一種基於虛擬化技術的數據防洩密系統的製作方法
2023-06-06 08:52:26 2
專利名稱：一種基於虛擬化技術的數據防洩密系統的製作方法
技術領域：
本發明屬於信息安全技術領域，涉及一種虛擬化技術應用於數據安全防護領域的系統，特別是涉及一種基於虛擬化技術的數據防洩密系統；同時，本發明還涉及上述數據防洩密系統的防洩密方法。
背景技術：
隨著信息化在我國的蓬勃發展，電子化的數據已經成為每個部門、每個企業、每個個人的重要資產。數據的保密性、完整性和可用性關係到政府、重要行業和企業的生存力和競爭力。因此，數據安全，作為信息安全領域中的重要組成部分，正越來越受到大家的關注。 數據安全，涵蓋防丟失、防洩露及防濫用等多個層面。其中，數據防洩漏又是當前尤為突出的熱點問題。電子郵件、即時通訊、可移動存儲介質等計算機科學成果的廣泛應用，在提升人們工作效率的同時，也不可避免地擴展了數據洩漏的通道，尤其是用戶的主動洩密行為更是防不勝防。面對這樣的嚴峻形勢，國內外安全廠商近年來紛紛推出自己的數據洩露防護解決方案。目前的數據洩露防護以動態加解密技術為核心，分為文檔級動態加解密和磁碟級動態加解密兩種方式。基於文檔級動態加解密技術是在不同的操作系中(如WINDOWS、LINUX、UNIX等)， 應用程式在訪問存儲設備數據時，一般都通過作業系統提供的API調用文件系統，然後文件系統通過存儲介質的驅動程序訪問具體的存儲介質；而磁碟級動態加解密技術是在系統啟動時，動態加解密系統實時解密硬碟的數據，系統讀取什麼數據，就直接在內存中解密數據，然後將解密後的數據提交給作業系統即可。基於文檔級動態加解密技術的缺點在有些文件系統自身支持文件的動態加解密， 如Windows系統中的NTFS文件系統，其本身就提供了 EFS (Encryption File System)支持，作為一種通用的系統，難以做到滿足各種用戶個性化的要求，如自動加密某些類型文件寸。而磁碟級動態加解密技術的缺點在於該技術所採用的加解密算法的速度直接受到系統性能的影響。
發明內容
本發明的目的是針對現有技術的不足，提出一種不受系統性能限制、又能滿足各種用戶個性化的要求一種基於虛擬化技術的數據防洩密系統。—種基於虛擬化技術的數據防洩密系統是在作業系統之上利用虛擬化技術在工作站中構建虛擬化工作環境，通過對宿主作業系統的I/O調用、系統調用、動態庫調用進行重定向而實現的；所述的數據防洩密系統由管理模塊、驅動重定向模塊、監控模塊、日誌審計模塊、數據加解密模塊組成。所述的管理模塊主要用於設置登錄模式及在作業系統之上構建虛擬層以實現專用文件系統；所述的驅動重定向模塊主要完成對宿主作業系統驅動層的系統消息事件的修
3改及重定向；所述的監控模塊主要實時監視本地目錄、文件，並控制本地目錄、文件的訪問權限；所述的日誌審計模塊用於記錄用戶的操作記錄；所述的數據加解密模塊主要完成對需要保護的文檔以及編輯完成回寫的文檔進行加密，對打開重定向至保護目錄下的文檔進行解密。進一步的，所述登錄模式包含管理員登錄模式和普通用戶登錄模式，以所述管理員模式登錄後，可將本地磁碟的文件複製到專用文件系統所對應的區域中，並可以為此區域的電子文檔設置屬性權限及使用範圍，作為受控文檔；以所述的普通用戶登錄模式登錄後，用戶僅能設置電子文檔使用範圍。進一步的，所述的專用文件系統引導出的起始地址和文件分區表存放位置不同於其他的常規文件系統，並能針對不同的文件擴展出不同的屬性。進一步的，可擴展的文件屬性包括電子文檔的可轉發、電子文檔的訪問次數、電子文檔的訪問時間權限、電子文檔的不可列印限制。在專用文件系統所對應的區域中創建電子文檔並設置控制信息時，驅動重定向模塊獲取電子文檔的PID及文件的控制信息，並對文件另外為重定向到制定位置。一種基於虛擬化技術的數據防洩密系統監控模塊實時對文檔和文檔內容進行監控，並實時對作業系統的驅動層截獲系統事件，包括但不限於如複製、列印、另存、拷貝屏幕、網絡發送，並將所述事件進行分類處理，根據安全策略進行文檔訪問控制。所述的監控模塊實時對內存緩衝區的數據進行加密鎖定，當內存緩衝區被釋放時實時擦除所有數據。本發明的優點在於提出一種不受系統性能限制、又能滿足各種用戶個性化的要求一種基於虛擬化技術的數據防洩密系統，特別是提供一種通過保證限制用戶只能在虛擬安全環境下存取關鍵數據，同時關鍵數據的物理存儲也被集中在受加密保護的虛擬存儲空間中，防止未授權用戶竊聽、破解、非法複製傳播保密數據的數據防洩密保護方法；有效實現了僅在用戶進入安全工作環境時，才能訪問受保護的文件，並且用戶的操作也都受到各個虛擬資源的限定，網絡傳輸、外設存取等洩密行為都被完全控制或者禁止；由於安全數據始終存儲在虛擬工作區域中，無法複製、轉儲，因此有效防範了用戶的主動洩密行為；通過控制應用程式的執行、數據讀寫、剪貼複製操作、文件另存為操作、屏幕拷貝操作、列印操作、文件訪問次數、文件訪問時間等，從而使電子文檔的內容一直處於受控狀態。
