基於涉密數據流向加密的本地數據防洩密系統及方法
2023-07-30 02:50:51 1
專利名稱：基於涉密數據流向加密的本地數據防洩密系統及方法
技術領域：
本發明屬於信息安全技術領域，涉及一種本地數據防洩密系統，尤其涉及一種基 於涉密數據流向加密的本地數據防洩密系統；同時，本發明還涉及上述本地數據防洩密系 統的防洩密方法。
背景技術：
隨著整個社會的信息化，所有信息資料都轉變成了計算機所能識別的方式——數 據，數據是整個信息實體的唯一存在形式。信息化創造了巨大的經濟效益和社會財富，各行 各業已經離不開信息技術，有些行業甚至完全依賴於信息技術。然而，事物的以展總是兩方 面的，信息技術同樣也是雙刃劍，高度信息化的社會給信息安全帶來了空前的挑戰。人們發 現傳統的保密方法在信息社會裡都失靈了，數據的可複製和快速傳輸的特性同樣為信息資 料的洩密大開方便之門。這樣防信息洩密就成為了當務之急，而且企業比較流行的是透明 加密技術，這種技術不影響使用者的習慣來自動、強制完成加密，甚至感覺不到它的存在。但是目前的透明加密技術都是依據監控系統的進程來完成，這樣就必須對所使用 的軟體進行限制，需要根據用戶使用的軟體的升級不斷進行更新，對不支持的軟體、進程無 法實現數據加密，引起軟體的兼容性問題，特別是對原始碼的編輯調試軟體種類繁雜，更加 難以兼容。
發明內容
本發明所要解決的技術問題是提供一種基於涉密數據流向加密的本地數據防洩 密系統，可保護組織內部的重要數據，防止洩密。此外，本發明還提供一種上述本地數據防洩密系統的防洩密方法，可保護組織內 部的重要數據，防止洩密。為解決上述技術問題，本發明採用如下技術方案—種基於涉密數據流向加密的本地數據防洩密系統，所述系統包括實時加密模塊，用於加密實時數據，並為已經加密的數據增加被加密標識欄位；加密數據判斷模塊，用於數據打開前判斷是否已經被加密；實時解密模塊，用於解密被加密數據，送往涉密數據安全區域；涉密數據安全區域，用於存儲解密模塊送到的明文，以及相關程序文件，保證涉密 數據轉換來的明文的存儲安全；系統監控模塊，用於監控涉密和非涉密進程，監控進程的I/O操作，將涉密進程的 I/O映射在涉密數據安全區域；剪切板監控模塊，用於監控剪切板內容的流向；活動窗口監控模塊，用於監控桌面活動的涉密進程窗口和非涉密進程窗口 ；磁碟文件寫入緩衝區，用於暫存所述涉密數據安全區域輸出的明文數據，確保數 據安全；
磁碟文件監控模塊，用於監控磁碟文件，對比磁碟文件寫入緩衝區的數據是否與 目標目錄原數據的屬性相同。作為本發明的一種優選方案，涉密數據安全區域的數據只有系統監控模塊可以調 用，系統監控模塊將所有涉密進程的I/O強制映射在涉密數據安全區域。作為本發明的一種優選方案，所述磁碟文件監控模塊用於監控磁碟文件，通過 mafic number來過濾磁碟寫入緩衝區文件，對比磁碟緩衝區數據是否與目標目錄原數據的 屬性相同，此處的屬性包括文件的存儲位置、hash函數值。作為本發明的一種優選方案，通過所述磁碟文件監控模塊對比磁碟文件寫入緩衝 區的數據是否與目標目錄原數據的屬性相同，智能判斷寫入磁碟的文件是否需要加密。作為本發明的一種優選方案，所述系統不禁止電子設備的截屏功能，所有包括有 涉密內容的截圖都是被強制加密的，而沒有涉密內容的截屏是不加密的。作為本發明的一種優選方案，通過對涉密進程活動窗口的監控，智能判斷截屏內 容是否需要加密。一種上述本地數據防洩密系統的防洩密方法，該方法包括如下步驟A 系統管理員將系統中認為需要防止外洩的文件認定為涉密信息，進行手動加 密；B:打開加密文件，強制關閉所有網絡服務的上行輸出，防止網絡服務向網絡輸出 數據；C 將打開加密文件的軟體認定為涉密環境，所述系統監控模塊對涉密環境的I/O 進行控制，只允許涉密環境的輸入輸出經過涉密數據安全區域；D:從涉密環境中輸出的文件放入磁碟文件寫入緩衝區，經磁碟文件寫入緩衝區與 目標磁碟位置的原文件進行屬性對比；如果沒有發生變化，則將磁碟寫入緩衝區的明文清 除，如果發生變化，則將緩衝區的明文加密寫入磁碟位置，寫入的為新創建文件都輸入為密 文；E 對屏幕進行截屏，如果涉密進程展開活動在桌面，則截屏保存的文件為加密文 件；如果涉密軟體最小化在任務欄，則截屏保存的文件為普通文件；F:將密文全部或者部分複製進另外一個文件中，則複製進密文的文件被加密。