基于進(jìn)程隔離加密機(jī)制的安全保密盤模型及其生成方法
【專利摘要】本發(fā)明公開了一種基于進(jìn)程隔離加密機(jī)制的安全保密盤模型及其生成方法，所述安全保密盤模型包括虛擬隔離運(yùn)行模塊、I/O代理進(jìn)程加/解密模塊以及安全保密盤；虛擬隔離運(yùn)行模塊用于獲得可信進(jìn)程，并將可信進(jìn)程轉(zhuǎn)換為受控進(jìn)程并被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境中運(yùn)行；I/O代理進(jìn)程加/解密模塊以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作；安全保密盤在終端主機(jī)以普通磁盤分區(qū)的形式展現(xiàn)。本發(fā)明能夠綜合從終端涉密進(jìn)程運(yùn)行環(huán)境的可信、可控，到涉密文檔從存儲(chǔ)、傳送、使用和銷毀全生命周期的加密強(qiáng)制歸檔管理，再到終端運(yùn)行的涉密程序的網(wǎng)絡(luò)、打印、內(nèi)存泄密等行為進(jìn)行管控，實(shí)現(xiàn)了保密文件的全程監(jiān)控。
【專利說(shuō)明】基于進(jìn)程隔離加密機(jī)制的安全保密盤模型及其生成方法

【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全【技術(shù)領(lǐng)域】，特別是一種計(jì)算機(jī)中與信息和數(shù)據(jù)保密相關(guān)的存儲(chǔ)盤模型。

【背景技術(shù)】
[0002]隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的迅速發(fā)展，信息網(wǎng)絡(luò)已深入社會(huì)生活的各個(gè)方面，信息網(wǎng)絡(luò)中的各種重要數(shù)據(jù)在存儲(chǔ)、傳送、使用和銷毀過(guò)程中容易遭受竊取、篡改、刪除或病毒木馬的侵蝕。傳統(tǒng)的數(shù)據(jù)加密和存儲(chǔ)方式能夠保證數(shù)據(jù)在加密狀態(tài)的安全性，但是在數(shù)據(jù)被解密使用的過(guò)程中，仍然存在諸多泄密風(fēng)險(xiǎn)和途徑，如木馬和病毒竊取、網(wǎng)絡(luò)、打印失泄密等。一般而言，終端是接觸和處理單位信息的載體和工具，因而在大多數(shù)的企業(yè)和單位中，終端存留著大量的涉密信息，如各種應(yīng)用和業(yè)務(wù)系統(tǒng)在使用過(guò)程中產(chǎn)生的臨時(shí)文件、過(guò)程數(shù)據(jù)及導(dǎo)出和生成的報(bào)表、運(yùn)行結(jié)果等敏感數(shù)據(jù)；而這些數(shù)據(jù)往往散存在各個(gè)終端各自的存儲(chǔ)環(huán)境中，沒(méi)有得到有效的集中管控。
[0003]目前針對(duì)此類終端信息的防擴(kuò)散方法有很多，大致可分為三大類:封堵類、文檔強(qiáng)制加密類以及虛擬桌面隔離類，下面對(duì)目前主流的三大類終端防擴(kuò)散技術(shù)分別進(jìn)行闡述。
[0004]封堵類:以封堵的方式防止信息從終端擴(kuò)散，即采用禁用外設(shè)端口、網(wǎng)絡(luò)等方式封堵任何可能導(dǎo)致數(shù)據(jù)從終端泄密的途徑。該方式極大限制了用戶的行為，對(duì)用戶的工作造成很大不便；另外，因文檔本身并沒(méi)有加密，因而也無(wú)法從根源上解決數(shù)據(jù)泄密問(wèn)題。
