JP2022531678A - データ漏洩防止 - Google Patents

Abstract

データ漏洩防止（ＤＬＰ）デバイス及びメッセージ処理方法であって、ＤＬＰデバイスはユーザデバイスから送信された、トランスミッションコントロールプロトコルＴＣＰポート情報を含むインターネットプロトコルＩＰメッセージを受信し、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出し、第１のＴＣＰ接続が確立されていない場合、ＩＰメッセージがデータメッセージである時に、ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合し、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定し、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、ＴＣＰポート情報によって、ＴＣＰ接続ペアを確立し、ＴＣＰ接続ペアは、第１のＴＣＰ接続、及びＤＬＰデバイスとサーバとの間の第２のＴＣＰ接続を含む。【選択図】図１

Description

本願は２０１９年５月２１日に中国国家知的財産権局へ提出された、出願番号が２０１９１０４２６３４３．７であり、発明の名称が「データ漏洩防止デバイス及びメッセージ処理方法」である中国特許出願に基づき優先権を主張し、当出願の全ての内容を援用する。

情報技術の急速な発展に伴い、インターネットは、日常事務、通信コミュニケーション、及びコラボレーションに欠かせないものになったが、インターネットが作業の効率を向上させた一方で、情報の記録及びコンピューターへのアクセス制御に対するセキュリティが要求される。しかしながら、社内人がインターネットによりある操作を意図的に、または意図せずに実行することによって、ネットワークリークなどの重大な損失事項がよく発生する。この課題を解決するために、データ漏洩防止（Ｄａｔａ Ｌｅａｋａｇｅ Ｐｒｅｖｅｎｔｉｏｎ、略称ＤＬＰ）技術が提出された。

現在、ＤＬＰ技術でセキュリティ保護を行う時、代理デバイスであるＤＬＰデバイスは、ブリッジによりユーザデバイスとサーバとの間に接続される。ＤＬＰデバイスは、指定された１つ又は複数のトランスミッションコントロールプロトコル（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ、略称ＴＣＰ）ポートを傍受する。ＤＬＰデバイスはユーザデバイスから伝送されたハンドシェイクメッセージを受信した後、予めに設定されたファイアウォール規則によって、指定されたＴＣＰポートにハンドシェイクメッセージをマッピングする。そして、ＤＬＰデバイスは、指定されたＴＣＰポートによって、ユーザデバイスとのＴＣＰ接続を確立する。なお、ＤＬＰ設備は、指定されたＴＣＰポートによって、サーバとのＴＣＰ接続を確立する。

これにより、ＤＬＰ設備は、指定されたＴＣＰポートによって、ユーザデバイス及びサーバとのＴＣＰ接続をそれぞれ確立する。さらに、ユーザデバイスとサーバは、ＤＬＰ設備によって、相手デバイスにメッセージを伝送するようになっている。

前記データ漏洩防止の処理において、ＤＬＰデバイスは指定されたＴＣＰポートを傍受することができ、また、データ漏洩防止の実現はオペレーティングシステムが提供したブリッジとファイアウォール規則に依存するので、ブリッジが故障し、カーネルクラッシュまでもがおこる場合は、ＤＬＰデバイスとユーザデバイス及びサーバのそれぞれとの間で確立されたＴＣＰ接続が中断され、ユーザデバイスがネットワークにアクセスできなくなる問題が発生する。

図１は、本願の実施例が提供するＤＬＰソフトウェア構造の模式図である。 図２は、本願の実施例が提供するＤＬＰデバイスの構成の模式図である。 図３は、本願の実施例が提供するＨＴＴＰメッセージ処理の模式的なフローチャートである。 図４は、本願の実施例が提供する他のＤＬＰデバイスの構成の模式図である。 図５は、本願の実施例が提供するＩＰメッセージ処理の模式的なフローチャートである。 図６は、本願の実施例が提供する代理モジュールのメッセージ処理の模式的なフローチャートである。 図７は本願の実施例が提供するＤＬＰサービススキャンサブモジュールと代理モジュールのメッセージ処理の模式的なフローチャートである。 図８は、本願の実施例が提供するメッセージ処理方法の模式的なフローチャートである。

以下、本願の実施例の図面を参照して、本願の実施例の技術案を明確かつ完全に説明する。勿論、説明される実施例は、本願の一部の実施例にすぎず、すべての実施例ではない。本願における実施例に基づいて、当業者が創造的な働きをしなくでも得られるすべての実施例は、いずれも本願が特許請求する範囲に入る。

本願の実施例は、ＤＬＰデバイスの任意のＴＣＰポートに対する傍受を実現するため、そして、ブリッジの故障やカーネルクラッシュによってユーザがネットワークにアクセスできなくなる問題を解決するために、ＤＬＰデバイスを提供する。図１に示すＤＬＰソフトウェア構造は、ＤＬＰ管理プラットフォームとＤＬＰデバイスとを含む。ＤＬＰ管理プラットフォームは、ユーザに、ＤＬＰデバイスを管理、操作するためのプラットフォームを提供する。

具体的に、ＤＬＰ管理プラットフォームは、ＤＬＰイベント表示モジュールとＤＬＰポリシー作成モジュールとを含む。

ここで、ＤＬＰイベント表示モジュールは、ＤＬＰデバイスが発信したＤＬＰイベントを表示するためのものである。ＤＬＰイベントとは、ＤＬＰデバイスのＤＬＰサービスに対するスキャン処理の処理結果である。処理結果は、メッセージを通過させることやメッセージを遮断することなどを含む。

ＤＬＰポリシー作成モジュールは、ユーザが入力したセキュリティポリシーを受信し、ＤＬＰデバイスにセキュリティポリシーを送信するためのものである。

ＤＬＰデバイスは、ドライバーモジュール、インターネットプロトコル（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ、略称ＩＰ）メッセージ転送モジュール、ＤＬＰ前処理モジュール、アプリケーション（Ａｐｐｌｉｃａｔｉｏｎ、略称ＡＰＰ）代理入口、ＡＰＰ代理出口、ＴＣＰ代理とセキュリティソケットレイヤー（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ、略称ＳＳＬ）オフロードモジュール、ディープパケットインスペクション（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ、略称ＤＰＩ）エンジン、ＤＬＰサービススキャンモジュール、ＤＬＰ通信モジュールなどを含む。

ここで、ドライバーモジュールは、ネットワークカードが受信したＩＰメッセージをユーザモードバッファにマッピングするためのものである。

ＩＰメッセージ転送モジュールはＩＰメッセージを転送するためのものである。ＩＰメッセージ転送モジュールは、完全なＤＬＰデバイスのＩＰメッセージ転送機能を実現できる。

ＤＬＰ前処理モジュールは、ＩＰメッセージフラグメントを再構成すること、及びＴＣＰメッセージフラグメントを再構成することなどのメッセージ前処理操作を行うためのものである。

ＴＣＰ代理とＳＳＬオフロードモジュールは、ＴＣＰユーザモードプロトコルスタック及びオープンセキュリティソケットレイヤー（Ｏｐｅｎ Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ、略称ＯｐｅｎＳＳＬ）暗号ライブラリを管理するためのものである。

中間キャッシュは、ＤＬＰデバイスがＩＰメッセージの処理において生成するデータを一時保存するためのものである。

ＴＣＰ入口は、ＤＬＰデバイスがＩＰメッセージを受信する時に、ＡＰＰ代理入口にＩＰメッセージに対応する構造体を提供するためのものである。ここで、ＩＰメッセージは当該ＴＣＰ入口のＴＣＰポート情報を含む。

ＴＣＰ出口は、ＤＬＰデバイスがＩＰメッセージを送信する時に、ＡＰＰ代理出口にＴＣＰ入口のＴＣＰポート情報を提供するためのものである。

ＡＰＰ代理入口は、ＴＣＰユーザモードプロトコルを呼び出してＴＣＰ入口とＴＣＰ出口を作成し、ＩＰメッセージ転送モジュールがＴＣＰ入口を介してＡＰＰ代理入口に送信するＩＰメッセージに対応する構造体を受信し、ＯｐｅｎＳＳＬ暗号ライブラリを呼び出して、ＩＰメッセージのユーザデータを復号し、復号して得たユーザデータを中間バッファに一時保存し、ＤＰＩエンジンに構造体を送信するためのものである。

ＤＰＩエンジンは、ＡＰＰ代理入口から送信された構造体を受信し、ＩＰメッセージに対してプロトコル分析を行い、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定し、ＩＰメッセージに含まれるユーザデータを復元するためのものである。

