專利名稱：一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全技術(shù)領(lǐng)域，涉及一種虛擬化技術(shù)應(yīng)用于數(shù)據(jù)安全防護(hù)領(lǐng)域的系統(tǒng)，特別是涉及一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)；同時(shí)，本發(fā)明還涉及上述數(shù)據(jù)防泄密系統(tǒng)的防泄密方法。
背景技術(shù)：
隨著信息化在我國(guó)的蓬勃發(fā)展，電子化的數(shù)據(jù)已經(jīng)成為每個(gè)部門、每個(gè)企業(yè)、每個(gè)個(gè)人的重要資產(chǎn)。數(shù)據(jù)的保密性、完整性和可用性關(guān)系到政府、重要行業(yè)和企業(yè)的生存力和競(jìng)爭(zhēng)力。因此，數(shù)據(jù)安全，作為信息安全領(lǐng)域中的重要組成部分，正越來越受到大家的關(guān)注。 數(shù)據(jù)安全，涵蓋防丟失、防泄露及防濫用等多個(gè)層面。其中，數(shù)據(jù)防泄漏又是當(dāng)前尤為突出的熱點(diǎn)問題。電子郵件、即時(shí)通訊、可移動(dòng)存儲(chǔ)介質(zhì)等計(jì)算機(jī)科學(xué)成果的廣泛應(yīng)用，在提升人們工作效率的同時(shí)，也不可避免地?cái)U(kuò)展了數(shù)據(jù)泄漏的通道，尤其是用戶的主動(dòng)泄密行為更是防不勝防。面對(duì)這樣的嚴(yán)峻形勢(shì)，國(guó)內(nèi)外安全廠商近年來紛紛推出自己的數(shù)據(jù)泄露防護(hù)解決方案。目前的數(shù)據(jù)泄露防護(hù)以動(dòng)態(tài)加解密技術(shù)為核心，分為文檔級(jí)動(dòng)態(tài)加解密和磁盤級(jí)動(dòng)態(tài)加解密兩種方式?；谖臋n級(jí)動(dòng)態(tài)加解密技術(shù)是在不同的操作系中(如WINDOWS、LINUX、UNIX等)， 應(yīng)用程序在訪問存儲(chǔ)設(shè)備數(shù)據(jù)時(shí)，一般都通過操作系統(tǒng)提供的API調(diào)用文件系統(tǒng)，然后文件系統(tǒng)通過存儲(chǔ)介質(zhì)的驅(qū)動(dòng)程序訪問具體的存儲(chǔ)介質(zhì)；而磁盤級(jí)動(dòng)態(tài)加解密技術(shù)是在系統(tǒng)啟動(dòng)時(shí)，動(dòng)態(tài)加解密系統(tǒng)實(shí)時(shí)解密硬盤的數(shù)據(jù)，系統(tǒng)讀取什么數(shù)據(jù)，就直接在內(nèi)存中解密數(shù)據(jù)，然后將解密后的數(shù)據(jù)提交給操作系統(tǒng)即可?；谖臋n級(jí)動(dòng)態(tài)加解密技術(shù)的缺點(diǎn)在有些文件系統(tǒng)自身支持文件的動(dòng)態(tài)加解密， 如Windows系統(tǒng)中的NTFS文件系統(tǒng)，其本身就提供了 EFS (Encryption File System)支持，作為一種通用的系統(tǒng)，難以做到滿足各種用戶個(gè)性化的要求，如自動(dòng)加密某些類型文件寸。而磁盤級(jí)動(dòng)態(tài)加解密技術(shù)的缺點(diǎn)在于該技術(shù)所采用的加解密算法的速度直接受到系統(tǒng)性能的影響。

發(fā)明內(nèi)容
本發(fā)明的目的是針對(duì)現(xiàn)有技術(shù)的不足，提出一種不受系統(tǒng)性能限制、又能滿足各種用戶個(gè)性化的要求一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)?！N基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)是在操作系統(tǒng)之上利用虛擬化技術(shù)在工作站中構(gòu)建虛擬化工作環(huán)境，通過對(duì)宿主操作系統(tǒng)的I/O調(diào)用、系統(tǒng)調(diào)用、動(dòng)態(tài)庫調(diào)用進(jìn)行重定向而實(shí)現(xiàn)的；所述的數(shù)據(jù)防泄密系統(tǒng)由管理模塊、驅(qū)動(dòng)重定向模塊、監(jiān)控模塊、日志審計(jì)模塊、數(shù)據(jù)加解密模塊組成。所述的管理模塊主要用于設(shè)置登錄模式及在操作系統(tǒng)之上構(gòu)建虛擬層以實(shí)現(xiàn)專用文件系統(tǒng)；所述的驅(qū)動(dòng)重定向模塊主要完成對(duì)宿主操作系統(tǒng)驅(qū)動(dòng)層的系統(tǒng)消息事件的修
