CN114201750A

CN114201750A - 一种数据防泄漏方法、装置、电子设备及存储介质

Info

Publication number: CN114201750A
Application number: CN202111496769.3A
Authority: CN
Inventors: 李兵坤; 喻波; 王志海; 秦凯; 安鹏
Original assignee: Beijing Wondersoft Technology Co Ltd
Current assignee: Beijing Wondersoft Technology Co Ltd
Priority date: 2021-12-08
Filing date: 2021-12-08
Publication date: 2022-03-18

Abstract

本发明是关于一种数据防泄漏方法、装置、电子设备及存储介质，包括：在检测到用户对目标软件操作时，根据预设的软件管控规则，对所述操作行为进行管控，审计所述操作行为是否包括敏感操作信息；在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控。本发明通过基于软件应用的操作行为进行数据分析的数据防泄漏终端数据管控方法，在保证基础办公软件可用的情况下，对办公软件的规范化使用和数据防泄露方面进行监管和控制，解决敏感数据相关软件操作过程中的实效性和安全性。

Description

一种数据防泄漏方法、装置、电子设备及存储介质

技术领域

本公开涉及数据监控技术领域，尤其涉及一种数据防泄漏方法、装置、电子设备及存储介质。

背景技术

近些年来，随着互联网、计算机技术的飞速发展，数据安全问题越来越备受关注。数据防泄漏系统作为数据安全的终端防护手段，也同时得到了广泛的关注和使用，其技术也随着技术革新一同进步。在整个数据防泄漏系统中，办公终端上相关软件的规范化使用时数据防泄露是系统中重要的组成之一，对整个系统的使用和审计起着关键性的作用。

为了解决在数据防泄漏系统中实现对终端用户的各项软件工具的操作上避免数据泄露，现有技术通过使用内部定制软件来进行相关的权限管理，限制相关软件的使用。

然而，现有技术采取的一刀切的方式导致维护成本过高、使用方式繁琐，给用户带来了极其不好的体验。

发明内容

为克服相关技术中存在的问题，本公开提供一种数据防泄漏方法、装置、电子设备及存储介质。

根据本公开实施例的第一方面，提供一种数据防泄漏方法，包括：

在检测到用户对目标软件操作时，根据预设的软件管控规则，对所述操作行为进行管控，审计所述操作行为是否包括敏感操作信息；

在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控。

可选的，所述在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控包括：

在所述操作行为包括所述敏感操作信息的情况下，用户提交审批信息至审批方获取审批结果；

根据所述审批结果确定用户的所述操作行为。

可选的，所述在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控，还包括：

在所述操作行为包括所述敏感操作信息的情况下，禁用所述目标软件，或者，对所述目标软件中的操作内容进行加密。

可选的，所述方法应用于客户端，所述客户端与所述数据中心通信连接，所述方法还包括：

在所述操作行为包括所述敏感操作信息的情况下，将所述操作行为上报至数据中心进行记录，以供所述数据中心将所述操作行为进行汇总处理，得到汇总后的操作行为，并根据所述汇总后的操作行为进行数据分析，根据数据分析结果对软件管控规则进行迭代优化。

可选的，所述并根据所述汇总后的操作行为进行数据分析，根据数据分析结果对软件管控规则进行迭代优化包括：

根据用户操作信息的类别对所述汇总后的操作行为进行分类处理，对分类后的操作行为进行数据分析，预测用户操作行为的风险占比，得到用户行为预测结果；

根据所述用户行为预测结果对所述软件管控规则进行迭代优化。

根据本公开实施例的第二方面，提供一种数据防泄漏装置，所述装置包括：

审计模块，用于在检测到用户对目标软件操作时，根据预设的软件管控规则，对所述操作行为进行管控，审计所述操作行为是否包括敏感操作信息；

管控模块，用于在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控。

可选的，所述管控模块包括：

审批子模块，用于在所述操作行为包括所述敏感操作信息的情况下，用户提交审批信息至审批方获取审批结果；

确定子模块，用于根据所述审批结果确定用户的所述操作行为。

可选的，所述管控模块还包括：

禁用子模块，用于在所述操作行为包括所述敏感操作信息的情况下，禁用所述目标软件，或者，对所述目标软件中的操作内容进行加密。

根据本公开实施例的第三方面，提供一种电子设备，包括：

处理器；

用于存储所述处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述指令，以实现所述数据防泄漏方法。

根据本公开实施例的第四方面，提供一种计算机可读存储介质，当所述计算机可读存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行所述数据防泄漏方法。

