專利名稱：基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全技術(shù)領(lǐng)域，涉及一種本地?cái)?shù)據(jù)防泄密系統(tǒng)，尤其涉及一種基 于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)；同時(shí)，本發(fā)明還涉及上述本地?cái)?shù)據(jù)防泄密系 統(tǒng)的防泄密方法。
背景技術(shù)：
隨著整個(gè)社會(huì)的信息化，所有信息資料都轉(zhuǎn)變成了計(jì)算機(jī)所能識(shí)別的方式——數(shù) 據(jù)，數(shù)據(jù)是整個(gè)信息實(shí)體的唯一存在形式。信息化創(chuàng)造了巨大的經(jīng)濟(jì)效益和社會(huì)財(cái)富，各行 各業(yè)已經(jīng)離不開信息技術(shù)，有些行業(yè)甚至完全依賴于信息技術(shù)。然而，事物的以展總是兩方 面的，信息技術(shù)同樣也是雙刃劍，高度信息化的社會(huì)給信息安全帶來(lái)了空前的挑戰(zhàn)。人們發(fā) 現(xiàn)傳統(tǒng)的保密方法在信息社會(huì)里都失靈了，數(shù)據(jù)的可復(fù)制和快速傳輸?shù)奶匦酝瑯訛樾畔①Y 料的泄密大開方便之門。這樣防信息泄密就成為了當(dāng)務(wù)之急，而且企業(yè)比較流行的是透明 加密技術(shù)，這種技術(shù)不影響使用者的習(xí)慣來(lái)自動(dòng)、強(qiáng)制完成加密，甚至感覺(jué)不到它的存在。但是目前的透明加密技術(shù)都是依據(jù)監(jiān)控系統(tǒng)的進(jìn)程來(lái)完成，這樣就必須對(duì)所使用 的軟件進(jìn)行限制，需要根據(jù)用戶使用的軟件的升級(jí)不斷進(jìn)行更新，對(duì)不支持的軟件、進(jìn)程無(wú) 法實(shí)現(xiàn)數(shù)據(jù)加密，引起軟件的兼容性問(wèn)題，特別是對(duì)源代碼的編輯調(diào)試軟件種類繁雜，更加 難以兼容。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問(wèn)題是提供一種基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄 密系統(tǒng)，可保護(hù)組織內(nèi)部的重要數(shù)據(jù)，防止泄密。此外，本發(fā)明還提供一種上述本地?cái)?shù)據(jù)防泄密系統(tǒng)的防泄密方法，可保護(hù)組織內(nèi) 部的重要數(shù)據(jù)，防止泄密。為解決上述技術(shù)問(wèn)題，本發(fā)明采用如下技術(shù)方案—種基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，所述系統(tǒng)包括實(shí)時(shí)加密模塊，用于加密實(shí)時(shí)數(shù)據(jù)，并為已經(jīng)加密的數(shù)據(jù)增加被加密標(biāo)識(shí)字段；加密數(shù)據(jù)判斷模塊，用于數(shù)據(jù)打開前判斷是否已經(jīng)被加密；實(shí)時(shí)解密模塊，用于解密被加密數(shù)據(jù)，送往涉密數(shù)據(jù)安全區(qū)域；涉密數(shù)據(jù)安全區(qū)域，用于存儲(chǔ)解密模塊送到的明文，以及相關(guān)程序文件，保證涉密 數(shù)據(jù)轉(zhuǎn)換來(lái)的明文的存儲(chǔ)安全；系統(tǒng)監(jiān)控模塊，用于監(jiān)控涉密和非涉密進(jìn)程，監(jiān)控進(jìn)程的I/O操作，將涉密進(jìn)程的 I/O映射在涉密數(shù)據(jù)安全區(qū)域；剪切板監(jiān)控模塊，用于監(jiān)控剪切板內(nèi)容的流向；活動(dòng)窗口監(jiān)控模塊，用于監(jiān)控桌面活動(dòng)的涉密進(jìn)程窗口和非涉密進(jìn)程窗口 ；磁盤文件寫入緩沖區(qū)，用于暫存所述涉密數(shù)據(jù)安全區(qū)域輸出的明文數(shù)據(jù)，確保數(shù) 據(jù)安全；