[0005]文檔強(qiáng)制加密類:以文檔強(qiáng)制透明加解密的方式防止信息從終端擴(kuò)散。該方式是從源頭上當(dāng)文件寫磁盤時(shí)通過(guò)文件加解密過(guò)濾驅(qū)動(dòng)，把寫入磁盤的文件強(qiáng)制加密保存；而當(dāng)終端使用這些加密文件時(shí)，必須通過(guò)文件加解密過(guò)濾驅(qū)動(dòng)解密，方可透明解密使用文檔。由于終端上的加密文檔只能在企業(yè)內(nèi)部擁有加解密授權(quán)的終端上正常打開使用，在沒(méi)有授權(quán)的終端上，加密文件無(wú)法被解密和打開，從而保證涉密文件即使被非法帶出也不會(huì)泄密的目的。該方式從理論上能夠從源頭上比較好的保障企業(yè)信息無(wú)法從終端擴(kuò)散出去的目標(biāo)，但該方式在長(zhǎng)期的應(yīng)用實(shí)踐過(guò)程中，發(fā)現(xiàn)存在以下幾方面的問(wèn)題:I)需要加密保護(hù)的文檔類型眾多，涉及的應(yīng)用程序類型更多，加密軟件需要很好的支持和兼容各種應(yīng)用系統(tǒng)和軟件，不同應(yīng)用的加密策略設(shè)定工作和測(cè)試工作量非常之大，服務(wù)壓力比較大；2)因該加密方式為透明加解密，所以文檔被授權(quán)進(jìn)程在內(nèi)存透明解密使用過(guò)程中，存在被該解密進(jìn)程通過(guò)網(wǎng)絡(luò)發(fā)出去泄密的風(fēng)險(xiǎn)；3)該加密方式在使用過(guò)程中，加密應(yīng)用啟動(dòng)或者運(yùn)行過(guò)程中必須依賴的配置文件也會(huì)一同被加密，而在某些情況下，一個(gè)配置文件可能會(huì)被多個(gè)應(yīng)用所調(diào)用，如果其他調(diào)用該配置文件的應(yīng)用沒(méi)有解密權(quán)限，則會(huì)導(dǎo)致該應(yīng)用運(yùn)行的失敗，從而導(dǎo)致額外的維護(hù)工作量和給用戶帶來(lái)新的不便；4)使用該方式，終端內(nèi)的涉密文檔被以加密的方式散存在各個(gè)存儲(chǔ)磁盤中，無(wú)法對(duì)終端的涉密文檔實(shí)現(xiàn)強(qiáng)制集中式管理。綜上，采用文檔強(qiáng)制透明加解密的方式防止信息從終端擴(kuò)散的解決方案，在實(shí)際應(yīng)用的過(guò)程中，存在推廣難度大、維護(hù)工作量大、對(duì)散落在終端的大量文檔也無(wú)法統(tǒng)一歸檔管理的問(wèn)題，因此不適用于終端規(guī)模龐大、應(yīng)用復(fù)雜的環(huán)境。
[0006]虛擬桌面隔離類:以虛擬機(jī)、虛擬安全桌面等虛擬隔離技術(shù)，把終端涉密信息隔離存儲(chǔ)的方式來(lái)防止終端信息擴(kuò)散的技術(shù)。該類型的技術(shù)從實(shí)現(xiàn)原理上與文檔透明強(qiáng)制加密方式比較而言，簡(jiǎn)化了策略配置的復(fù)雜度，相對(duì)于文檔透明加密技術(shù)在易用性和涉密文檔處理環(huán)境的可信性等方面是一大進(jìn)步。如VMware等廠商提出了虛擬桌面架構(gòu)，利用虛擬機(jī)監(jiān)視器為用戶程序提供安全保護(hù)層，隔離保護(hù)用戶程序的內(nèi)存空間，確保軟件運(yùn)行環(huán)境可靠。但類似于安全桌面、虛擬桌面類的虛擬隔離技術(shù)來(lái)做終端涉密信息的防擴(kuò)散，存在以下不足:1)利用注冊(cè)表、文件重定向等機(jī)制從真實(shí)桌面上構(gòu)建的虛擬隔離桌面，相對(duì)于虛擬機(jī)技術(shù)而言是一大進(jìn)步，消耗的終端資源會(huì)少很多，用戶體驗(yàn)也會(huì)好很多，但始終是一個(gè)重量級(jí)的隔離環(huán)境，大型應(yīng)用軟件在虛擬桌面內(nèi)的使用或者真實(shí)桌面與虛擬桌面頻繁的來(lái)回切換，會(huì)容易導(dǎo)致兼容性問(wèn)題發(fā)生；2)類似于從真實(shí)桌面構(gòu)建一個(gè)虛擬隔離桌面的方式來(lái)防止終端信息泄密，勢(shì)必要求用戶在終端處理敏感信息時(shí)必須要登錄到安全虛擬桌面環(huán)境中去，這樣對(duì)用戶操作習(xí)慣會(huì)造成一定影響和改變；3)虛擬桌面隔離技術(shù)的核心是利用重定向技術(shù)來(lái)實(shí)現(xiàn)涉密文檔的隔離保護(hù)，就文檔本身安全加密保存方面存在不足；4)在虛擬安全桌面環(huán)境下，用戶往往有通過(guò)網(wǎng)絡(luò)對(duì)外交流和溝通的需求，如無(wú)其他輔助手段對(duì)安全桌面下的網(wǎng)絡(luò)訪問(wèn)進(jìn)行細(xì)粒度控制和管理，網(wǎng)絡(luò)途徑失泄密將成為虛擬安全桌面防終端信息擴(kuò)散的軟肋。
