一種基於集中控管的防信息洩密系統的製作方法

2023-12-09 18:06:21

專利名稱：一種基於集中控管的防信息洩密系統的製作方法
技術領域：
本發明涉及一種防信息洩密方法，尤其是一種基於集中控管的防信息洩密系統， 屬於信息安全領域。
背景技術：
計算機與網絡的普及應用使得信息的生產、存儲、獲取、共享和傳播更加方便，同 時也增加了組織內部重要信息洩密的風險。來自Gartner的調查顯示有超過85%的安全 威脅來自組織內部；各種安全漏洞造成的損失中，30% -40%是由電子文件洩露造成的；在 Fortune排名前1000家的公司中，每次電子文件洩露所造成的損失平均是50萬美元。尤其 是近年來U盤、移動硬碟的存儲容量迅速提升，筆記本電腦更加普及，就使得防洩密更加重 要和急迫。最原始的防止電腦洩密的手段是單機上鎖、物理隔離，但由於存在散熱困難、信息 共享困難等問題而已基本淘汰。後來出現的防水牆、終端安全管理、內網安全審計等產品則主要從「事中」和「事 後」的角度來解決信息安全問題，但「事中」的監控即使通過對USB、網口等實行封堵也難以 杜絕洩密，通過日誌分析來實現的「事後審計」技術則更加被動，因為等到發現洩密事件時 往往損失已經發生，只能是亡羊補牢。文檔安全管理類產品，如微軟RMS，是由文檔作者通過設置權限來實現文件的保 護，但不能用來防止內部人員主動洩密，更不能防止文檔作者本人的主動洩密。

發明內容
本發明的目的是克服現有技術中存在的不足，提供一種基於集中控管的防信息洩 密系統，用於保護組織內部的重要數據，防止洩密。按照本發明提供的技術方案，所述基於集中控管的防信息洩密系統如下包括管 理中心、控制臺和客戶端；所述管理中心進行客戶端的合法性認證、安全策略的分發、密鑰 和數字證書的管理；控制臺進行用戶帳戶管理、安全策略的配置與管理、文件審核與解密、 日誌審計管理、離線客戶端授權管理；客戶端按照從控制臺下發的安全策略具體執行對文 件的透明加解密，並對密文使用過程進行全程監控、全程保護；所述管理中心還可兼做集中 備份時的文件安全伺服器；所述客戶端根據安全策略還可對文件進行自動備份和多版本恢 復；系統的管理權限採用分級分權的管理體系，根管理員為一級管理員，系統管理員、 文件管理員和日誌審計員為二級管理員，所述二級管理員由根管理員創建，並通過分發USB 電子鑰匙進行授權；在所述管理中心、控制臺和客戶端上安裝的外發文件安全管理軟體模塊包括外發文件管理中心、文件外發製作工具和以插件方式安裝的綠色隱形客戶端軟體；所述外發文件安全管理中心的功能有企業用戶在製作外發文件包時，需要得到系統管理中心的授權，創建證書；對客戶端每次使用授權文件的權限進行認證，用戶通過認 證才能正常使用授權文件；負責證書的生成，用戶認證通過後對證書的管理；查詢、跟蹤所 有的企業員工打包製作日誌、所有的客戶遠程驗證日誌、當前外發文件的狀態管理；所述外發文件製作工具的功能有從認證伺服器上獲取證書，證書的信息與文件 信息和企業名稱信息綁定；將待外發的授權文件加密；將證書、客戶端程序和加密後的授 權文件進行處理，得到本系統可控制的外發文件；所述隱形客戶端的功能有當客戶第一次使用企業提供的授權文件時，客戶端將 在線進行證書認證。認證成功，則客戶可以正常使用授權文件；以後的用戶使用該文件均需 要在線驗證，通過後才可繼續使用；當合法客戶打開企業提供的授權文件時，客戶端程序對 授權文件進行自動解密，用戶保存時對授權文件進行自動加密，整個過程對客戶透明；當非 法客戶對此授權文件進行操作時將得不到文件明文；當合法客戶在使用企業提供的授權文 件時，客戶端程序將全程監控。所述根管理員的權限和職責是對系統密鑰進行管理，創建二級管理員並且通過 USB電子鑰匙為之授權；所述系統管理員的權限和職責是創建用戶組和用戶帳號，為創建 的用戶組和用戶帳號分配安全策略，員工外出授權；所述日誌審計員的權限和職責是對 系統日誌信息查詢、審計和管理；所述文件管理員的權限和職責是對客戶端提交的需要 解密的文件進行審核和解密。