TW201329772A - 操作歷程的記錄方法、以及資訊安全的管理方法和系統 - Google Patents

Abstract

一種資訊安全的管理方法，可以用於一使用者主機，其安裝有一作業系統。本發明之管理方法在使用者主機被啟動時，每經過一第一預設時間就截取使用者主機上所顯示的畫面，而產生一畫面截取資料。此時，若是發生使用者所顯示的畫面上發生重畫事件，則截取使用者主機之作業系統所輸出的字串輸出指令的內容。另外，此記錄方法會再次截取使用者主機上所顯示的畫面，而產生一第二畫面截取資料，並且尋找第一和第二畫面截取資料二者的相異處，以獲得相異處所對應的字串輸出指令的內容，作為是否儲存第一和第二畫面截取資料的依據。

Description

操作歷程的記錄方法、以及資訊安全的管理方法和系統

本發明是有關於一種資訊安全的管理方法，且特別是有關於一種適用於企業內部的資訊安全之管理方法。

在這個網際網路普遍以及有突破性發展的現今，資料取得變得更加容易。在早期的社會，當人們要查找資料，可能需要到圖書館查詢許多相關的書籍，才能夠找到相關的資料。然而現今，人們只要坐在家中，然後連結至入口網站，並且鍵入關鍵字，就可以獲得許多相關的資訊。雖然網際網路讓人類的生活更加便利，但是從反面來說，資訊的保密程度也愈來愈低。

一般企業的資訊安全管理，主有兩方面。其中一方面是防範外來的侵入，例如惡意程式或駭客的入侵。為了防範外部的入侵，可以設置防火牆，或是安裝防毒軟體或防駭軟體。另一方面，企業也要防範內部員工的洩密。對於防範內部的洩密，大致上有可分為兩類技術，其一是禁止防堵，另一是彈性管理。

所謂的禁止防堵，就是關閉所有可能洩密的管道，例如禁止使用外接式儲存設備、禁止使用者連結至大部分的對外網站、禁止使用即時通訊軟體等。然而這樣的防範方式，有時會引起內部員工的反彈，而導致士氣低落。另外，也可能讓企業的執行效率下降。因此，目前有些企業，是採用彈性管理的方式來防範資料外洩。

習知彈性管理來防範資料外洩的技術，是從遠端的監控主機，監控企業中每一終端主機。而其監控的手段，包括定期截取終端主機的螢幕上所顯示的畫面。如此一來，管理者就可以從所截取的畫面，來判斷內部員工是否洩漏不允許洩漏的資訊。

然而，這樣的方式卻不適用於大企業。由於大企業的員工眾多，因此終端主機的數量也非常龐大。換句話說，所要儲存的截取畫面資料量也非常龐大，因此就需要非常大的儲存設備來儲存這些所截取到的畫面資料。如此一來，就要耗費較多的硬體成本。即便有如此大的儲存設備來儲存所截取到的畫面資料，管理者也幾乎無法從如此龐大的資料中找出所需要的資訊，導致防範的效果不彰。

有鑑於此，本發明提供一種操作歷程的記錄方法，可以記錄一使用者在一使用者主機上的操作情形。

本發明也提供一種資訊安全的管理方法，可以不需要龐大的儲存空間，就可以管理一使用者主機的操作歷程。

另外，本發明更提供一種資訊安全管理系統，可以有效率地防範資訊的外洩。

本發明提供一種操作歷程的記錄方法，可以用於一使用者主機，其安裝有一作業系統。本實施例所提供的記錄方法會在一第一預設時間點截取使用者主機上所顯示的畫面，而產生一畫面截取資料，並且判斷使用者主機所顯示的畫面是否發生一重畫事件。若是使用者主機所顯示的畫面發生重畫事件時，則截取作業系統對重畫事件所輸出之至少一字串輸出指令的內容。另外，此記錄方法還會在發生重畫事件後，在第一預設時間點之後的一第二預設時間點截取使用者主機上所顯示的畫面，而產生一第二畫面截取資料。藉此，就可以將第二畫面截取資料與該第一畫面截取資料進行交集比對，以尋找該第二畫面截取資料和該第一畫面截取資料的相異處。接著，記錄第一畫面截取資料和第二畫面截取資料二者至少其中之一，並記錄第二畫面截取資料和第一畫面截取資料的相異處所對應之字串輸出指令的內容。

