CN1617487A - 一种协同工作环境下信息泄漏防范系统及其实现方法 - Google Patents

Abstract

本发明涉及网络安全技术领域的协同工作环境下信息泄漏防范系统及其实现方法。包括：客户端和服务端两部分，客户端安装在每台需要操作被保护文件的计算机上，用于执行保护操作；服务端安装在网络中的单独计算机上，用于执行监视和控制客户端的计算机，管理证书和密钥，对用户在客户端对被保护文件，客户端与服务端通过网络连接。方法包括：验证用户的身份和权限；执行解密操作；对被打开的文件时刻监视；对保存内容作加密处理，这样保存在磁盘上的内容永远都是加密的信息，这样保证了文件被以任何方式拷贝到其他地方都是加密的。从根本上解决了协同工作环境下的信息泄漏问题，且对各种应用环境都作了考虑，可用性高。

Description

一种协同工作环境下信息泄漏防范系统及其实现方法

技术领域

本发明涉及网络安全技术领域，特别是一种协同工作环境下信息泄漏防范系统及其实现方法。

背景技术

网络技术的迅速发展，使越来越多的公司、机构通过内部网络或者VPN网等提高了工作效率。但网络在提高了工作效率的同时，也带来了很多信息安全隐患。

可是当前信息安全研究的关注点多是对来自互联网安全威胁的解决方法，或者是对来自内部网络攻击的防范和对内部网络成员越权获取信息的限制。对较大型的网络工作环境下应该如何防止信息泄漏的问题，例如一个制造业公司如何防止竞争对手轻而易举地使用其通过不明渠道非法获取的电子图档问题，迄今为止还缺乏有效的解决途径。

网络化协同工作环境下信息安全隐患的特点，是组织内部的许多员工因为工作需要可以正常接触到各种具有对外保密需求的电子文件。网络中要保护的电子文件往往分布广泛，由于工作需要，这些文件不仅存储在网络中的服务器上，也可能散布在员工的个人计算机上(例如，一个大型产品在设计过程中，其成千上万的电子图档要由许多工程师在不同的计算机上协同设计)；对这些文件也不可能完全事先加密，因为不断有新的文件从不同的计算机上在协同工作的过程中源源不断地动态产生着。这样，就存在着许多潜在的出口可以泄漏需要保护的文件，不管是通过网络还是通过移动存储介质。

如何防止这些电子文件的非法泄漏，已经不是一般性的信息安全方法所能解决的。现有的解决途径多是强调制度的执行，如对服务器访问的监控，对内部员工行为的限制，有限的安全保障——如发送邮件不允许加密，要接受检查等等。

发明内容

有鉴于此，本发明的主要目的是提供一种企业网中的信息保护解决方案，以解决协同工作环境下的信息泄漏问题。为此目的提供一种协同工作环境下信息泄漏防范系统及其实现方法。

本发明的另一个目的在于提供一种信息保护办法，以提高信息泄漏防护的可靠性和灵活性。

本发明的技术方案

协同工作环境下信息泄漏防范系统，由客户端和服务端两部分组成：客户端安装在每台需要操作被保护文件的计算机上，用于执行保护操作；服务端安装在网络中的单独计算机上，用于执行监视和控制客户端的计算机，管理证书和密钥，对用户在客户端对被保护文件的操作做出认证操作，其特征在于，客户端与服务端通过网络连接。

协同工作环境下信息泄漏防范系统的工作方法步骤：

步骤201，当客户端上要对被保护文件操作时，首先验证用户的身份和权限；

步骤202，认证通过后，在打开被保护文件前执行解密操作，并把操作信息传送至服务器端记录；

步骤203，对被打开的文件时刻监视，判断文件是否是被解密后打开；

步骤204，如被打开的文件被编辑后保存，则对保存内容作加密处理，这样保存在磁盘上的内容永远都是加密的信息，这样保证了文件被以任何方式拷贝到其他地方。

由上述方法可以看出，本发明提供了协同工作环境下的信息泄漏防范系统及其工作方法，对动态散布在网络中的各个计算机的被保护的文件，采用从根本上防止信息泄漏的方法，即无论从何渠道造成的信息泄漏，得到的文件都是加密的。同时还防止了在脱离协同工作环境的其他地方安装客户端软件来解密文件和非法计算机连入协同工作网络中解密文件。在系统的可用性上，可以对不同的用户设置不同的操作权限；当有文件要和外部交互时，对授权者提供了手动加解密等方案；整套系统方案完整，从根本上解决了协同工作环境下的信息泄漏问题，且对各种应用环境都作了考虑，可用性高。