[0007]可見(jiàn)上述三種防止終端信息擴(kuò)散的方法都存在一定的弊端，無(wú)法滿足目前信息安全技術(shù)的要求。


【發(fā)明內(nèi)容】

[0008]本發(fā)明針對(duì)現(xiàn)有技術(shù)的不足，提供一種基于進(jìn)程隔離加密機(jī)制的以安全保密盤為展現(xiàn)形式的終端數(shù)據(jù)防擴(kuò)散模型，以滿足信息安全技術(shù)高速發(fā)展的要求。
[0009]為解決上述技術(shù)問(wèn)題，本發(fā)明所采取的技術(shù)方案如下。
[0010]基于進(jìn)程隔離加密機(jī)制的安全保密盤模型，包括虛擬隔離運(yùn)行模塊、I/O代理進(jìn)程加/解密模塊以及安全保密盤；所述虛擬隔離運(yùn)行模塊，用于篩選非可信網(wǎng)絡(luò)、可信網(wǎng)絡(luò)以及外部設(shè)備，獲得可信進(jìn)程，并將可信進(jìn)程轉(zhuǎn)換為受控進(jìn)程，受控進(jìn)程被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境運(yùn)行；1/0代理進(jìn)程加/解密模塊用于對(duì)受控進(jìn)程進(jìn)行透明加密/解密操作，以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作；安全保密盤在終端主機(jī)以普通磁盤分區(qū)的形式展現(xiàn)。
[0011]基于進(jìn)程隔離加密機(jī)制的安全保密盤模型的生成方法，包括以下步驟:
A.設(shè)置可信進(jìn)程名稱或可信的IP地址；
B.建立進(jìn)程隔離機(jī)制，進(jìn)程隔離機(jī)制分別對(duì)網(wǎng)絡(luò)、外設(shè)以及內(nèi)存空間進(jìn)行可信進(jìn)程的篩選，設(shè)置的可信進(jìn)程觸碰安全保密盤后為受控進(jìn)程，或者任意進(jìn)程訪問(wèn)可信IP地址后自動(dòng)轉(zhuǎn)換為受控進(jìn)程，轉(zhuǎn)換為受控進(jìn)程的同時(shí)被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境運(yùn)行；
C.將受控進(jìn)程轉(zhuǎn)換為I/O代理進(jìn)程，I/O代理進(jìn)程以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作。
[0012]其中步驟B所述的進(jìn)程隔離機(jī)制包括網(wǎng)絡(luò)訪問(wèn)過(guò)濾機(jī)制、內(nèi)存空間保護(hù)機(jī)制以及文件過(guò)濾驅(qū)動(dòng)機(jī)制；所述網(wǎng)絡(luò)訪問(wèn)過(guò)濾機(jī)制根據(jù)訪問(wèn)控制列表ACL對(duì)網(wǎng)絡(luò)訪問(wèn)進(jìn)行數(shù)據(jù)包過(guò)濾，使受控進(jìn)程只能與可信網(wǎng)絡(luò)進(jìn)行安全通信；內(nèi)存空間保護(hù)機(jī)制利用API HOOK監(jiān)控受控進(jìn)程對(duì)剪貼板和跨進(jìn)程的讀寫操作，禁止非可信進(jìn)程訪問(wèn)剪貼板內(nèi)敏感數(shù)據(jù)，允許可信進(jìn)程訪問(wèn)剪貼板內(nèi)敏感數(shù)據(jù)；文件過(guò)濾驅(qū)動(dòng)機(jī)制用于實(shí)現(xiàn)受控進(jìn)程對(duì)除安全保密盤以外存儲(chǔ)空間的數(shù)據(jù)文件進(jìn)行寫操作時(shí)，觸發(fā)動(dòng)態(tài)重定向操作。