磁盤文件監(jiān)控模塊，用于監(jiān)控磁盤文件，對(duì)比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與 目標(biāo)目錄原數(shù)據(jù)的屬性相同。作為本發(fā)明的一種優(yōu)選方案，涉密數(shù)據(jù)安全區(qū)域的數(shù)據(jù)只有系統(tǒng)監(jiān)控模塊可以調(diào) 用，系統(tǒng)監(jiān)控模塊將所有涉密進(jìn)程的I/O強(qiáng)制映射在涉密數(shù)據(jù)安全區(qū)域。作為本發(fā)明的一種優(yōu)選方案，所述磁盤文件監(jiān)控模塊用于監(jiān)控磁盤文件，通過(guò) mafic number來(lái)過(guò)濾磁盤寫入緩沖區(qū)文件，對(duì)比磁盤緩沖區(qū)數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的 屬性相同，此處的屬性包括文件的存儲(chǔ)位置、hash函數(shù)值。作為本發(fā)明的一種優(yōu)選方案，通過(guò)所述磁盤文件監(jiān)控模塊對(duì)比磁盤文件寫入緩沖 區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同，智能判斷寫入磁盤的文件是否需要加密。作為本發(fā)明的一種優(yōu)選方案，所述系統(tǒng)不禁止電子設(shè)備的截屏功能，所有包括有 涉密內(nèi)容的截圖都是被強(qiáng)制加密的，而沒(méi)有涉密內(nèi)容的截屏是不加密的。作為本發(fā)明的一種優(yōu)選方案，通過(guò)對(duì)涉密進(jìn)程活動(dòng)窗口的監(jiān)控，智能判斷截屏內(nèi) 容是否需要加密。一種上述本地?cái)?shù)據(jù)防泄密系統(tǒng)的防泄密方法，該方法包括如下步驟A 系統(tǒng)管理員將系統(tǒng)中認(rèn)為需要防止外泄的文件認(rèn)定為涉密信息，進(jìn)行手動(dòng)加 密；B:打開加密文件，強(qiáng)制關(guān)閉所有網(wǎng)絡(luò)服務(wù)的上行輸出，防止網(wǎng)絡(luò)服務(wù)向網(wǎng)絡(luò)輸出 數(shù)據(jù)；C 將打開加密文件的軟件認(rèn)定為涉密環(huán)境，所述系統(tǒng)監(jiān)控模塊對(duì)涉密環(huán)境的I/O 進(jìn)行控制，只允許涉密環(huán)境的輸入輸出經(jīng)過(guò)涉密數(shù)據(jù)安全區(qū)域；D:從涉密環(huán)境中輸出的文件放入磁盤文件寫入緩沖區(qū)，經(jīng)磁盤文件寫入緩沖區(qū)與 目標(biāo)磁盤位置的原文件進(jìn)行屬性對(duì)比；如果沒(méi)有發(fā)生變化，則將磁盤寫入緩沖區(qū)的明文清 除，如果發(fā)生變化，則將緩沖區(qū)的明文加密寫入磁盤位置，寫入的為新創(chuàng)建文件都輸入為密 文；E 對(duì)屏幕進(jìn)行截屏，如果涉密進(jìn)程展開活動(dòng)在桌面，則截屏保存的文件為加密文 件；如果涉密軟件最小化在任務(wù)欄，則截屏保存的文件為普通文件；F:將密文全部或者部分復(fù)制進(jìn)另外一個(gè)文件中，則復(fù)制進(jìn)密文的文件被加密。作為本發(fā)明的一種優(yōu)選方案，涉密數(shù)據(jù)安全區(qū)域的數(shù)據(jù)只有系統(tǒng)監(jiān)控模塊可以調(diào) 用，系統(tǒng)監(jiān)控模塊將所有涉密進(jìn)程的I/O強(qiáng)制映射在涉密數(shù)據(jù)安全區(qū)域。作為本發(fā)明的一種優(yōu)選方案，通過(guò)所述磁盤文件監(jiān)控模塊對(duì)比磁盤文件寫入緩沖 區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同，智能判斷寫入磁盤的文件是否需要加密。作為本發(fā)明的一種優(yōu)選方案，所述系統(tǒng)不禁止電子設(shè)備的截屏功能，所有包括有 涉密內(nèi)容的截圖都是被強(qiáng)制加密的，而沒(méi)有涉密內(nèi)容的截屏是不加密的。作為本發(fā)明的一種優(yōu)選方案，通過(guò)對(duì)涉密進(jìn)程活動(dòng)窗口的監(jiān)控，智能判斷截屏內(nèi) 容是否需要加密。