CN118427896A - 一种存储设备数据泄露防护系统 - Google Patents

Abstract

本发明公开了一种存储设备数据泄露防护系统，所述防护系统包括读取模块、验证模块、分区模块、密钥模块、切换模块、存储重定向模块，所述读取模块，被配置为在存储设备接入终端设备时，自动读取终端设备的基础信息；所述验证模块，被配置对各类型访问请求以及基础信息进行验证，基于验证结果提供相应的操作权限；所述分区模块，被配置为将将U盘存储分区设置为隐藏区、普通区；所述切换模块，被配置为根据验证结果，向终端设备开放隐藏区或普通区；所述密钥模块，被配置为对存储在所述隐藏区的文件执行加密/解密操作；所述存储重定向模块，被配置为将隐藏区或普通区中打开的文件时所生成的缓存文件移动至隐藏区中，并自动删除对应的缓存文件。

Description

一种存储设备数据泄露防护系统

技术领域

本发明涉及数据防泄露技术领域，特别是涉及一种存储设备数据泄露防护系统。

背景技术

U盘等存储设备是人们文件共享、交流的重要移动存储设备。它使用灵活、价格便宜，但也给单位的机密资料外泄带来了严重的隐患和危害。大部分单位都部署了相应的安全管理软件来解决U盘泄密的问题，涉密单位更有严禁普通U盘交叉使用的政策规定。目前绝大多数的单位，均采用光盘刻录的方式来解决内外网数据交换的问题，使用光盘刻录文件可以有效地阻止病毒木马的传播，但对于内网用户而言，日常使用的文件采用光盘刻录后进行传输是较为浪费的。

发明内容

针对上述现有技术，本发明在于提供一种存储设备数据泄露防护系统，主要解决上述背景技术中存在的技术问题。

为达到上述目的，本发明实施例的技术方案是这样实现的：一种存储设备数据泄露防护系统，所述防护系统包括读取模块、验证模块、分区模块、密钥模块、切换模块、存储重定向模块，所述读取模块，被配置为在存储设备接入终端设备时，自动读取终端设备的基础信息；所述验证模块，被配置对各类型访问请求以及基础信息进行验证，基于验证结果提供相应的操作权限；所述分区模块，被配置为将将U盘存储分区设置为隐藏区、普通区；所述切换模块，被配置为根据验证结果，向终端设备开放隐藏区或普通区；所述密钥模块，被配置为对存储在所述隐藏区的文件执行加密/解密操作；所述存储重定向模块，被配置为将隐藏区或普通区中打开的文件时所生成的缓存文件移动至隐藏区中，并在普通区中打开的文件被关闭后，自动删除对应的缓存文件。

可选的，所述基础信息包括终端设备的本机识别码，所述验证模块将所获得的基础信息与预存的基础信息进行自动对比，判断终端设备来自内网还是外网，对于来自内网的终端设备，则切换模块开放普通区，并在终端设备的特定界面中展示普通区文件。

可选的，当所述验证模块在收到来自外网的终端设备的访问请求后，将收到的访问请求与预存的访问验证信息进行对比，若对比一致，则在切换模块开放隐藏区，并在来自外网的终端设备的特定界面中展示隐藏区文件，若对比不一致，所述存储设备拒绝响应来自外网的终端设备的访问请求。

可选的，来自外网的终端设备向存储设备发送访问请求前，来自外网的终端设备从云端验证服务器处下载特定文件，并将前述特定文件的哈希值以及本机识别码作为凭证向云端验证服务器进行审批，若审批通过，云端验证服务器向来自外网的终端设备反馈访问凭证，来自外网的终端设备前述特定文件的哈希值以及访问凭证作为访问请求内容。

可选的，所述云端验证服务器处下载的特定文件为临时文件，当被来自外网的终端设备下载后，自动从云端验证服务器中删除，不再保留。

可选的，所述验证模块在收到来自内网的终端设备的刻录验证请求后，将收到的刻录验证请求与预存的刻录验证信息进行对比，若对比一致，则切换模块开放隐藏区作为刻录文件的存储区域。

可选的，来自内网的终端设备向存储设备发送刻录验证请求前，来自内网的终端设备获取存储设备的唯一识别码，并将该唯一识别码以及本机识别码作为凭证向本地验证服务器进行验证，若验证通过，本地验证服务器向所述终端设备反馈刻录凭证，来自内网的终端设备以本机识别码以及刻录凭证作为刻录验证请求。