ＤＬＰサービススキャンモジュールは、ＤＰＩエンジンから送信されたスキャン通知情報を受信して、ＤＬＰサービスに対してスキャン処理を行うためのものである。具体的に、セキュリティポリシーから、ユーザデータにマッチングする目標マッチング項目を探し、目標マッチング項目に対応する動作項目により、ＡＰＰ代理出口に対応の通知情報を送信する。

ＡＰＰ代理出口は、ＤＬＰサービススキャンモジュールから送信された通知情報を受信し、ＴＣＰ出口を呼び出し、ＩＰメッセージ転送モジュールに指示してメッセージを転送させ、或いは、一時保存されたＩＰメッセージをリリースする。

ＤＬＰ通信モジュールは、ＤＬＰサービススキャンモジュールがＤＬＰサービスに対するスキャン処理の処理結果を取得して、ＤＬＰ管理プラットフォームに処理結果を送信し、ＤＬＰ管理プラットフォームから送信されたセキュリティポリシーを受信するためのものである。

本願の実施例において、ＤＬＰデバイスは、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定した時、ＩＰメッセージに含まれるＴＣＰポート情報に基づいて、ＤＬＰデバイスとユーザデバイスとの第１のＴＣＰ接続、及びＤＬＰデバイスとサーバとの第２のＴＣＰ接続とを確立し、さらに、第１のＴＣＰ接続と第２のＴＣＰ接続によって、ユーザデバイスのデータ漏洩防止を実現する。

ＤＬＰデバイスは、データ漏洩防止において、任意のＴＣＰポートに対する傍受を実現することが理解できる。なお、ＤＬＰデバイスは、他にブリッジやファイアウォール規則を設置せずに、ブリッジの故障やカーネルクラッシュによってユーザがネットワークにアクセスできなくなる問題を解決した。

以下、具体的な実施例によって、本願の実施例が提供するＤＬＰデバイスを説明する。

図２は本願の実施例が提供するＤＬＰデバイスの模式図である。当該ＤＬＰデバイスは、ネットワークカード１０４と、ドライバーモジュール１００と、転送モジュール１０１と、代理モジュール１０２と、ＤＰＩモジュール１０３とを含む。ここで、ドライバーモジュール１００と、転送モジュール１０１と、代理モジュール１０２と、ＤＰＩモジュール１０３とはソフトウェアモジュール、即ち、中央処理装置（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、略称ＣＰＵ）でソフトウェアプログラムを実行して実現するモジュールであってもよい。前記転送モジュール１０１は、図１のＩＰメッセージ転送モジュールである。前記代理モジュール１０２は、図１のＡＰＰ代理出口とＡＰＰ代理入口とを含む。前記ＤＰＩモジュール１０３は、図１のＤＰＩエンジンとＤＰＩサービススキャンモジュールを含む。

ここで、ネットワークカード１０４は、ユーザデバイスから送信されたＩＰメッセージを受信し、ドライバーモジュール１００にＩＰメッセージを送信するためのものである。ＩＰメッセージは、ＩＰヘッダ、ＴＣＰヘッダなどの情報を含む。ここで、ＴＣＰヘッダはＴＣＰポート情報を含む。ＩＰメッセージは、プロトコルメッセージであってもよく、データメッセージでもよい。

ドライバーモジュール１００は、ＩＰメッセージを受信し、ＩＰメッセージをユーザモードバッファに一時保存するためのものである。

本願の実施例において、バッファは、カーネルモードバッファとユーザモードバッファとを含む。ＤＬＰデバイスがカーネルモードバッファにデータを一時保存する速度は、ユーザモードバッファにデータを一時保存する速度より速い。上位層アプリケーションは、ユーザモードバッファに格納されているデータを直接にアクセスできるが、カーネルモードバッファに格納されているデータを直接にアクセスできない。

一例では、ドライバーモジュール１００は、ＩＰメッセージを受信すると、ひとまずＩＰメッセージをカーネルモードバッファに格納し、その後、ＩＰメッセージをカーネルモードバッファからユーザモードバッファにコピーしてもよい。

別の例では、ドライバーモジュール１００は、ＩＰメッセージをユーザモードバッファに格納してもよい。こうすれば、ドライバーモジュール１００は、ＩＰメッセージをカーネルモードバッファからユーザモードバッファにコピーする必要がなくなり、メッセージ処理の効率を向上させる。

一例では、ドライバーモジュール１００として、ＣＰＵが提供するゼロコピーテクノロジーのドライバーモジュール、例えば、データプレーン開発キット（Ｄａｔａ Ｐｌａｎｅ Ｄｅｖｅｌｏｐｍｅｎｔ Ｋｉｔ、略称ＤＰＤＫ）を採用してもよい。それによって、受信したＩＰメッセージを、カーネルモードバッファをスキップするように、ユーザモードバッファに直接に一時保存することを実現できる。

転送モジュール１０１は、ユーザモードバッファからＩＰメッセージを読み取り、ＩＰメッセージに対応する構造体を生成し、代理モジュール１０２に構造体を送信するためのものである。

本願の実施例において、転送モジュール１０１は、ＩＰメッセージを転送し、転送の各段階に上位層のサービスポートを呼び出し、ＩＰメッセージを処理するためのものである。

具体的に、転送モジュール１０１は、ユーザモードバッファからＩＰメッセージを読み取り、ＩＰメッセージを分析し、ＩＰメッセージに対応する構造体を生成することができる。ここで、ＩＰメッセージの構造体は、ＩＰメッセージのＩＰヘッダ情報やＴＣＰヘッダ情報、ＩＰメッセージの格納箇所などを含む。転送モジュール１０１は、ＩＰメッセージに対応する構造体を代理モジュール１０２に送信する。

代理モジュール１０２は、転送モジュール１０１から送信されたＩＰメッセージに対応する構造体を受信し、ＩＰメッセージに対応する構造体によって、ＴＣＰポート情報を取得し、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出し、第１のＴＣＰ接続が確立されていない場合、ＩＰメッセージがデータメッセージである時に、ＤＰＩモジュール１０３にＩＰメッセージに対応する構造体を送信するためのものである。

代理モジュール１０２は、転送モジュール１０１から送信された構造体を受信した後、構造体からＴＣＰポート情報を取得してもよく、構造体に基づいて、ＩＰメッセージの格納箇所を確定し、格納箇所によってＩＰメッセージを見つけ、ＩＰメッセージからＴＣＰポート情報を取得してもよい。代理モジュール１０２は、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出する。

選択可能な一実施例において、ＤＬＰデバイスは、ＴＣＰ接続リストを設置してもよい。ＴＣＰ接続リストは、ＤＬＰデバイスとユーザデバイスとの間に確立したＴＣＰ接続のＴＣＰポート情報を含む。これによって、前記代理モジュール１０２は、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出する処理は、以下のように実現される。

具体的には、代理モジュール１０２は、取得したＴＣＰポート情報によって、ＴＣＰ接続リストに当該ＴＣＰポート情報が含まれているか否かを検出する。含まれている場合、代理モジュール１０２は、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されていると確定する。含まれていない場合、代理モジュール１０２は、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されていないと確定する。

第１のＴＣＰ接続が確立されている場合、代理モジュール１０２は、ＤＰＩモジュール１０３にＩＰメッセージに対応する構造体を送信する。ＤＰＩモジュール１０３は、ＩＰメッセージに対応する構造体によって、ＩＰメッセージに対してプロトコル認識を行う。

第１のＴＣＰ接続が確立されていない場合、代理モジュール１０２は、ＩＰメッセージのメッセージの類型を検出し、即ち、ＩＰメッセージがプロトコルメッセージであるか、データメッセージであるかを検出する。本願の実施例において、プロトコルメッセージは、具体的にハンドシェイクメッセージであってもよい。ハンドシェイクメッセージは、デバイス同士の間でＴＣＰ接続を確立するためのものである。下記実施例において、プロトコルメッセージがハンドシェイクメッセージである例で説明する。

代理モジュール１０２が検出したＩＰメッセージがデータメッセージである場合、代理モジュール１０２はＤＰＩモジュール１０３にＩＰメッセージに対応する構造体を送信する。

ＤＰＩモジュール１０３は、代理モジュール１０２から送信されたＩＰメッセージに対応する構造体を受信し、ＩＰメッセージに対応する構造体によって、ＩＰメッセージのメッセージ特徴を取得し、ＩＰメッセージのメッセージ特徴を各アプリケーション層プロトコルに対応するメッセージ特徴と照合し、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定し、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、代理モジュール１０２に第１の情報を送信するためのものである。