3改及重定向；所述的監(jiān)控模塊主要實(shí)時(shí)監(jiān)視本地目錄、文件，并控制本地目錄、文件的訪問權(quán)限；所述的日志審計(jì)模塊用于記錄用戶的操作記錄；所述的數(shù)據(jù)加解密模塊主要完成對(duì)需要保護(hù)的文檔以及編輯完成回寫的文檔進(jìn)行加密，對(duì)打開重定向至保護(hù)目錄下的文檔進(jìn)行解密。進(jìn)一步的，所述登錄模式包含管理員登錄模式和普通用戶登錄模式，以所述管理員模式登錄后，可將本地磁盤的文件復(fù)制到專用文件系統(tǒng)所對(duì)應(yīng)的區(qū)域中，并可以為此區(qū)域的電子文檔設(shè)置屬性權(quán)限及使用范圍，作為受控文檔；以所述的普通用戶登錄模式登錄后，用戶僅能設(shè)置電子文檔使用范圍。進(jìn)一步的，所述的專用文件系統(tǒng)引導(dǎo)出的起始地址和文件分區(qū)表存放位置不同于其他的常規(guī)文件系統(tǒng)，并能針對(duì)不同的文件擴(kuò)展出不同的屬性。進(jìn)一步的，可擴(kuò)展的文件屬性包括電子文檔的可轉(zhuǎn)發(fā)、電子文檔的訪問次數(shù)、電子文檔的訪問時(shí)間權(quán)限、電子文檔的不可打印限制。在專用文件系統(tǒng)所對(duì)應(yīng)的區(qū)域中創(chuàng)建電子文檔并設(shè)置控制信息時(shí)，驅(qū)動(dòng)重定向模塊獲取電子文檔的PID及文件的控制信息，并對(duì)文件另外為重定向到制定位置。一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)監(jiān)控模塊實(shí)時(shí)對(duì)文檔和文檔內(nèi)容進(jìn)行監(jiān)控，并實(shí)時(shí)對(duì)操作系統(tǒng)的驅(qū)動(dòng)層截獲系統(tǒng)事件，包括但不限于如復(fù)制、打印、另存、拷貝屏幕、網(wǎng)絡(luò)發(fā)送，并將所述事件進(jìn)行分類處理，根據(jù)安全策略進(jìn)行文檔訪問控制。所述的監(jiān)控模塊實(shí)時(shí)對(duì)內(nèi)存緩沖區(qū)的數(shù)據(jù)進(jìn)行加密鎖定，當(dāng)內(nèi)存緩沖區(qū)被釋放時(shí)實(shí)時(shí)擦除所有數(shù)據(jù)。本發(fā)明的優(yōu)點(diǎn)在于提出一種不受系統(tǒng)性能限制、又能滿足各種用戶個(gè)性化的要求一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，特別是提供一種通過保證限制用戶只能在虛擬安全環(huán)境下存取關(guān)鍵數(shù)據(jù)，同時(shí)關(guān)鍵數(shù)據(jù)的物理存儲(chǔ)也被集中在受加密保護(hù)的虛擬存儲(chǔ)空間中，防止未授權(quán)用戶竊聽、破解、非法復(fù)制傳播保密數(shù)據(jù)的數(shù)據(jù)防泄密保護(hù)方法；有效實(shí)現(xiàn)了僅在用戶進(jìn)入安全工作環(huán)境時(shí)，才能訪問受保護(hù)的文件，并且用戶的操作也都受到各個(gè)虛擬資源的限定，網(wǎng)絡(luò)傳輸、外設(shè)存取等泄密行為都被完全控制或者禁止；由于安全數(shù)據(jù)始終存儲(chǔ)在虛擬工作區(qū)域中，無法復(fù)制、轉(zhuǎn)儲(chǔ)，因此有效防范了用戶的主動(dòng)泄密行為；通過控制應(yīng)用程序的執(zhí)行、數(shù)據(jù)讀寫、剪貼復(fù)制操作、文件另存為操作、屏幕拷貝操作、打印操作、文件訪問次數(shù)、文件訪問時(shí)間等，從而使電子文檔的內(nèi)容一直處于受控狀態(tài)。


圖1 一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)構(gòu)造原理圖。圖2 —種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)工作示意圖。圖3 —種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)使用模式圖。