可选的，所述系统还包括第一检测模块、第二检测模块以及日志生成模块，当所述刻录软件基于所述刻录验证请求对终端设备上的文件展开刻录操作时，所述第一检测模块，被配置为获取终端设备中的待刻录文件列表，并形成源文件原始路径说明，所述源文件原始路径包括待刻录文件在终端设备上的存储路径、终端设备码、单个文件刻录开始时间、存储设备码；所述第二检测模块，被配置为获取存储设备中的已刻录文件列表，并形成刻录文件目标路径说明，所述刻录文件目标路径包括已刻录文件在存储设备上的存储路径、存储设备码、单个文件刻录结束时间、终端设备码；所述日志生成模块，被配置为基于源文件原始路径说明以及刻录文件目标路径说明形成日志文件，并将所述日志文件存储至隐藏区中。

可选的，所述密钥模块包括加密单元、解密单元、PIN码生成单元，所述加密单元，被配置为当刻录操作结束后，基于加密算法对刻录文件的修改权限、复制权限、查看权限进行加密操作；所述PIN码生成单元，被配置为通过设置一个用户口令生成特定刻录文件的PIN码；所述解密单元，被配置为需要验证此PIN码成功之后才可以基于加密算法进行解密操作。

本发明的有益效果在于：通过读取模块会自动读取终端设备的唯一基础信息，并通过所述验证模块进行各类型访问请求的验证，对于验证不通过的访问请求，拒绝访问存储设备，对于验证通过的访问请求，其切换模块根据验证结果，向终端设备开放隐藏区或普通区，使用户在内网日常文件传输中，可以使用普通区的空间进行，而当存储设备插接到外网设备上时，会自动封闭普通区空间，仅需要依据事先申请的权限，才能打开隐藏区，避免用户恶意将文件放置在普通区中进而流入外网中，解决电子文档防泄漏、非授权访问的问题，另外通过密钥模块对存储在所述隐藏区的文件执行加密/解密操作，提高数据安全的能力，同时上述系统还具备存储重定向功能，即将隐藏区或普通区中打开的文件时所生成的缓存文件移动至隐藏区中，并在普通区中打开的文件被关闭后，自动删除对应的缓存文件，避免技术人员通过简单的数据恢复手段恢复从缓存文件中进行恢复，进一步提升了数据防泄漏的效果。

附图说明

图1为本申请实施例中存储设备数据泄露防护系统的模块结构示意图；

1读取模块,2验证模块,3分区模块,4密钥模块,401加密单元，402解密单元，403PIN码生成单元,5切换模块,6存储重定向模块。

具体实施方式

以下结合说明书附图及具体实施例对本发明技术方案做进一步的详细阐述。除非另有定义，本文所使用的所有的技术和科学术语与属于本发明的技术领域的技术人员通常理解的含义相同。本文中在本发明的说明书中所使用的术语只是为了描述具体的实施例的目的，并不是旨在于限制本发明。在以下描述中，涉及到“一些实施例”的表述，其描述了所有可能实施例的子集，但是应当理解的是，“一些实施例”可以是所有可能实施例的相同子集或不同子集，并且可以在不冲突的情况下相互结合。

在以下描述中，给出了大量具体的细节以便提供对本发明更为彻底的理解。然而，对于本领域技术人员而言显而易见的是，本发明可以无需一个或多个这些细节而得以实施。在其他的例子中，为了避免与本发明发生混淆，对于本领域公知的一些技术特征未进行描述。

应当理解的是，本发明能够以不同形式实施，而不应当解释为局限于这里提出的实施例。相反地，提供这些实施例将使公开彻底和完全，并且将本发明的范围完全地传递给本领域技术人员。并且在此使用的术语的目的仅在于描述具体实施例并且不作为本发明的限制。在此使用时，单数形式的“一”、“一个”和“所述/该”也意图包括复数形式，除非上下文清楚指出另外的方式。还应明白术语“组成”和/或“包括”，当在该说明书中使用时，确定所述特征、整数、步骤、操作、元件和/或部件的存在，但不排除一个或更多其它的特征、整数、步骤、操作、元件、部件和/或组的存在或添加。在此使用时，术语“和/或”包括相关所列项目的任何及所有组合。

