TWI470458B - A method and device for controlling control - Google Patents

Description

一種資安控管的方法及裝置

本發明是關於一種資訊安全控管的方法和裝置，尤其是利用一攜帶型鑰匙來啟動資安控管機制，並能簡易的利用控管清單設定來控管電腦系統之網路活動、通訊軟體、輸出設備、以及一般軟體程式和硬體設備。

隨著資訊科技的發達，資訊安全一直是企業重視的問題。為了避免員工將機密資料外洩，市場上有各式各樣的電腦資訊安全控管方式。

有些公司會明文規定員工禁止使用含有檔案傳輸功能的軟體程式或輸出裝置，並配置專屬的MIS人員，以人工的方式定期的檢查公司內部的每一台電腦是否安裝禁止使用的網路通訊軟體或外接式儲存裝置。

有些公司僅提供企業內部區域網路，完全限制對外之連線來防止資料透過網路傳送外洩。並限制員工不得使用USB儲存裝置、燒錄器等儲存設備。在安全控管上，依不同的安全層次上的要求，公司會要求員工只能利用特定的電腦，經由特殊的網路位置連上網際網路來與客戶做訊息交換。而這些專案使用的電腦，也都沒有安裝磁碟機與光碟機，專案的內部網路也與公司的其他部門網路是互不相連的。此時，只有專案經理有權限連上網際網路，發送電子郵件或將資料儲 存在可攜式記憶體上。

部分公司為了防止內部員工將重要資料帶離公司，則採用了一種資安控管軟體系統來限制員工使用資料傳輸軟體和外接式儲存裝置。而該資安控管軟體系統係藉由一遠端中央伺服器透過網路來集中設定管理每台電腦的權限。該中央伺服器含有一資料庫以記錄所有受管制電腦的使用權限。但是，因為每台電腦之權限均由遠端伺服器設定管理，而當該伺服器發生故障時，所有安全機制將會全部暫停，嚴重者需要重新設定所有電腦的控管權限。因此採用此機制的公司必須再添購一備援系統，以避免安全機制因伺服器固障而失效。而這樣的資安系統因為架構龐大管理不易，而且該系統建置成本昂貴，一般人數規模較少的中小型企業較少採用。

市面上有許多公司採用防火牆硬體設備來過濾網路封包。藉由禁止網路封包傳送，以防止使用者透過網路通訊軟體的將資料傳至公司外部。而該防火牆需要非常熟悉網路封包設定的專業人員才能設定管理。此外，該防火牆設備只能管制員工的網路活動，無法預防員工透過網路以外的方式將資料帶離公司，而這樣的防護機制對於一般公司來說是不夠的。

目前市面上的資安控管機制大多需要搭配MIS工程人員才能啟動，對於企業來說，一個簡單操作、精簡設定的資安控管機制，比功能設定複雜的控管系統還 要實用，更能省去MIS人力和資安系統建置成本。現今企業需要的是一種簡易使用的資安控管機制，以簡易的操作方式和設定流程便能有效率的防止資料外洩。

本發明提供一種資訊安全控管的方法及裝置，目的在於提供一種簡易使用的資安控管機制。該方法在一電腦系統內安裝一資安控管程式，並藉由管理人員擁有之攜帶型鑰匙來啟動或關閉該控管機制。而管理者能建立控管清單、直接設定該電腦之特定設備或軟體程式之使用權限。而資安控管程式會自動依據控管清單所設定的項目，使得該電腦系統裡的特定設備或程式無法使用。而這些作業單機便可執行，不需要建立網路伺服器，也不需要透過網路設定管制項目，便可針對每台電腦不同的需求做權限管理。

故本發明一種資安控管的方法，其中該方法係包含以下步驟：a)安裝一資安控管常駐程式於一電腦系統內；b)建立一資安控管清單於該電腦系統內；c)偵測一攜帶型鑰匙是否存在於該電腦系統內；d)該常駐程式根據該資安控管清單使該電腦系統內之特定程式或設備無法正常運作。

本發明的特徵在於，當資安控管清單完成後，管理者將攜帶型鑰匙從受控管之電腦系統裡移除，控管機制便會啟動，而該資安控管軟體便會依據控管清單上的設定，對該電腦系統執行控管的動作。這樣的好處在於管理者可以簡易的針對每台電腦做不同的權限設定，並依每個使用者的職位和工作性質開放不同的程式或設備的使用權限。