ここで、第１の通知情報は、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていることを指示する。ＩＰメッセージのメッセージ特徴は、ＩＰメッセージの５タプル情報やメッセージの長さ、特徴キーワードなどを含んでもよい。

ＤＰＩモジュール１０３は、ＩＰメッセージに対応する構造体を受信した後、ＩＰメッセージに対してプロトコル認識を行う。具体的に、ＤＰＩモジュール１０３は、ＩＰメッセージに対応する構造体によって、ＩＰメッセージの格納箇所を確定し、格納箇所によってＩＰメッセージを見つけ、ＩＰメッセージのメッセージ特徴を取得し、ＩＰメッセージのメッセージ特徴を各アプリケーション層プロトコルに対応するメッセージ特徴と照合することによって、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定する。

本願の実施例において、ＤＬＰデバイスには、各アプリケーション層プロトコルに対応するメッセージ特徴が予めに配置されている。例えば、アプリケーション層プロトコルとしては、プロトコル１とプロトコル２がある。ＤＬＰデバイスに予めに配置されている各アプリケーション層プロトコルに対応するメッセージ特徴は、プロトコル１に対応するメッセージ特徴であるｘ及びｘｘと、プロトコル２に対応するメッセージ特徴であるｙ及びｙｙとを含む。ＤＰＩモジュール１０３は、メッセージ特徴がｘ及びｘｘである一ＩＰメッセージを取得した場合、当該ＩＰメッセージのメッセージ特徴がプロトコル１に対応するメッセージ特徴にマッチングし、プロトコル１が当該メッセージの伝送に使用されたアプリケーション層プロトコルであると確定する。

ＤＰＩモジュール１０３はＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定した後、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている予めに設定されたアプリケーション層プロトコルであるか否かを検出する。そうである場合、ＤＰＩモジュール１０３は、代理モジュール１０２に第１の通知情報を送信する。

ここで、例として、第１の通知情報は関数の戻り値であってもよいが、これに限定しない。この関数の戻り値は、具体的に、ＤＰＩモジュール１０３と代理モジュール１０２とが予めに取り決めた結果である。例えば、０で傍受されていることを表し、１で傍受されていないことを表す。ＤＰＩモジュール１０３は、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定した場合、代理モジュール１０２に関数値０を送信する。

前記関数は、Ｆｕｎ（）関数、ｇｅｔ（）関数などであってもよい。本願の実施例において限定しない。本願の実施例において、０で傍受されていることを表し、１で傍受されていないことを表す例のみで説明するが、これに限定しない。例えば、３で傍受されていることを表し、４で傍受されていないことを表してもよい。

代理モジュール１０２は、さらに、第１の通知情報を受信した後、ＩＰメッセージのＴＣＰポート情報によって、ＴＣＰ接続ペアを確立する。ここで、ＴＣＰ接続ペアは、第１のＴＣＰ接続と、ＤＬＰデバイスと前記サーバとの間の第２のＴＣＰ接続とを含む。

代理モジュール１０２は、第１の通知情報を受信した後、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定し、ＴＣＰユーザモードプロトコルスタックを利用し、ＩＰメッセージのＴＣＰポート情報によって、ユーザデバイスとの第１のＴＣＰ接続を確立し、サーバとの第２のＴＣＰ接続を確立する。

第１のＴＣＰ接続の確立に使用されたＴＣＰポート情報とＩＰメッセージに含まれているＴＣＰポート情報とが同じであることが理解できる。同じく、第２のＴＣＰ接続の確立に使用されたＴＣＰポート情報とＩＰメッセージに含まれているＴＣＰポート情報とが同じである。ＤＬＰデバイスによってユーザデバイスとサーバとの間のＴＣＰ接続が第１のＴＣＰ接続と第２のＴＣＰ接続に区切る、即ち、ＤＬＰデバイスがユーザデバイスとサーバとの間のＴＣＰ接続を分断しても、ユーザデバイスから送信されたＩＰメッセージのＴＣＰポートなどの情報を変更せず、ＩＰメッセージが代理されることがサーバに発見されるリスクを低下させる。

本願の実施例において、前記第１のＴＣＰ接続及び第２のＴＣＰ接続のような、ＤＬＰデバイスが確立したＴＣＰ接続に対して、ＤＬＰデバイスは、これらのＴＣＰ接続の確立に使用された任意のＴＣＰポートを傍受できる。これによって、ＤＬＰデバイスは、データ漏洩防止を実行する際に、指定されたＴＣＰポートを傍受するに代わって、任意のＴＣＰポートに対する傍受を実現した。

任意で、本願の実施例において、代理モジュール１０２はＩＰメッセージのメッセージの類型を検出する処理において、ＩＰメッセージがプロトコルメッセージ（例えば、ハンドシェイクメッセージ）であると確定した場合、転送モジュール１０１に第２の通知情報を送信してもよい。

ここで、第２の通知情報は、ＩＰメッセージがプロトコルメッセージであることを指示する。

転送モジュール１０１は、第２の通知情報を受信した後、第２の通知情報によって、ＩＰメッセージがプロトコルメッセージであると確定する。転送モジュール１０１は、ユーザモードバッファからＩＰメッセージを読み取り、サーバに当該ＩＰメッセージを送信する。サーバは、当該ＩＰメッセージによって、ユーザデバイスとのＴＣＰ接続を確立する。このように、ＤＬＰデバイスが処理するメッセージの数を低下させ、ＤＬＰデバイスの負荷を軽減し、且つ、ユーザデバイスがサーバとのＴＣＰ接続を直接に確立し、ＩＰメッセージが代理されることがサーバに発見されるリスクを低下させる。

ここで、例として、第２の通知情報は関数の戻り値であってもよいが、これに限定しない。この関数の戻り値は、具体的に、代理モジュール１０２と転送モジュール１０１とが予めに取り決めた結果である。例えば、０でＩＰメッセージがプロトコルメッセージであることを表し、１でＩＰメッセージがデータメッセージであることを表す。ＤＰＩモジュール１０３は、ＩＰメッセージがプロトコルメッセージであると検出した場合、代理モジュール１０２に関数値０を送信する。ＤＰＩモジュール１０３は、ＩＰメッセージがデータメッセージであると検出した場合、代理モジュール１０２に関数値１を送信する。

前記関数は、Ｆｕｎ（）関数、ｇｅｔ（）関数などであってもよい。本願の実施例は、これに対して限定しない。本願の実施例において、０でＩＰメッセージがプロトコルメッセージであることを表し、１でＩＰメッセージがデータメッセージであることを表す例のみで説明するが、これに限定しない。例えば、３でＩＰメッセージがプロトコルメッセージであることを表し、４でＩＰメッセージがデータメッセージであることを表してもよい。

任意で、本願の実施例において、ＤＰＩモジュール１０３は、さらに、ディープパケットインスペクションステップを実行するためのものであってもよく、これにより、データ漏洩防止を実現する。

具体的に、ＩＰメッセージは、さらに、第１のユーザデータを含む。まず、ＤＰＩモジュール１０３は、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定した場合、ＤＰＩモジュール１０３は、第１のユーザデータの位置をマークする。即ち、ＤＰＩモジュール１０３は、ＩＰメッセージにおいて第１のユーザデータが位置する具体的なバイトをマークする。

そして、ＤＰＩモジュール１０３は、ＩＰメッセージに対してデカプセル化処理を行い、カプセルヘッダが除去された内部メッセージを得る。ＤＰＩモジュール１０３は、マークされた位置に対応する第１のユーザデータを取得して一時保存する。ここで、第１のユーザデータの位置に対応する第１のユーザデータとは、ＩＰメッセージにおいて第１のユーザデータの位置にあるユーザデータである。

最後に、ＤＰＩモジュール１０３は、予めに設定されたセキュリティポリシーを取得する。セキュリティポリシーはマッチング項目と動作項目を含む。ＤＰＩモジュール１０３は、セキュリティポリシーから、第１のユーザデータにマッチングする目標マッチング項目を探し、目標マッチング項目に対応する動作項目を実行する。

任意で、本願の実施例において、ＤＰＬモジュール１０３は、さらに、同じオリジナルデータに属するユーザデータを受信したか否かを判断するステップを実行するためのものであり、これにより、オリジナルデータに対して正確にディープパケットインスペクションを行うことを実現する。

