CN115329389A - 一种基于数据沙箱的文件保护系统及方法 - Google Patents

Abstract

本发明公开了一种基于数据沙箱的文件保护系统及方法。所述方法包括：S1、检测目标应用程序，建立安全传输通道，提交注册请求；S2、服务端注册终端应用，生成数据保护密钥，返回注册结果；S3、沙箱创建文件存储区，绑定数据保护密钥；S4、沙箱开启监控，将注册应用程序对文件的操作限制在沙箱内部文件存储区中；步骤S5、沙箱采用加密方式保护文件存储区数据。本发明采用度量校验机制拦截非法应用程序访问沙箱存储区文件，采用文件映射及转向机制阻止沙箱存储区文件导出到沙箱外部，结合加密方式对文件实施多重保护，提升终端应用文件的安全保障。

Description

一种基于数据沙箱的文件保护系统及方法

技术领域

本发明属于计算机信息安全技术领域，具体涉及一种基于数据沙箱的文件保护方法。

背景技术

随着信息技术产业的发展，各类业务信息系统越来越多，同时信息的窃取行为发生的越来越多，其中包括涉密文件，为防止文件失窃，业务信息系统通常会将文件保存在服务器端，并采取加密技术对文件进行加密、解密、病毒查杀以及防止入侵等多种防窃取技术手段，但是当文件传输到终端后可能会被终端上恶意程序进行破解、窃取、篡改，为了保障终端设备上文件的安全性，对终端文件的保护方法主要有文件保密柜、文件透明加解密、安全沙箱，但这些保护手段对于终端应用而言存在各自不同的缺陷，文件保密柜中的加密文件对应用不透明，无法被终端应用直接浏览、编辑；文件透明加解密软件一般需要设定指定进程对指定格式文件进行加解密，不需要加密的文件可能也被加密，其他格式文件或系统文件无法有效保护，无法很好地满足不同应用的需求。安全沙箱是将应用运行在沙箱环境中从而防止文件失窃的一种技术手段。

现有技术中，CN103942488A公开了一种利用沙箱技术进行防御的方法、装置及安全浏览器，其对待操作的目标对象，自动判断其执行是否需要导入沙箱。CN104135475A公开了一种面向移动互联网的电力信息安全防护方法，通过安全沙箱、隔离区、单向访问通道、内容过滤等安全防护机制，实现移动互联网数据安全交互。CN108229149A公开了一种数据保护的方法和装置，应用于移动终端，所述移动终端中设置有沙箱系统，一个或多个特定应用程序安装并运行在所述沙箱系统中，所述特定应用程序在移动终端的界面不呈现桌面图标，所述方法包括：接收用户提交的身份验证信息；校验所述身份验证信息与预设身份验证信息是否一致；当所述身份验证信息与预设身份验证信息一致时，则进入所述沙箱系统，启动与所述身份验证信息适配的特定应用程序。

但是，上述的现有技术中，仍然会存在一些应用将文件另存到沙箱外部的操作，并且这些操作方式各有不同，导致无法全部有效拦截，进而导致文件导出沙箱存储区，存在泄漏风险。

因此，如何能够在不影响用户体验地前提下对接不同应用，又能够严格限制应用涉及的文件在沙箱中的进出，成为本领域亟待解决的技术问题。

发明内容

为了既能不影响用户体验地对接不同应用，又能够严格限制应用涉及的文件在沙箱中的进出，并通过加密方式对文件数据进行保护，有效保障终端应用所涉及的文件的安全，本发明提出了一种基于数据沙箱的文件保护方法。本发明具体采用如下技术方案：