從另一觀點來看，本發明也提供一種資訊安全的管理方法，可以用於一使用者主機，其安裝有一作業系統。本發明之管理方法包括偵測使用者主機是否被啟動。當使用者主機被啟動時，則開始計時。每經過一第一預設時間，則截取使用者主機上所顯示的畫面，而產生一畫面截取資料，並且偵測使用者主機所顯示的畫面是否發生一重畫事件。當偵測到使用者主機所顯示的畫面發生重畫事件時，則截取作業系統對重畫事件所輸出之至少一字串輸出指令的內容。另外，此記錄方法還會在發生重畫事件後，在取得第一畫面截取資料後經過一第二預設時間，截取使用者主機上所顯示的畫面，而產生一第二畫面截取資料。藉此，就可以將第二畫面截取資料與該第一畫面截取資料進行交集比對，以尋找第二畫面截取資料和第一畫面截取資料的相異處。接著，依據第二畫面截取資料和第一畫面截取資料之相異處所對應的字串輸出指令的內容，而獲得輸入至使用者主機的字元，並且產生一輸入字元截取資料。當此輸入字元截取資料符合多個預設關鍵字詞其中之一時，則儲存第一畫面截取資料和第二畫面截取資料二者至少其中之一，以供一管理者檢視。

另外，當輸入字元截取資料不符合上述預設關鍵字詞任一時，則刪除該第一畫面截取資料和該第二畫面截取資料。

在本發明之一實施例中，字串輸入指令的內容包括輸入字串在使用者主機畫面上的起始座標資料、輸入字串的長寬資料以及輸入字串的內容。

從另一觀點來看，本發明更提供一種資訊安全管理系統，可以管理一使用者主機。本發明的資訊安全管理系統，包括連線模組、控制模組和管理工具。連線模組會透過一網路連線至使用者主機。另外，控制模組則是耦接連線模組，以透過連線模組監測使用者主機。管理工具也會與控制模組連線，以在發現使用者主機開機時，每經過一第一預設時間則截取使用者主機上所顯示的畫面以產生一第一畫面截取資料。此時，若是使用者主機上所顯示的畫面上一重畫事件時，則截取作業系統所產生之至少一字串輸出指令的內容，並且再次截取該使用者主機上所顯示的畫面而產生一第二畫面截取資料。藉此，就可以將第二畫面截取資料與該第一畫面截取資料進行交集比對，以尋找該第二畫面截取資料和該第一畫面截取資料的相異處。接著，依據第二畫面截取資料和第一畫面截取資料之相異處所對應的字串輸出指令的內容，而獲得輸入至該使用者主機的字元，並且產生一輸入字元截取資料。因此，管理工具會依據輸入字元截取資料來決定是否儲存第一畫面截取資料和第二畫面截取資料。

由於本發明是在所截取到的輸入字元截取資料符合預設關鍵字其中之一的條件下，才會儲存對應的畫面截取資料，因此本發明不需要龐大的儲存設備。也因為如此，本發明也能輔助管理者更精確地並且更有效率地判斷是否發生洩密事件。

為讓本發明之上述和其他目的、特徵和優點能更明顯易懂，下文特舉較佳實施例，並配合所附圖式，作詳細說明如下。

圖1繪示為依照本發明之一較佳實施例的一種資訊安全管理系統的方塊圖。請參照圖1，本實施例所提供的資訊安全管理系統100，可以透過網路150而連線至一使用者主機160。在本實施例中，資訊安全管理系統100利用伺服器、個人電腦、可攜式電腦或平板電腦來實現。另外，網路150可以是有線網路或是無線網路，其例如是區域網路。