作為本發明的一種優選方案，涉密數據安全區域的數據只有系統監控模塊可以調 用，系統監控模塊將所有涉密進程的I/O強制映射在涉密數據安全區域。作為本發明的一種優選方案，通過所述磁碟文件監控模塊對比磁碟文件寫入緩衝 區的數據是否與目標目錄原數據的屬性相同，智能判斷寫入磁碟的文件是否需要加密。作為本發明的一種優選方案，所述系統不禁止電子設備的截屏功能，所有包括有 涉密內容的截圖都是被強制加密的，而沒有涉密內容的截屏是不加密的。作為本發明的一種優選方案，通過對涉密進程活動窗口的監控，智能判斷截屏內 容是否需要加密。本發明的有益效果在於本發明提出的基於涉密數據流向加密的本地數據防洩密 系統及方法，使得在本地數據的透明加解密不再依賴於對系統使用程序的限制，而是通過 對涉密數據流向進行監控來實現，結合對磁碟寫入數據進行對比實現，這樣只要對磁碟重 要的文件進行指定加密，就既實現了對機密數據的防洩密，又實現了對未涉密數據的有效
5甄別，防止了過度加密帶來的數據交流上的麻煩。結合數字證書系統使用，可以在企業單位 等中進行大規模部署，實現協同工作。此方法還可以配合原有的基於文件名稱的加密和基 於進程名稱的加密，與此兩類加密方法可以很好的兼容，並且克服以上兩種加密方法的不 足之處。
圖1為本發明本地數據防洩密方法的流程圖。
具體實施例方式下面結合附圖詳細說明本發明的優選實施例。實施例一本發明揭示了一種基於涉密數據流向加密的本地數據防洩密系統，所述系統包 括實時加密模塊、加密數據判斷模塊、實時解密模塊、涉密數據安全區域、系統監控模塊、 剪切板監控模塊、活動窗口監控模塊、磁碟文件寫入緩衝區、磁碟文件監控模塊。實時加密模塊用於加密實時數據，並為已經加密的數據增加被加密標識欄位。加密數據判斷模塊用於數據打開前判斷是否已經被加密。實時解密模塊用於解密被加密數據，送往涉密數據安全區域。涉密數據安全區域用於存儲解密模塊送到的明文，以及相關程序文件，保證涉密 數據轉換來的明文的存儲安全。涉密數據安全區域的數據只有系統監控模塊可以調用，系 統監控模塊將所有涉密進程的I/O強制映射在涉密數據安全區域。系統監控模塊用於監控涉密和非涉密進程，監控進程的I/O操作，將涉密進程的 I/O映射在涉密數據安全區域。剪切板監控模塊用於監控剪切板內容的流向。活動窗口監控模塊用於監控桌面活動的涉密進程窗口和非涉密進程窗口 ；磁碟文件寫入緩衝區用於暫存所述涉密數據安全區域輸出的明文數據，確保數據 安全；磁碟文件監控模塊用於監控磁碟文件，對比磁碟文件寫入緩衝區的數據是否與目 標目錄原數據的屬性相同。本實施例中，所述磁碟文件監控模塊用於監控磁碟文件，通過 magic number來過濾磁碟寫入緩衝區文件，對比磁碟緩衝區數據是否與目標目錄原數據的 屬性相同，此處的屬性包括文件的存儲位置、hash函數值。通過所述磁碟文件監控模塊對 比磁碟文件寫入緩衝區的數據是否與目標目錄原數據的屬性相同，智能判斷寫入磁碟的文 件是否需要加密。所述系統不禁止電子設備的截屏功能，所有包括有涉密內容的截圖都是被強制加 密的，而沒有涉密內容的截屏是不加密的。通過對涉密進程活動窗口的監控，智能判斷截屏 內容是否需要加密。以上介紹了本發明本地數據防洩密系統，本發明在揭示上述本地數據防洩密系統 的同時，還揭示一種上述本地數據防洩密系統的防洩密方法；請參閱圖1，本發明方法包括 如下步驟步驟A 系統管理員將系統中認為需要防止外洩的文件認定為涉密信息，進行手動加密；步驟B:打開加密文件，強制關閉所有網絡服務的上行輸出，防止網絡服務向網絡 輸出數據；步驟C:將打開加密文件的軟體認定為涉密環境，所述系統監控模塊對涉密環境 的I/O進行控制，只允許涉密環境的輸入輸出經過涉密數據安全區域。