本公开的实施例提供的技术方案可以包括以下有益效果：

本公开可以通过在检测到用户对目标软件操作时，根据预设的软件管控规则，对所述操作行为进行管控，审计所述操作行为是否包括敏感操作信息；在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控。通过基于软件应用的操作行为进行数据分析的数据防泄漏终端数据管控方法，在保证基础办公软件可用的情况下，对办公软件的规范化使用和数据防泄露方面进行监管和控制，解决敏感数据相关软件操作过程中的实效性和安全性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种数据防泄漏方法的流程图；

图2是根据一示例性实施例示出的另一种数据防泄漏方法的流程图；

图3是根据一示例性实施例示出的另一种数据防泄漏方法的流程图；

图4是根据一示例性实施例示出的一种电子设备的框图；

图5是根据一示例性实施例示出的一种数据防泄漏装置的框图；

图6是根据一示例性实施例示出的一种DLP规则下发的示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

图1是根据一示例性实施例示出的一种数据防泄漏方法的流程图，如图1所示，包括以下步骤。

步骤101，在检测到用户对目标软件操作时，根据预设的软件管控规则，对所述操作行为进行管控，审计所述操作行为是否包括敏感操作信息。

在用户在操作电脑软件时，根据配置的策略规则，即预设的软件管控规则，对该操作的对象及内容进行监管和控制。当命中敏感操作之后可以根据后台配置的策略，实施对应的管控策略，对该操作进行记录或者终止。

需要说明的是，在本申请实施例中，预设的软件管控规则可以理解为初始管控规则或初始策略，后续根据对用户的行为分析在具体细节上进行优化，具体见后续内容。

需要说明的是，在本申请实施例中，如图6所示，图6是根据一示例性实施例示出的一种DLP规则下发的示意图，软件管控规则分配给办公终端，是应用了DLP规则下发结构，DLP全名为(Data loss prevention)，是一套融合Client/Server架构和Browser/Server架构的文件防泄露系统，核心技术是在服务器端通过Browser侧进行预设相应的策略和规则，通过Client代理程序对Server端配置的文件信息进行解析，当Client程序检测到用户执行的程序和解析出来的信息可以完成匹配，则需要进一步对程序的详细信息进行数据采集，并根据用户的实际操作结合服务器下发的策略规则信息进行信息的上报或者进行对应的管控操作，即通过核心管控对大批量客户机进行统一配置化管理监察。

需要说明的是，在本申请实施例中，服务器侧通过控制台进行相关策略规则的预设后，生成了针对软件操作行为的管控策略文件，经由服务器之间的心跳程序同步到负载服务器上，而后经由客户端服务器进行相关管控策略文件的下载，后续客户端使用固定的解码方式对文件内写入的规则此策略信息进行解码，进而应用到程序中。

其中，心跳程序指客户端和服务器间定时通知对方自己状态的一个自己定义的命令字，按照一定的时间间隔发送，类似于心跳。并且，该心跳实时上报客户端的存活状态，用于监察客户端是否离线的同时，也用于把最新的管控措施更新到客户端本地。

进一步地，服务器侧的控制台为核心服务器上的Web界面，也就是整个系统流程的管理平台，需要有Web的管理员账号密码进行登陆后方可进行对应操作。具体配置的项目，例如：可以通过配置对应的关键字规则来对文件内容进行匹配，如果要打印一份包含高敏感信息的word，比如客户的联系方式手机号码等，客户端对该文件进行检测，发现高敏感信息则终止打印动作，需提交审批待领导审批通过后才可以继续打印文件。

上述实施例中为了达到针对软件的策略文件统一配置，统一调配，使得管理范围内的终端使用同一套策略规则进行管控。通过服务器之间心跳包的形式，在保障了信息传输速率的同时，在数据完整性的传输上也有很好的效果。

步骤102，在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控。

在本申请实施例中，应用程序通过解析下载服务器配置的软件管控规则文件，对软件执行的操作及操作的内容进行审查和监管，符合软件管控规则里面限定的敏感级别操作时，按照软件管控规则里面的管控方式对该操作进行该操作信息的上报或者终止。其中主要管控对象为常用办公软件，例如，office全家桶系列，客户端通过系统层级的植入，通过获取系统态对象，以管理权限对用户态的应用进行全栈使监管和控制。