而本發明之一種資安控管專用的裝置，其中該裝置包含：a)一攜帶型鑰匙，該攜帶型鑰匙裡包含一認證資訊；b)一資安控管軟體以安裝於一電腦系統內，當該資安控管軟體偵測到該攜帶型鑰匙存在於該電腦系統時，該資安控管軟體能夠取出該攜帶型鑰匙內的認證資訊並做驗證，而該資安控管軟體進一步能啟動資安控管機制。

從另一種角度來看，有些管理者會希望資安控管機制除了能夠管制設備的使用權利，還能紀錄電腦系統裡程式或設備的實際使用情況，以避免資料外流。

為了得知使用者是否不當濫用開放權限的設備或程式，本發明資安控管機制在實際應用上進一步可加入記錄螢幕畫面(screenshot)，網路通訊記錄，網頁瀏 覽記錄，輸出設備(印表機、燒錄器、隨身碟…等)使用記錄等功能。能有效的避免員工不當使用電腦設備，讓資安控管機制更為完善。

因此本發明進一步提供一種具有電腦系統監控功能的資安控管的方法，其中該方法係包含以下步驟：a)安裝一常駐程式於一電腦系統內；b)建立一資安控管清單於該電腦系統內；c)偵測一攜帶型鑰匙是否存在於該電腦系統內；d)該常駐程式根據該資安控管清單所設定的監控項目，執行該電腦系統監控活動。

在接下來的說明裡”資安控管常駐程式”指的是一電腦程式，在本發明的實施例裡，該程式會被安裝至受控管的電腦系統上。而透過該程式，管理者將能建立控管清單。該程式將隨時偵測控管清單上的項目狀態，並禁止該控管清單列表上受控管的程式或設備之執行。而該程式更會隨時偵測攜帶型鑰匙是否存在，判斷目前電腦的使用者是否為該程式的管理者。

而”攜帶型鑰匙”指的是一用來開啟或管理資安控管常駐程式的工具。此攜帶型鑰匙為一外接式硬體設備，外型類似一USB dongle。內部可含有認證資訊，其主要的功能是讓常駐程式辨認目前的使用者是否為資安管理者身份，以便讓管理者執行控管設定工作。

圖1為根據本發明之一較佳實施例說明圖式，如圖1所示，攜帶型鑰匙Key1為一USB外接式裝置，Com1為一電腦裝置，Com1裡面安裝有資安控管常駐程式CP1。

根據本發明之方法，在本實施例裡，當使用者想要控管一電腦系統時，需要先將資安控管常駐程式CP1安裝於電腦系統Com1上，然後將攜帶型鑰匙Key1安裝於該電腦系統Com1上。當常駐程式CP1偵測到管理者的Key1時，便會開啟控管程式的使用者介面UI1，此時管理者便能設定控管項目，並建立控管清單。

圖2本發明實施例之控管程式的使用者介面UI1之說明圖式，裡面包含控管電腦的資安權限控管清單L1。管理者可以藉由設定該L1清單使特定程式或設備無法安裝於該電腦系統上或在該電腦系統上運行。

舉例來說，當管理者禁止某項一程式PG1(如圖2之PG1)並啟動控管機制後，資安控管程式便會持續偵測電腦系統之狀態。當資安控管程式偵測到該PG1程式安裝或執行於電腦系統上時，便會執行反安裝該PG1程式的動作，將該PG1程式從電腦系統內移除，或是發送關閉該PG1程式的訊息，將該PG1程式關閉。

此外，在實際上的應用上，若該PG1為一使用特定網路通訊阜(Port)的網路程式，可直接針對該特定通訊阜封鎖網路封包，不需要將其關閉或移除，即可使該PG1因缺少網路傳輸功能而無法正常運作(例如網 頁port 80、SMTP port 25、Ftp port 21)。在實際的應用上，控管Ftp軟體、或即時通訊軟體(如MSN Messenger、Skype…等)可以強化公司的資安防護，避免資料透過此類軟體傳輸到公司外部。

