器创建新的虚拟机；其中新的虚拟机中包括内存、CPU和硬盘空间；

B2.申请新的虚拟机的客户操作系统镜像导入，并引导新的虚拟机的客户操作系统启动；

B3.申请新的虚拟机的安全策略，并将申请的安全策略在新的虚拟机的客户操作系统中启用，得到与高密虚拟机完全隔离、独立运行的非密虚拟机。

4.根据权利要求1所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述虚拟机监控器的数据管道包括单向导入的方式、外发安全管控方式。

5.根据权利要求4所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述判断是否存在非密虚拟机中的数据导入到高密虚拟机，若是，则使非密虚拟机中的数据通过单向导入的方式导入到高密虚拟机；

所述判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则使高密虚拟机中的商业秘密数据通过外发安全管控方式导出到非密虚拟机。

6.根据权利要求4所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述虚拟机监控器的数据管道是存储虚拟机、管理虚拟机实现的。

7.根据权利要求6所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述通过虚拟机监控器的数据管道将数据导入或将商业秘密导出具体为：向管理虚拟机咨询操作是否合法，若合法，则在存储虚拟机中执行数据导入或将商业秘密导出。

8.根据权利要求6所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述将数据导入或将商业秘密导出中的文件读写包括文件打开操作、文件读写操作、文件关闭操作。

9.根据权利要求4所述的一种基于终端虚拟化的商业秘密保护方法，其特征在于，所述外发安全管控方式包括定密模板、外发模板、外发申请、外发审批。

10.一种基于终端虚拟化的商业秘密保护系统，其特征在于，包括：

虚拟化模块，用于将终端虚拟化为两个不同安全级别的环境；其中两个不同安全级别的环境为高密虚拟机、非密虚拟机；

判断模块，用于判断是否存在非密虚拟机中的数据导入到高密虚拟机，或者判断是否存在高密虚拟机中的商业秘密数据导出到非密虚拟机，若是，则通过虚拟机监控器的数据管道将数据导入或将商业秘密导出。

Images