本實施例中的資訊安全管理系統100包括控制模組102、連線模組104和管理工具106。連線模組104會與網路150連線，並且透過網路150連結至使用者主機160。控制模組102則與管理工具106連線，並且耦接至連線模組104。藉此，控制模組102可以透過網路150來監控使用者主機160。

在一些實施例中，資訊安全管理系統100還具有一儲存單元110，例如是硬碟、快閃記憶體等，其可以耦接控制模組102。此外，在一些實施例中，管理工具106可以利用軟體來實現，其可以儲存在儲存單元110內，並且用來記錄一使用者在使用者主機160上的操作歷程。另外，在儲存單元110中，還可以安裝一資料庫112，其可以與管理工具106連線。其中，資料庫112可以存有多個預設關鍵字詞，其可以由管理者自行設定。

請繼續參照圖1，使用者主機160也可以是個人電腦、可攜式電腦或是平板電腦。使用者主機160可以耦接螢幕162和鍵盤164。在一些實施例中，螢幕162和鍵盤164是外接的周邊裝置。然而，在另外一些實施例中，螢幕162和鍵盤164是被包含在使用者主機160內。當使用者主機160被啟動時，控制模組102會將此資訊通知管理工具106。此時，管理工具106會在一第一預設時間點透過網路150，而截取使用者主機160之螢幕162上所顯示的畫面，並且產生一第一畫面截取資料。

當取得第一畫面截取資料後，管理工具106還會偵測使用者主機106之螢幕162所顯示的畫面上，是否發生重畫事件。所謂的重畫事件，就是當使用者在使用者主機160之螢幕162上進行任何操作時，安裝在使用者主機160中的作業系統會因應使用者的操作，而對螢幕162所顯示的畫面進行重畫操作。

圖2A~圖2C分別繪示為使用者在一入口網站輸入字元的示意圖。請分別參照圖2A到圖2C，並且合併參照圖1，當使用者操作使用者主機160連結至一入口網站時，在螢幕162上就會顯示此入口網站的網頁200。若是使用者在第一時間點於網頁200上的關鍵字輸入欄位202中鍵入字元“N”(如圖2A所示)；接著在第二時間點於關鍵字輸入欄位202再輸入字元“N”(如圖2B所示)；然後在第三時間點再於關鍵字輸入欄位202輸入字元“N”(如圖2C所示)，此時使用者主機160的作業系統就會在第一時間點、第二時間點和第三時間點分別對螢幕162相對於關鍵字輸入欄位202的位置進行重畫動作，以在關鍵字欄位202中分別顯示“N”、“NN”和“NNN”。另外，若是使用者操作滑鼠而在螢幕162上移動整個入口網站的頁面200，則使用者主機160的作業系統會對整個螢幕162的範圍進行重畫操作。

當使用者主機160的作業系統對螢幕162所顯示的畫面進行重畫操作時，會發出字串輸出指令，例如是TextOut或是TextOutW。因此，當管理工具106取得畫面截取資料時，偵測到使用者主機160的螢幕162發生重畫事件，就會去截取使用者主機160之作業系統所發出的至少字串輸出指令的內容。在一些實施例中，管理工具106截取字串輸出指令的方式，是利用使用者主機160中所提供的鉤子應用程式來截取。此時，管理工具106會記錄字串輸出指令的內容，例如是輸入至使用者主機160之字元資料在其畫面上的起始座標資料、輸入至使用者主機160之字元資料的長寬值以及內容。在圖2A到圖2C中，輸入至使用者主機160之字串輸出指令的內容分別是“N”、“NN”和“NNN”。

另一方面，管理工具106會在使用者主機160之螢幕162所顯示的畫面發生重畫事件後，在第一預設時間點後的一第二預設時間點再次截取使用者主機160之螢幕162上所顯示的畫面，而產生一第二畫面截取資料。此時，管理工具就會將第一畫面截取資料和第二畫面截取資料進行交集比對，以找出第一畫面截取資料和第二畫面截取資料二者的相異處。藉此，管理工具106就可以記錄第一畫面截取資料和第二畫面截取資料二者相異處所對應之字串輸出指令的內容，而產生一輸入字元截取資料。接著，管理工具106會將所獲得的輸入字元截取資料與資料庫112中的預設關鍵字詞進行比對。