所述員工外出授權的方法是通過電子密鑰為出差用戶進行本地授權、遠程授權； 本地授權是對電子密鑰實體進行授權；出差和加班用戶可通過該電子密鑰啟動客戶端，遠 程授權是當外發電子密鑰過期時，補發電子密鑰授權文件，延長電子密鑰使用期限。所述當合法客戶在使用企業提供的授權文件時，客戶端程序全程監控，使客戶只 能對本文件進行編輯，不可將文件粘貼、複製到其他文件。所述管理中心有軟體和硬體兩種形式，軟體版的管理中心可以安裝在Windows操 作系統平臺下，硬體的管理中心採用基於Linux作業系統的工控機或嵌入式系統。本發明的優點是通過文件加密來實現對信息洩密的主動預防，並輔以網絡監控 和日誌審計來實現多級立體防護；通過對文件的多版本自動備份和恢復防止病毒破壞、誤 刪除等所造成的文件損失；通過外發文件控制而有效防止第三方洩密。


圖1是本發明的工作原理圖。圖2是外發文件安全管理模塊工作原理圖。圖3是外發文件安全管理模塊工作流程圖。
具體實施例方式為了克服現有的防信息洩密技術的不足，本發明通過透明加密技術來實現事前預 防、並輔以網絡監控和日誌審計來實現多級立體防護；本發明支持文件的可選透明加解密， 克服了強制透明加密所造成的對安全策略指定的文件類型「要麼全部加密、要麼全部不加 密「的一刀切；本發明可實現外發文件的生命周期控制和權限控制，可有效防止第三方洩密。
本發明是一種基於集中控管的防信息洩密的方法。根據延續內網信息共享並保證 內部機密資料安全的設計理念，採用透明加密技術來實現事前預防、並輔以網絡監控和日 志審計來實現多級立體防護。它是一個以用戶需求為導向、以數據加密為基礎、以使用者為 對象的綜合性文件安全系統。其特徵在於在完全不改變企業原有工作流程和用戶使用習 慣的前提下，對符合加密策略的機密文件操作過程進行實時監控對機密文件進行強制加密 保護，有效的防止了被動和主動洩密造成的安全隱患，消除內部安全隱患於無形之中。其要 點主要包括I、系統的管理權限採用「分級分權」的管理體系。II、外發文件管理中心III、文件外發製作工具軟體IV、綠色隱形客戶端軟體以下結合附圖對本發明所採用的技術方案做進一步描述。1、如圖1所示，整個系統由管理中心、控制臺和客戶端三部分組成。管理中心的作 用是進行客戶端的合法性認證、安全策略的分發、出差員工授權、密鑰和數字證書的管理， 還可以兼做集中備份時的文件安全伺服器；控制臺的作用是進行用戶帳戶管理、安全策略 的配置與管理、文件審核與解密、日誌審計管理、離線客戶端授權管理等；客戶端的作用是 按照從控制臺下發的安全策略具體執行對文件的透明加解密，並對密文使用過程進行全程 監控、全程保護，根據安全策略還可以對文件進行自動備份和多版本恢復。客戶端不能直接 連通內網時，可通過Internet連接；不連網時，可通過電子密鑰(以下稱eKey)授權使用。2、系統的管理權限採用「分級分權」的管理體系，根管理員為一級管理員，系統管 理員、文件管理員和日誌審計員為二級管理員(由根管理員創建，並通過分發USB電子鑰匙 進行授權)。四類管理員的權限和職責根管理員(1)對系統密鑰進行管理(包括密鑰備份，恢復，更新)；(2)創建二級管理員並且通過USB電子鑰匙為之授權。系統管理員(1)客戶端用戶管理創建用戶組和用戶帳號；(2)安全策略管理為創建的用戶組和用戶分配安全策略；(3)員工外出授權通過eKey為出差用戶進行本地授權、遠程授權，本地授權是對 eKey實體進行授權，出差和加班用戶可通過該eKey啟動客戶端，遠程授權是當外發eKey過 期時，補發eKey授權文件，延長eKey使用期限。日誌審計員(1)對系統日誌信息審計可以按照時間、類型、用戶(組)對日誌信息查詢、審 計；(2)對日誌信息管理(備份、清除、導入)。文件管理員對客戶端提交的需要解密的文件進行審核和解密(支持批量文件解 密)。3、如圖2所示，系統的外發文件管理軟體模塊由前置遠程認證伺服器和企業內部 管理伺服器組成，架設於企業的區域網之中，並負責調度企業內部管理伺服器(工控機)、前置遠程認證伺服器以及企業內部員工和企業外部合作夥伴的客戶端之間的信息傳輸。