涉密數據安全區域 的數據只有系統監控模塊可以調用，系統監控模塊將所有涉密進程的I/O強制映射在涉密 數據安全區域。步驟D 從涉密環境中輸出的文件放入磁碟文件寫入緩衝區，通過所述磁碟文件 監控模塊對比磁碟文件寫入緩衝區的數據是否與目標目錄原數據的屬性相同，智能判斷寫 入磁碟的文件是否需要加密。如果沒有發生變化，則將磁碟寫入緩衝區的明文清除，如果發 生變化，則將緩衝區的明文加密寫入磁碟位置，寫入的為新創建文件都輸入為密文。步驟E:對屏幕進行截屏，如果涉密進程展開活動在桌面，則截屏保存的文件為加 密文件；如果涉密軟體最小化在任務欄，則截屏保存的文件為普通文件。所述系統不禁止電 子設備的截屏功能，所有包括有涉密內容的截圖都是被強制加密的，而沒有涉密內容的截 屏是不加密的。通過對涉密進程活動窗口的監控，智能判斷截屏內容是否需要加密。步驟F:將密文全部或者部分複製進另外一個文件中，則複製進密文的文件被加
滋
r t [ o綜上所述，本發明提出的基於涉密數據流向加密的本地數據防洩密系統及方法， 使得在本地數據的透明加解密不再依賴於對系統使用程序的限制，而是通過對涉密數據流 向進行監控來實現，結合對磁碟寫入數據進行對比實現，這樣只要對磁碟重要的文件進行 指定加密，就既實現了對機密數據的防洩密，又實現了對未涉密數據的有效甄別，防止了過 度加密帶來的數據交流上的麻煩。結合數字證書系統使用，可以在企業單位等中進行大規 模部署，實現協同工作。此方法還可以配合原有的基於文件名稱的加密和基於進程名稱的 加密，與此兩類加密方法可以很好的兼容，並且克服以上兩種加密方法的不足之處。實施例二本實施例構建一個監控涉密數據流向的加密方法，關鍵是構建一個文件過濾系統 和數據監控系統，其包括-實時加密模塊，用於加密實時數據，並為已經加密的數據增加被加密標識欄位; 採用的加密算法可以是3DES，AES和IDEA等國外算法，也可以是國家密碼管理局推薦的 SCB2-C、SSF33等算法，密鑰長度為128位或者256位。-加密數據判斷模塊，用於數據打開前判斷是否已經被加密，如果數據沒有被加 密，直接送往相關程序；如果數據被加密，則送往解密模塊。-實時解密模塊，用於解密被加密數據，送往涉密數據安全區域。-涉密數據安全區域，用於存儲解密模塊送到的明文，以及相關程序文件，保證涉 密數據轉換來的明文的存儲安全，通過windws底層驅動技術實現的實時動態加解密文件 的文件存儲空間，與開源的PGPDisk，TrueCrypt相類似。-系統監控模塊，用於監控涉密和非涉密進程，監控涉密數據安全區域和普通磁碟 之間的文件操作，由一個進程監控驅動程序、文件過濾系統驅動程序組成，此模塊可通過。 通過系統監控模塊的建立，使所有涉密進程的1\0操作都必須在映射在涉密數據安全區域進行。-磁碟寫入緩衝區，用於暫存涉密數據安全區域輸出的明文數據，確保數據安全。-磁碟文件監控模塊，用於監控磁碟文件，通過magicnumber來過濾磁碟寫入緩 衝區文件，對比磁碟緩衝區數據是否與目標目錄原數據的屬性相同，此處的屬性包括文件 的存儲位置，hash函數值(MD5、SHA-1等)。-剪切板監控模塊，監控剪切板內容的流向。_活動窗口監控模塊，監控桌面活動的涉密進程窗口和非涉密進程窗口。當涉密進 程處於桌面活動狀態時，截屏軟體也進入涉密狀態。本實施例同時揭示一種監控涉密數據流向的加密方法，請參閱圖1，所述方法包含 以下幾個步驟第一步系統管理員將系統中認為需要防止外洩的文件認定為涉密信息，進行手 動加密；第二步打開加密文件，強制關閉所有網絡服務的上行輸出，防止網絡服務向網絡 輸出數據。