例如，管理工具106在第一時間點所獲得的第一畫面截取資料，是圖2A所繪示的畫面，而在第二時間點所獲得的第二畫面截取資料則是圖2C所繪示的畫面。此時，管理工具106將第一畫面截取資料和第二畫面截取資料進行交集比對，就會發現相異處是關鍵字輸入欄位202的區域。此時，管理工具106就會記錄關鍵字輸入欄位202之區域所對應的字串輸出指令的內容，而產生輸入字元截取資料。

另外，上述管理工具106將第一畫面截取資料和第二畫面截取資料進行交集比對的步驟，可以是對第二畫面截取資料與第一畫面截取資料中之焦點視窗的區域進行比對。所謂的焦點視窗，就是位於使用者主機160之螢幕162所顯示之畫面最上層的視窗。當一顯示畫面上被開啟多個視窗，而位於最上層的視窗就是目前正在被使用的視窗，在此被定義為焦點視窗。

在另外一些實施例中，當管理工具106取得第一畫面截取資料後，還會偵測使用者主機的鍵盤164是否被使用。當管理工具106偵測到使用者主機160的鍵盤164在獲得該第一畫面截取資料後被使用時，則會延遲一延遲時間後，也就是在上述的第二時間點，再截取螢幕162上所顯示的畫面而產生第二畫面截取資料。

若是管理工具106發現所獲得的輸入字元截取資料符合存於資料庫112中的預設關鍵字詞其中之一時，則將畫面截取資料存於儲存單元110中，以讓管理者檢視。在一些實施例中，管理工具106還會將輸入字元截取資料儲存在儲存單元110內。相對地，若是管理工具106發現輸入字元截取資料不符合資料庫112中之預設關鍵字詞任一時，則刪除所獲得的畫面截取資料。

在一些實施例中，當管理工具106發現輸入字元截取資料符合預設關鍵字詞其中之一時，還可以呼叫控制模組102產生一通知訊息通知管理者。此通知訊息例如是語音通知訊息、音訊通知訊息、在資訊安全管理系統100的螢幕上顯示通知對話框等。

圖3A和圖3B繪示為依照本發明之一較佳實施例的一種資訊安全之管理方法的步驟流程圖。請先參照圖3A，本實施例所提供的管理方法，可以適用於一使用者主機。首先，本實施例可以如步驟S302所述，判斷使用者主機是否被開機。當使用者開機時(就如步驟S302所標示的“是”)，則進行步驟S304，就是開始計時，以在每經過一第一預設時間就截取使用者主機上所顯示的畫面，而產生一第一畫面截取資料，就是步驟S306。接著，如步驟S308所述，判斷使用者主機所顯示的畫面上是否發生重畫事件。

若是在步驟S308中，本實施例的管理方法在取得第一畫面截取資料後，發現使用者主機所顯示的畫面上發生重畫事件(就如步驟S308所標示的“是”)，則進行步驟S310，就是截取使用者主機之作業系統對於重畫事件所產生之字串輸出指令的內容。另外，本實施例之管理方法還會如步驟S312所述，在取得第一畫面截取資料後經過一第二預設時間，再次截取使用者主機所顯示的畫面而產生一第二畫面截取資料。由於在步驟S310所取得的字串輸出指令的內容可能太過龐大，所以需要進一步的將其過濾，以找出所需要的資料。

因此，請參照圖3B，本實施例此時可以進行步驟S314，就是將第一畫面截取資料和第二畫面截取資料進行交集比對，以找出二者的相異處。藉此，本實施例的管理方法就可以如步驟S312所述，記錄第一畫面截取資料和第二畫面截取資料二者相異處所對應之字串輸出指令的內容，而產生一輸入字元截取資料。如此一來，就可以取得所需要的字串輸出指令的內容。