本發(fā)明的有益效果在于本發(fā)明提出的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密 系統(tǒng)及方法，使得在本地?cái)?shù)據(jù)的透明加解密不再依賴于對(duì)系統(tǒng)使用程序的限制，而是通過(guò) 對(duì)涉密數(shù)據(jù)流向進(jìn)行監(jiān)控來(lái)實(shí)現(xiàn)，結(jié)合對(duì)磁盤寫入數(shù)據(jù)進(jìn)行對(duì)比實(shí)現(xiàn)，這樣只要對(duì)磁盤重 要的文件進(jìn)行指定加密，就既實(shí)現(xiàn)了對(duì)機(jī)密數(shù)據(jù)的防泄密，又實(shí)現(xiàn)了對(duì)未涉密數(shù)據(jù)的有效
5甄別，防止了過(guò)度加密帶來(lái)的數(shù)據(jù)交流上的麻煩。結(jié)合數(shù)字證書系統(tǒng)使用，可以在企業(yè)單位 等中進(jìn)行大規(guī)模部署，實(shí)現(xiàn)協(xié)同工作。此方法還可以配合原有的基于文件名稱的加密和基 于進(jìn)程名稱的加密，與此兩類加密方法可以很好的兼容，并且克服以上兩種加密方法的不 足之處。


圖1為本發(fā)明本地?cái)?shù)據(jù)防泄密方法的流程圖。
具體實(shí)施例方式下面結(jié)合附圖詳細(xì)說(shuō)明本發(fā)明的優(yōu)選實(shí)施例。實(shí)施例一本發(fā)明揭示了一種基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，所述系統(tǒng)包 括實(shí)時(shí)加密模塊、加密數(shù)據(jù)判斷模塊、實(shí)時(shí)解密模塊、涉密數(shù)據(jù)安全區(qū)域、系統(tǒng)監(jiān)控模塊、 剪切板監(jiān)控模塊、活動(dòng)窗口監(jiān)控模塊、磁盤文件寫入緩沖區(qū)、磁盤文件監(jiān)控模塊。實(shí)時(shí)加密模塊用于加密實(shí)時(shí)數(shù)據(jù)，并為已經(jīng)加密的數(shù)據(jù)增加被加密標(biāo)識(shí)字段。加密數(shù)據(jù)判斷模塊用于數(shù)據(jù)打開前判斷是否已經(jīng)被加密。實(shí)時(shí)解密模塊用于解密被加密數(shù)據(jù)，送往涉密數(shù)據(jù)安全區(qū)域。涉密數(shù)據(jù)安全區(qū)域用于存儲(chǔ)解密模塊送到的明文，以及相關(guān)程序文件，保證涉密 數(shù)據(jù)轉(zhuǎn)換來(lái)的明文的存儲(chǔ)安全。涉密數(shù)據(jù)安全區(qū)域的數(shù)據(jù)只有系統(tǒng)監(jiān)控模塊可以調(diào)用，系 統(tǒng)監(jiān)控模塊將所有涉密進(jìn)程的I/O強(qiáng)制映射在涉密數(shù)據(jù)安全區(qū)域。系統(tǒng)監(jiān)控模塊用于監(jiān)控涉密和非涉密進(jìn)程，監(jiān)控進(jìn)程的I/O操作，將涉密進(jìn)程的 I/O映射在涉密數(shù)據(jù)安全區(qū)域。剪切板監(jiān)控模塊用于監(jiān)控剪切板內(nèi)容的流向。活動(dòng)窗口監(jiān)控模塊用于監(jiān)控桌面活動(dòng)的涉密進(jìn)程窗口和非涉密進(jìn)程窗口 ；磁盤文件寫入緩沖區(qū)用于暫存所述涉密數(shù)據(jù)安全區(qū)域輸出的明文數(shù)據(jù)，確保數(shù)據(jù) 安全；磁盤文件監(jiān)控模塊用于監(jiān)控磁盤文件，對(duì)比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與目 標(biāo)目錄原數(shù)據(jù)的屬性相同。本實(shí)施例中，所述磁盤文件監(jiān)控模塊用于監(jiān)控磁盤文件，通過(guò) magic number來(lái)過(guò)濾磁盤寫入緩沖區(qū)文件，對(duì)比磁盤緩沖區(qū)數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的 屬性相同，此處的屬性包括文件的存儲(chǔ)位置、hash函數(shù)值。