[0013]本發(fā)明所述動(dòng)態(tài)重定向操作具體為:若該操作是可信進(jìn)程創(chuàng)建或讀寫文件的請(qǐng)求，則在安全保密盤中拷貝產(chǎn)生對(duì)應(yīng)的副本文件，再將該請(qǐng)求重定向到安全保密盤中進(jìn)行訪問(wèn)；若該操作是非可信進(jìn)程讀取安全保密盤內(nèi)文件的請(qǐng)求，則拒絕訪問(wèn)；若該操作是非可信進(jìn)程創(chuàng)建或讀寫安全保密盤外文件的請(qǐng)求，則直接允許訪問(wèn)。
[0014]由于采用了以上技術(shù)方案，本發(fā)明所取得技術(shù)進(jìn)步如下。
[0015]本發(fā)明能夠綜合從終端涉密進(jìn)程運(yùn)行環(huán)境的可信、可控，到涉密文檔從存儲(chǔ)、傳送、使用和銷毀全生命周期的加密強(qiáng)制歸檔管理，再到終端運(yùn)行的涉密程序的網(wǎng)絡(luò)、打印、內(nèi)存泄密等行為進(jìn)行管控，實(shí)現(xiàn)了保密文件的全程監(jiān)控。與以虛擬安全桌面等虛擬隔離技術(shù)為防擴(kuò)散方式的方案相比，該方式以進(jìn)程為最小單位，在終端上構(gòu)筑最為輕量級(jí)的進(jìn)程運(yùn)行隔離環(huán)境，進(jìn)程在該隔離運(yùn)行環(huán)境下結(jié)合進(jìn)程透明加解密技術(shù)，產(chǎn)生的任何文件都將以密文形式強(qiáng)制存儲(chǔ)到安全保密盤中，給普通用戶的使用感受只是在終端多出了一個(gè)安全保密盤，普通用戶從終端的安全保密盤中無(wú)法拷貝出任何明文數(shù)據(jù)，用戶使用習(xí)慣的改變減少到最低；同時(shí)終端涉密進(jìn)程的運(yùn)行都會(huì)被強(qiáng)制放置到基于進(jìn)程的虛擬隔離環(huán)境中運(yùn)行，產(chǎn)生的數(shù)據(jù)都會(huì)被強(qiáng)制加密集中歸檔到安全保密盤中。
[0016]本發(fā)明的應(yīng)用，可以很好的解決強(qiáng)制加密類防擴(kuò)散技術(shù)的兼容性、配置復(fù)雜及內(nèi)存泄密等問(wèn)題，同時(shí)很好的彌補(bǔ)了單純的虛擬安全桌面類技術(shù)隔離環(huán)境復(fù)雜、用戶操作環(huán)境、習(xí)慣被改變、網(wǎng)絡(luò)控制不靈活及文檔本身缺乏高強(qiáng)度加密保護(hù)手段等問(wèn)題。運(yùn)用該發(fā)明，可以做到終端機(jī)器一邊上網(wǎng)一邊操作涉密敏感文件和進(jìn)程，而不用擔(dān)心敏感文件被木馬、病毒或者工作人員通過(guò)網(wǎng)絡(luò)、U盤、打印等方式泄密，也不需要刻意的強(qiáng)制用戶在處理敏感信息時(shí)必須進(jìn)入某種安全虛擬工作桌面環(huán)境，更不需要對(duì)終端的外設(shè)端口、進(jìn)程等的使用進(jìn)行嚴(yán)格的控制和管理。運(yùn)用該發(fā)明，可以在最小程度干預(yù)用戶操作行為的情況下，為終端運(yùn)行的涉密程序提供一套安全、可控的超輕量級(jí)的隔離運(yùn)行環(huán)境，并結(jié)合安全保密盤的概念實(shí)現(xiàn)涉密數(shù)據(jù)從存儲(chǔ)、傳送、使用和銷毀全生命周期安全集中管控。如果安全保密盤是云存儲(chǔ)端映射到本地的云盤，通過(guò)該發(fā)明的應(yīng)用，可以很好的解決云端數(shù)據(jù)同步到本地終端后擔(dān)心被泄密的問(wèn)題。同理，運(yùn)用該發(fā)明，可以解決任意有進(jìn)程的應(yīng)用系統(tǒng)在使用過(guò)程中臨時(shí)數(shù)據(jù)、中間數(shù)據(jù)及結(jié)果數(shù)據(jù)落地后的安全保密問(wèn)題。

【專利附圖】

【附圖說(shuō)明】
[0017]圖1為本發(fā)明所述安全保密盤模型的結(jié)構(gòu)示意圖。

【具體實(shí)施方式】
[0018]下面將結(jié)合附圖和具體實(shí)施例對(duì)本發(fā)明進(jìn)行進(jìn)一步詳細(xì)說(shuō)明。
[0019]基于進(jìn)程隔離加密機(jī)制的安全保密盤模型，其結(jié)構(gòu)如圖1所示，包括虛擬隔離運(yùn)行模塊、I/o代理進(jìn)程加/解密模塊以及安全保密盤。