同理，當管理者使用控管機制並禁止使用特定硬體設備(如圖2所示之Dev1，在一般的應用上，Dev1可以是光碟燒錄器、外接式儲存裝置、印表機、軟碟機、硬碟外接盒等)，而在資安控管機制啟動後，當資安控管程式偵測到該受控管設備時，會將該硬體禁止使用。在實際的應用上，資安控管程式偵測到電腦系統裡存在著控管清單上禁止使用的設備時，資安控管程式可將該設備的驅動程式從電腦系統裡移除，或是將其狀態設為Disable，或是直接使電腦系統重開機，待該受控管之設備從電腦系統上移除後，才允許該受控管的電腦系統可正常使用。達到控管及禁止電腦系統之特定設備的功效，防止員工透過該些設備將資料帶離公司。

同理，資安控管實施方式根據使用者不同需求，實際應用上會有各式的因應作法。

另一方面，由於一般軟體安裝於作業系統時，會在作業系統上建立安裝資訊和反安裝軟體的功能。能讓使用者透過作業系統提供的『新增/移除程式』功能，來將軟體變更或移除。而在本發明實際應用上，控管機制為了避免使用者將資安控管程式移除，因此當管 理者安裝本資安控管程式到電腦系統時，資安控管程式可在一開始程式安裝時便只安裝程式本身，而不將安裝資訊寫入作業系統。讓受控管的電腦的使用者，無法察覺該電腦正受資安控管常駐程式控管中。

圖3為本發明資安控管裝置之一較佳實施例之說明圖表。如圖3所示，本發明資安控管之裝置需包含一攜帶型鑰匙Key1和一資安控管程式CP1。

在本實施例裡，攜帶型鑰匙Key1為一USB Dongle，而實際上的應用可為USB隨身碟、或任一形式的電腦周邊外接式裝置。而資安控管程式CP1為一電腦軟體程式，在實際的應用上通常可以是光碟安裝檔或一般電腦執行檔。此外，若Key1以一具有儲存功能的隨身碟的方式實現，該電腦軟體程式還可預先存放在Key1的儲存單元裡，不需要多一片光碟片來存放該資安控管程式CP1，以方便管理者隨身攜帶。

根據本實施例裡，攜帶型鑰匙Key1最主要的功用在於讓資安管理者開啟或設定資安管理機制，因此該Key1裡面會包含記憶單元M1和運算處理單元P1，並且M1內含一認證資訊。而該認證資訊的作用在於提供資安控管程式CP1一個認證標準，用以區分不同把攜帶型鑰匙。而P1的作用是將M1裡面的認證資訊取出並傳送至電腦系統，以提供電腦系統作存取。

本實施例攜帶型鑰匙Key1的使用方式為：透過安裝資安控管程式CP1到電腦系統上，並使該程式CP1常 駐在電腦系統裡。再經由使用者將攜帶型鑰匙Key1安裝於該電腦系統上，藉由CP1程式取出該Key1裡面的認證資訊並做交互驗證。若驗證成功，該電腦系統的使用者則可以管理者的身份設定控管清單。

在該管理者透過CP1程式建立好控管清單後，管理者可將該攜帶型鑰匙Key1從電腦系統上移除，當該CP1程式偵測攜帶型鑰匙Key1不在電腦系統上時，便會啟動資安控管機制，並依照資安控管清單所設定的選項，執行控管的動作。

圖4之流程圖描述本發明實施例之資安控管的方法流程。如圖4所示，在步驟101裡，依照本發明之資安控管方法首先在一電腦系統內安裝一資安控管常駐程式。

在步驟102裡，管理者可建立一控管清單，此控管清單上列出將要控管的程式或設備。在實際的應用上，步驟101時，安裝程式可同時安裝一預設的控管清單，並啟動預設的控管機制。或是將控管清單預先建立好並儲存在攜帶型鑰匙裡面。當安裝完成資安控管常駐程式後，直接執行步驟103。

而在步驟103裡，資安控管常駐程式持續的偵測攜帶型鑰匙是否存在於電腦系統內。當攜帶型鑰匙存在於電腦系統內時，管理者介面可隨時被使用者呼叫出來設定。而當管理者設定好控管清單並將攜帶型鑰匙從電腦系統移除後，資安控管常駐程式將會執行資安 控管機制，如步驟104。