附图说明

图1为本发明信息泄漏防范系统示意图。

图2为本发明信息泄漏防范的技术实现流程图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下通过具体实施例，对本发明进一步详细说明。

图1为信息泄漏防范系统的示意图。如图所示，防范系统主要包括由两部分组成：客户端和服务端。客户端安装在每台需要操作被保护文件的计算机上，用于执行保护操作。服务端安装在网络中的单独计算机上，用于执行监视和控制客户端的计算机，管理证书和密钥，对用户在客户端对被保护文件的操作做出认证等操作。特征在于，客户端与服务端通过网络连接。图1的各功能特征组合装置，组合构成了本发明的系统。

服务端有以下装置：监控装置1、身份认证装置2、数据库3、证书和密钥管理装置4、远程控制装置5和数据传输装置6。特征在于，数据传输装置6通过数据总线分别与监控装置1、身份认证装置2、数据库3、证书和密钥管理装置4、远程控制装置5连接。

客户端有以下装置：数据传输装置7、密钥管理装置8、动态加解密装置10、密钥生成装置11、保护权限设置装置12、证书验证装置13和证书生成装置14。特征在于，密钥管理装置8分别连接于数据传输装置7和动态加解密装置10、密钥生成装置11，证书生成装置14通过证书验证装置13连接于数据传输装置7，保护权限设置装置12连接于密钥生成装置11。

如果要把被保护文件给内部网外的人员，还要经过手动加解密装置9。

密钥是为加解密文件所用的，对文件的加密使用非对称加密算法。证书是验证用户的合法性所用的，在服务端建立CA(CertificateAuthority证书认证中心)认证中心，使用证书认证方式确定用户的身份及其权限。

保护权限设置装置12用于在用户初始加密文件时使用，执行用户选择的权限设置方式。权限包括不同身份的用户对文件的读、写、执行、打印、屏幕拷贝等权限。

保护权限设置后，密钥生成装置11用于执行初始加密文件的操作，并由密钥管理装置8记录和管理被加密文件及其对应的密钥。密钥管理装置8还通过数据传输装置6、7把相关信息传送给服务端保存。当服务端远程控制客户端时，由密钥管理装置8执行相关操作。

密钥管理装置8记录和管理被保护文件及其对应的密钥，当客户端需要打开被保护的文件时，密钥管理装置提供正确的密钥。

动态加解密装置10在打开被保护的文件时依据密钥对文件动态解密，使用户能依照权限读写文件。当被保护的文件保存时，动态加解密装置10对文件动态加密，保证存放在磁盘上的文件永远是以加密形式存在的，达到防止信息泄漏的效果。

数据传输装置6、7通过网络以加密的方式把数据信息在客户端和服务端之间传递。

在客户端中，还有证书生成装置14，此装置用于依据计算机上硬件的一些特征，例如硬盘的序列号，网卡的MAC(Media AccessControl介质访问控制层)地址等生成证书。以此证书来保证运行被保护文件计算机的合法性，防止客户端被安装在仿冒的计算机上非法获得信息。此装置还依据用户的一些个人信息生成相应的证书验证用户身份，用户把自己的证书用移动磁盘等介质随身携带，以在内部网或自定义的安全组中其他计算机上都能以自己的身份和权限使用被保护文件。

证书验证装置13用于验证用户或计算机是否合法，如果用户或计算机不合法，证书验证装置13及时阻止操作并通知服务端。证书验证装置13还负责把相关证书发送到服务端，并在验证时从服务端的身份认证装置2处取得验证结果。

数据传输装置6、7用加密方式在客户端和服务端之间传输各种信息，信息传送到服务端后，服务端对客户端进行各种管理，如果离开内部网，连接不上服务端，客户端就不能工作，而被保护文件是以加密的形式保存在计算机上的，没有客户端的解密，文件信息不会泄漏。

服务端的数据库3用于存放客户端的用户信息、密钥、证书、用户操作等信息。用户信息、密钥和证书保存在服务端的数据库中，客户端需要密钥和证书时，从服务端下载，用户权限信息包括在用户信息中。