[0020]其中虛擬隔離運(yùn)行模塊，用于篩選非可信網(wǎng)絡(luò)、可信網(wǎng)絡(luò)以及外部設(shè)備，獲得可信進(jìn)程，可信進(jìn)程一旦訪問(wèn)安全保密盤內(nèi)的數(shù)據(jù)文件，該可信進(jìn)程的狀態(tài)立即轉(zhuǎn)變?yōu)槭芸剡M(jìn)程，受控進(jìn)程被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境運(yùn)行；在該虛擬隔離運(yùn)行環(huán)境下，受控進(jìn)程對(duì)安全保密盤內(nèi)數(shù)據(jù)文件和安全保密盤外數(shù)據(jù)文件的訪問(wèn)都處于安全隔離狀態(tài)，保證企業(yè)內(nèi)的數(shù)據(jù)文件不外泄。非可信進(jìn)程禁止訪問(wèn)安全保密盤內(nèi)的數(shù)據(jù)文件。
[0021]虛擬隔離運(yùn)行模塊把可信網(wǎng)絡(luò)、臨時(shí)安全存儲(chǔ)、安全保密盤和受控進(jìn)程劃為一個(gè)安全域。在虛擬隔離運(yùn)行環(huán)境中，利用網(wǎng)絡(luò)訪問(wèn)過(guò)濾技術(shù)，受控進(jìn)程只允許訪問(wèn)可信網(wǎng)絡(luò)；利用內(nèi)存空間保護(hù)技術(shù)，受控進(jìn)程的運(yùn)行內(nèi)存空間被監(jiān)控保護(hù)，防止非法進(jìn)程跨進(jìn)程讀取敏感數(shù)據(jù)；利用文件過(guò)濾驅(qū)動(dòng)技術(shù)，受控進(jìn)程訪問(wèn)運(yùn)行文件被單向隔離控制。通過(guò)綜合運(yùn)用三種技術(shù)構(gòu)成虛擬隔離運(yùn)行環(huán)境，使企業(yè)內(nèi)數(shù)據(jù)文件只會(huì)流動(dòng)于安全域內(nèi)，，有效防止了敏感數(shù)據(jù)的外泄。
[0022]I/O代理進(jìn)程加/解密模塊，用于對(duì)受控進(jìn)程進(jìn)行透明加密/解密操作，以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作。
[0023]安全保密盤在終端主機(jī)以普通磁盤分區(qū)的形式展現(xiàn)，安全保密盤內(nèi)的數(shù)據(jù)文件通過(guò)數(shù)據(jù)強(qiáng)制透明讀解密/寫加密的方式安全存儲(chǔ)在安全保密盤中。
[0024]受控進(jìn)程在虛擬隔離運(yùn)行環(huán)境下進(jìn)行隔離運(yùn)行，進(jìn)程隔離包括以下六個(gè)方面:1)通過(guò)終端主機(jī)運(yùn)行可信進(jìn)程或訪問(wèn)設(shè)定的IP地址來(lái)觸發(fā)進(jìn)程隔離機(jī)制，即終端主機(jī)一旦運(yùn)行可信進(jìn)程或通過(guò)任意進(jìn)程訪問(wèn)設(shè)定的IP地址時(shí)，該進(jìn)程將轉(zhuǎn)變?yōu)槭芸剡M(jìn)程；2)受控進(jìn)程只能訪問(wèn)指定的可信網(wǎng)絡(luò)，隔離受控進(jìn)程對(duì)非可信網(wǎng)絡(luò)的訪問(wèn)；3)受控進(jìn)程運(yùn)行時(shí)的內(nèi)存數(shù)據(jù)被隔離保護(hù)，無(wú)法與非可信進(jìn)程進(jìn)行交互；4)受控進(jìn)程對(duì)終端主機(jī)安全保密盤內(nèi)數(shù)據(jù)文件的讀寫操作，全部由“I/O代理進(jìn)程”進(jìn)行安全控制；5)受控進(jìn)程以只讀方式使用終端主機(jī)安全保密盤外的數(shù)據(jù)文件，對(duì)終端主機(jī)安全保密盤外數(shù)據(jù)文件的寫操作都通過(guò)“ I/O代理進(jìn)程”以重定向方式加密寫入臨時(shí)安全緩存進(jìn)行隔離，讀取時(shí)通過(guò)“I/O代理進(jìn)程”解密讀??；6)受控進(jìn)程只能以只讀方式使用本地外設(shè)(如U盤，打印機(jī)等)，寫操作被禁止。