第三步將打開加密文件的軟體認定為涉密環境，監控模塊對涉密環境的1\0進 行控制，只允許涉密環境的輸入輸出經過涉密數據安全區域；第四步從涉密環境中輸出的文件放入磁碟寫入緩衝區，經磁碟寫入緩衝區與目 標磁碟位置的原文件進行屬性對比，如果沒有發生變化，則將磁碟寫入緩衝區的明文清除， 如果發生變化，則將緩衝區的明文加密寫入磁碟位置，寫入的為新創建文件都輸入為密文。第五步對屏幕進行截屏，如果涉密進程展開活動在桌面，則截屏保存的文件為加 密文件，如果涉密軟體最小化在任務欄，則截屏保存的文件為普通文件。第六步將密文全部或者部分複製進另外一個文件中，則本發明因為採用了上述方法和系統，使得在本地數據的透明加解密不再依賴於對 系統使用程序的限制，而是通過對涉密數據流向進行監控來實現，結合對磁碟寫入數據進 行對比實現，這樣只要對磁碟重要的文件進行指定加密，就既實現了對機密數據的防洩密， 又實現了對未涉密數據的有效甄別，防止了過度加密帶來的數據交流上的麻煩。結合數字 證書系統使用，可以在企業單位等中進行大規模部署，實現協同工作。此方法還可以配合原 有的基於文件名稱的加密和基於進程名稱的加密，與此兩類加密方法可以很好的兼容，並 且克服以上兩種加密方法的不足之處。實施例三在客戶端PC上安裝系統軟體，包括實時加密模塊，數據判斷模塊，實時解密模塊， 涉密數據安全區域，涉密數據安全區域監控模塊。涉密數據安全區域，包括但不局限於存放 密文解密後的明文以及打開密文的相關程序的存儲位置。典型的，我們以打開cpp文件(C++原始碼)為例，講解本發明的實施方式。步驟1，系統認定系統中某些代碼是屬於公司或者單位內的機密代碼，做某個軟體 項目必須使用它，假設這個原始碼文件以secret, cpp命名，我們運用這個系統中的加密模 塊對這個文件進行強制加密。步驟2，用Microsoft Visual 6. 0打開secret, cpp，強制關閉所有網絡服務的上 行輸出；
步驟3，實時解密模塊將secret, cpp解密進入涉密數據安全區域，並且Microsoft Visual 6.0進入涉密狀態，Microsoft Visual 6. 0所有的1\0操作都將被強制映射入涉密 數據安全區域步驟4，在Microsoft Visual 6. 0中對secret, cpp進行編輯，編譯，保存，則 Microsoft Visual 6. 0新生成的所有文件都被加密。步驟5，將Microsoft Visual 6. 0打開secret, cpp的文本框中的代碼部分或者全 部複製進記事本，則記事本進程被系統監控模塊監控，記事本保存的文件將被加密。步驟6，我們對正在編輯含有secret, cpp文件內容的活動窗口的桌面進行截屏， 則通過活動窗口監控模塊，對截屏所得的圖片進行強制加密。總之，通過任何的使用方法產生的和secret, cpp相關的文件都將是密文。這樣既 實現了對secret, cpp的防洩密，又不影響secret, cpp的正常使用。類似的，系統中的文本、圖片等的使用方法同上。這裡本發明的描述和應用是說明性的，並非想將本發明的範圍限制在上述實施例 中。這裡所披露的實施例的變形和改變是可能的，對於那些本領域的普通技術人員來說實 施例的替換和等效的各種部件是公知的。本領域技術人員應該清楚的是，在不脫離本發明 的精神或本質特徵的情況下，本發明可以以其它形式、結構、布置、比例，以及用其它組件、 材料和部件來實現。在不脫離本發明範圍和精神的情況下，可以對這裡所披露的實施例進 行其它變形和改變。
權利要求
一種基於涉密數據流向加密的本地數據防洩密系統，其特徵在於，所述系統包括實時加密模塊，用於加密實時數據，並為已經加密的數據增加被加密標識欄位；加密數據判斷模塊，用於數據打開前判斷是否已經被加密；實時解密模塊，用於解密被加密數據，送往涉密數據安全區域；涉密數據安全區域，用於存儲解密模塊送到的明文，以及相關程序文件，保證涉密數據轉換來的明文的存儲安全；系統監控模塊，用於監控涉密和非涉密進程，監控進程的I/O操作，將涉密進程的I/O映射在涉密數據安全區域；剪切板監控模塊，用於監控剪切板內容的流向；活動窗口監控模塊，用於監控桌面活動的涉密進程窗口和非涉密進程窗口；磁碟文件寫入緩衝區，用於暫存所述涉密數據安全區域輸出的明文數據，確保數據安全；磁碟文件監控模塊，用於監控磁碟文件，對比磁碟文件寫入緩衝區的數據是否與目標目錄原數據的屬性相同。