在步驟104裡，資安控管常駐程式會啟動控管機制，在本發明的實施例裡，資安控管常駐程式會根據控管清單，禁止控管清單列表上的程式或設備。

在實際的應用裡，步驟104的控管機制可以有多種變化應用，可依管理者之設定來彈性調整限制的方式。舉例來說，控管清單裡面可包含禁止安裝特定程式或設備、限制特定程式或設備使用時間、限制特定程式或設備使用次數…等各式的限制功能。使得控管的方式更有彈性，讓管理者可開放暫時使用受管制的程式或設備的功能給一般使用者。

從另一個角度看，由於有些員工在工作上需要使用受控管的程式或設備，因此會要求管理者開放已控管的設備或程式的使用權。而為了避免該些員工不當的使用該開放權限的程式或設備。因此本發明控管的項目除了程式或設備之管制外，還能搭配監控的功能應用。

其一較佳實施例之步驟為：a)首先在一電腦系統內安裝一資安控管常駐程式；b)建立一控管清單於該電腦設備；c)偵測攜帶型鑰匙是否存在於該電腦系統內；d)該常駐程式根據該資安控管清單，執行該電腦系統監控活動。

和先前實施例不同在於，本實施例在步驟b)裡的控管清單列表主要為監控設定選項，管理者可依需求來設定監控的項目。當執行步驟d)時，控管常駐程式可依該設定來紀錄該使用者的電腦使用狀態，例如將瀏覽過的網頁歷史紀錄、即時通訊軟體的通話紀錄儲存在該電腦上供管理者查詢。

而在實際的應用上，控管常駐程式除了可以將控管項目的狀態記錄下來供管理者查詢外，更能夠即時或定時以e-mail或ftp或其他傳訊方式回覆報告給管理者。管理者只要瀏覽該報告即可得知使用者電腦的使用情況。

圖5為本實施例之控管程式的使用者介面UI1之說明圖式，裡面包含控管電腦的資安監控控管清單L2。管理者可以藉由設定該L2清單來選擇監控項目。

如圖5所示，控管清單L2包含一記錄網頁歷史紀錄功能選項S1，管理者可將其設定為開啟狀態。因此當步驟d)執行時，該常駐程式便會將該電腦使用者每一瀏覽過的網址記錄下來，或是當該使用者瀏覽網頁時，每切換一次頁面就將螢幕畫面(screenshot)存成一圖檔以供管理者日後可以隨時查詢。

同理，本實施例也可以用在硬體設備監控上，舉例來說，若步驟b)控管清單上設定的為USB隨身碟監控S2，而在步驟d)的常駐程式便可在USB隨身碟有檔案讀寫動作時，紀錄該檔案讀寫的資訊，例如存取的檔 名、該檔案路徑、讀寫時間、讀寫的資料本身…等。管理者可以藉由此記錄得知使用者是否有將機密的資料檔案寫入隨身碟裡。

在實際的應用上，資安控管常駐程式更能紀錄使用者平時電腦的使用情況。例如目前裝過哪些軟體、使用過哪些程式、使用過哪些設備、特定時段正在使用哪些軟體，特定程式使用多久等等，還能搭配擷取使用者螢幕畫面的功能來觀看受控管之電腦之實際操作畫面。而一般的使用者若沒有系統管理者的攜帶型鑰匙，因為無法開啟控管清單，便無法變更或關閉控管項目設定。因此管理者便可以有效的監控受控管的電腦實際使用狀況，而公司內部資安控管機制也將更為完善。

如熟於此技藝者所能輕易理解，前述本發明較佳的實例是用來說明本發明，不能僅以此實例之揭露限定本發明實施之範圍。可預期的，凡依本發明申請專利範圍及說明書內容所做之簡單修飾與等效變化，仍屬本案涵蓋之範圍。權力範圍應被給予擴大解釋，以便包含所有相似的修改和結構。