另需要说明的是，当元件被称为“固定于”另一个元件，它可以直接在另一个元件上或者也可以存在居中的元件。当一个元件被认为是“连接”另一个元件，它可以是直接连接到另一个元件或者可能同时存在居中元件。本文所使用的术语“竖直的”、“水平的”、“内”、“外”、“左”、“右”以及类似的表述只是为了说明的目的，并不表示是唯一的实施方式。

为了彻底理解本发明，将在下列的描述中提出详细的结构，以便阐释本发明提出的技术方案。本发明的可选实施例详细描述如下，然而除了这些详细描述外，本发明还可以具有其他实施方式。

请结合参照附图1，本申请提供一种存储设备数据泄露防护系统，所述防护系统包括读取模块1、验证模块2、分区模块3、密钥模块4、切换模块5、存储重定向模块6，所述读取模块1，被配置为在存储设备接入终端设备时，自动读取终端设备的基础信息；所述验证模块2，被配置对各类型访问请求以及基础信息进行验证，基于验证结果提供相应的操作权限；所述分区模块3，被配置为将将U盘存储分区设置为隐藏区、普通区；所述切换模块5，被配置为根据验证结果，向终端设备开放隐藏区或普通区；所述密钥模块4，被配置为对存储在所述隐藏区的文件执行加密/解密操作；所述存储重定向模块6，被配置为将隐藏区或普通区中打开的文件时所生成的缓存文件移动至隐藏区中，并在普通区中打开的文件被关闭后，自动删除对应的缓存文件。

本申请公开的系统，其主要运行在存储设备中，而存储设备包括U盘等，但不包括光盘，终端设备包括电脑等，存储设备中的存储空间被分成普通区以及隐藏区，在内网进行普通文件转移时，通常使用普通区内的空间，对于刻录文件以及实现内/外网文件的转移时，仅能使用隐藏区空间，无法使用普通区空间，当存储设备插入终端设备时，其读取模块1会自动读取终端设备的唯一基础信息，并通过所述验证模块2进行各类型访问请求的验证，对于验证不通过的访问请求，拒绝访问存储设备，对于验证通过的访问请求，其切换模块5根据验证结果，向终端设备开放隐藏区或普通区，例如，对于终端设备为内网时，操作人员可以直接使用U盘的普通区进行普通文件的存储以及转移，且仅在刻录文件或进行机密文件转移时，才能使用隐藏区，若终端设备为外网时，则需要依据事先申请的权限，才能打开隐藏区，而普通区在终端设备为外网时，始终无法操作，另外，本发明公开的系统通过密钥模块4对存储在所述隐藏区的文件执行加密/解密操作，提高数据安全的能力，同时上述系统还具备存储重定向功能，即将隐藏区或普通区中打开的文件时所生成的缓存文件移动至隐藏区中，并在普通区中打开的文件被关闭后，自动删除对应的缓存文件，避免技术人员通过简单的数据恢复手段恢复从缓存文件中进行恢复，进一步提升了数据防泄漏的效果。

具体的，所述基础信息包括终端设备的本机识别码，所述验证模块2将所获得的基础信息与预存的基础信息进行自动对比，判断终端设备来自内网还是外网，对于来自内网的终端设备，则切换模块5开放普通区，并在终端设备的特定界面中展示普通区文件。

本发明的防护系统在正式使用前，通常会将位于内网中的终端设备的本机识别码进行存储，当存储设备插入终端设备时，其读取模块1会自动读取终端设备上唯一的本机识别码，并将前述本机识别码与预存的本机识别码进行自动对比，判断终端设备来自内网还是外网，若是终端设备来自内网，则切换模块5开放普通区，并在终端设备的特定界面中展示普通区文件，方便用户进行普通文件的传输以及转移。

若是终端设备来自外网，则需要来自外网的终端设备获得临时访问凭证后才能让用户查看隐藏区中的文件，而普通区的文件始终不被显示。

具体的，来自外网的终端设备获得临时访问凭证的方如下：来自外网的终端设备从云端验证服务器处下载特定文件，并将前述特定文件的哈希值以及本机识别码作为凭证向云端验证服务器进行审批，若审批通过，云端验证服务器向来自外网的终端设备反馈访问凭证，来自外网的终端设备前述特定文件的哈希值以及访问凭证作为访问请求内容，本发明实施例对计算文件的哈希值的方法不作限定，例如可以采用MD5算法计算文件的哈希值。