一种基于数据沙箱的文件保护系统，包括数据沙箱、服务端；

所述数据沙箱包括：配置管理模块、进程检测模块、文件监控模块、数据处理模块；

所述数据沙箱部署运行在终端设备上；

所述服务端包括终端应用管理模块、策略管理模块；

所述服务端部署运行在独立物理或虚拟环境中。

进一步，所述配置管理模块用于管理注册应用和沙箱存储区文件，以及实时更新服务端配置的访问控制策略；

所述进程检测模块用于计算并校验应用程序度量值；

所述文件监控模块用于保护沙箱存储区文件进出，通过文件目录映射与转向机制实现文件隔离；

所述数据处理模块处于文件监控模块下层，用于通过加密方式保护注册应用程序对应存储区中的数据。

进一步，所述终端应用管理模块用于注册、查看、注销终端应用；所述策略管理模块用于配置终端应用文件的访问控制策略。

本发明还涉及一种基于数据沙箱的文件保护方法，用于如上所述的基于数据沙箱的文件保护系统，所述方法包括下列步骤：

S1、检测目标应用程序，建立安全传输通道，提交注册请求；

S2、服务端注册终端应用，生成数据保护密钥，返回注册结果；

S3、沙箱创建文件存储区，绑定数据保护密钥；

S4、沙箱开启监控，将注册应用程序对文件的操作限制在沙箱内部文件存储区中；

步骤S5、沙箱采用加密方式保护文件存储区数据。

进一步，所述步骤S1包括：

S11、通过沙箱配置管理模块提供的管理配置界面选定沙箱应用程序，调用进程检测模块计算应用程序度量值；

S12、设置沙箱应用管理密码，用于将应用涉及的文件导出沙箱存储区；

S13、与服务端建立安全传输通道，采用SSL加密通信方式，提交注册请求数据。

进一步，所述步骤S2包括：

S21、依据终端沙箱注册请求，创建终端应用管理节点；

S22、服务端采用对称算法创建16字节对称密钥作为应用存储区数据加解密的保护密钥，并使用终端提交的非对称密钥对对称密钥数据进行加密保护；

S23、配置访问控制策略，包括设置文件导出权限、设置非保护的目录、非保护的指定格式文件；

S24、反馈注册结果给终端沙箱，其中所述注册结果包括被非对称密钥加密的对称密钥数据、访问控制策略、文件存储区标识、应用程序度量值。

进一步，所述步骤S3包括：

S31、解析服务端反馈的注册结果，根据文件存储区标识创建对应的文件存储区，各文件存储区之间是相互隔离、不可见的，且沙箱内部所有文件存储区对终端系统不可见；

S32、解析服务端反馈的注册结果，将数据保护密钥与文件存储区进行关联，其中数据保护密钥存储在文件存储区内，对外不可见。

进一步，所述步骤S4包括：

S41、在文件存储区中构建与终端系统目录的映射关系，使得终端系统目录与文件存储区目录相关联；

S42、对应用程序进程进行监控，计算校对应用程序度量值，将注册应用程序与对应存储区进行关联记录；

S43、根据步骤S41中所述的目录映射关系以及步骤S42中所述的关联记录，沙箱向注册应用程序返回文件存储区中已存在的对应文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件。

进一步，所述步骤S43包括：

S431、注册应用程序枚举文件，将沙箱文件存储区中的文件条目与终端系统中的文件条目合并返回给注册应用程序；

S432、注册应用程序创建文件，沙箱向注册应用程序返回文件存储区中的文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件；

S433、注册应用程序读写文件时，如果文件属于非保护的文件或者属于非保护目录下，则不返回沙箱存储区中的文件路径给注册应用程序；

S434、注册应用程序写入文件时，如果沙箱存储区中不存在对应文件，则在沙箱文件存储区中创建对应目录及文件，将外部文件已有数据拷贝进沙箱文件存储区中的文件，将数据只写入到沙箱存储中的文件中；

S435、如果沙箱文件存储区中存在对应的文件，则注册应用程序对文件删除、更名操作时，将终端系统同时存在的文件删除，并向注册应用程序返回文件存储区中对应的文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件。

进一步，所述步骤S5包括：

步骤S51、注册应用往存储区写入文件时，数据处理单元使用SM4对称密钥对写入存储区的数据进行加密，加密操作对于所述操作步骤S4透明，对于注册应用程序透明；

步骤S52、注册应用读取存储区中文件数据时，数据处理单元使用SM4对称密钥对存储区的数据进行解密，将解密后的数据返回给注册应用程序，解密操作对于所述操作步骤S4透明，对于注册应用程序透明。

本发明采用度量校验机制拦截非法应用程序访问沙箱存储区文件，采用文件映射及转向机制阻止沙箱存储区文件导出到沙箱外部，结合加密方式对文件实施多重保护，提升终端应用文件的安全保障。