接著，如步驟S318所述，判斷輸入字元截取資料是否符合多個預設關鍵字詞其中任一。若是所獲得的輸入字元截取資料不符合預設關鍵字詞任一時(就如步驟S318所標示的“否”)，則進步驟S320，就是刪除第一畫面截取資料和第二畫面截取資料。當然，也會刪除輸入字元截取資料。相對地，若是輸入字元截取資料符合預設關鍵字詞其中之一時(就如步驟S318所標示的“是”)，則如步驟S322所述，就是儲存畫面截取資料，以供管理者檢視。在一些實施例中，還會儲存所取得的輸入字元截取資料，以供管理者分析。

綜上所述，本發明在截取使用者主機畫面的時候，還會截取輸入至使用者主機的字元資料，並且以此作為是否儲存畫面截取資料的依據。因此，本發明不需要太大的儲存設備，就可以實現彈性監控遠端使用者主機的技術。另外，管理者不必檢視許多不相干的資料，而僅要檢視符合預設關鍵字詞之輸入字元截取資料所對應的畫面截取資料。因此，本發明也可以讓使用者更有效率地並且更準確地判斷是否發生資訊外洩的事件。

雖然本發明已以較佳實施例揭露如上，然其並非用以限定本發明，任何熟習此技藝者，在不脫離本發明之精神和範圍內，當可作些許之更動與潤飾，因此本發明之保護範圍當視後附之申請專利範圍所界定者為準。

100．．．資訊安全管理系統

102．．．控制模組

104．．．連線模組

106．．．管理工具

110．．．儲存單元

112．．．資料庫

150．．．網路

160．．．使用者主機

162．．．螢幕

164．．．鍵盤

200．．．網頁

202．．．關鍵字輸入欄位

S302、S304、S306、S308、S310、S312、S314、S316、S318、S322．．．資訊安全之管理方法的步驟流程

圖1繪示為依照本發明之一較佳實施例的一種資訊安全管理系統的方塊圖。

圖2A~圖2C分別繪示為使用者在一入口網站輸入字元的示意圖。

圖3A和圖3B繪示為依照本發明之一較佳實施例的一種資訊安全之管理方法的步驟流程圖。

S302、S304、S306、S308、S310、S312．．．資訊安全之管理方法的步驟流程

Claims (16)