进一步的，当所述验证模块2在收到来自外网的终端设备的访问请求后，将收到的访问请求与预存的访问验证信息进行对比，若对比一致，则在切换模块5开放隐藏区，并在来自外网的终端设备的特定界面中展示隐藏区文件，若对比不一致，所述存储设备拒绝响应来自外网的终端设备的访问请求。

进一步的，所述云端验证服务器处下载的特定文件为临时文件，当被来自外网的终端设备下载后，自动从云端验证服务器中删除，不再保留。

具体的，仅当来自内网的终端设备才能向存储设备发起刻录验证请求，对于来自外网的终端设备所发起的刻录验证请求，存储设备不给予响应。

进一步的，其刻录软件设置在内网终端设备上，当需要进行刻录操作时，且当所述验证模块2在收到来自内网的终端设备的刻录验证请求后，将收到的刻录验证请求与预存的刻录验证信息进行对比，若对比一致，则切换模块5开放隐藏区作为刻录文件的存储区域。

进一步的，刻录验证请求中包含刻录凭证，其获得刻录凭证的方式如下：来自内网的终端设备获取存储设备的唯一识别码，并将该唯一识别码以及本机识别码作为凭证向本地验证服务器进行验证，若验证通过，本地验证服务器向所述终端设备反馈刻录凭证，来自内网的终端设备以本机识别码以及刻录凭证作为刻录验证请求。

在本发明的一些实施方式中，所述系统还包括第一检测模块、第二检测模块以及日志生成模块，当所述刻录软件基于所述刻录验证请求对终端设备上的文件展开刻录操作时，所述第一检测模块，被配置为获取终端设备中的待刻录文件列表，并形成源文件原始路径说明，所述源文件原始路径包括待刻录文件在终端设备上的存储路径、终端设备码、单个文件刻录开始时间、存储设备码；所述第二检测模块，被配置为获取存储设备中的已刻录文件列表，并形成刻录文件目标路径说明，所述刻录文件目标路径包括已刻录文件在存储设备上的存储路径、存储设备码、单个文件刻录结束时间、终端设备码；所述日志生成模块，被配置为基于源文件原始路径说明以及刻录文件目标路径说明形成日志文件，并将所述日志文件存储至隐藏区中。

示例性的，刻录软件在将存储在终端设备D盘上的文件刻录至存储设备时，刻录软件会不断的读取本地硬盘上文件的内容并写入存储设备，由于刻录软件读取了哪些文件是已知的，因此所读取的文件的路径也是已知的，单个文件刻录开始时间也是已知的，因此第一检测模块可以采集上述信息生成源文件原始路径说明，同理，转录后的文件的路径也是已知的，因此第二检测模块可以采集上述信息生成刻录文件目标路径说明，通过所形成的日志文件，用户可以很清晰明了的知晓转录文件的源文件来自哪台终端设备，以及在该终端设备上的存储路径是什么，便于用户实现数据溯源。

进一步的，所述密钥模块4包括加密单元401、解密单元402、PIN码生成单元403，所述加密单元401，被配置为当刻录操作结束后，基于加密算法对刻录文件的修改权限、复制权限、查看权限进行加密操作；所述PIN码生成单元403，被配置为通过设置一个用户口令生成特定刻录文件的PIN码；所述解密单元402，被配置为需要验证此PIN码成功之后才可以基于加密算法进行解密操作。

示例性的，对于刻录文件，其刻录成功后，刻录文件的修改权限、复制权限、查看权限均被加密，当用户需要对上述刻录文件进行修改、复制、查看时，均需要对应的PI N码，只有当PIN码验证成功后，解密单元才能进行解密操作，按需要解除上述权限。

以上，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。本发明的保护范围应以所述权利要求的保护范围以准。

Claims (9)