[0025]基于進(jìn)程隔離加密機(jī)制的安全保密盤模型的生成方法，以Windows操作系統(tǒng)為例，包括以下步驟:
A.設(shè)置可信進(jìn)程名稱以及可信進(jìn)程所在終端主機(jī)的IP地址；或者直接設(shè)置可信的IP地址；
本發(fā)明所述的安全保密盤模型用于保護(hù)企業(yè)業(yè)務(wù)系統(tǒng)時(shí)，只需要將企業(yè)業(yè)務(wù)系統(tǒng)的IP地址設(shè)定為受保護(hù)IP地址，終端主機(jī)使用任意進(jìn)程(例如:瀏覽器、業(yè)務(wù)系統(tǒng)客戶端工具等)訪問(wèn)該受保護(hù)的IP地址時(shí)，則觸發(fā)進(jìn)程隔離控制機(jī)制，使訪問(wèn)該受保護(hù)IP地址的進(jìn)程轉(zhuǎn)變?yōu)槭芸剡M(jìn)程，受控進(jìn)程所產(chǎn)生的所有過(guò)程數(shù)據(jù)、中間數(shù)據(jù)、結(jié)果數(shù)據(jù)均只能保存到終端主機(jī)的安全保密盤中。
[0026]在設(shè)置可信進(jìn)程時(shí)，可將能夠產(chǎn)生企業(yè)核心數(shù)據(jù)的對(duì)應(yīng)進(jìn)程設(shè)置為可信進(jìn)程，可信進(jìn)程不訪問(wèn)安全保密盤時(shí)，能夠在終端主機(jī)安全保密盤外讀取或?qū)懭霐?shù)據(jù)；但是可信進(jìn)程一旦訪問(wèn)安全保密盤或者通過(guò)策略設(shè)定為該類能夠產(chǎn)生核心敏感數(shù)據(jù)的可信進(jìn)程一旦啟動(dòng)即把該類進(jìn)程轉(zhuǎn)變?yōu)槭芸剡M(jìn)程。
[0027]B.建立進(jìn)程隔離機(jī)制，進(jìn)程隔離機(jī)制分別對(duì)網(wǎng)絡(luò)、外設(shè)以及內(nèi)存空間進(jìn)行可信進(jìn)程的篩選；設(shè)置的可信進(jìn)程觸碰安全保密盤后為受控進(jìn)程，或者任意進(jìn)程訪問(wèn)可信IP地址后自動(dòng)轉(zhuǎn)換為受控進(jìn)程，轉(zhuǎn)換為受控進(jìn)程的同時(shí)被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境運(yùn)行。
[0028]進(jìn)程隔離機(jī)制包括網(wǎng)絡(luò)訪問(wèn)過(guò)濾機(jī)制、內(nèi)存空間保護(hù)機(jī)制以及文件過(guò)濾驅(qū)動(dòng)機(jī)制。
[0029]網(wǎng)絡(luò)訪問(wèn)過(guò)濾機(jī)制根據(jù)訪問(wèn)控制列表ACL對(duì)網(wǎng)絡(luò)訪問(wèn)進(jìn)行數(shù)據(jù)包過(guò)濾，使受控進(jìn)程只能與可信網(wǎng)絡(luò)進(jìn)行安全通信；同時(shí)，為了保證數(shù)據(jù)的安全性，要求可信網(wǎng)絡(luò)內(nèi)所有進(jìn)程都處于隔離虛擬運(yùn)行環(huán)境內(nèi)執(zhí)行。
[0030]內(nèi)存空間保護(hù)機(jī)制利用API HOOK監(jiān)控受控進(jìn)程對(duì)剪貼板和跨進(jìn)程的讀寫操作，禁止非可信進(jìn)程訪問(wèn)剪貼板內(nèi)敏感數(shù)據(jù)，允許可信進(jìn)程訪問(wèn)剪貼板內(nèi)敏感數(shù)據(jù)；但是可信進(jìn)程一旦訪問(wèn)剪貼板內(nèi)的敏感數(shù)據(jù)，該可信進(jìn)程就會(huì)被標(biāo)注為受控進(jìn)程，被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境下進(jìn)行隔離運(yùn)行。