监控装置1用于显示接受管理的所有客户端的工作状态，只有在监控装置1中加入一个客户端，安装此客户端的计算机才能正常工作。

远程控制装置5用于管理和控制所有客户端。使服务端能远程对客户端做各种配置，加强防止信息泄漏的力度。远程控制装置5对客户端发送各种命令，这些命令通过数据传输装置6、7传送至客户端。典型的命令如可以让一台安装客户端的计算机停止工作、给在这台计算机上工作的用户设置特别的权限等。

证书和密钥管理装置4用于管理数据库中的证书和密钥，可以在服务端查询特定的证书和密钥，接到客户端请求后，管理装置4找到客户端需要的证书或密钥，通过数据传输装置6、7传递给客户端。

身份认证装置2确定用户是否能够操作，以什么权限操作被保护文件。当客户端有被保护文件被操作时，客户端发送请求至服务端，由身份认证装置确定是否能够操作，如身份认证装置确定是非法操作请求，则返回结果至客户端，由客户端阻止这个操作。

图2是本发明的技术实现流程图，参见图2，对本发明的防信息泄漏的实现方法进一步说明。

当客户端上要对被保护文件操作时，首先验证用户的身份和权限，计算机的合法性。用户的身份用多种方式标识，如用户帐号、用户的唯一证书、用户的指纹标识等。不同的用户使用同一台计算机也通过用户的身份鉴别，保证不同的用户在一台计算机上有不同的操作权限。计算机的合法性也要验证，通过取计算机上的硬件标识确定计算机的合法性，例如计算机的硬盘序列号、网卡的硬件地址等。

步骤201，验证用户身份和计算机的合法性是通过向服务端发送请求，由服务端身份认证装置2验证的，并把用户的权限传送到客户端。客户端依照服务器验证后的权限由动态加解密装置10对被保护文件进行操作，如果验证失败，则不允许对被保护文件操作。通过网络验证用户身份和计算机的合法性保证离开内部网络后就不能操作文件，解决了内部文件被种种手段带出内部网络后泄漏的问题；也保证了如果是外来的计算机即使接入内部网络也不能操作受保护的文件，防止了信息泄漏。如果要在外部操作被保护文件，可以由管理员解密后传递出网络，确保了传递出网络的文件都经过验证。

步骤202，认证通过后，在打开被保护文件前由动态加解密装置10执行解密操作，并把操作信息传送至服务器端记录。对使用者来说，解密操作是透明的，感觉不到解密操作。使用者感觉到的是被保护文件被应用软件正常打开了。而如果步骤201的验证没通过，则使用者会看到应用软件返回报告打不开文件。这步操作的创新性在于用户还是使用正常的应用软件操作被保护文件，解密操作透明，解决了常见的加解密操作需要第三方加解密工具转换的问题。

步骤203，对被打开的文件时刻监视，判断文件是否是被解密后打开的，如是，则按照当前用户对此文件的权限进行控制，防止信息的泄漏。即使是该计算机上动态产生的新文件，保存时也会由动态加解密装置10自动加密。

步骤204，如被打开的文件被编辑后保存，则对保存内容作加密处理。这样保存在磁盘上的内容永远都是加密的信息，这样保证了文件被以任何方式拷贝到其他地方都是加密的。这步操作的创新性在于通过被保护文件保存在磁盘上前就加密的方法，从源头上堵住信息泄漏的途径，解决了通过堵住各种信息泄漏途径来防止信息泄漏时对每种信息泄漏途径都要开发相应的技术保护手段，并且不能堵住所有信息泄漏途径的问题。例如，原有的信息泄漏防范的方法可能针对电子邮件开发一种防止信息泄漏手段，针对移动硬盘又要开发一种防止信息泄漏手段等，防不胜防。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1、一种协同工作环境下信息泄漏防范系统，由客户端和服务端两部分组成：客户端安装在每台需要操作被保护文件的计算机上，用于执行保护操作；服务端安装在网络中的单独计算机上，用于执行监视和控制客户端的计算机，管理证书和密钥，对用户在客户端对被保护文件的操作做出认证操作，其特征在于，客户端与服务端通过网络连接。