需要说明的是，本申请主要针对可能包含敏感信息的文件信息介质的操作进行监管，包括单不限于在对Word类文档进行复制/剪切/另存为等可能会导致文件信息外泄的操作行为进行内容上的信息及信息上报。而针对网页类操作的保存html文件以及使用终端截图工具类操作通过调用系统态对象对各个应用的进程的操作状态进行监听，发现类似操作可以通过识别被保存的对象内容进而完成对操作的信息采集及相关管控。

进一步地，在对办公终端的软件操作进行监管的基础上，还对办公终端的常规操作信息进行了采集。采集各个软件的操作信息，包括但不限于操作进程和执行操作的用户以及执行操作的时间点，执行操作的具体内容等。这些数据可以用于制定关于同一类文件的用户常规使用场景，可以作为一个常规的使用模式来对策略规则进行迭代优化，使软件操作管控的分析处理能力更接近实际应用的场景。

图2是根据一示例性实施例示出的另一种数据防泄漏方法的流程图，如图2所示，包括以下步骤。

步骤1021，在所述操作行为包括所述敏感操作信息的情况下，用户提交审批信息至审批方获取审批结果。

步骤1022，根据所述审批结果确定用户的所述操作行为。

即在本申请实施例中，在用户的操作行为属于敏感操作行为时，即命中敏感操作行为时，需要提交审批待审批方确定该敏感操作行为可以继续时，用户才能进行后续的对目标软件的操作。

图3是根据一示例性实施例示出的另一种数据防泄漏方法的流程图，如图3所示，包括以下步骤。

步骤1023，在所述操作行为包括所述敏感操作信息的情况下，禁用所述目标软件，或者，对所述目标软件中的操作内容进行加密。

在确定用户对目标软件的操作行为命中敏感操作行为的情况下，禁用所述目标软件，或者，对所述目标软件中的操作内容进行加密。

上述实施方式中，在确定用户的操作行为属于敏感操作行为时，需要说明的是，敏感操作行为是根据预设的软件管控规则决定的，例如，敏感操作行为可以为检测到用户在目标软件上存在对包含敏感信息的文件信息介质的操作行为，包括单不限于在对Word类文档进行复制/剪切/另存为等可能会导致文件信息外泄的操作行为进行内容上的信息及信息上报，因此，采用对文件信息(操作内容)进行加密的方式，这样就算将上述包含敏感信息的文件进行复制等操作，但因为文件信息加密，实际显示的是乱码，也就无法顺利查看、获知该敏感信息，同样可以达到防止数据泄露的效果。并且，在防止数据泄露的同时，办公软件的其他功能可以正常使用。

除此之外，敏感操作行为也可以是检测到网页类操作的保存html文件或者使用终端截图工具类操作，此时可以通过调用系统态对象对各个应用的进程的操作状态进行监听，类似操作可以通过识别被保存的对象内容进而完成对操作的信息采集及相关管控。

上述实施方式中，进一步地，在所述操作行为包括所述敏感操作信息的情况下，将所述操作行为上报至数据中心进行记录，以供所述数据中心将所述操作行为进行汇总处理，得到汇总后的操作行为，并根据所述汇总后的操作行为进行数据分析，根据数据分析结果对软件管控规则进行迭代优化。

在本申请实施例中，用户对应的操作具体信息以及采取的管控措施将会以数据流的形式进行统一汇总，将汇总后的数据进行分类清洗，对清洗后的数据进行分析，可以得知用户的一些常用操作的目的以及风险占比。根据数据分析的出来的结果，便于制定更符合该系统人员基本操作习惯的策略规则，可以通过对数据的分析，完成对该系统策略规则上的优化和适配。

在本申请实施例中，预设的软件管控规则由于基于不同的办公环境涉及到的不同的敏感信息以及需要的管控措施，因此需要根据采取用户行为分析后对软件管控规则进行调整，例如有些部门就是需要频繁打印客户的家庭住址，那么针对该部门需要审计行为，即进行敏感行为记录，不再进行审批，可以认为是一种基于实地办公需要的动态更新。

需要说明的是，将所述操作行为上报至数据中心进行记录，以供所述数据中心将所述操作行为进行汇总处理，主要是对办公终端上报的各类操作信息进行汇总处理。通过对数据进行建模处理，规范化数据后筛选出有效数据并且对数据进行分析处理。对同类数据进行数据分布层次上的深度解析，甚至可以具体到单个用户的使用习惯。通过数据分析给单个软件的使用方式进行边界化的限制，可以做到在满足大部分常规用户的正常操作不受影响的情况下，还能做好对一些敏感操作的预拦截处理，在敏感信息泄露的基础上进行拦截。并且可以具体到单个用户的维度，使得用户的敏感操作在一系列常规操作中十分突兀，是数据分析的一个具体实现方向之一。