[0031]文件過(guò)濾驅(qū)動(dòng)機(jī)制用于實(shí)現(xiàn)受控進(jìn)程對(duì)除安全保密盤以外存儲(chǔ)空間的的數(shù)據(jù)文件進(jìn)行寫操作時(shí)，觸發(fā)動(dòng)態(tài)重定向操作，動(dòng)態(tài)重定向操作在應(yīng)用層以下實(shí)現(xiàn)并且對(duì)上層應(yīng)用透明，采取開源Dokan開發(fā)庫(kù)來(lái)實(shí)現(xiàn)。當(dāng)然，如為L(zhǎng)inux操作系統(tǒng)可以參考FUSE實(shí)現(xiàn)。
[0032]開源Dokan開發(fā)庫(kù)包含一個(gè)用戶模式的DLL文件(dokan.dll)以及一個(gè)內(nèi)核模式文件系統(tǒng)驅(qū)動(dòng)(dokan.sys)。Dokan文件系統(tǒng)驅(qū)動(dòng)一旦安裝，就可在Windows上創(chuàng)建和普通文件系統(tǒng)一樣的文件系統(tǒng)。使用Dokan庫(kù)創(chuàng)建的文件系統(tǒng)的應(yīng)用程序稱為文件系統(tǒng)應(yīng)用程序。來(lái)自用戶程序的文件操作請(qǐng)求(例如:CreateFile, ReadFile, WriteFile等)將被發(fā)送的Windows輸入/輸出子系統(tǒng)(運(yùn)行在內(nèi)核模式)，請(qǐng)求之后將被發(fā)送到Dokan文件系統(tǒng)驅(qū)動(dòng)程序(dokan.sys)。通過(guò)使用Dokan用戶模式庫(kù)文件(dokan.dll)提供的函數(shù),文件系統(tǒng)應(yīng)用程序能夠向文件系統(tǒng)驅(qū)動(dòng)程序注冊(cè)回調(diào)函數(shù)。文件系統(tǒng)驅(qū)動(dòng)程序在收到請(qǐng)求后調(diào)用注冊(cè)的回調(diào)函數(shù)例程來(lái)響應(yīng)請(qǐng)求?；卣{(diào)函數(shù)例程的處理結(jié)果將返回給用戶程序。dokan.sys相當(dāng)于一個(gè)運(yùn)行在內(nèi)核態(tài)的代理為提出請(qǐng)求的程序和我們實(shí)現(xiàn)各種操作的文件系統(tǒng)程序的橋梁。
[0033]利用開源Dokan開發(fā)庫(kù)，創(chuàng)建了 2個(gè)文件系統(tǒng)應(yīng)用程序:“1/0代理進(jìn)程”和"Mirror進(jìn)程”?！?I/O代理進(jìn)程”根據(jù)策略對(duì)進(jìn)程操作進(jìn)行控制，若該進(jìn)程為可信進(jìn)程，則透明的對(duì)網(wǎng)盤內(nèi)文件進(jìn)行透明讀寫操作，并把結(jié)果數(shù)據(jù)安全轉(zhuǎn)發(fā)給訪問(wèn)進(jìn)程；非可信進(jìn)程禁止訪問(wèn)網(wǎng)盤和臨時(shí)安全緩存,Mirror進(jìn)程”將受控進(jìn)程對(duì)終端主機(jī)安全保密盤外文件的操作進(jìn)行動(dòng)態(tài)重定向，即將該數(shù)據(jù)文件轉(zhuǎn)存到安全保密盤中，并在安全保密盤中保留該數(shù)據(jù)文件在安全保密盤外的完整目錄，實(shí)現(xiàn)對(duì)企業(yè)現(xiàn)有的散落在各個(gè)終端主機(jī)上的數(shù)據(jù)文件進(jìn)行歸檔管理。
[0034]動(dòng)態(tài)重定向操作具體為:若該操作是可信進(jìn)程創(chuàng)建或讀寫運(yùn)行文件的請(qǐng)求，則在安全保密盤中拷貝產(chǎn)生對(duì)應(yīng)的副本文件，再將該請(qǐng)求重定向到安全保密盤中進(jìn)行訪問(wèn)；若該操作是非可信進(jìn)程讀取安全保密盤內(nèi)文件的請(qǐng)求，則拒絕訪問(wèn)；若該操作是非可信進(jìn)程創(chuàng)建或讀寫安全保密盤外文件的請(qǐng)求，則直接允許訪問(wèn)。通過(guò)重定向操作，可以確保受控進(jìn)程可以任意讀取u盤等外設(shè)內(nèi)的數(shù)據(jù)文件以及本地存儲(chǔ)上運(yùn)行的數(shù)據(jù)文件，但是使用中這些數(shù)據(jù)只會(huì)流動(dòng)于安全域內(nèi)。