具体的に、ＤＰＩモジュール１０３は、同じオリジナルデータに属する全てのユーザデータを受信したかを判断する。同じオリジナルデータに属する全てのユーザデータを受信した場合、即ち、オリジナルデータに復元できる場合、ＤＰＩモジュール１０３は、予めに設定されたセキュリティポリシーを取得し、セキュリティポリシーから、ユーザデータにマッチングする目標マッチング項目を探す。同じオリジナルデータに属する全てのユーザデータを受信しなかった場合、ＤＰＩモジュール１０３は、同じオリジナルデータに属する全てのユーザデータを受信したかに対する判断を繰り返して実行する。

送信端は伝送するオリジナルデータが１つのアプリケーション層メッセージに載せるように伝送を行うことが理解できる。伝送するオリジナルデータの長さ（又はバイト数）が多い場合、送信端はアプリケーション層メッセージに対してフラグメント処理を行う必要がある。つまり、送信端は１つのアプリケーション層メッセージを複数のＩＰパケットに区切って伝送を行う。前記した１つのＩＰパケットは、１つのＩＰメッセージとなる。受信端は、アプリケーション層メッセージの全てのＩＰメッセージフラグメントを受信した後、伝送されるオリジナルデータに復元する。ここで、アプリケーション層メッセージは、ハイパーテキスト伝送プロトコル（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｐｏｒｔ Ｐｒｏｔｏｃｏｌ、略称ＨＴＴＰ）メッセージや、シンプルメール伝送プロトコル（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ、略称ＳＭＴＰ）メッセージ、ファイル伝送プロトコル（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ、略称ＦＴＰ）メッセージなどを含む。

一例では、ＤＰＩモジュール１０３は、以下のように、同じオリジナルデータに属する全てのユーザデータを受信したか否かを判断できる。

具体的に、１つのアプリケーション層メッセージが複数のＩＰメッセージに区切られた場合、最初のＩＰメッセージにアプリケーション層メッセージの開始マークが載せており、最後のＩＰメッセージにアプリケーション層メッセージの終了マークが載せている。ＤＰＩモジュール１０３が同じアプリケーション層メッセージに属する開始マークと終了マークを取得した場合、ＤＰＩモジュール１０３は、完全なアプリケーション層メッセージを受信したと確定し、これにより、同じオリジナルデータに属する全てのユーザデータを受信したと確定できる。

例えば、図３に示されるＨＴＴＰメッセージの処理の流れである。１つのＨＴＴＰメッセージが複数のＩＰメッセージに区切られ、ＤＬＰデバイスが最初のＩＰメッセージを受信した時、ＤＰＩモジュール１０３は最初のＩＰメッセージから開始マークを取得した。ＨＴＴＰメッセージの伝送を行う時に、デバイスは、ＨＴＴＰメッセージの１つのＩＰメッセージを通過させ、当該ＩＰメッセージに対応する応答メッセージを受信した場合のみ、ＨＴＴＰメッセージの次のＩＰメッセージを送信することが理解できる。

そのため、ＤＰＩモジュール１０３は最初のＩＰメッセージにおけるユーザデータを一時保存し、最初のＩＰメッセージを通過させる。同じく、ＤＰＩデバイスは、ＨＴＴＰメッセージの最後のＩＰメッセージを受信するまで、ＨＴＴＰメッセージのＩＰメッセージのそれぞれにおけるユーザデータを一時保存し、ＩＰメッセージのそれぞれを通過させる。ＤＬＰデバイスがＨＴＴＰメッセージの最後のＩＰメッセージを受信した後、ＤＰＩモジュール１０３はＨＴＴＰメッセージの最後のＩＰメッセージから終了マークを取得する。この時、ＤＰＩモジュール１０３は、完全なＨＴＴＰメッセージを受信した、即ち、同じオリジナルデータに属する全てのユーザデータを受信したと確定する。ＤＰＩモジュール１０３は、予めに設定されたセキュリティポリシーを取得し、セキュリティポリシーから、オリジナルデータにマッチングする目標マッチング項目を探し、目標マッチング項目に対応する動作項目を実行する。

任意で、本願の実施例において、セキュリティポリシーが含む動作項目は、２つのアクションの類型、即ち、メッセージの通過及びメッセージの遮断があってもよい。

一実施形態において、目標マッチング項目に対応する動作項目がメッセージの通過である場合、ＤＰＩモジュール１０３は代理モジュール１０２に第３の通知情報を送信する。第３の通知情報はＩＰメッセージを通過させることを指示し、且つ、第３の通知情報は第１のユーザデータの第１の格納箇所を含む。

代理モジュール１０２は、第３の通知情報を受信した後、ＩＰメッセージを通過させると確定し、第１の格納箇所によって第１のユーザデータを探す。代理モジュール１０２は、第２のＴＣＰ接続のＴＣＰポート情報によって、第１のユーザデータに対してカプセル化処理を行い、第２のユーザデータを得る。第２のユーザデータは、ＴＣＰヘッダ及び第１のユーザデータを含む。代理モジュール１０２は、転送モジュール１０１に第４の通知情報を送信する。第４の通知情報はＩＰメッセージを通過させることを指示し、且つ、第４の通知情報は第２のユーザデータの第２の格納箇所を含む。

転送モジュール１０１は、第４の通知情報を受信した後、ＩＰメッセージを通過させると確定し、第２の格納箇所によって第２のユーザデータを探す。転送モジュール１０１は、第２のユーザデータに対してカプセル化処理を行い、ＩＰメッセージを取得し、サーバにＩＰメッセージを送信する。転送モジュール１０１が第２のユーザデータに対してカプセル化処理を行って得たＩＰメッセージは、前記ネットワークカード１０４が受信したＩＰメッセージと同じであることが理解できる。

他の実施形態において、目標マッチング項目に対応する動作項目がメッセージの遮断である場合、ＤＰＩモジュール１０３は代理モジュール１０２に第５の通知情報を送信する。第５の通知情報はＩＰメッセージを遮断することを指示し、且つ、第５の通知情報は第１のユーザデータの第１の格納箇所と第１の遮断データを含む。ここで、第１の遮断データは、ＤＬＰデバイスが予めに設定した１つの文字列である。

代理モジュール１０２は、第５の通知情報を受信した後、第１の格納箇所によって第１のユーザデータを見つけてリリースする。なお、代理モジュール１０２は、第１のＴＣＰ接続のＴＣＰポート情報によって、第１の遮断データに対してカプセル化処理を行い、第２の遮断データを得る。第２の遮断データは、ＴＣＰヘッダ及び第１の遮断データを含む。代理モジュール１０２は、転送モジュール１０１に第２の遮断データを送信する。

転送モジュール１０１は第２の遮断データを受信した後、第２の遮断データに対してカプセル化処理を行い、遮断メッセージを得る。転送モジュール１０１はサーバに代わって、ユーザデバイスに遮断メッセージを送信する。一例において、遮断メッセージは「４０３禁止（Ｆｏｒｂｉｄｄｅｎ）」の遮断メッセージである。ここで、「４０３禁止（Ｆｏｒｂｉｄｄｅｎ）」は第１の遮断データとして理解できる。

ユーザデバイスが遮断メッセージを受信した後、今回のアクセスが失敗で、アクセスデータにエラーが発生したことを確定できる。

ここで、例として、第３の通知情報と第５の通知情報は関数の戻り値であってもよいが、これに限定しない。これらの関数の戻り値は、ＤＰＩモジュール１０３と代理モジュール１０２とが予めに取り決めた結果である。例えば、３でメッセージを通過させることを表し、４でメッセージを遮断することを表す。ＤＰＩモジュール１０３は、目標マッチング項目に対応する動作項目がメッセージを通過させることであると確定した場合、代理モジュール１０２に関数値３を送信する。ＤＰＩモジュール１０３は、目標マッチング項目に対応する動作項目がメッセージを遮断することであると確定した場合、代理モジュール１０２に関数値４を送信する。

前記関数は、Ｆｕｎ（）関数、ｇｅｔ（）関数などであってもよい。本願の実施例は、これに対して限定しない。本願の実施例において、３でメッセージを通過させることを表し、４でメッセージを遮断することを表す例のみで説明するが、これに限定しない。例えば、１でメッセージを通過させることを表し、０でメッセージを遮断することを表してもよい。