CP1‧‧‧資安控管程式

Key1‧‧‧攜帶型鑰匙

Com1‧‧‧電腦系統

UI1‧‧‧使用者介面

L1‧‧‧資安權限控管清單

L2‧‧‧資安監控控管清單

S1‧‧‧網頁歷史紀錄功能選項

S2‧‧‧USB隨身碟監控功能選項

PG1‧‧‧程式

Dev1‧‧‧硬體設備

M1‧‧‧記憶單元

P1‧‧‧運算處理單元

101,102,103,104‧‧‧步驟

圖1：本發明之一較佳實施例說明圖式

圖2：本發明實施例之控管程式的使用者介面UI1之說明圖式

圖3：本發明資安控管裝置之一較佳實施例之說明圖表

圖4：說明本發明之資安控管的方法流程圖

圖5：本發明之一較佳實施例之使用者介面說明圖式

101~104‧‧‧步驟

Claims (43)

1. 一種資安控管的方法，其中該方法係包含以下步驟：a)安裝一資安控管常駐程式於一電腦系統內；b)建立一資安控管清單於該電腦系統內；c)偵測一攜帶型鑰匙是否存在於該電腦系統內；d)該常駐程式根據該資安控管清單使該電腦系統內之特定程式或設備無法正常運作。
2. 如申請專利範圍第1項所述一種資安控管的方法，該方法進一步包含如下步驟：a-1)當安裝該資安控管程式到該電腦系統內時，不將其安裝資訊寫入一作業系統內。
3. 如申請專利範圍第1項所述一種資安控管的方法，其中該攜帶型鑰匙係一USB dongle。
4. 如申請專利範圍第1項所述一種資安控管的方法，其中該攜帶型鑰匙係一USB隨身碟。
5. 如申請專利範圍第1項所述一種資安控管的方法，其中該攜帶型鑰匙內部係含有一認證資訊，以提供該常駐程式讀取並驗證。
6. 如申請專利範圍第5項所述一種資安控管的方法，其中該認證資訊係一組密碼序號。
7. 如申請專利範圍第1項所述一種資安控管的方法，其中該特定程式係一即時通訊軟體，例如MSN Messenger軟體、Skype軟體、Yahoo Messenger軟體。
8. 如申請專利範圍第1項所述一種資安控管的方法，其中該特定程式係一FTP軟體。
9. 如申請專利範圍第1項所述一種資安控管的方法，其中該特定程式係一電子郵件收發軟體。
10. 如申請專利範圍第1項所述一種資安控管的方法，該方法進一步包含如下步驟：d-1)偵測該電腦系統執行中的軟體程式，若該軟體程式為該控管清單上所列禁止使用的軟體，則發送系統訊息將該軟體程式關閉。
11. 如申請專利範圍第1項所述一種資安控管的方法，該方法進一步包含如下步驟：d-2)偵測該電腦系統執行中的軟體程式，若該軟體程式為該控管清單上所列禁止使用的軟體，則將該軟體程式從電腦系統裡反安裝。
12. 如申請專利範圍第1項所述一種資安控管的方法，其中該設備係一電腦硬體裝置，如燒錄器、隨身碟、印表機、軟碟機、無線傳輸設備。
13. 如申請專利範圍第1項所述一種資安控管的方法，該方法進一步包含如下步驟：d-3)偵測該電腦系統已安裝的硬體，若該硬體為該控管清單上所列禁止使用的硬體，則將該硬體之驅動程式從該電腦系統裡移除。
14. 如申請專利範圍第1項所述一種資安控管的方法，該方法進一步包含如下步驟：d-4)偵測該電腦系統已安裝的硬體，若該硬體為該控管清單上所列禁止 使用的硬體，則關閉該電腦系統。
15. 一種資安控管裝置，其中該裝置包含：a)一攜帶型鑰匙，而該攜帶型鑰匙裡包含一認證資訊；b)一資安控管軟體用以安裝於一電腦系統內，當該資安控管軟體偵測到該攜帶型鑰匙安裝於該電腦系統時，該資安控管軟體能夠取出該攜帶型鑰匙內的認證資訊並做驗證，而該資安控管軟體進一步能啟動資安控管機制。
16. 如申請專利範圍第15項所述一種資安控管裝置，其中該攜帶型鑰匙係一USB dongle。
17. 如申請專利範圍第15項所述一種資安控管裝置，其中該攜帶型鑰匙係一USB隨身碟。
18. 如申請專利範圍第15項所述一種資安控管裝置，其中該資安控管軟體，係包含於一安裝光碟裡。