通過(guò)所述磁盤文件監(jiān)控模塊對(duì) 比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同，智能判斷寫入磁盤的文 件是否需要加密。所述系統(tǒng)不禁止電子設(shè)備的截屏功能，所有包括有涉密內(nèi)容的截圖都是被強(qiáng)制加 密的，而沒(méi)有涉密內(nèi)容的截屏是不加密的。通過(guò)對(duì)涉密進(jìn)程活動(dòng)窗口的監(jiān)控，智能判斷截屏 內(nèi)容是否需要加密。以上介紹了本發(fā)明本地?cái)?shù)據(jù)防泄密系統(tǒng)，本發(fā)明在揭示上述本地?cái)?shù)據(jù)防泄密系統(tǒng) 的同時(shí)，還揭示一種上述本地?cái)?shù)據(jù)防泄密系統(tǒng)的防泄密方法；請(qǐng)參閱圖1，本發(fā)明方法包括 如下步驟步驟A 系統(tǒng)管理員將系統(tǒng)中認(rèn)為需要防止外泄的文件認(rèn)定為涉密信息，進(jìn)行手動(dòng)加密；步驟B:打開加密文件，強(qiáng)制關(guān)閉所有網(wǎng)絡(luò)服務(wù)的上行輸出，防止網(wǎng)絡(luò)服務(wù)向網(wǎng)絡(luò) 輸出數(shù)據(jù)；步驟C:將打開加密文件的軟件認(rèn)定為涉密環(huán)境，所述系統(tǒng)監(jiān)控模塊對(duì)涉密環(huán)境 的I/O進(jìn)行控制，只允許涉密環(huán)境的輸入輸出經(jīng)過(guò)涉密數(shù)據(jù)安全區(qū)域。涉密數(shù)據(jù)安全區(qū)域 的數(shù)據(jù)只有系統(tǒng)監(jiān)控模塊可以調(diào)用，系統(tǒng)監(jiān)控模塊將所有涉密進(jìn)程的I/O強(qiáng)制映射在涉密 數(shù)據(jù)安全區(qū)域。步驟D 從涉密環(huán)境中輸出的文件放入磁盤文件寫入緩沖區(qū)，通過(guò)所述磁盤文件 監(jiān)控模塊對(duì)比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同，智能判斷寫 入磁盤的文件是否需要加密。如果沒(méi)有發(fā)生變化，則將磁盤寫入緩沖區(qū)的明文清除，如果發(fā) 生變化，則將緩沖區(qū)的明文加密寫入磁盤位置，寫入的為新創(chuàng)建文件都輸入為密文。步驟E:對(duì)屏幕進(jìn)行截屏，如果涉密進(jìn)程展開活動(dòng)在桌面，則截屏保存的文件為加 密文件；如果涉密軟件最小化在任務(wù)欄，則截屏保存的文件為普通文件。所述系統(tǒng)不禁止電 子設(shè)備的截屏功能，所有包括有涉密內(nèi)容的截圖都是被強(qiáng)制加密的，而沒(méi)有涉密內(nèi)容的截 屏是不加密的。通過(guò)對(duì)涉密進(jìn)程活動(dòng)窗口的監(jiān)控，智能判斷截屏內(nèi)容是否需要加密。步驟F:將密文全部或者部分復(fù)制進(jìn)另外一個(gè)文件中，則復(fù)制進(jìn)密文的文件被加
滋
r t [ o綜上所述，本發(fā)明提出的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)及方法， 使得在本地?cái)?shù)據(jù)的透明加解密不再依賴于對(duì)系統(tǒng)使用程序的限制，而是通過(guò)對(duì)涉密數(shù)據(jù)流 向進(jìn)行監(jiān)控來(lái)實(shí)現(xiàn)，結(jié)合對(duì)磁盤寫入數(shù)據(jù)進(jìn)行對(duì)比實(shí)現(xiàn)，這樣只要對(duì)磁盤重要的文件進(jìn)行 指定加密，就既實(shí)現(xiàn)了對(duì)機(jī)密數(shù)據(jù)的防泄密，又實(shí)現(xiàn)了對(duì)未涉密數(shù)據(jù)的有效甄別，防止了過(guò) 度加密帶來(lái)的數(shù)據(jù)交流上的麻煩。結(jié)合數(shù)字證書系統(tǒng)使用，可以在企業(yè)單位等中進(jìn)行大規(guī) 模部署，實(shí)現(xiàn)協(xié)同工作。此方法還可以配合原有的基于文件名稱的加密和基于進(jìn)程名稱的 加密，與此兩類加密方法可以很好的兼容，并且克服以上兩種加密方法的不足之處。