附图说明

图1为本发明的基于数据沙箱的文件保护系统的结构示意图。

图2为本发明基于数据沙箱的文件保护方法的流程图。

图3为本发明基于数据沙箱的文件保护方法的注册流程示意图。

图4为本发明基于数据沙箱的文件保护方法的文件操作示意图。

具体实施方式

下面结合附图对本发明作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。应该指出，以下详细说明都是示例性的，旨在对本申请提供进一步的说明。

除非另有指明，本文使用的所有技术和科学术语具有与本申请所属技术领域的普通技术人员通常理解的相同含义。需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本申请的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

本发明的一种基于数据沙箱的文件保护方法，其实施系统包括：终端数据沙箱、服务端。

参见附图1所示，所述数据沙箱包括：配置管理模块、进程检测模块、文件监控模块、数据处理模块。

所述配置管理模块用于管理注册应用和沙箱存储区文件，以及实时更新服务端配置的访问控制策略。

所述进程检测模块用于计算并校验应用程序度量值。

所述文件监控模块用于保护沙箱存储区文件进出，通过文件目录映射与转向机制实现文件隔离。

所述数据处理模块处于文件监控模块下层，用于通过加密方式保护注册应用程序对应存储区中的数据。

所述服务端包括终端应用管理和策略管理模块。

所述终端应用管理模块用于注册、查看、注销终端应用。

所述策略管理模块用于配置终端应用文件的访问控制策略。

所述数据沙箱部署运行在终端设备上，所述终端设备包括但不限于PC计算机。

所述服务端可以部署运行在独立物理或虚拟环境中，服务端所在环境的配置规格参数不影响本发明的保护范围。

通过所述数据沙箱与服务部署运行，实现本发明的一种基于数据沙箱的文件保护方法，具体包括下列步骤，如附图2所示：

步骤S1、检测目标应用程序，建立安全传输通道，提交注册请求；

步骤S2、服务端注册终端应用，生成数据保护密钥，返回注册结果；

步骤S3、沙箱创建文件存储区，绑定数据保护密钥；

步骤S4、沙箱开启监控，将注册应用程序对文件的操作限制在沙箱内部文件存储区中；

步骤S5、沙箱采用加密方式保护文件存储区数据；

本发明实施例使用的示意图将各步骤描述成顺序的处理，其内部较多步骤可以并行实施。

在步骤S1之前还需要通过配置管理界面选定目标应用程序执行文件，具体地，所述步骤S1包括：

步骤S11、通过沙箱配置管理模块提供的管理配置界面选定沙箱应用程序，调用进程检测模块计算应用程序度量值，其中所述度量值为沙箱应用程序的哈希值，进程检测模块首先定位进程及子进程的程序文件路径，然后采用杂凑算法计算程序文件的16字节哈希值，将此哈希值作为进程完整性校验的静态度量值，并记录进程关键内存信息,window系统中IAT表信息、linux系统中GDT和LDT信息；

步骤S12、设置沙箱应用管理密码，用于将应用涉及的文件导出沙箱存储区；

步骤S13、与服务端建立安全传输通道，采用SSL加密通信方式，提交注册请求数据，所述注册请求数据包括终端设备信息、目标应用程序名、目标应用程序度量值、应用管理密码、非对称密钥中的公钥数据，其中非对称密钥的生成是采用非对称算法将应用程序文件的度量值以及应用管理密码作为因子生成数据存储区的非对称密钥。

所述进程检测模块运行在系统内核，负责监控进程的创建、加载操作，当应用程序进程创建加载时对进程进行度量校验，同时对进程关键内存进行扫描校对，并对注册过的应用程序与存储区进行关联记录，当进程进行文件操作时，文件监控模块能够依据关联记录快速判定进程合法性以及对应的存储区。