其 中企業內部管理伺服器位於區域網內部，用來打包形成數字信封；前置遠程認證伺服器位 於企業區域網入口處，用來認證數字信封。當企業內部員工需要外發文件時，向伺服器發出 外發文件請求，伺服器接收，經系統管理中心授權後，由外發文件管理中心生成控制文件的 數字證書並將文件和隱形客戶端打包為一個數字信封，然後發送到員工主機中，由員工發 送到合作夥伴那裡，當合作夥伴打開數字信封后，數字信封發送認證信息到前置遠程認證 伺服器，由伺服器認證後發送認證信息到合作夥伴，合作夥伴方可根據控制信息打開文件。 所述外發文件安全管理模塊包括「外發文件管理中心」、「文件外發製作工具軟體」和以插件 方式安裝的「綠色隱形客戶端軟體」。(1)外發文件安全管理中心功能打包製作企業用戶在製作外發文件包時，需要得到系統管理中心的授權，創建證 書。在線認證對客戶端每次使用授權文件的權限進行認證，合法的用戶通過認證後 才可以正常使用授權文件。證書管理負責證書的生成，用戶認證通過後對證書的管理。日誌查詢和管理查詢所有的企業員工打包製作日誌、所有的客戶遠程驗證日誌、 當前外發文件的狀態管理，可以時刻跟蹤控制每一個外發的文件。(2)外發文件製作工具功能獲取證書從認證伺服器上獲取證書，證書的信息與文件信息和企業名稱信息綁定。外發授權文件轉換將待外發的授權文件加密。打包製作將證書、客戶端程序和加密後的授權文件進行處理，得到本系統可控制 的外發文件(以壓縮的可執行文件存在，即是一個可自解壓的可執行文件)。(3)隱形客戶端功能授權文件第一次使用認證當客戶第一次使用企業提供的授權文件時，客戶端將 在線進行證書認證。認證成功，則客戶可以正常使用授權文件。在線控制以後的用戶使用該文件均需要在線驗證，通過後才可繼續使用。(斷線 方式時，默認可使用)文件透明加、解密當合法客戶打開企業提供的授權文件時，客戶端程序對授權文 件進行自動解密，用戶保存時對授權文件進行自動加密，整個過程對客戶透明；當非法客戶 對此授權文件進行操作時將得不到文件明文。授權文件使用監控當合法客戶在使用企業提供的授權文件時，客戶端程序將全 程監控客戶只能對本文件進行編輯，不可將文件粘貼、複製到其他文件，確保了文件的明 文不被竊取。外發文件安全管理模塊整體的工作流程如圖3所示1.將待授權文件輸入文件製作工具；2.由伺服器生成證書，傳送到文件製作工具；3.由文件製作工具將待授權文件、客戶端程序和證書打包為壓縮文件；4.壓縮文件發送到客戶後，雙擊打開，得到加密的授權文件；
5.第一次打開加密授權文件後，伺服器將對文件驗證，驗證成功將得到明文 』驗 證不成功將得不到明文；6.對明文進行寫入，修改，或者另存為密文；明文拷貝到其他文件將會失敗；7.第一次打開明文和修改，另存後的明文綁定本機，只可在本機打開，轉發後將無 法驗證成功。管理中心有軟體和硬體兩種形式，軟體版的管理中心可以安裝在 WindowsXP/2000/2003/Vista等作業系統平臺下，硬體的管理中心採用基於Linux操作系 統的工控機或嵌入式系統。控制臺軟體安裝於管理人員的PC機上，同一個使用單位可以有 多個控制臺。管理中心和控制臺都需要配合硬體的USB KEY來使用。客戶端軟體安裝於每 臺需要進行文件保護的PC機上。客戶端軟體安裝後就會在該PC機上自動啟動兩個保護進 程，設置雙進程的目的是防止客戶端進程被強制終止，萬一其中的一個進程被強行終止，則 另一個進行就會自動把這個被終止的進程啟動起來。對文件的透明加密保護都是在客戶端實現的，控制臺所設置的安全策略將自動通 過管理中心分發到客戶端，客戶端根據管理中心所下發的安全策略具體執行保護。這種保 護分為如下幾種一是對於安全策略中所指定的應用程式所產生的文件，在存檔時就自動加密，在 合法客戶端打開時自動解密。未經授權帶出單位時打開是亂碼。二是可以控制常用的截屏軟體，不允許截屏。三是根據安全策略進行文件的自動備份，並在需要恢復時自動恢復所備份的文 件。四是根據安全策略執行硬體資源控制策略，如是否允許使用USB安裝多個。
權利要求