同じく、第４の通知情報は関数の戻り値であってもよい。この関数の戻り値は、転送モジュール１０１と代理モジュール１０２とが予めに取り決めた結果である。例えば、３でメッセージを通過させることを表し、４でメッセージを遮断することを表す。代理モジュール１０２は、第３の通知情報を受信した場合、転送モジュール１０１に関数値３を送信する。代理モジュール１０２は、第５の通知情報を受信する場合、転送モジュール１０１に関数値４を送信する。

前記関数は、Ｆｕｎ（）関数、ｇｅｔ（）関数などであってもよい。本願の実施例は、これに対して限定しない。本願の実施例において、３でメッセージを通過させることを表し、４でメッセージを遮断することを表す例のみで説明するが、これに限定しない。例えば、１でメッセージを通過させることを表し、０でメッセージを遮断することを表してもよい。

任意で、本願の実施例において、ＤＰＩモジュール１０３は、さらに、前記ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていない場合、代理モジュール１０２に第６の通知情報を送信する処理を実行するためのものであり、これにより、ＩＰメッセージの高速転送を実現する。

具体的に、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていない場合、ＤＰＩモジュール１０３は代理モジュール１０２に第６の通知情報を送信する。第６の通知情報は、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていることを指示する。

代理モジュール１０２は、第６の通知情報を受信し、転送モジュール１０１に送信する。転送モジュール１０１は第６の通知情報を受信した後、第６の通知情報によって、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定し、ユーザモードバッファからＩＰメッセージを読み取り、サーバにＩＰメッセージを送信する。この時、ＤＰＩモジュール１０３は、ＩＰメッセージに対してディープパケットインスペクションを行わず、ＩＰメッセージの転送の効率を向上させる。

ここで、例として、第６の通知情報は関数の戻り値であってもよいが、これに限定しない。この関数の戻り値は、具体的に、ＤＰＩモジュール１０３と代理モジュール１０３とが予めに取り決めた結果である。例えば、０で傍受されていることを表し、１で傍受されていないことを表す。ＤＰＩモジュール１０３は、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていないと確定する場合、代理モジュール１０２に関数値１を送信する。

任意で、本願の実施例において、図４のように、ＤＰＩモジュール１０３は、さらに、ＤＰＩプロトコル解析サブモジュール１０３１と、データ復元サブモジュール１０３２と、ＤＬＰサービススキャンサブモジュール１０３３とを含む。図４に示されるＤＬＰデバイスに基づいて、ＩＰメッセージの処理の流れは図５に示される。

具体的に、ドライバーモジュール１００は、ＩＰメッセージを受信し、ＩＰメッセージをユーザモードバッファに一時保存する。

転送モジュール１０１は、ユーザモードバッファからＩＰメッセージを読み取り、ＩＰメッセージに対応する構造体を生成し、代理モジュール１０２に構造体を送信する。

代理モジュール１０２は、構造体を受信し、構造体によって、ＴＣＰポート情報を取得し、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出し、第１のＴＣＰ接続が確立されていない場合、ＩＰメッセージがデータメッセージである時に、ＤＰＩプロトコル解析サブモジュール１０３１に構造体を送信する。

ＤＰＩプロトコル解析サブモジュール１０３１は、代理モジュール１０２から送信された構造体を受信し、構造体によって、ＩＰメッセージの格納箇所を確定し、格納箇所によってＩＰメッセージを見つける。従来のアプリケーション層プロトコル認識に基づき、ＤＰＩプロトコル解析サブモジュール１０３１はＩＰメッセージに対してプロトコル認識を行い、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定する。ＤＰＩプロトコル解析サブモジュール１０３１は、ＩＰメッセージの伝送するためのアプリケーション層プロトコルが傍受されているか否かを判断する。ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、ＤＰＩプロトコル解析サブモジュール１０３１は、ＩＰメッセージに含まれる第１のユーザデータの位置を分析してマークし、データ復元サブモジュール１０３２に、マークされた第１のユーザデータの位置を送信する。

データ復元サブモジュール１０３２は、ＩＰメッセージに対してデカプセル化処理を行い、マークされた位置に対応する第１のユーザデータを取得して一時保存する。データ復元サブモジュール１０３２は、同じオリジナルデータに属する全てのユーザデータを受信したか否かを判断する。同じオリジナルデータに属する全てのユーザデータを受信しなかった場合、データ復元サブモジュール１０３２は第１のユーザデータを一時保存する。同じオリジナルデータに属する全てのユーザデータを受信した場合、データ復元サブモジュール１０３２は、ＤＬＰサービススキャンサブモジュール１０３３に登録されたポートを呼び出し、ＤＬＰサービススキャンサブモジュール１０３３にスキャン通知情報を送信する。スキャン通知情報は第１のユーザデータの第１の格納箇所を含む。

ＤＬＰサービススキャンサブモジュール１０３３は、第１の格納箇所によって第１のユーザデータを取得する。ＤＬＰサービススキャンサブモジュール１０３３は、予めに設定されたセキュリティポリシーを取得し、セキュリティポリシーから、第１のユーザデータにマッチングする目標マッチング項目を探し、目標マッチング項目に対応する動作項目によって、代理モジュール１０２に対応の通知情報を送信する。

例えば、目標マッチング項目に対応する動作項目がメッセージの通過である場合、ＤＬＰサービススキャンサブモジュール１０３３は代理モジュール１０２に第３の通知情報を送信する。目標マッチング項目に対応する動作項目がメッセージの遮断である場合、ＤＬＰサービススキャンサブモジュール１０３３は代理モジュール１０２に第５の通知情報を送信する。

任意で、本願の実施例において、ＤＬＰサービススキャンサブモジュール１０３３は、第１のユーザデータにマッチングする目標マッチング項目を見つけた後、ＤＰＩプロトコル解析サブモジュール１０３１に目標マッチング項目に対応する動作項目を送信する。ＤＰＩプロトコル解析サブモジュール１０３１は、代理モジュール１０２に対応の通知情報を送信する。

例えば、目標マッチング項目に対応する動作項目がメッセージの通過である場合、ＤＰＩプロトコル解析サブモジュール１０３１は代理モジュール１０２に第３の通知情報を送信する。目標マッチング項目に対応する動作項目がメッセージの遮断である場合、ＤＰＩプロトコル解析サブモジュール１０３１は代理モジュール１０２に第５の通知情報を送信する。

代理モジュール１０２は、第３の通知情報を受信した場合、第１のユーザデータの第１の格納箇所によって第１のユーザデータを探し、第２のＴＣＰ接続のＴＣＰポート情報によって第１のユーザデータに対してカプセル化処理を行い、ＴＣＰヘッダ及び第１のユーザデータを含む第２のユーザデータを取得し、転送モジュール１０１に第４の通知情報を送信する。転送モジュール１０１は第４の通知情報を受信し、第２のユーザデータの第２の格納箇所によって第２のユーザデータを探し、第２のユーザデータに対してカプセル化処理を行い、ＩＰメッセージを取得し、サーバにＩＰメッセージを送信する。

代理モジュール１０２は、第５の通知情報を受信した場合、第１のユーザデータの第１の格納箇所によって第１のユーザデータをリリースし、第１のＴＣＰ接続のＴＣＰポート情報によって第１の遮断データに対してカプセル化処理を行い、ＴＣＰヘッダ及び第１の遮断データを含む第２の遮断データを取得し、転送モジュール１０１に第２の遮断データを送信する。転送モジュール１０１は第２の遮断データを受信し、第２の遮断データに対してカプセル化処理を行い、遮断メッセージを取得し、ユーザデバイスに遮断メッセージを送信する。

代理モジュール１０２は、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されていないと検出した場合、ＩＰメッセージがハンドシェイクメッセージである時に、転送モジュール１０１に第２の通知情報を送信する。

転送モジュール１０１は第２の通知情報を受信し、第２の通知情報によって、サーバにＩＰメッセージを送信する。

ＤＰＩプロトコル解析サブモジュール１０３１は、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていないと確定した場合、代理モジュール１０２に第６の通知情報を送信する。

代理モジュール１０２は、第６の通知情報を受信し、転送モジュール１０１に送信する。

転送モジュール１０１は第６の通知情報を受信し、第６の通知情報によって、サーバにＩＰメッセージを送信する。

理解しやすいように、図６に示される代理モジュール１０２のメッセージ処理の模式図を参照して、代理モジュール１０２の処理の流れを説明する。

ステップ６０１において、代理モジュール１０２は、転送モジュール１０１から送信された構造体を受信し、構造体によって、ＴＣＰポート情報を取得する。

ステップ６０２において、代理モジュール１０２は、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出する。第１のＴＣＰ接続が確立されていない場合、ステップ６０３を実行する。第１のＴＣＰ接続が確立されている場合、ステップ６０５を実行する。