所述步骤S2包括：

步骤S21、依据终端沙箱注册请求，创建终端应用管理节点；

步骤S22、服务端采用对称算法创建16字节对称密钥，此对称密钥作为应用存储区数据加解密的保护密钥，并使用终端提交的非对称密钥对对称密钥数据进行加密保护；

步骤S23、配置访问控制策略，包括设置文件导出权限、设置非保护的目录、非保护的指定格式文件；

步骤S24、反馈注册结果给终端沙箱，其中所述注册结果包括被非对称密钥加密的对称密钥数据、访问控制策略、文件存储区标识、应用程序度量值；

结合附图3所示，终端应用注册进沙箱及启动运行，需要完成步骤S3的操作，所述步骤S3包括：

步骤S31、解析服务端反馈的注册结果，根据文件存储区标识创建对应的文件存储区，各文件存储区之间是相互隔离、不可见的，且沙箱内部所有文件存储区对终端系统不可见；

步骤S32、解析服务端反馈的注册结果，将数据保护密钥与文件存储区进行关联，其中数据保护密钥存储在文件存储区内，对外不可见；

其中步骤S31在系统内核层依据步骤S24所述的文件存储区标识创建虚拟存储区空间，并将此存储空间进行隐藏，对外不可见，对存储区文件数据的保护由附图1中的文件监控模块和数据处理模块完成，所述文件监控模块运行在数据处理模块之上，数据处理模块对于文件监控模块不可见，对应具体步骤S4包括：

步骤S41、在文件存储区中构建与终端系统目录的映射关系，使得终端系统目录与文件存储区目录相关联；

步骤S42、对应用程序进程进行监控，计算校对应用程序度量值，将注册应用程序与对应存储区进行关联记录；

步骤S43、注册应用程序对文件的操作行为包括枚举、打开、创建、读取、写入、更名、删除，根据步骤S41中所述的目录映射关系以及步骤S42中所述的关联记录，沙箱向注册应用程序返回文件存储区中已存在的对应文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件；

结合附图4进一步说明步骤S43中文件转向机制，其中附图4仅描述了文件打开及写入文件操作，枚举、读取、更名、删除操作采用了相同机制，具体步骤S43包括：

步骤S431、注册应用程序枚举文件，将沙箱文件存储区中的文件条目与终端系统中的文件条目合并返回给注册应用程序；

步骤S432、注册应用程序创建文件，沙箱向注册应用程序返回文件存储区中的文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件；

步骤S433、注册应用程序读写文件时，如果文件属于非保护的文件或者属于非保护目录下，则不返回沙箱存储区中的文件路径给注册应用程序；

步骤S434、注册应用程序写入文件时，如果沙箱存储区中不存在对应文件，则在沙箱文件存储区中创建对应目录及文件，将外部文件已有数据拷贝进沙箱文件存储区中的文件，将数据只写入到沙箱存储中的文件中；

步骤S435、注册应用程序对文件删除、更名操作时，如果沙箱文件存储区中存在对应的文件，则将终端系统同时存在的文件删除，并向注册应用程序返回文件存储区中对应的文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件。

所述步骤S433中涉及的非保护文件或目录是在服务端进行配置，附图1中所述的配置管理模块为存储区创建独立线程与服务端进行通信，定时与服务端通信，请求更新策略数据，服务端则根据文件存储区标识返回策略数据，配置管理模块接收到新的策略数据则通知文件监控模块进行策略更新。

所述步骤S5具体包括：

步骤S51、注册应用往存储区写入文件时，数据处理单元使用SM4对称密钥对写入存储区的数据进行加密，加密操作对于所述操作步骤S4透明，对于注册应用程序透明；

步骤S52、注册应用读取存储区中文件数据时，数据处理单元使用SM4对称密钥对存储区的数据进行解密，将解密后的数据返回给注册应用程序，解密操作对于所述操作步骤S4透明，对于注册应用程序透明。

如上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims (10)

1.一种基于数据沙箱的文件保护系统，其特征在于，所述基于数据沙箱的文件保护系统包括数据沙箱、服务端；

所述数据沙箱包括：配置管理模块、进程检测模块、文件监控模块、数据处理模块；

所述数据沙箱部署运行在终端设备上；

所述服务端包括终端应用管理模块、策略管理模块；

所述服务端部署运行在独立物理或虚拟环境中。

2.根据权利要求1所述的一种基于数据沙箱的文件保护系统，其特征在于，所述配置管理模块用于管理注册应用和沙箱存储区文件，以及实时更新服务端配置的访问控制策略；

所述进程检测模块用于计算并校验应用程序度量值；

所述文件监控模块用于保护沙箱存储区文件进出，通过文件目录映射与转向机制实现文件隔离；

所述数据处理模块处于文件监控模块下层，用于通过加密方式保护注册应用程序对应存储区中的数据。

3.根据权利要求1所述的一种基于数据沙箱的文件保护系统，其特征在于，所述终端应用管理模块用于注册、查看、注销终端应用；所述策略管理模块用于配置终端应用文件的访问控制策略。