實(shí)施例二本實(shí)施例構(gòu)建一個(gè)監(jiān)控涉密數(shù)據(jù)流向的加密方法，關(guān)鍵是構(gòu)建一個(gè)文件過(guò)濾系統(tǒng) 和數(shù)據(jù)監(jiān)控系統(tǒng)，其包括-實(shí)時(shí)加密模塊，用于加密實(shí)時(shí)數(shù)據(jù)，并為已經(jīng)加密的數(shù)據(jù)增加被加密標(biāo)識(shí)字段; 采用的加密算法可以是3DES，AES和IDEA等國(guó)外算法，也可以是國(guó)家密碼管理局推薦的 SCB2-C、SSF33等算法，密鑰長(zhǎng)度為128位或者256位。-加密數(shù)據(jù)判斷模塊，用于數(shù)據(jù)打開前判斷是否已經(jīng)被加密，如果數(shù)據(jù)沒(méi)有被加 密，直接送往相關(guān)程序；如果數(shù)據(jù)被加密，則送往解密模塊。-實(shí)時(shí)解密模塊，用于解密被加密數(shù)據(jù)，送往涉密數(shù)據(jù)安全區(qū)域。-涉密數(shù)據(jù)安全區(qū)域，用于存儲(chǔ)解密模塊送到的明文，以及相關(guān)程序文件，保證涉 密數(shù)據(jù)轉(zhuǎn)換來(lái)的明文的存儲(chǔ)安全，通過(guò)windws底層驅(qū)動(dòng)技術(shù)實(shí)現(xiàn)的實(shí)時(shí)動(dòng)態(tài)加解密文件 的文件存儲(chǔ)空間，與開源的PGPDisk，TrueCrypt相類似。-系統(tǒng)監(jiān)控模塊，用于監(jiān)控涉密和非涉密進(jìn)程，監(jiān)控涉密數(shù)據(jù)安全區(qū)域和普通磁盤 之間的文件操作，由一個(gè)進(jìn)程監(jiān)控驅(qū)動(dòng)程序、文件過(guò)濾系統(tǒng)驅(qū)動(dòng)程序組成，此模塊可通過(guò)。 通過(guò)系統(tǒng)監(jiān)控模塊的建立，使所有涉密進(jìn)程的1\0操作都必須在映射在涉密數(shù)據(jù)安全區(qū)域進(jìn)行。-磁盤寫入緩沖區(qū)，用于暫存涉密數(shù)據(jù)安全區(qū)域輸出的明文數(shù)據(jù)，確保數(shù)據(jù)安全。-磁盤文件監(jiān)控模塊，用于監(jiān)控磁盤文件，通過(guò)magicnumber來(lái)過(guò)濾磁盤寫入緩 沖區(qū)文件，對(duì)比磁盤緩沖區(qū)數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同，此處的屬性包括文件 的存儲(chǔ)位置，hash函數(shù)值(MD5、SHA-1等)。-剪切板監(jiān)控模塊，監(jiān)控剪切板內(nèi)容的流向。_活動(dòng)窗口監(jiān)控模塊，監(jiān)控桌面活動(dòng)的涉密進(jìn)程窗口和非涉密進(jìn)程窗口。當(dāng)涉密進(jìn) 程處于桌面活動(dòng)狀態(tài)時(shí)，截屏軟件也進(jìn)入涉密狀態(tài)。本實(shí)施例同時(shí)揭示一種監(jiān)控涉密數(shù)據(jù)流向的加密方法，請(qǐng)參閱圖1，所述方法包含 以下幾個(gè)步驟第一步系統(tǒng)管理員將系統(tǒng)中認(rèn)為需要防止外泄的文件認(rèn)定為涉密信息，進(jìn)行手 動(dòng)加密；第二步打開加密文件，強(qiáng)制關(guān)閉所有網(wǎng)絡(luò)服務(wù)的上行輸出，防止網(wǎng)絡(luò)服務(wù)向網(wǎng)絡(luò) 輸出數(shù)據(jù)。第三步將打開加密文件的軟件認(rèn)定為涉密環(huán)境，監(jiān)控模塊對(duì)涉密環(huán)境的1\0進(jìn) 行控制，只允許涉密環(huán)境的輸入輸出經(jīng)過(guò)涉密數(shù)據(jù)安全區(qū)域；第四步從涉密環(huán)境中輸出的文件放入磁盤寫入緩沖區(qū)，經(jīng)磁盤寫入緩沖區(qū)與目 標(biāo)磁盤位置的原文件進(jìn)行屬性對(duì)比，如果沒(méi)有發(fā)生變化，則將磁盤寫入緩沖區(qū)的明文清除， 如果發(fā)生變化，則將緩沖區(qū)的明文加密寫入磁盤位置，寫入的為新創(chuàng)建文件都輸入為密文。