具體實(shí)施例方式如圖1所示，一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)是在操作系統(tǒng)之上利用虛擬化技術(shù)在工作站中構(gòu)建虛擬化工作環(huán)境，通過對(duì)宿主操作系統(tǒng)的I/O調(diào)用、系統(tǒng)調(diào)用、動(dòng)態(tài)庫調(diào)用進(jìn)行重定向而實(shí)現(xiàn)的；所述的數(shù)據(jù)防泄密系統(tǒng)由管理模塊、驅(qū)動(dòng)重定向模塊、監(jiān)控模塊、日志審計(jì)模塊、數(shù)據(jù)加解密模塊組成。
所述的管理模塊主要用于設(shè)置登錄模式及在操作系統(tǒng)之上構(gòu)建虛擬層以實(shí)現(xiàn)專用文件系統(tǒng)；所述的驅(qū)動(dòng)重定向模塊主要完成對(duì)宿主操作系統(tǒng)驅(qū)動(dòng)層的系統(tǒng)消息事件的修改及重定向；所述的監(jiān)控模塊主要實(shí)時(shí)監(jiān)視本地目錄、文件，并控制本地目錄、文件的訪問權(quán)限；所述的日志審計(jì)模塊用于記錄用戶的操作記錄；所述的數(shù)據(jù)加解密模塊主要完成對(duì)需要保護(hù)的文檔以及編輯完成回寫的文檔進(jìn)行加密，對(duì)打開重定向至保護(hù)目錄下的文檔進(jìn)行解密。進(jìn)一步的，所述登錄模式包含管理員登錄模式和普通用戶登錄模式，以所述管理員模式登錄后，可將本地磁盤的文件復(fù)制到專用文件系統(tǒng)所對(duì)應(yīng)的區(qū)域中，并可以為此區(qū)域的電子文檔設(shè)置屬性權(quán)限及使用范圍，作為受控文檔；以所述的普通用戶登錄模式登錄后，用戶僅能設(shè)置電子文檔使用范圍。進(jìn)一步的，所述的專用文件系統(tǒng)引導(dǎo)出的起始地址和文件分區(qū)表存放位置不同于其他的常規(guī)文件系統(tǒng)，并能針對(duì)不同的文件擴(kuò)展出不同的屬性。在專用文件系統(tǒng)所對(duì)應(yīng)的區(qū)域中創(chuàng)建電子文檔并設(shè)置控制信息時(shí)，驅(qū)動(dòng)重定向模塊獲取電子文檔的PID及文件的控制信息，并對(duì)文件另外為重定向到制定位置。一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)實(shí)時(shí)對(duì)文檔和文檔內(nèi)容進(jìn)行監(jiān)控，并實(shí)時(shí)對(duì)操作系統(tǒng)的驅(qū)動(dòng)層截獲系統(tǒng)事件，包括但不限于如復(fù)制、打印、另存、拷貝屏幕、網(wǎng)絡(luò)發(fā)送，并將所述事件進(jìn)行分類處理，根據(jù)安全策略進(jìn)行文檔訪問控制。所述的監(jiān)控模塊實(shí)時(shí)對(duì)內(nèi)存緩沖區(qū)的數(shù)據(jù)進(jìn)行加密鎖定，當(dāng)內(nèi)存緩沖區(qū)被釋放時(shí)實(shí)時(shí)擦除所有數(shù)據(jù)。管理模塊中的登錄模式可通過設(shè)置密碼嘗試次數(shù)上限防止對(duì)基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)數(shù)據(jù)的暴力破解，登錄嘗試到達(dá)上限后系統(tǒng)自行鎖定，需要管理員模式登錄方能打開。如管理員密碼嘗試到上限后，該虛擬工作環(huán)境工作區(qū)域自動(dòng)銷毀。通過身份認(rèn)證后，所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)自動(dòng)加載驅(qū)動(dòng)， 準(zhǔn)備對(duì)系統(tǒng)事件進(jìn)行處理。一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)利用文檔的PID來區(qū)分受控文件及非受控文件，防止受控文件內(nèi)容被剪切到非保護(hù)文件中，防止受控文件內(nèi)文字的托動(dòng)到非保護(hù)文件中，防止OLE訪問，Office系列的軟件可被OLE的方式被其它工具獲取內(nèi)容，并控制是否能打印受控文件。