具体地，所述并根据所述汇总后的操作行为进行数据分析，根据数据分析结果对软件管控规则进行迭代优化包括：

即在本申请实施例中，对采集的数据进行分析的具体操作是在获取到用户侧上传的操作数据后，可以针对用户的操作类别进行分类处理，针对常规的程序操作，梳理出特定的操作流程及内容模板，后续针对该操作流程制定出符合该场景的流程模板。在后续的策略规则中将数据采集分析出来的结果应用到服务器的相关策略规则配置中，对策略规则进行优化式迭代，使策略配置更贴近使用的真实场景，减少程序误报的概率。

图5是根据一示例性实施例示出的一种数据防泄漏装置框图，该装置包括审计模块501、管控模块502。

审计模块501，用于在检测到用户对目标软件操作时，根据预设的软件管控规则，对所述操作行为进行管控，审计所述操作行为是否包括敏感操作信息。

管控模块502，用于在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控。

进一步地，管控模块502包括：

审批子模块，用于在所述操作行为包括所述敏感操作信息的情况下，用户提交审批信息至审批方获取审批结果。

进一步地，管控模块502还包括：

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图4是根据一示例性实施例示出的一种用于电子设备400的框图。例如，电子设备400可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。

参照图4，电子设备400可以包括以下一个或多个组件：处理组件402，存储器404，电源组件406，多媒体组件408，音频组件410，输入/输出接口412，传感器组件414，以及通信组件416。

处理组件402通常控制装置的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件402可以包括一个或多个处理器420来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件402可以包括一个或多个模块，便于处理组件402和其他组件之间的交互。例如，处理组件402可以包括多媒体模块，以方便多媒体组件408和处理组件402之间的交互。

存储器404被配置为存储各种类型的数据以支持在电子设备400的操作。这些数据的示例包括用于在装置上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器404可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件406为电子设备400的各种组件提供电力。电源组件406可以包括电源管理系统，一个或多个电源，及其他与为电子设备400生成、管理和分配电力相关联的组件。

多媒体组件408包括在所述电子设备400和用户之间的提供一个输出接口的屏幕。

在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。

在一些实施例中，多媒体组件408包括一个前置摄像头和/或后置摄像头。当电子设备400处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件410被配置为输出和/或输入音频信号。例如，音频组件410包括一个麦克风(MIC)，当电子设备400处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器404或经由通信组件416发送。在一些实施例中，音频组件410还包括一个扬声器，用于输出音频信号。

输入/输出接口412为处理组件402和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件414包括一个或多个传感器，用于为电子设备400提供各个方面的状态评估。例如，传感器组件414可以检测到电子设备400的打开/关闭状态，组件的相对定位，例如所述组件为电子设备400的显示器和小键盘，传感器组件414还可以检测电子设备400或电子设备400一个组件的位置改变，用户与电子设备400接触的存在或不存在，电子设备400方位或加速/减速和电子设备400的温度变化。传感器组件414可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件414还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件414还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件416被配置为便于电子设备400和其他设备之间有线或无线方式的通信。电子设备400可以接入基于通信标准的无线网络，如WiFi，运营商网络(如2G、3G、4G或5G)，或它们的组合。在一个示例性实施例中，通信组件416经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件416还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，电子设备400可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器404，上述指令可由电子设备400的处理器420执行以完成上述方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims

1.一种数据防泄漏方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控包括：

根据所述审批结果确定用户的所述操作行为。

3.根据权利要求1所述的方法，其特征在于，所述在所述操作行为包括所述敏感操作信息的情况下，对所述目标软件进行数据防泄漏管控，还包括：

4.根据权利要求3所述的方法，其特征在于，所述方法应用于客户端，所述客户端与所述数据中心通信连接，所述方法还包括：

5.根据权利要求4所述的方法，其特征在于，所述并根据所述汇总后的操作行为进行数据分析，根据数据分析结果对软件管控规则进行迭代优化包括：

6.一种数据防泄漏装置，其特征在于，所述装置包括：

7.根据权利要求6所述的装置，其特征在于，所述管控模块包括：

8.根据权利要求6所述的装置，其特征在于，所述管控模块还包括：

9.一种电子设备，其特征在于，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行所述指令，以实现如权利要求1至5中任一项所述的数据防泄漏方法。

10.一种计算机可读存储介质，当所述存储介质中的指令由移动终端的处理器执行时，使得移动终端能够执行如权利要求1至5中任一项所述的数据防泄漏方法。