第五步對(duì)屏幕進(jìn)行截屏，如果涉密進(jìn)程展開活動(dòng)在桌面，則截屏保存的文件為加 密文件，如果涉密軟件最小化在任務(wù)欄，則截屏保存的文件為普通文件。第六步將密文全部或者部分復(fù)制進(jìn)另外一個(gè)文件中，則本發(fā)明因?yàn)椴捎昧松鲜龇椒ê拖到y(tǒng)，使得在本地?cái)?shù)據(jù)的透明加解密不再依賴于對(duì) 系統(tǒng)使用程序的限制，而是通過(guò)對(duì)涉密數(shù)據(jù)流向進(jìn)行監(jiān)控來(lái)實(shí)現(xiàn)，結(jié)合對(duì)磁盤寫入數(shù)據(jù)進(jìn) 行對(duì)比實(shí)現(xiàn)，這樣只要對(duì)磁盤重要的文件進(jìn)行指定加密，就既實(shí)現(xiàn)了對(duì)機(jī)密數(shù)據(jù)的防泄密， 又實(shí)現(xiàn)了對(duì)未涉密數(shù)據(jù)的有效甄別，防止了過(guò)度加密帶來(lái)的數(shù)據(jù)交流上的麻煩。結(jié)合數(shù)字 證書系統(tǒng)使用，可以在企業(yè)單位等中進(jìn)行大規(guī)模部署，實(shí)現(xiàn)協(xié)同工作。此方法還可以配合原 有的基于文件名稱的加密和基于進(jìn)程名稱的加密，與此兩類加密方法可以很好的兼容，并 且克服以上兩種加密方法的不足之處。實(shí)施例三在客戶端PC上安裝系統(tǒng)軟件，包括實(shí)時(shí)加密模塊，數(shù)據(jù)判斷模塊，實(shí)時(shí)解密模塊， 涉密數(shù)據(jù)安全區(qū)域，涉密數(shù)據(jù)安全區(qū)域監(jiān)控模塊。涉密數(shù)據(jù)安全區(qū)域，包括但不局限于存放 密文解密后的明文以及打開密文的相關(guān)程序的存儲(chǔ)位置。典型的，我們以打開cpp文件(C++源代碼)為例，講解本發(fā)明的實(shí)施方式。步驟1，系統(tǒng)認(rèn)定系統(tǒng)中某些代碼是屬于公司或者單位內(nèi)的機(jī)密代碼，做某個(gè)軟件 項(xiàng)目必須使用它，假設(shè)這個(gè)源代碼文件以secret, cpp命名，我們運(yùn)用這個(gè)系統(tǒng)中的加密模 塊對(duì)這個(gè)文件進(jìn)行強(qiáng)制加密。步驟2，用Microsoft Visual 6. 0打開secret, cpp，強(qiáng)制關(guān)閉所有網(wǎng)絡(luò)服務(wù)的上 行輸出；
步驟3，實(shí)時(shí)解密模塊將secret, cpp解密進(jìn)入涉密數(shù)據(jù)安全區(qū)域，并且Microsoft Visual 6.0進(jìn)入涉密狀態(tài)，Microsoft Visual 6. 0所有的1\0操作都將被強(qiáng)制映射入涉密 數(shù)據(jù)安全區(qū)域步驟4，在Microsoft Visual 6. 0中對(duì)secret, cpp進(jìn)行編輯，編譯，保存，則 Microsoft Visual 6. 0新生成的所有文件都被加密。步驟5，將Microsoft Visual 6. 0打開secret, cpp的文本框中的代碼部分或者全 部復(fù)制進(jìn)記事本，則記事本進(jìn)程被系統(tǒng)監(jiān)控模塊監(jiān)控，記事本保存的文件將被加密。步驟6，我們對(duì)正在編輯含有secret, cpp文件內(nèi)容的活動(dòng)窗口的桌面進(jìn)行截屏， 則通過(guò)活動(dòng)窗口監(jiān)控模塊，對(duì)截屏所得的圖片進(jìn)行強(qiáng)制加密?？傊ㄟ^(guò)任何的使用方法產(chǎn)生的和secret, cpp相關(guān)的文件都將是密文。這樣既 實(shí)現(xiàn)了對(duì)secret, cpp的防泄密，又不影響secret, cpp的正常使用。類似的，系統(tǒng)中的文本、圖片等的使用方法同上。這里本發(fā)明的描述和應(yīng)用是說(shuō)明性的，并非想將本發(fā)明的范圍限制在上述實(shí)施例 中。這里所披露的實(shí)施例的變形和改變是可能的，對(duì)于那些本領(lǐng)域的普通技術(shù)人員來(lái)說(shuō)實(shí) 施例的替換和等效的各種部件是公知的。本領(lǐng)域技術(shù)人員應(yīng)該清楚的是，在不脫離本發(fā)明 的精神或本質(zhì)特征的情況下，本發(fā)明可以以其它形式、結(jié)構(gòu)、布置、比例，以及用其它組件、 材料和部件來(lái)實(shí)現(xiàn)。在不脫離本發(fā)明范圍和精神的情況下，可以對(duì)這里所披露的實(shí)施例進(jìn) 行其它變形和改變。