2.根據權利要求1所述的基於涉密數據流向加密的本地數據防洩密系統，其特徵在於涉密數據安全區域的數據只有系統監控模塊可以調用，系統監控模塊將所有涉密進程 的I/O強制映射在涉密數據安全區域。
3.根據權利要求1所述的基於涉密數據流向加密的本地數據防洩密系統，其特徵在於所述磁碟文件監控模塊用於監控磁碟文件，通過magic number來過濾磁碟寫入緩衝區 文件，對比磁碟緩衝區數據是否與目標目錄原數據的屬性相同，此處的屬性包括文件的存 儲位置、hash函數值。
4.根據權利要求1所述的基於涉密數據流向加密的本地數據防洩密系統，其特徵在於通過所述磁碟文件監控模塊對比磁碟文件寫入緩衝區的數據是否與目標目錄原數據 的屬性相同，智能判斷寫入磁碟的文件是否需要加密。
5.根據權利要求1所述的基於涉密數據流向加密的本地數據防洩密系統，其特徵在於所述系統不禁止電子設備的截屏功能，所有包括有涉密內容的截圖都是被強制加密 的，而沒有涉密內容的截屏是不加密的；通過對涉密進程活動窗口的監控，智能判斷截屏內容是否需要加密。
6.一種權利要求1所述本地數據防洩密系統的防洩密方法，其特徵在於，該方法包括 如下步驟A 系統管理員將系統中認為需要防止外洩的文件認定為涉密信息，進行手動加密； B:打開加密文件，強制關閉所有網絡服務的上行輸出，防止網絡服務向網絡輸出數據；C 將打開加密文件的軟體認定為涉密環境，所述系統監控模塊對涉密環境的I/O進行 控制，只允許涉密環境的輸入輸出經過涉密數據安全區域；D:從涉密環境中輸出的文件放入磁碟文件寫入緩衝區，經磁碟文件寫入緩衝區與目標 磁碟位置的原文件進行屬性對比；如果沒有發生變化，則將磁碟寫入緩衝區的明文清除，如 果發生變化，則將緩衝區的明文加密寫入磁碟位置，寫入的為新創建文件都輸入為密文；E 對屏幕進行截屏，如果涉密進程展開活動在桌面，則截屏保存的文件為加密文件； 如果涉密軟體最小化在任務欄，則截屏保存的文件為普通文件；F:將密文全部或者部分複製進另外一個文件中，則複製進密文的文件被加密。
7.根據權利要求6所述的防洩密方法，其特徵在於涉密數據安全區域的數據只有系統監控模塊可以調用，系統監控模塊將所有涉密進程 的I/O強制映射在涉密數據安全區域。
8.根據權利要求6所述的防洩密方法，其特徵在於通過所述磁碟文件監控模塊對比磁碟文件寫入緩衝區的數據是否與目標目錄原數據 的屬性相同，智能判斷寫入磁碟的文件是否需要加密。
9.根據權利要求6所述的防洩密方法，其特徵在於所述系統不禁止電子設備的截屏功能，所有包括有涉密內容的截圖都是被強制加密 的，而沒有涉密內容的截屏是不加密的。
10.根據權利要求6所述的防洩密方法，其特徵在於通過對涉密進程活動窗口的監控，智能判斷截屏內容是否需要加密。
全文摘要
本發明揭示了一種基於涉密數據流向加密的本地數據防洩密系統及方法，所述系統包括實時加密模塊、加密數據判斷模塊、實時解密模塊、涉密數據安全區域、系統監控模塊、剪切板監控模塊、活動窗口監控模塊、磁碟文件寫入緩衝區、磁碟文件監控模塊。本發明提出的基於涉密數據流向加密的本地數據防洩密系統及方法，使得在本地數據的透明加解密不再依賴於對系統使用程序的限制，而是通過對涉密數據流向進行監控來實現，結合對磁碟寫入數據進行對比實現，這樣只要對磁碟重要的文件進行指定加密，就既實現了對機密數據的防洩密，又實現了對未涉密數據的有效甄別，防止了過度加密帶來的數據交流上的麻煩。
文檔編號H04L9/32GK101860438SQ201010214318
公開日2010年10月13日 申請日期2010年6月30日 優先權日2010年6月30日
發明者耿振民, 魏帥衛 申請人:上海華御信息技術有限公司