ステップ６０３において、代理モジュール１０２は、ＩＰメッセージがハンドシェイクメッセージであるか否かを検出する。ハンドシェイクメッセージである場合、ステップ６０４を実行する。ハンドシェイクメッセージではない、つまり、ＩＰメッセージがデータメッセージである場合、ステップ６０５を実行する。

ステップ６０４において、代理モジュール１０２は、転送モジュール１０１に第２の通知情報を送信する。

転送モジュール１０１は第２の通知情報を受信した後、第２の通知情報によって、サーバにＩＰメッセージを送信する。

ステップ６０５において、代理モジュール１０２は、ＤＰＩモジュール１０３に構造体を送信する。

ＤＰＩモジュール１０３は、構造体によって、ＩＰメッセージのメッセージ特徴を取得する。ＤＰＩモジュール１０３は、ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合することで、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定する。ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、ＤＰＩモジュール１０３は代理モジュール１０２に第１の通知情報を送信する。ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていない場合、ＤＰＩモジュール１０３は代理モジュール１０２に第６の通知情報を送信する。

ステップ６０６において、代理モジュール１０２は、第６の通知情報を受信した場合、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていないと確定し、ステップ６０７を実行する。第１の通知情報を受信した場合、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定し、ステップ６０８を実行する。

ステップ６０７において、代理モジュール１０２は、転送モジュール１０１に第６の通知情報を送信する。

転送モジュール１０１は第６の通知情報を受信した後、第６の通知情報によって、サーバにＩＰメッセージを送信する。

ステップ６０８において、代理モジュール１０２は、ＴＣＰポート情報によって、ＴＣＰ接続ペアを確立し、ＴＣＰ接続ペアは第１のＴＣＰ接続及び第２のＴＣＰ接続を含む。

前記ステップ６０１～６０８の部分を簡単に説明したが、詳細について、図１～５の部分における関する説明を参照する。

理解しやすいように、図７に示されるＤＬＰサービススキャンサブモジュール１０３３、代理モジュール１０２のメッセージ処理の模式図を参照して、メッセージ処理の流れを説明する。

ステップ７０１において、ＤＬＰサービススキャンサブモジュール１０３３は、データ復元サブモジュール１０３２から送信されたスキャン通知情報を受信する。

ステップ７０２において、ＤＬＰサービススキャンサブモジュール１０３３は、スキャン通知情報によって、予めに設定されたセキュリティポリシーを取得し、セキュリティポリシーから、第１のユーザデータにマッチングする目標マッチング項目を探す。

ステップ７０３において、ＤＬＰサービススキャンサブモジュール１０３３は、目標マッチング項目を探せなかった場合、ステップ７０４を実行する。目標マッチング項目を探せた場合、ステップ７０６を実行する。

ステップ７０４において、ＤＬＰサービススキャンサブモジュール１０３３は、代理モジュール１０２を呼び出し、代理モジュール１０２に第３の通知情報を送信する。

ステップ７０５において、代理モジュール１０２は第１のユーザデータを探し、第２のＴＣＰ接続のＴＣＰポート情報によって、第１のユーザデータに対してカプセル化処理を行い、第２のユーザデータを取得し、転送モジュール１０１に第４の通知情報を送信する。

ステップ７０６において、ＤＬＰサービススキャンサブモジュール１０３３は、目標マッチング項目に対応する動作項目がメッセージの通過である場合、ステップ７０４を実行する。ＤＬＰサービススキャンサブモジュール１０３３は、目標マッチング項目に対応する動作項目がメッセージの遮断である場合、ステップ７０７を実行する。

ステップ７０７において、ＤＬＰサービススキャンサブモジュール１０３３は、代理モジュール１０２を呼び出し、代理モジュール１０２に第５の通知情報を送信する。

ステップ７０８において、代理モジュール１０２は、第１のユーザデータをリリースし、第１のＴＣＰ接続のＴＣＰポート情報によって、第１の遮断データに対してカプセル化処理を行い、第２の遮断データを取得し、転送モジュール１０１に第２の遮断データを送信する。

前記ステップ７０１～７０８の一部に対する説明は簡単なものであるが、詳細について、図１～５における関連する説明を参照できる。

任意で、本願の実施例において、代理モジュール１０２は、さらに、ＩＰメッセージがＳＳＬプロトコルの暗号化メッセージである場合、ＳＳＬプロトコル接続を確立する処理を実行するためのものである。ＳＳＬプロトコル接続を確立することによって、ＳＳＬプロトコルの暗号化メッセージが含むユーザデータに対して復号処理を行い、平文のユーザデータを取得することを実現し、これにより、データ漏洩防止の処理を実現する。

具体的に、ＩＰメッセージがＳＳＬプロトコルの暗号化メッセージである場合、代理モジュール１０２は、ＯｐｅｎＳＳＬ暗号ライブラリの第１のインタフェース及び第２のインタフェースをそれぞれ呼び出す。代理モジュール１０２は、呼び出された第１のインタフェースと第１のＴＣＰ接続とをバインドし、呼び出された第２のインタフェースと第２のＴＣＰ接続とをバインドして、ＳＳＬプロトコル接続の確立を完成する。

代理モジュール１０２は、ＩＰメッセージに対応する構造体を受信した後、構造体によってＩＰメッセージの格納箇所を確定し、ＩＰメッセージを見つける。代理モジュール１０２は、第１のＴＣＰ接続とバインドされた第１のインタフェースによってＯｐｅｎＳＳＬ暗号ライブラリを呼び出し、ＩＰメッセージに含まれるユーザデータに対して復号処理を行い、平文のユーザデータを得る。代理モジュール１０２は、平文のユーザデータの格納箇所をＤＰＩモジュール１０３に送信する。

代理モジュール１０２は、ＤＰＩモジュール１０３から送信された第３の通知情報を受信した後、第２のＴＣＰ接続とバインドされた第２のインタフェースに基づいて、ＯｐｅｎＳＳＬ暗号ライブラリを呼び出し、ＩＰメッセージに含まれるユーザデータに対して暗号化処理を行い、暗号化のユーザデータを得て、暗号化ユーザデータに対してカプセル化処理を行う。

代理モジュール１０２が受信したＩＰメッセージが平文メッセージ、例えば、ＨＴＴＰメッセージやＳＭＴＰメッセージ、ＦＴＰメッセージなどである場合、代理モジュール１０２はＩＰメッセージを処理しなくてもよい。

前記で提供したＤＬＰデバイスの実施例に基づいて、本願の実施例は、さらに、メッセージ処理方法を提供する。図８を参照して、図８は本願の実施例が提供するメッセージ処理方法のフローチャートである。この方法はＤＬＰデバイスに適用して、当該メッセージ処理方法は以下のステップを含む。

ステップ８０１において、ユーザデバイスから送信されたＩＰメッセージを受信する。

ここで、ＩＰメッセージは、ＩＰヘッダやＴＣＰヘッダなどの情報を含む。そして、ＴＣＰヘッダはＴＣＰポート情報を含む。ＩＰメッセージは、プロトコルメッセージであってもよく、データメッセージでもよい。

ＤＬＰデバイスは、ユーザデバイスとサーバとの間に設置される。ユーザデバイスは、ＤＬＰデバイスを介してサーバにＩＰメッセージを送信する。

ステップ８０２において、ＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出する。第１のＴＣＰ接続が確立されていない場合、ＤＬＰデバイスはステップ８０３を実行する。

ＤＬＰデバイスはＩＰメッセージを受信した後、ＩＰメッセージのＴＣＰポート情報を取得する。ＤＬＰデバイスは、取得したＴＣＰポート情報によって、ＤＬＰデバイスとユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出する。第１のＴＣＰ接続が確立されていない場合、ＤＬＰデバイスはステップ８０３を実行する。

ステップ８０３において、ＩＰメッセージがデータメッセージである時に、ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合することによって、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定する。

ＤＬＰデバイスは、第１のＴＣＰ接続が確立されていないと検出した場合、ＩＰメッセージのメッセージの類型を検出する、即ち、ＩＰメッセージが、プロトコルメッセージであるか、データメッセージであるかを検出する。本願の実施例において、プロトコルメッセージは具体的にハンドシェイクメッセージであってもよく、下記の実施例においては、ハンドシェイクメッセージを例として説明する。ＩＰメッセージがデータメッセージであると検出した場合、ＤＬＰデバイスは、ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合することによって、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定する。