權(quán)利要求
一種基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，其特征在于，所述系統(tǒng)包括實(shí)時(shí)加密模塊，用于加密實(shí)時(shí)數(shù)據(jù)，并為已經(jīng)加密的數(shù)據(jù)增加被加密標(biāo)識(shí)字段；加密數(shù)據(jù)判斷模塊，用于數(shù)據(jù)打開前判斷是否已經(jīng)被加密；實(shí)時(shí)解密模塊，用于解密被加密數(shù)據(jù)，送往涉密數(shù)據(jù)安全區(qū)域；涉密數(shù)據(jù)安全區(qū)域，用于存儲(chǔ)解密模塊送到的明文，以及相關(guān)程序文件，保證涉密數(shù)據(jù)轉(zhuǎn)換來(lái)的明文的存儲(chǔ)安全；系統(tǒng)監(jiān)控模塊，用于監(jiān)控涉密和非涉密進(jìn)程，監(jiān)控進(jìn)程的I/O操作，將涉密進(jìn)程的I/O映射在涉密數(shù)據(jù)安全區(qū)域；剪切板監(jiān)控模塊，用于監(jiān)控剪切板內(nèi)容的流向；活動(dòng)窗口監(jiān)控模塊，用于監(jiān)控桌面活動(dòng)的涉密進(jìn)程窗口和非涉密進(jìn)程窗口；磁盤文件寫入緩沖區(qū)，用于暫存所述涉密數(shù)據(jù)安全區(qū)域輸出的明文數(shù)據(jù)，確保數(shù)據(jù)安全；磁盤文件監(jiān)控模塊，用于監(jiān)控磁盤文件，對(duì)比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同。
2.根據(jù)權(quán)利要求1所述的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，其特征在于涉密數(shù)據(jù)安全區(qū)域的數(shù)據(jù)只有系統(tǒng)監(jiān)控模塊可以調(diào)用，系統(tǒng)監(jiān)控模塊將所有涉密進(jìn)程 的I/O強(qiáng)制映射在涉密數(shù)據(jù)安全區(qū)域。
3.根據(jù)權(quán)利要求1所述的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，其特征在于所述磁盤文件監(jiān)控模塊用于監(jiān)控磁盤文件，通過(guò)magic number來(lái)過(guò)濾磁盤寫入緩沖區(qū) 文件，對(duì)比磁盤緩沖區(qū)數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù)的屬性相同，此處的屬性包括文件的存 儲(chǔ)位置、hash函數(shù)值。
4.根據(jù)權(quán)利要求1所述的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，其特征在于通過(guò)所述磁盤文件監(jiān)控模塊對(duì)比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù) 的屬性相同，智能判斷寫入磁盤的文件是否需要加密。
5.根據(jù)權(quán)利要求1所述的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)，其特征在于所述系統(tǒng)不禁止電子設(shè)備的截屏功能，所有包括有涉密內(nèi)容的截圖都是被強(qiáng)制加密 的，而沒(méi)有涉密內(nèi)容的截屏是不加密的；通過(guò)對(duì)涉密進(jìn)程活動(dòng)窗口的監(jiān)控，智能判斷截屏內(nèi)容是否需要加密。