圖1 一種基於虛擬化技術的數據防洩密系統構造原理圖。圖2 —種基於虛擬化技術的數據防洩密系統工作示意圖。圖3 —種基於虛擬化技術的數據防洩密系統使用模式圖。
具體實施例方式如圖1所示，一種基於虛擬化技術的數據防洩密系統是在作業系統之上利用虛擬化技術在工作站中構建虛擬化工作環境，通過對宿主作業系統的I/O調用、系統調用、動態庫調用進行重定向而實現的；所述的數據防洩密系統由管理模塊、驅動重定向模塊、監控模塊、日誌審計模塊、數據加解密模塊組成。
所述的管理模塊主要用於設置登錄模式及在作業系統之上構建虛擬層以實現專用文件系統；所述的驅動重定向模塊主要完成對宿主作業系統驅動層的系統消息事件的修改及重定向；所述的監控模塊主要實時監視本地目錄、文件，並控制本地目錄、文件的訪問權限；所述的日誌審計模塊用於記錄用戶的操作記錄；所述的數據加解密模塊主要完成對需要保護的文檔以及編輯完成回寫的文檔進行加密，對打開重定向至保護目錄下的文檔進行解密。進一步的，所述登錄模式包含管理員登錄模式和普通用戶登錄模式，以所述管理員模式登錄後，可將本地磁碟的文件複製到專用文件系統所對應的區域中，並可以為此區域的電子文檔設置屬性權限及使用範圍，作為受控文檔；以所述的普通用戶登錄模式登錄後，用戶僅能設置電子文檔使用範圍。進一步的，所述的專用文件系統引導出的起始地址和文件分區表存放位置不同於其他的常規文件系統，並能針對不同的文件擴展出不同的屬性。在專用文件系統所對應的區域中創建電子文檔並設置控制信息時，驅動重定向模塊獲取電子文檔的PID及文件的控制信息，並對文件另外為重定向到制定位置。一種基於虛擬化技術的數據防洩密系統實時對文檔和文檔內容進行監控，並實時對作業系統的驅動層截獲系統事件，包括但不限於如複製、列印、另存、拷貝屏幕、網絡發送，並將所述事件進行分類處理，根據安全策略進行文檔訪問控制。所述的監控模塊實時對內存緩衝區的數據進行加密鎖定，當內存緩衝區被釋放時實時擦除所有數據。管理模塊中的登錄模式可通過設置密碼嘗試次數上限防止對基於虛擬化技術的數據防洩密系統數據的暴力破解，登錄嘗試到達上限後系統自行鎖定，需要管理員模式登錄方能打開。如管理員密碼嘗試到上限後，該虛擬工作環境工作區域自動銷毀。通過身份認證後，所述的一種基於虛擬化技術的數據防洩密系統自動加載驅動， 準備對系統事件進行處理。一種基於虛擬化技術的數據防洩密系統利用文檔的PID來區分受控文件及非受控文件，防止受控文件內容被剪切到非保護文件中，防止受控文件內文字的託動到非保護文件中，防止OLE訪問，Office系列的軟體可被OLE的方式被其它工具獲取內容，並控制是否能列印受控文件。如圖2所述，當用戶打開一份文件時，一種基於虛擬化技術的數據防洩密系統對文件進行判定，是否為受控文件，如是，再次判斷是否通過屬性保護，如是，則判斷是否需要加載虛擬環境，如是，則在虛擬安全環境下運行帶屬性的文件。進一步的，如果，打開的文件不是受控文件或沒有通過屬性保護或不需要加載虛擬環境，則打開文件的同時及即關閉文件。如圖3所示，用戶以管理員或普通用戶的方式登錄所述的一種基於虛擬化技術的數據防洩密系統後，在管理員模式下，可將本地磁碟的文件複製到安全區域，並可以為此區域的電子文檔設置屬性權限及使用範圍，作為受控文檔；以所述的普通用戶登錄模式登錄後，「普通用戶」登錄成功後，檢測「管理員」設置的電子文檔屬性，電子文檔受控設計中，首先會檢測文件類型是否是安全受控文件，檢測文件擴展名及文件系統中的擴展屬性，調用相應的函數來得到當前的電子文檔屬性權限，再去依次去檢查權限的有效性，如電子文檔的打開次數權限，如是否打開次數已經減少為0，提示使用期限權限已經到對話框後直接退出，並不去調用電子文檔。每打開一次便函將打開次數減少一次，直到打開次數為0時，便不可以訪問此文件，彈出打開次數已經減少為0這樣的對話框。一種基於虛擬化技術的數據防洩密系統的專用文件系統可設置的文件擴展屬性如下有