1. 一種操作歷程的記錄方法，適用於一使用者主機，其安裝有一作業系統，且該記錄方法包括下列步驟：在一第一預設時間點截取該使用者主機上所顯示的畫面，而產生一第一畫面截取資料，並判斷該使用者主機所顯示的畫面是否發生一重畫事件；當該使用者主機所顯示的畫面發生該重畫事件時，則截取該作業系統對該重畫事件所輸出之字串輸出指令的內容，並在該第一預設時間點之後的一第二預設時間點截取該使用者主機上所顯示的畫面，而產生一第二畫面截取資料；將第二畫面截取資料與該第一畫面截取資料進行交集比對，以尋找該第二畫面截取資料和該第一畫面截取資料的相異處；以及記錄該第一畫面截取資料和該第二畫面截取資料二者至少其中之一，並記錄該第二畫面截取資料和該第一畫面截取資料的相異處所對應之字串輸出指令的內容。
2. 如申請專利範圍第1項所述的記錄方法，其中該字串輸入指令的內容包括輸入字串在使用者主機畫面上的起始座標資料、輸入字串的長寬資料以及輸入字串的內容。
3. 如申請專利範圍第1項所述的記錄方法，其中將該第二畫面截取資料與該第一畫面截取資料進行交集比對的步驟，包括將該第二畫面截取資料與該第一畫面截取資料中位於最上層之視窗的區域進行交集比對。
4. 如申請專利範圍第1項所述的記錄方法，更包括下列步驟：在獲得該第一畫面截取資料後，偵測該使用者主機的鍵盤是否被使用；以及當偵測到該使用者主機的鍵盤在獲得該第一畫面截取資料後被使用時，則延遲一延遲時間後再截取該第二畫面截取資料。
5. 如申請專利範圍第1項所述的記錄方法，其中截取該字串輸出指令的步驟，包括利用一鉤子應用程式來截取該字串輸出指令的內容。
6. 一種資訊安全的管理方法，適於管理一使用者主機，其安裝有一作業系統，而該管理方法包括下列步驟：偵測該使用者主機是否被啟動；當該使用者主機被啟動時，則開始計時；每經過一第一預設時間，則截取該使用者主機上所顯示的畫面，而產生一第一畫面截取資料，並判斷該使用者主機所顯示的畫面是否發生一重畫事件；當該使用者主機所顯示的畫面發生該重畫事件時，則截取該作業系統對該重畫事件所輸出之字串輸出指令的內容，並在取得該第一畫面截取資料後經過一第二預設時間，截取該使用者主機上所顯示的畫面，而產生一第二畫面截取資料；將第二畫面截取資料與該第一畫面截取資料進行交集比對，以尋找該第二畫面截取資料和該第一畫面截取資料的相異處；依據該第二畫面截取資料和該第一畫面截取資料之相異處所對應的字串輸出指令的內容，而獲得輸入至該使用者主機的字元，並產生一輸入字元截取資料；以及當該輸入字元截取資料符合多個預設關鍵字詞其中之一時，則儲存該第一畫面截取資料和該第二畫面截取資料二者至少其中之一，以供一管理者檢視。
7. 如申請專利範圍第6項所述的管理方法，其中當該輸入字元截取資料不符合該些預設關鍵字詞任一時，則刪除該第一畫面截取資料和該第二畫面截取資料。
8. 如申請專利範圍第6項所述的管理方法，其中該字串輸入指令的內容包括輸入字串在使用者主機畫面上的起始座標資料、輸入字串的長寬資料以及輸入字串的內容。
9. 如申請專利範圍第6項所述的管理方法，其中將該第二畫面截取資料與該第一畫面截取資料進行交集比對的步驟，包括將該第二畫面截取資料與該第一畫面截取資料中位於最上層之視窗的區域進行交集比對。
10. 如申請專利範圍第6項所述的管理方法，更包括下列步驟：在獲得該第一畫面截取資料後，偵測該使用者主機的鍵盤是否被使用；以及當偵測到該使用者主機的鍵盤在獲得該第一畫面截取資料後被使用時，則延遲一延遲時間後再截取該第二畫面截取資料。
11. 如申請專利範圍第6項所述的管理方法，其中截取該字串輸出指令的步驟，包括利用一鉤子應用程式來截取該字串輸出指令的內容。
12. 如申請專利範圍第6項所述的管理方法，更包括建立一資料庫，以儲存該些預設關鍵字詞，並儲存需要被儲存的畫面截取資料。
13. 一種資訊安全管理系統，適於管理一使用者主機，包括：一連線模組，透過一網路連線至該使用者主機，其中該使用者主機安裝有一作業系統；一控制模組，耦接該連線模組，以透過該連線模組監測該使用者主機；以及一管理工具，連線至該控制模組，以在該使用者主機開機後，定期截取該使用者主機上所顯示的畫面而產生一第一畫面截取資料，並在判斷在該使用者主機上所顯示的畫面上發生一重畫事件時，則截取作業系統所產生之至少一字串輸出指令的內容，並再次截取該使用者主機上所顯示的畫面而產生一第二畫面截取資料，以將該第二畫面截取資料與該第一畫面截取資料進行交集比對，而取得輸入至該使用者主機的字元資料，且該管理工具更依據輸入至該使用者主機的字元資料而決定是否儲存該第一畫面截取資料和該第二畫面截取資料二者至少其中之一，以供一管理者檢視。
14. 如申請專利範圍第13項所述的資訊安全管理系統，其中該網路包括有線網路和無線網路。
15. 如申請專利範圍第13項所述的資訊安全管理系統，其中該網路為區域網路。
16. 如申請專利範圍第13項所述的資訊安全管理系統，更包括一資料庫，耦接該控制模組，並儲存多個預設關鍵字詞，以讓該管理工具將該輸入字元截取資料與該些預設關鍵字詞進行比對，再依據比對的結果來決定是否儲存該畫面截取資料。