6.一種權(quán)利要求1所述本地?cái)?shù)據(jù)防泄密系統(tǒng)的防泄密方法，其特征在于，該方法包括 如下步驟A 系統(tǒng)管理員將系統(tǒng)中認(rèn)為需要防止外泄的文件認(rèn)定為涉密信息，進(jìn)行手動(dòng)加密； B:打開加密文件，強(qiáng)制關(guān)閉所有網(wǎng)絡(luò)服務(wù)的上行輸出，防止網(wǎng)絡(luò)服務(wù)向網(wǎng)絡(luò)輸出數(shù)據(jù)；C 將打開加密文件的軟件認(rèn)定為涉密環(huán)境，所述系統(tǒng)監(jiān)控模塊對(duì)涉密環(huán)境的I/O進(jìn)行 控制，只允許涉密環(huán)境的輸入輸出經(jīng)過(guò)涉密數(shù)據(jù)安全區(qū)域；D:從涉密環(huán)境中輸出的文件放入磁盤文件寫入緩沖區(qū)，經(jīng)磁盤文件寫入緩沖區(qū)與目標(biāo) 磁盤位置的原文件進(jìn)行屬性對(duì)比；如果沒(méi)有發(fā)生變化，則將磁盤寫入緩沖區(qū)的明文清除，如 果發(fā)生變化，則將緩沖區(qū)的明文加密寫入磁盤位置，寫入的為新創(chuàng)建文件都輸入為密文；E 對(duì)屏幕進(jìn)行截屏，如果涉密進(jìn)程展開活動(dòng)在桌面，則截屏保存的文件為加密文件； 如果涉密軟件最小化在任務(wù)欄，則截屏保存的文件為普通文件；F:將密文全部或者部分復(fù)制進(jìn)另外一個(gè)文件中，則復(fù)制進(jìn)密文的文件被加密。
7.根據(jù)權(quán)利要求6所述的防泄密方法，其特征在于涉密數(shù)據(jù)安全區(qū)域的數(shù)據(jù)只有系統(tǒng)監(jiān)控模塊可以調(diào)用，系統(tǒng)監(jiān)控模塊將所有涉密進(jìn)程 的I/O強(qiáng)制映射在涉密數(shù)據(jù)安全區(qū)域。
8.根據(jù)權(quán)利要求6所述的防泄密方法，其特征在于通過(guò)所述磁盤文件監(jiān)控模塊對(duì)比磁盤文件寫入緩沖區(qū)的數(shù)據(jù)是否與目標(biāo)目錄原數(shù)據(jù) 的屬性相同，智能判斷寫入磁盤的文件是否需要加密。
9.根據(jù)權(quán)利要求6所述的防泄密方法，其特征在于所述系統(tǒng)不禁止電子設(shè)備的截屏功能，所有包括有涉密內(nèi)容的截圖都是被強(qiáng)制加密 的，而沒(méi)有涉密內(nèi)容的截屏是不加密的。
10.根據(jù)權(quán)利要求6所述的防泄密方法，其特征在于通過(guò)對(duì)涉密進(jìn)程活動(dòng)窗口的監(jiān)控，智能判斷截屏內(nèi)容是否需要加密。
全文摘要
本發(fā)明揭示了一種基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)及方法，所述系統(tǒng)包括實(shí)時(shí)加密模塊、加密數(shù)據(jù)判斷模塊、實(shí)時(shí)解密模塊、涉密數(shù)據(jù)安全區(qū)域、系統(tǒng)監(jiān)控模塊、剪切板監(jiān)控模塊、活動(dòng)窗口監(jiān)控模塊、磁盤文件寫入緩沖區(qū)、磁盤文件監(jiān)控模塊。本發(fā)明提出的基于涉密數(shù)據(jù)流向加密的本地?cái)?shù)據(jù)防泄密系統(tǒng)及方法，使得在本地?cái)?shù)據(jù)的透明加解密不再依賴于對(duì)系統(tǒng)使用程序的限制，而是通過(guò)對(duì)涉密數(shù)據(jù)流向進(jìn)行監(jiān)控來(lái)實(shí)現(xiàn)，結(jié)合對(duì)磁盤寫入數(shù)據(jù)進(jìn)行對(duì)比實(shí)現(xiàn)，這樣只要對(duì)磁盤重要的文件進(jìn)行指定加密，就既實(shí)現(xiàn)了對(duì)機(jī)密數(shù)據(jù)的防泄密，又實(shí)現(xiàn)了對(duì)未涉密數(shù)據(jù)的有效甄別，防止了過(guò)度加密帶來(lái)的數(shù)據(jù)交流上的麻煩。
文檔編號(hào)H04L9/32GK101860438SQ201010214318
公開日2010年10月13日 申請(qǐng)日期2010年6月30日 優(yōu)先權(quán)日2010年6月30日
發(fā)明者耿振民, 魏帥衛(wèi) 申請(qǐng)人:上海華御信息技術(shù)有限公司