一種基於集中控管的防信息洩密系統，其特徵是包括管理中心、控制臺和客戶端；所述管理中心進行客戶端的合法性認證、安全策略的分發、密鑰和數字證書的管理；控制臺進行用戶帳戶管理、安全策略的配置與管理、文件審核與解密、日誌審計管理、離線客戶端授權管理；客戶端按照從控制臺下發的安全策略具體執行對文件的透明加解密，並對密文使用過程進行全程監控、全程保護；系統的管理權限採用分級分權的管理體系，根管理員為一級管理員，系統管理員、文件管理員和日誌審計員為二級管理員，所述二級管理員由根管理員創建，並通過分發USB電子鑰匙進行授權；在所述管理中心、控制臺和客戶端上安裝的外發文件安全管理軟體模塊包括外發文件管理中心、文件外發製作工具和以插件方式安裝的綠色隱形客戶端軟體；所述外發文件安全管理中心的功能有企業用戶在製作外發文件包時，需要得到系統管理中心的授權，創建證書；對客戶端每次使用授權文件的權限進行認證，用戶通過認證才能正常使用授權文件；負責證書的生成，用戶認證通過後對證書的管理；查詢、跟蹤所有的企業員工打包製作日誌、所有的客戶遠程驗證日誌、當前外發文件的狀態管理；所述外發文件製作工具的功能有從認證伺服器上獲取證書，證書的信息與文件信息和企業名稱信息綁定；將待外發的授權文件加密；將證書、客戶端程序和加密後的授權文件進行處理，得到本系統可控制的外發文件；所述隱形客戶端的功能有當客戶第一次使用企業提供的授權文件時，客戶端將在線進行證書認證。認證成功，則客戶可以正常使用授權文件；以後的用戶使用該文件均需要在線驗證，通過後才可繼續使用；當合法客戶打開企業提供的授權文件時，客戶端程序對授權文件進行自動解密，用戶保存時對授權文件進行自動加密，整個過程對客戶透明；當非法客戶對此授權文件進行操作時將得不到文件明文；當合法客戶在使用企業提供的授權文件時，客戶端程序將全程監控。
2.如權利要求1所述的基於集中控管的防信息洩密系統，其特徵是所述管理中心還兼 做集中備份時的文件安全伺服器。
3.如權利要求1所述的基於集中控管的防信息洩密系統，其特徵是所述客戶端根據安 全策略還對文件進行自動備份和多版本恢復。
4.如權利要求1所述的基於集中控管的防信息洩密系統，其特徵是所述根管理員的權 限和職責是對系統密鑰進行管理，創建二級管理員並且通過USB電子鑰匙為之授權；所述 系統管理員的權限和職責是創建用戶組和用戶帳號，為創建的用戶組和用戶帳號分配安 全策略，員工外出授權；所述日誌審計員的權限和職責是對系統日誌信息查詢、審計和管 理；所述文件管理員的權限和職責是對客戶端提交的需要解密的文件進行審核和解密。
5.如權利要求4所述的基於集中控管的防信息洩密系統，其特徵是所述員工外出授權 的方法是通過電子密鑰為出差用戶進行本地授權、遠程授權；本地授權是對電子密鑰實 體進行授權；出差和加班用戶可通過該電子密鑰啟動客戶端，遠程授權是當外發電子密鑰 過期時，補發電子密鑰授權文件，延長電子密鑰使用期限。
6.如權利要求1所述的基於集中控管的防信息洩密系統，其特徵是所述當合法客戶在 使用企業提供的授權文件時，客戶端程序全程監控，使客戶只能對本文件進行編輯，不可將 文件粘貼、複製到其他文件。
7.如權利要求1所述的基於集中控管的防信息洩密系統，其特徵是所述管理中心有軟 件和硬體兩種形式，軟體版的管理中心可以安裝在Windows作業系統平臺下，硬體的管理 中心採用基於Linux作業系統的工控機或嵌入式系統。
全文摘要
本發明提供了一種基於集中控管的防信息洩密系統，通過透明加密技術來實現事前預防、並輔以網絡監控和日誌審計來實現多級立體防護。該系統能夠實現文件的多版本自動備份和恢復，並能實現集中備份；該系統支持文件的可選透明加解密，克服了強制透明加密所造成的對安全策略指定的文件類型「要麼全部加密、要麼全部不加密「的一刀切；該系統可實現外發文件的生命周期控制和權限控制，可有效防止第三方洩密。
文檔編號H04L9/32GK101848207SQ20101013819
公開日2010年9月29日 申請日期2010年4月2日 優先權日2010年4月2日
發明者耿振民, 魏帥衛 申請人:無錫華御信息技術有限公司