如圖2所述，當(dāng)用戶打開一份文件時(shí)，一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)對(duì)文件進(jìn)行判定，是否為受控文件，如是，再次判斷是否通過屬性保護(hù)，如是，則判斷是否需要加載虛擬環(huán)境，如是，則在虛擬安全環(huán)境下運(yùn)行帶屬性的文件。進(jìn)一步的，如果，打開的文件不是受控文件或沒有通過屬性保護(hù)或不需要加載虛擬環(huán)境，則打開文件的同時(shí)及即關(guān)閉文件。如圖3所示，用戶以管理員或普通用戶的方式登錄所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)后，在管理員模式下，可將本地磁盤的文件復(fù)制到安全區(qū)域，并可以為此區(qū)域的電子文檔設(shè)置屬性權(quán)限及使用范圍，作為受控文檔；以所述的普通用戶登錄模式登錄后，“普通用戶”登錄成功后，檢測(cè)“管理員”設(shè)置的電子文檔屬性，電子文檔受控設(shè)計(jì)中，首先會(huì)檢測(cè)文件類型是否是安全受控文件，檢測(cè)文件擴(kuò)展名及文件系統(tǒng)中的擴(kuò)展屬性，調(diào)用相應(yīng)的函數(shù)來得到當(dāng)前的電子文檔屬性權(quán)限，再去依次去檢查權(quán)限的有效性，如電子文檔的打開次數(shù)權(quán)限，如是否打開次數(shù)已經(jīng)減少為0，提示使用期限權(quán)限已經(jīng)到對(duì)話框后直接退出，并不去調(diào)用電子文檔。每打開一次便函將打開次數(shù)減少一次，直到打開次數(shù)為0時(shí)，便不可以訪問此文件，彈出打開次數(shù)已經(jīng)減少為0這樣的對(duì)話框。一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)的專用文件系統(tǒng)可設(shè)置的文件擴(kuò)展屬性如下有
電子文檔的可轉(zhuǎn)發(fā)電子文檔的所有者可以設(shè)置是否將電子文檔可轉(zhuǎn)發(fā)給其他用戶。 “管理員”給電子文檔設(shè)置好此權(quán)限后，“普通用戶”可將有此屬性的電子文檔用密文外發(fā)方式發(fā)給其它用戶。電子文檔的讀寫控制“管理員”會(huì)給電子文檔設(shè)置文件是否可讀屬性，“普通用戶”登錄后訪問文件便具有了這個(gè)屬性，如本文件設(shè)為只讀，“普通用戶”打開后將不能修改文件，如果設(shè)置為讀寫，則“普通用戶”可以對(duì)文件進(jìn)行寫操作。針對(duì)文件所有者本人是沒有只讀權(quán)限的設(shè)置。電子文檔的訪問次數(shù)電子文檔屬性的訪問次數(shù)是電子文檔在“管理員”發(fā)給“普通用戶”前預(yù)先設(shè)置好的，“普通用戶”每打開一次電子文檔，訪問次數(shù)便會(huì)減少1，直到減少到0次，則文件不開以被打開，用戶須自己清除掉此文件。電子文檔的訪問時(shí)間權(quán)限“管理員”設(shè)置文件訪問限制時(shí)間，“普通用戶”使用此電子文檔時(shí)便具有了這個(gè)屬性，如電子文檔只允許在2009-09-22日之前使用，當(dāng)“普通用戶”訪問文件的時(shí)間在訪問時(shí)間期之后，則不允許打開。針對(duì)電子文檔所有者本人是沒有訪問時(shí)間權(quán)限的。電子文檔的不可打印限制“管理員”可將電子文檔屬性設(shè)置不可打印權(quán)限，使用這個(gè)電子文檔的“普通用戶”操作便受到限制，此電子文檔將不可以打印。如果設(shè)了可打印屬性，則電子文檔才可以打印。
權(quán)利要求
1.一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于所述的數(shù)據(jù)防泄密系統(tǒng)是在操作系統(tǒng)之上利用虛擬化技術(shù)在工作站中構(gòu)建虛擬化工作環(huán)境，通過對(duì)宿主操作系統(tǒng)的I/O 調(diào)用、系統(tǒng)調(diào)用、動(dòng)態(tài)庫調(diào)用進(jìn)行重定向而實(shí)現(xiàn)的；所述的數(shù)據(jù)防泄密系統(tǒng)由管理模塊、驅(qū)動(dòng)重定向模塊、監(jiān)控模塊、日志審計(jì)模塊、數(shù)據(jù)加解密模塊組成。