電子文檔的可轉發電子文檔的所有者可以設置是否將電子文檔可轉發給其他用戶。 「管理員」給電子文檔設置好此權限後，「普通用戶」可將有此屬性的電子文檔用密文外發方式發給其它用戶。電子文檔的讀寫控制「管理員」會給電子文檔設置文件是否可讀屬性，「普通用戶」登錄後訪問文件便具有了這個屬性，如本文件設為只讀，「普通用戶」打開後將不能修改文件，如果設置為讀寫，則「普通用戶」可以對文件進行寫操作。針對文件所有者本人是沒有隻讀權限的設置。電子文檔的訪問次數電子文檔屬性的訪問次數是電子文檔在「管理員」發給「普通用戶」前預先設置好的，「普通用戶」每打開一次電子文檔，訪問次數便會減少1，直到減少到0次，則文件不開以被打開，用戶須自己清除掉此文件。電子文檔的訪問時間權限「管理員」設置文件訪問限制時間，「普通用戶」使用此電子文檔時便具有了這個屬性，如電子文檔只允許在2009-09-22日之前使用，當「普通用戶」訪問文件的時間在訪問時間期之後，則不允許打開。針對電子文檔所有者本人是沒有訪問時間權限的。電子文檔的不可列印限制「管理員」可將電子文檔屬性設置不可列印權限，使用這個電子文檔的「普通用戶」操作便受到限制，此電子文檔將不可以列印。如果設了可列印屬性，則電子文檔才可以列印。
權利要求
1.一種基於虛擬化技術的數據防洩密系統，其特徵在於所述的數據防洩密系統是在作業系統之上利用虛擬化技術在工作站中構建虛擬化工作環境，通過對宿主作業系統的I/O 調用、系統調用、動態庫調用進行重定向而實現的；所述的數據防洩密系統由管理模塊、驅動重定向模塊、監控模塊、日誌審計模塊、數據加解密模塊組成。
2.如權利要求1所述的一種基於虛擬化技術的數據防洩密系統，其特徵在於所述的管理模塊主要用於設置登錄模式及在作業系統之上構建虛擬層以實現專用文件系統；所述的驅動重定向模塊主要完成對宿主作業系統驅動層的系統消息事件的修改及重定向；所述的監控模塊主要實時監視本地目錄、文件，並控制本地目錄、文件的訪問權限；所述的日誌審計模塊用於記錄用戶的操作記錄；所述的數據加解密模塊主要完成對需要保護的文檔以及編輯完成回寫的文檔進行加密，對打開重定向至保護目錄下的文檔進行解密。
3.如權利要求2所述的一種基於虛擬化技術的數據防洩密系統，其特徵在於所述登錄模式包含管理員登錄模式和普通用戶登錄模式，以所述管理員模式登錄後，可將本地磁碟的文件複製到專用文件系統所對應的區域中，並可以為此區域的電子文檔設置屬性權限及使用範圍，作為受控文檔；以所述的普通用戶登錄模式登錄後，用戶僅能設置電子文檔使用範圍。
4.如權利要求2所述的一種基於虛擬化技術的數據防洩密系統，其特徵在於所述的專用文件系統引導出的起始地址和文件分區表存放位置不同於其他的常規文件系統，並能針對不同的文件擴展出不同的屬性。
5.如權利要求4所述的一種基於虛擬化技術的數據防洩密系統，其特徵在於可擴展的文件屬性包括電子文檔的可轉發、電子文檔的訪問次數、電子文檔的訪問時間權限、電子文檔的不可列印限制。
6.如權利要求1所述的一種基於虛擬化技術的數據防洩密系統，其特徵在於監控模塊實時對文檔和文檔內容進行監控，並實時對作業系統的驅動層截獲系統事件，包括但不限於如複製、列印、另存、拷貝屏幕、網絡發送，並將所述事件進行分類處理，根據安全策略進行文檔訪問控制。
7.如權利要求1所述的一種基於虛擬化技術的數據防洩密系統，其特徵在於監控模塊實時對內存緩衝區的數據進行加密鎖定，當內存緩衝區被釋放時實時擦除所有數據。
全文摘要
一種基於虛擬化技術的數據防洩密系統，其特徵在於所述的數據防洩密系統是在作業系統之上利用虛擬化技術在工作站中構建虛擬化工作環境，通過對宿主作業系統的I/O調用、系統調用、動態庫調用進行重定向而實現的；所述的數據防洩密系統由管理模塊、驅動重定向模塊、監控模塊、日誌審計模塊、數據加解密模塊組成。本發明的優點在於提出一種通過保證限制用戶只能在虛擬安全環境下存取關鍵數據，同時關鍵數據的物理存儲也被集中在受加密保護的虛擬存儲空間中，防止未授權用戶竊聽、破解、非法複製傳播保密數據的數據防洩密保護方法。
文檔編號G06F21/00GK102254117SQ201110189539
公開日2011年11月23日 申請日期2011年7月7日 優先權日2011年7月7日
發明者李鵬 申請人:李鵬