ステップ８０４において、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、ＴＣＰポート情報によって、ＴＣＰ接続ペアを確立し、ＴＣＰ接続ペアは、第１のＴＣＰ接続、及びＤＬＰデバイスとサーバとの間の第２のＴＣＰ接続を含む。

ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、ＤＬＰデバイスは、ＴＣＰポート情報によって、ユーザデバイスとの第１のＴＣＰ接続を確立する。ＤＬＰデバイスは、ＴＣＰポート情報によって、サーバとの第２のＴＣＰ接続を確立する。以降、ＤＬＰデバイスは、第１のＴＣＰ接続と第２のＴＣＰ接続でＩＰメッセージを伝送し、ＩＰメッセージのＴＣＰポートを変えず、ＩＰメッセージが代理されることがサーバに発見されるリスクを低下させる。

任意で、本願の実施例において、ＩＰメッセージがプロトコルメッセージ、例えばハンドシェイクメッセージである時に、ＤＬＰデバイスはＩＰメッセージを通過させる、即ち、サーバにＩＰメッセージを送信する。サーバは、ＩＰメッセージによって、ユーザデバイスとのＴＣＰ接続を確立する。このように、ＤＬＰデバイスが処理するメッセージの数を減らし、ＤＬＰデバイスの負荷を軽減し、且つ、ユーザデバイスとサーバとのＴＣＰ接続を直接に確立し、ＩＰメッセージが代理されることがサーバに発見されるリスクを低下させる。

任意で、本願の実施例において、ＤＬＰデバイスは、第１のＴＣＰ接続が確立されていると検出した場合、ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合することによって、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定する。ＤＬＰデバイスはＩＰメッセージのメッセージの類型を検出する必要がなくなり、ＤＬＰデバイスの負荷を軽減する。

任意で、本願の実施例において、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていない場合、ＤＬＰデバイスはＩＰメッセージを通過させる、即ち、サーバにＩＰメッセージを送信する。ＤＬＰデバイスはＩＰメッセージを処理せず、ＤＬＰデバイスの負荷を軽減する。

任意で、本願の実施例において、ＩＰメッセージはデータメッセージである場合、ＤＬＰデバイスは、さらに、ＩＰメッセージに含まれる第１のユーザデータの位置をマークし、ＩＰメッセージに対してデカプセル化処理を行い、マークされた位置に対応する第１のユーザデータを取得して一時保存する。ＤＬＰデバイスは、予めに設定されたセキュリティポリシーを取得する。セキュリティポリシーはマッチング項目と動作項目を含む。ＤＬＰデバイスは、セキュリティポリシーから、第１のユーザデータにマッチングする目標マッチング項目を探し、目標マッチング項目に対応する動作項目を実行する。

ここで、動作項目はメッセージの通過とメッセージの遮断を含む。一例においては、目標マッチング項目に対応する動作項目がメッセージの通過である場合、ＤＬＰデバイスは、第２のＴＣＰ接続のＴＣＰポート情報によって、第１のユーザデータに対してカプセル化処理を行い、第２のユーザデータを取得し、サーバにＩＰメッセージを送信する。

具体的に、目標マッチング項目に対応する動作項目がメッセージの通過である場合、ＤＬＰデバイスは、第２のＴＣＰ接続のＴＣＰポート情報によって、第１のユーザデータに対してカプセル化処理を行い、第２のユーザデータを得て、第２のユーザデータはＴＣＰヘッダ及び第１のユーザデータを含む。その後、ＤＬＰデバイスは、第２のユーザデータに対してカプセル化処理を行い、ＩＰメッセージを得て、サーバにＩＰメッセージを送信する。

他の実施例においては、目標マッチング項目に対応する動作項目がメッセージの遮断である場合、ＤＬＰデバイスは、第１のＴＣＰ接続のＴＣＰポート情報によって、遮断メッセージを生成する。ＤＬＰデバイスはサーバに代わって、ユーザデバイスに遮断メッセージを送信し、インターネットの安全性を向上させる。

任意で、本願の実施例において、ＩＰメッセージがＳＳＬプロトコルの暗号化メッセージである場合、ユーザデータに対して正確にデータ漏洩防止処理を行うために、ＤＬＰデバイスは、ＯｐｅｎＳＳＬ暗号ライブラリの第１のインタフェース及び第２のインタフェースをそれぞれ呼び出し、呼び出された第１のインタフェースと第１のＴＣＰ接続とをバインドし、呼び出された第２のインタフェースと第２のＴＣＰ接続とをバインドする。このように、ＤＬＰデバイスは、ユーザデータに対するＳＳＬ暗号化・復号の処理を完成でき、平文のユーザデータを取得し、ユーザデータに対して正確にデータ漏洩防止処理を行うことができる。

本願の実施例が提供する技術案において、ＤＬＰデバイスは、ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていると確定した時に、ＩＰメッセージに含まれるＴＣＰポート情報に基づいて、ＤＬＰデバイスとユーザデバイスとの第１のＴＣＰ接続、及びＤＬＰデバイスとサーバとの第２のＴＣＰ接続を確立して、第１のＴＣＰ接続と第２のＴＣＰ接続によって、ユーザデバイスに対するデータ漏洩防止を実現する。本願の実施例において、ＤＬＰデバイスは、データ漏洩防止の処理において、任意のＴＣＰポートに対する傍受を実現することが理解できる。なお、ＤＬＰデバイスは、他にブリッジとファイアウォール規則を設置せずに、ブリッジの故障やカーネルクラッシュによってユーザがネットワークにアクセスできなくなる問題を解決した。

なお本明細書では、第１や第２などのような関係用語は１つのエンティティ又は操作とその他のエンティティ又は操作とを区別するためのものに過ぎず、必ずしもこれらのエンティティ又は操作の間にこのような実際の関係又は順序があることを要求又は示唆しない。また、用語「含む」や「備える」、又はほかの変換用語は、いずれも、非排他的に含むことを意味するため、一連の要素を含む処理、方法、物品又は装置は、これらの要素を含むだけでなく、明確に挙げられていないほかの要素、又は、このような処理、方法、物品又は装置の固有の要素をさらに含む。特に限定しない限り、文「１つの…を含む」により限定される要素は、前記要素を含む処理、方法、物品又は装置がほかの同一要素をさらに含むことを排除しない。

本明細書における各実施例はいずれも関連的な形で記載されており、各実施例同士における同一又は類似の部分は互いに参照できる。各実施例に対して重点的に説明するのは他の実施例との相違である。特に、方法の実施例について、それ自体がＤＬＰデバイスの実施例とほぼ同じであるため、説明が簡単なものであるが、関連的な内容はＤＬＰデバイスの実施例の部分の説明を参照できる。

以上は本願の好ましい実施例にすぎず、本願の保護請求する範囲を限定するものではない。本願の主旨及び原則を逸脱しない範囲でなされるいかなる補正、等価置換、改良などは、いずれも本開示の保護請求する範囲内に含まれる。

Claims (15)