4.一种基于数据沙箱的文件保护方法，用于如权利要求1-3任一项所述的基于数据沙箱的文件保护系统，其特征在于，所述基于数据沙箱的文件保护方法包括下列步骤：

S1、检测目标应用程序，建立安全传输通道，提交注册请求；

S2、服务端注册终端应用，生成数据保护密钥，返回注册结果；

S3、沙箱创建文件存储区，绑定数据保护密钥；

S4、沙箱开启监控，将注册应用程序对文件的操作限制在沙箱内部文件存储区中；

步骤S5、沙箱采用加密方式保护文件存储区数据。

5.根据权利要求4所述的一种基于数据沙箱的文件保护方法，其特征在于，所述步骤S1包括：

S11、通过沙箱配置管理模块提供的管理配置界面选定沙箱应用程序，调用进程检测模块计算应用程序度量值；

S12、设置沙箱应用管理密码，用于将应用涉及的文件导出沙箱存储区；

S13、与服务端建立安全传输通道，采用SSL加密通信方式，提交注册请求数据。

6.根据权利要求4所述的一种基于数据沙箱的文件保护方法，其特征在于，所述步骤S2包括：

S21、依据终端沙箱注册请求，创建终端应用管理节点；

S22、服务端采用对称算法创建16字节对称密钥作为应用存储区数据加解密的保护密钥，并使用终端提交的非对称密钥对对称密钥数据进行加密保护；

S23、配置访问控制策略，包括设置文件导出权限、设置非保护的目录、非保护的指定格式文件；

S24、反馈注册结果给终端沙箱，其中所述注册结果包括被非对称密钥加密的对称密钥数据、访问控制策略、文件存储区标识、应用程序度量值。

7.根据权利要求4所述的一种基于数据沙箱的文件保护方法，其特征在于，所述步骤S3包括：

S31、解析服务端反馈的注册结果，根据文件存储区标识创建对应的文件存储区，各文件存储区之间是相互隔离、不可见的，且沙箱内部所有文件存储区对终端系统不可见；

S32、解析服务端反馈的注册结果，将数据保护密钥与文件存储区进行关联，其中数据保护密钥存储在文件存储区内，对外不可见。

8.根据权利要求4所述的一种基于数据沙箱的文件保护方法，其特征在于，所述步骤S4包括：

S41、在文件存储区中构建与终端系统目录的映射关系，使得终端系统目录与文件存储区目录相关联；

S42、对应用程序进程进行监控，计算校对应用程序度量值，将注册应用程序与对应存储区进行关联记录；

S43、根据步骤S41中所述的目录映射关系以及步骤S42中所述的关联记录，沙箱向注册应用程序返回文件存储区中已存在的对应文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件。

9.根据权利要求8所述的一种基于数据沙箱的文件保护方法，其特征在于，所述步骤S43包括：

S431、注册应用程序枚举文件，将沙箱文件存储区中的文件条目与终端系统中的文件条目合并返回给注册应用程序；

S432、注册应用程序创建文件，沙箱向注册应用程序返回文件存储区中的文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件；

S433、注册应用程序读写文件时，如果文件属于非保护的文件或者属于非保护目录下，则不返回沙箱存储区中的文件路径给注册应用程序；

S434、注册应用程序写入文件时，如果沙箱存储区中不存在对应文件，则在沙箱文件存储区中创建对应目录及文件，将外部文件已有数据拷贝进沙箱文件存储区中的文件，将数据只写入到沙箱存储中的文件中；

S435、如果沙箱文件存储区中存在对应的文件，则注册应用程序对文件删除、更名操作时，将终端系统同时存在的文件删除，并向注册应用程序返回文件存储区中对应的文件位置，使得注册应用程序直接操作沙箱文件存储区中的文件。

10.根据权利要求4所述的一种基于数据沙箱的文件保护方法，其特征在于，所述步骤S5包括：

步骤S51、注册应用往存储区写入文件时，数据处理单元使用SM4对称密钥对写入存储区的数据进行加密，加密操作对于所述操作步骤S4透明，对于注册应用程序透明；

步骤S52、注册应用读取存储区中文件数据时，数据处理单元使用SM4对称密钥对存储区的数据进行解密，将解密后的数据返回给注册应用程序，解密操作对于所述操作步骤S4透明，对于注册应用程序透明。

Images