2.如權(quán)利要求1所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于所述的管理模塊主要用于設(shè)置登錄模式及在操作系統(tǒng)之上構(gòu)建虛擬層以實(shí)現(xiàn)專用文件系統(tǒng)；所述的驅(qū)動(dòng)重定向模塊主要完成對(duì)宿主操作系統(tǒng)驅(qū)動(dòng)層的系統(tǒng)消息事件的修改及重定向；所述的監(jiān)控模塊主要實(shí)時(shí)監(jiān)視本地目錄、文件，并控制本地目錄、文件的訪問權(quán)限；所述的日志審計(jì)模塊用于記錄用戶的操作記錄；所述的數(shù)據(jù)加解密模塊主要完成對(duì)需要保護(hù)的文檔以及編輯完成回寫的文檔進(jìn)行加密，對(duì)打開重定向至保護(hù)目錄下的文檔進(jìn)行解密。
3.如權(quán)利要求2所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于所述登錄模式包含管理員登錄模式和普通用戶登錄模式，以所述管理員模式登錄后，可將本地磁盤的文件復(fù)制到專用文件系統(tǒng)所對(duì)應(yīng)的區(qū)域中，并可以為此區(qū)域的電子文檔設(shè)置屬性權(quán)限及使用范圍，作為受控文檔；以所述的普通用戶登錄模式登錄后，用戶僅能設(shè)置電子文檔使用范圍。
4.如權(quán)利要求2所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于所述的專用文件系統(tǒng)引導(dǎo)出的起始地址和文件分區(qū)表存放位置不同于其他的常規(guī)文件系統(tǒng)，并能針對(duì)不同的文件擴(kuò)展出不同的屬性。
5.如權(quán)利要求4所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于可擴(kuò)展的文件屬性包括電子文檔的可轉(zhuǎn)發(fā)、電子文檔的訪問次數(shù)、電子文檔的訪問時(shí)間權(quán)限、電子文檔的不可打印限制。
6.如權(quán)利要求1所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于監(jiān)控模塊實(shí)時(shí)對(duì)文檔和文檔內(nèi)容進(jìn)行監(jiān)控，并實(shí)時(shí)對(duì)操作系統(tǒng)的驅(qū)動(dòng)層截獲系統(tǒng)事件，包括但不限于如復(fù)制、打印、另存、拷貝屏幕、網(wǎng)絡(luò)發(fā)送，并將所述事件進(jìn)行分類處理，根據(jù)安全策略進(jìn)行文檔訪問控制。
7.如權(quán)利要求1所述的一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于監(jiān)控模塊實(shí)時(shí)對(duì)內(nèi)存緩沖區(qū)的數(shù)據(jù)進(jìn)行加密鎖定，當(dāng)內(nèi)存緩沖區(qū)被釋放時(shí)實(shí)時(shí)擦除所有數(shù)據(jù)。
全文摘要
一種基于虛擬化技術(shù)的數(shù)據(jù)防泄密系統(tǒng)，其特征在于所述的數(shù)據(jù)防泄密系統(tǒng)是在操作系統(tǒng)之上利用虛擬化技術(shù)在工作站中構(gòu)建虛擬化工作環(huán)境，通過對(duì)宿主操作系統(tǒng)的I/O調(diào)用、系統(tǒng)調(diào)用、動(dòng)態(tài)庫調(diào)用進(jìn)行重定向而實(shí)現(xiàn)的；所述的數(shù)據(jù)防泄密系統(tǒng)由管理模塊、驅(qū)動(dòng)重定向模塊、監(jiān)控模塊、日志審計(jì)模塊、數(shù)據(jù)加解密模塊組成。本發(fā)明的優(yōu)點(diǎn)在于提出一種通過保證限制用戶只能在虛擬安全環(huán)境下存取關(guān)鍵數(shù)據(jù)，同時(shí)關(guān)鍵數(shù)據(jù)的物理存儲(chǔ)也被集中在受加密保護(hù)的虛擬存儲(chǔ)空間中，防止未授權(quán)用戶竊聽、破解、非法復(fù)制傳播保密數(shù)據(jù)的數(shù)據(jù)防泄密保護(hù)方法。
文檔編號(hào)G06F21/00GK102254117SQ201110189539
公開日2011年11月23日 申請(qǐng)日期2011年7月7日 優(yōu)先權(quán)日2011年7月7日
發(fā)明者李鵬 申請(qǐng)人:李鵬