1.一种存储设备数据泄露防护系统，其特征在于，所述防护系统包括读取模块、验证模块、分区模块、密钥模块、切换模块、存储重定向模块，所述读取模块，被配置为在存储设备接入终端设备时，自动读取终端设备的基础信息；所述验证模块，被配置对各类型访问请求以及基础信息进行验证，基于验证结果提供相应的操作权限；所述分区模块，被配置为将将U盘存储分区设置为隐藏区、普通区；所述切换模块，被配置为根据验证结果，向终端设备开放隐藏区或普通区；所述密钥模块，被配置为对存储在所述隐藏区的文件执行加密/解密操作；所述存储重定向模块，被配置为将隐藏区或普通区中打开的文件时所生成的缓存文件移动至隐藏区中，并在普通区中打开的文件被关闭后，自动删除对应的缓存文件。

2.根据权利要求1所述的一种存储设备数据泄露防护系统，其特征在于，所述基础信息包括终端设备的本机识别码，所述验证模块将所获得的基础信息与预存的基础信息进行自动对比，判断终端设备来自内网还是外网，对于来自内网的终端设备，则切换模块开放普通区，并在终端设备的特定界面中展示普通区文件。

3.根据权利要求2所述的一种存储设备数据泄露防护系统，其特征在于，当所述验证模块在收到来自外网的终端设备的访问请求后，将收到的访问请求与预存的访问验证信息进行对比，若对比一致，则在切换模块开放隐藏区，并在来自外网的终端设备的特定界面中展示隐藏区文件，若对比不一致，所述存储设备拒绝响应来自外网的终端设备的访问请求。

4.根据权利要求3所述的一种存储设备数据泄露防护系统，其特征在于，来自外网的终端设备向存储设备发送访问请求前，来自外网的终端设备从云端验证服务器处下载特定文件，并将前述特定文件的哈希值以及本机识别码作为凭证向云端验证服务器进行审批，若审批通过，云端验证服务器向来自外网的终端设备反馈访问凭证，来自外网的终端设备前述特定文件的哈希值以及访问凭证作为访问请求内容。

5.根据权利要求4所述的一种存储设备数据泄露防护系统，其特征在于，所述云端验证服务器处下载的特定文件为临时文件，当被来自外网的终端设备下载后，自动从云端验证服务器中删除，不再保留。

6.根据权利要求1所述的一种存储设备数据泄露防护系统，其特征在于，所述验证模块在收到来自内网的终端设备的刻录验证请求后，将收到的刻录验证请求与预存的刻录验证信息进行对比，若对比一致，则切换模块开放隐藏区作为刻录文件的存储区域。

7.根据权利要求6所述的一种存储设备数据泄露防护系统，其特征在于，来自内网的终端设备向存储设备发送刻录验证请求前，来自内网的终端设备获取存储设备的唯一识别码，并将该唯一识别码以及本机识别码作为凭证向本地验证服务器进行验证，若验证通过，本地验证服务器向所述终端设备反馈刻录凭证，来自内网的终端设备以本机识别码以及刻录凭证作为刻录验证请求。

8.根据权利要求7所述的一种存储设备数据泄露防护系统，其特征在于，所述系统还包括第一检测模块、第二检测模块以及日志生成模块，当所述刻录软件基于所述刻录验证请求对终端设备上的文件展开刻录操作时，所述第一检测模块，被配置为获取终端设备中的待刻录文件列表，并形成源文件原始路径说明，所述源文件原始路径包括待刻录文件在终端设备上的存储路径、终端设备码、单个文件刻录开始时间、存储设备码；所述第二检测模块，被配置为获取存储设备中的已刻录文件列表，并形成刻录文件目标路径说明，所述刻录文件目标路径包括已刻录文件在存储设备上的存储路径、存储设备码、单个文件刻录结束时间、终端设备码；所述日志生成模块，被配置为基于源文件原始路径说明以及刻录文件目标路径说明形成日志文件，并将所述日志文件存储至隐藏区中。

9.根据权利要求8所述的一种存储设备数据泄露防护系统，其特征在于，所述密钥模块包括加密单元、解密单元、PIN码生成单元，所述加密单元，被配置为当刻录操作结束后，基于加密算法对刻录文件的修改权限、复制权限、查看权限进行加密操作；所述PIN码生成单元，被配置为通过设置一个用户口令生成特定刻录文件的PIN码；所述解密单元，被配置为需要验证此PIN码成功之后才可以基于加密算法进行解密操作。