1. ユーザデバイスから送信された、トランスミッションコントロールプロトコルＴＣＰポート情報を含むインターネットプロトコルＩＰメッセージを受信し、ドライバーモジュールにＩＰメッセージを送信するネットワークカードと、
   前記ＩＰメッセージを受信し、前記ＩＰメッセージをユーザモードバッファに一時保存する前記ドライバーモジュールと、
   前記ユーザモードバッファから前記ＩＰメッセージを読み取り、前記ＩＰメッセージに対応する構造体を生成し、代理モジュールに前記構造体を送信する転送モジュールと、
   前記構造体を受信し、前記構造体によって前記ＴＣＰポート情報を取得し、前記ＴＣＰポート情報によって前記ＤＬＰデバイスと前記ユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出し、前記第１のＴＣＰ接続が確立されていない場合、前記ＩＰメッセージがデータメッセージである時に、ディープパケットインスペクションＤＰＩモジュールに前記構造体を送信する前記代理モジュールと、
   前記構造体を受信し、前記構造体によって前記ＩＰメッセージのメッセージ特徴を取得し、前記ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合することによって、前記ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定し、前記ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、前記代理モジュールに第１の通知情報を送信する前記ＤＰＩモジュールと、を備え、
   前記代理モジュールは、さらに、前記第１の通知情報を受信した後、前記ＴＣＰポート情報によって、ＴＣＰ接続ペアを確立し、前記ＴＣＰ接続ペアは、前記第１のＴＣＰ接続、及び、前記ＤＬＰデバイスとサーバとの間の第２のＴＣＰ接続を含む、データ漏洩防止のＤＬＰデバイス。
2. 前記代理モジュールは、さらに、前記ＩＰメッセージがプロトコルメッセージである時に、前記転送モジュールに第２の通知情報を送信し、
   前記転送モジュールは、さらに、前記第２の通知情報を受信し、前記サーバが前記ＩＰメッセージによって前記ユーザデバイスとのＴＣＰ接続を確立するように、前記第２の通知情報によって前記サーバに前記ＩＰメッセージを送信する、請求項１に記載のＤＬＰデバイス。
3. 前記ＤＰＩモジュールは、さらに、
   前記ＩＰメッセージに含まれる第１のユーザデータの位置をマークし、
   前記ＩＰメッセージに対してデカプセル化処理を行い、マークされた位置に対応する前記第１のユーザデータを取得して一時保存し、
   予めに設定されたセキュリティポリシーを取得し、前記セキュリティポリシーはマッチング項目と動作項目を含み、
   前記セキュリティポリシーから、前記第１のユーザデータにマッチングする目標マッチング項目を探し、前記目標マッチング項目に対応する動作項目を実行する、請求項１に記載のＤＬＰデバイス。
4. 前記ＤＰＩモジュールは、具体的に、
   前記目標マッチング項目に対応する動作項目がメッセージの通過である場合、前記代理モジュールに第３の通知情報を送信し、前記第３の通知情報は前記第１のユーザデータの第１の格納箇所を含み、
   前記代理モジュールは、さらに、前記第３の通知情報を受信し、前記第１の格納箇所によって前記第１のユーザデータを探し、前記第２のＴＣＰ接続のＴＣＰポート情報によって、前記第１のユーザデータに対してカプセル化処理を行い、ＴＣＰヘッダ及び前記第１のユーザデータを含む第２のユーザデータを得て、前記転送モジュールに第４の通知情報を送信し、前記第４の通知情報は前記第２のユーザデータの第２の格納箇所を含み、
   前記転送モジュールは、さらに、前記第４の通知情報を受信し、前記第２の格納箇所によって前記第２のユーザデータを探し、前記第２のユーザデータに対してカプセル化処理を行い、前記ＩＰメッセージを得て、前記サーバに前記ＩＰメッセージを送信する、請求項３に記載のＤＬＰデバイス。
5. 前記ＤＰＩモジュールは、具体的に、
   前記目標マッチング項目に対応する動作項目がメッセージを遮断することである場合、前記代理モジュールに第５の通知情報を送信し、前記第５の通知情報は前記第１のユーザデータの第１の格納箇所と第１の遮断データを含み、
   前記代理モジュールは、さらに、前記第５の通知情報を受信し、前記第１の格納箇所によって前記第１のユーザデータをリリースし、前記第１のＴＣＰ接続のＴＣＰポート情報によって、前記第１の遮断データに対してカプセル化処理を行い、ＴＣＰヘッダ及び前記第１の遮断データを含む第２の遮断データを得て、前記転送モジュールに前記第２の遮断データを送信し、
   前記転送モジュールは、さらに、前記第２の遮断データを受信し、前記第２の遮断データに対してカプセル化処理を行い、遮断メッセージを得て、前記ユーザデバイスに前記遮断メッセージを送信する、請求項３に記載のＤＬＰデバイス。
6. 前記ＤＰＩモジュールは、具体的に、
   同じオリジナルデータに属する全てのユーザデータを受信したか否かを判断し、
   同じオリジナルデータに属する全てのユーザデータを受信した場合、予めに設定されたセキュリティポリシーを取得する、請求項３に記載のＤＬＰデバイス。
7. 前記ＤＰＩモジュールは、さらに、
   前記ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されていない場合、前記代理モジュールに第６の通知情報を送信し、
   前記代理モジュールは、さらに、前記第６の通知情報を受信し、前記転送モジュールに送信し、
   前記転送モジュールは、さらに、前記第６の通知情報を受信し、前記第６の通知情報によって、前記サーバに前記ＩＰメッセージを送信する、請求項３～６のいずれかに記載のＤＬＰデバイス。
8. 前記代理モジュールは、さらに、
   前記ＩＰメッセージがセキュリティソケットレイヤーＳＳＬプロトコルの暗号化メッセージである場合、オープンセキュリティソケットレイヤーＯｐｅｎＳＳＬ暗号ライブラリの第１のインタフェース及び第２のインタフェースをそれぞれ呼び出し、
   呼び出された第１のインタフェースと前記第１のＴＣＰ接続とをバインドし、呼び出された第２のインタフェースと前記第２のＴＣＰ接続とをバインドする、請求項１に記載のＤＬＰデバイス。
9. ユーザデバイスから送信されたトランスミッションコントロールプロトコルＴＣＰポート情報を含むインターネットプロトコルＩＰメッセージを受信することと、
   前記ＴＣＰポート情報によって、前記ＤＬＰデバイスと前記ユーザデバイスとの間に第１のＴＣＰ接続が確立されているか否かを検出することと、
   前記第１のＴＣＰ接続が確立されていない場合、前記ＩＰメッセージがデータメッセージである時に、前記ＩＰメッセージのメッセージ特徴と各アプリケーション層プロトコルに対応するメッセージ特徴とを照合し、前記ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルを確定することと、
   前記ＩＰメッセージの伝送に使用されたアプリケーション層プロトコルが傍受されている場合、前記ＴＣＰポート情報によって、ＴＣＰ接続ペアを確立し、前記ＴＣＰ接続ペアは、前記第１のＴＣＰ接続、及び前記ＤＬＰデバイスとサーバとの間の第２のＴＣＰ接続を含むことと、を含み、
   データ漏洩防止ＤＬＰデバイスに適用されるメッセージ処理方法。
10. 前記メッセージがプロトコルメッセージである時に、前記サーバが前記ＩＰメッセージによって前記ユーザデバイスとのＴＣＰ接続を確立するように、前記サーバに前記ＩＰメッセージを送信することを含む、請求項９に記載の方法。
11. 前記ＩＰメッセージに含まれる第１のユーザデータの位置をマークすることと、
    前記ＩＰメッセージに対してデカプセル化処理を行い、マークされた位置に対応する前記第１のユーザデータを取得して一時保存することと、
    予めに設定されたセキュリティポリシーを取得し、前記セキュリティポリシーはマッチング項目と動作項目を含むことと、
    前記セキュリティポリシーから、前記第１のユーザデータにマッチングする目標マッチング項目を探し、前記目標マッチング項目に対応する動作項目を実行することと、を含む、請求項９に記載の方法。
12. 前記目標マッチング項目に対応する動作項目を実行することは、
    前記目標マッチング項目に対応する動作項目がメッセージの通過である場合、前記第２のＴＣＰ接続のＴＣＰポート情報によって、前記第１のユーザデータに対してカプセル化処理を行い、前記ＩＰメッセージを得ることと、
    前記サーバに前記ＩＰメッセージを送信することと、を含む、請求項１１に記載の方法。
13. 前記目標マッチング項目に対応する動作項目を実行することは、
    前記目標マッチング項目に対応する動作項目がメッセージを遮断することである場合、前記第１のＴＣＰ接続のＴＣＰポート情報によって、遮断メッセージを生成することと、
    前記ユーザデバイスに前記遮断メッセージを送信することと、を含む、請求項１１に記載の方法。
14. 前記予めに設定されたセキュリティポリシーを取得することは、
    同じオリジナルデータに属する全てのユーザデータを受信したか否かを判断することと、
    同じオリジナルデータに属する全てのユーザデータを受信した場合、予めに設定されたセキュリティポリシーを取得することと、を含む、請求項１１に記載の方法。
15. 前記ＩＰメッセージがセキュリティソケットレイヤーＳＳＬプロトコルの暗号化メッセージである場合、オープンセキュリティソケットレイヤーＯｐｅｎＳＳＬ暗号ライブラリの第１のインタフェース及び第２のインタフェースをそれぞれ呼び出すことと、
    呼び出された第１のインタフェースと前記第１のＴＣＰ接続とをバインドし、呼び出された第２のインタフェースと前記第２のＴＣＰ接続とをバインドすることと、を含む、請求項９に記載の方法。

Images