2、根据权利要求1的协同工作环境下信息泄漏防范系统，其特征在于，服务端有以下装置：

监控装置1，用于显示接受管理的所有客户端的工作状态；

身份认证装置2，确定用户是否能够操作；

数据库3，用于存放客户端的用户信息；

证书和密钥管理装置4，用于管理数据库中的证书和密钥；

远程控制装置5，用于管理和控制所有客户端；

数据传输装置6，用于客户端和服务端之间的数据传输；

其特征在于，数据传输装置6通过数据总线分别与监控装置1、身份认证装置2、数据库3、证书和密钥管理装置4、远程控制装置5连接。

3、根据权利要求1的协同工作环境下信息泄漏防范系统，其特征在于，客户端有以下装置：

数据传输装置7，用于客户端和服务端之间的数据传输；

密钥管理装置8，记录和管理被保护文件及其对应的密钥；

动态加解密装置10，在打开被保护的文件时依据密钥对文件动态解密，使用户能依照权限读写文件，当被保护的文件保存时，对文件动态加密；

密钥生成装置11，用于执行初始加密文件的操作；

保护权限设置装置12，用于在用户初始加密文件时使用，执行用户选择的权限设置方式；

证书验证装置13用于验证用户或计算机是否合法；

证书生成装置14，用于依据计算机上硬件的特征，生成证书；

其特征在于，密钥管理装置8分别连接于数据传输装置7和动态加解密装置10、密钥生成装置11，证书生成装置14通过证书验证装置13连接于数据传输装置7，保护权限设置装置12连接于密钥生成装置11。

4、根据权利要求1的协同工作环境下信息泄漏防范系统，其特征在于，当要把被保护文件给内部网外的人员，对授权者提供有手动加解密装置9。

5、一种协同工作环境下信息泄漏防范系统，由客户端和服务端两部分组成，包括：显示接受管理、监控所有客户端工作状态的监控装置1；

确定用户是否能够操作的身份认证装置2；

存放客户端的用户信息的数据库3；

管理数据库中的证书和密钥的证书和密钥管理装置4；

管理和控制所有客户端的远程控制装置5；

客户端和服务端之间的数据传输的数据传输装置6和7；

其特征在于，数据传输装置6通过数据总线分别与监控装置1、身份认证装置2、数据库3、证书和密钥管理装置4、远程控制装置5连接；

记录和管理被保护文件及其对应的密钥的密钥管理装置8；

在打开被保护的文件时依据密钥对文件动态解密，使用户能依照权限读写文件，当被保护的文件保存时，对文件动态加密的动态加解密装置10；

执行初始加密文件的操作的密钥生成装置11；

在用户初始加密文件时使用，执行用户选择的权限设置方式的保护权限设置装置12；

验证用户或计算机是否合法的证书验证装置13；

依据计算机上硬件的特征，生成证书的证书生成装置14；

其特征在于，密钥管理装置8分别连接于数据传输装置7和动态加解密装置10、密钥生成装置11，证书生成装置14通过证书验证装置13连接于数据传输装置7，保护权限设置装置12连接于密钥生成装置11；

由上述装置构成本发明的整体系统。

6、一种协同工作环境下信息泄漏防范系统的方法，其步骤如下：

步骤201，验证用户身份和计算机的合法性是通过向服务端发送请求，由服务端端验证的，并把用户的权限传送到客户端，客户端依照服务器验证后的权限对被保护文件进行操作，如果验证失败，则不允许对被保护文件操作；

步骤202，认证通过后，在打开被保护文件前执行解密操作，并把操作信息传送至服务器端记录，如果步骤201的验证没通过，则使用者会看到应用软件返回报告打不开文件；

步骤203，对被打开的文件时刻监视，判断文件是否是被解密后打开的，如是，则按照当前用户对此文件的权限进行控制，防止信息的泄漏；

步骤204，如被打开的文件被编辑后保存，则对保存内容作加密处理，这样保存在磁盘上的内容永远都是加密的信息，这样保证了文件被以任何方式拷贝到其他地方。

7、根据权利要求5的协同工作环境下信息泄漏防范系统的方法，其特征在于，用户的身份用多种方式标识，如用户帐号、用户的唯一证书、用户的指纹标识。

8、根据权利要求5的协同工作环境下信息泄漏防范系统的方法，其特征在于，计算机的合法性验证，通过取计算机上的硬件标识确定计算机的合法性，如计算机的硬盘序列号、网卡的硬件地址。

Images