19. 如申請專利範圍第15項所述一種資安控管裝置，其中該資安控管軟體係包含一功能用來建立一資安控管清單。
20. 如申請專利範圍第19項所述一種資安控管裝置，其中該資安控管軟體係包含一功能用以禁止電腦系統內一程式之運行。
21. 如申請專利範圍第20項所述一種資安控管裝置，其中該被禁止的程式係一即時通訊軟體，如MSN Messenger軟體、Skype軟體、Yahoo Messenger軟體。
22. 如申請專利範圍第20項所述一種資安控管裝置，其中該被禁止的程式係一FTP軟體。
23. 如申請專利範圍第20項所述一種資安控管裝置，其中該被禁止的程式係一電子郵件收發軟體。
24. 如申請專利範圍第19項所述一種資安控管裝置，其中該資安控管軟體係包含一功能用以禁止特定電腦硬體設備之運作，而該硬體設備如燒錄機、USB儲存裝置、印表機。
25. 一種資安控管的方法，其中該方法係包含：a)首先在一電腦系統內安裝一資安控管常駐程式；b)建立一控管清單於該電腦系統內；c)偵測一攜帶型鑰匙是否存在於該電腦系統內；d)該常駐程式根據該資安控管清單所設定的監控項目，執行該電腦系統監控活動。
26. 如申請專利範圍第25項所述一種資安控管的方法，其中進一步包含如下步驟：a-1)當安裝該資安控管程式到該電腦系統內時，不將其安裝資訊寫入一作業系統內。
27. 如申請專利範圍第25項所述一種資安控管的方法，其中該攜帶型鑰匙係一USB dongle。
28. 如申請專利範圍第25項所述一種資安控管的方法，其中該攜帶型鑰匙係一USB隨身碟。
29. 如申請專利範圍第25項所述一種資安控管的方法，其中該攜帶型鑰匙 內部係含有一認證資訊，以提供該常駐程式交互驗證。
30. 如申請專利範圍第29項所述一種資安控管的方法，其中該認證資訊係一組密碼序號。
31. 如申請專利範圍第25項所述一種資安控管的方法，其中該監控活動係記錄控管清單所控管的程式之執行次數。
32. 如申請專利範圍第25項所述一種資安控管的方法，其中該監控活動係記錄控管清單所控管的設備之執行次數。
33. 如申請專利範圍第25項所述一種資安控管的方法，其中該監控活動係紀錄該受監控電腦系統的螢幕畫面。
34. 如申請專利範圍第33項所述一種資安控管的方法，其中該螢幕畫面係以jpg或bmp圖檔格式儲存在電腦系統。
35. 如申請專利範圍第34項所述一種資安控管的方法，其中進一步包含如下步驟：d-1)將該圖檔e-mail給該資安控管常駐程式的管理者。
36. 如申請專利範圍第25項所述一種資安控管的方法，該方法進一步包含如下步驟：d-1)當該資安控管常駐程式偵測到該電腦系統新增軟體程式或硬體設備時，能發出e-mail訊息通知該資安控管常駐程式的管理者。
37. 如申請專利範圍第25項所述一種資安控管的方法，其中該監控活動係紀錄USB隨身碟之I/O資訊。
38. 如申請專利範圍第37項所述一種資安控管的方法，其中該I/O資訊係 包含I/O所存取的檔名或I/O存取時間或I/O路徑。
39. 如申請專利範圍第37項所述一種資安控管的方法，其中進一步包含如下步驟：d-1)將該USB隨身碟之I/0資訊e-mail給該資安控管常駐程式的管理者。
40. 如申請專利範圍第25項所述一種資安控管的方法，其中該監控活動係儲存網頁瀏覽記錄於電腦系統內。
41. 如申請專利範圍第40項所述一種資安控管的方法，其中進一步包含如下步驟：d-1)將該網頁瀏覽記錄e-mail給該資安控管常駐程式的管理者。
42. 如申請專利範圍第25項所述一種資安控管的方法，其中該監控活動係儲存即時通訊軟體之通訊記錄於電腦系統內。
43. 如申請專利範圍第42項所述一種資安控管的方法，其中進一步包含如下步驟：d-1)將該通訊記錄e-mail給該資安控管常駐程式的管理者。