[0035]C.將受控進(jìn)程轉(zhuǎn)換為1/0代理進(jìn)程，1/0代理進(jìn)程以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作。
[0036]具體應(yīng)用本發(fā)明時(shí)，在企業(yè)終端主機(jī)上安裝基于進(jìn)程隔離加密機(jī)制的安全保密盤模型，成功安裝安全保密盤模型后，將自動(dòng)在終端主機(jī)上創(chuàng)建安全保密盤和臨時(shí)安全緩存區(qū)。對(duì)使用者來(lái)說(shuō)，只有安全保密盤為可見(jiàn)的，安全保密盤對(duì)使用者以普通磁盤分區(qū)的形式展現(xiàn)，臨時(shí)安全緩存區(qū)用于存放受控進(jìn)程所產(chǎn)生的運(yùn)行文件，使用者不可見(jiàn)。
[0037]在采用本發(fā)明設(shè)計(jì)的終端信息防擴(kuò)散產(chǎn)品中，系統(tǒng)只需要知道終端需要做保密的進(jìn)程有哪些，該類進(jìn)程即會(huì)被強(qiáng)制置于基于進(jìn)程的虛擬隔離環(huán)境中運(yùn)行，產(chǎn)生的數(shù)據(jù)都會(huì)以密文的方式強(qiáng)制歸檔存儲(chǔ)到安全保密盤中。這樣一來(lái)加密策略的設(shè)置將會(huì)變得非常簡(jiǎn)單，只需要做保密管理的程序運(yùn)行的進(jìn)程名字即可；同時(shí)不需要再關(guān)心加密進(jìn)程運(yùn)行時(shí)會(huì)加密配置文件的問(wèn)題。
[0038]在基于進(jìn)程的虛擬隔離環(huán)境中受控進(jìn)程運(yùn)行時(shí)，會(huì)自動(dòng)從隔離環(huán)境外拷貝所有需要的配置文件到基于進(jìn)程的虛擬隔離環(huán)境中，所以隔離環(huán)境外的配置文件并不會(huì)被加密，其他隔離環(huán)境外的進(jìn)程一樣可以在隔離環(huán)境外正常的使用此類配置文件。
[0039]本發(fā)明所述的安全保密盤能夠防止企業(yè)內(nèi)數(shù)據(jù)文件擴(kuò)散的原理如下:
基于Denning的信息流模型,將安全控制規(guī)則轉(zhuǎn)換為信息流規(guī)則對(duì)安全保密盤中的信息流進(jìn)行描述和分析，并給出安全保密盤防止企業(yè)內(nèi)數(shù)據(jù)文件擴(kuò)散的安全定理。
[0040]設(shè)DS、DC、DL分別表示終端主機(jī)上安全保密盤內(nèi)的數(shù)據(jù)文件集合、臨時(shí)安全緩存內(nèi)運(yùn)行文件集合和其它本地存儲(chǔ)上的數(shù)據(jù)文件集合；foe(DSuDCwDL)., -Μ表示主機(jī)中的文件；PC、PT、PD分別表示虛擬隔離運(yùn)行環(huán)境內(nèi)的受控進(jìn)程、虛擬隔離運(yùn)行環(huán)境外的可信進(jìn)程集合和非可信進(jìn)程，pi ,p2,..',pme (POPTPD).’ meN,表示終端主機(jī)上系統(tǒng)運(yùn)行的進(jìn)程；表示t時(shí)刻的信息流請(qǐng)求；表示t時(shí)刻的實(shí)際信息流動(dòng)。
[0041]根據(jù)安全保密盤的進(jìn)程讀寫數(shù)據(jù)文件的控制機(jī)制，給出如下信息流規(guī)則:
規(guī)則I若可信進(jìn)程和非可信進(jìn)程請(qǐng)求讀安全保密盤內(nèi)的文件和臨時(shí)安全緩存內(nèi)的文件，被拒絕訪問(wèn)，即:

【權(quán)利要求】
1.基于進(jìn)程隔離加密機(jī)制的安全保密盤模型，其特征在于:包括虛擬隔離運(yùn)行模塊、I/o代理進(jìn)程加/解密模塊以及安全保密盤； 所述虛擬隔離運(yùn)行模塊，用于篩選非可信網(wǎng)絡(luò)、可信網(wǎng)絡(luò)以及外部設(shè)備，獲得可信進(jìn)程，并將可信進(jìn)程轉(zhuǎn)換為受控進(jìn)程，受控進(jìn)程被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境中運(yùn)行； I/o代理進(jìn)程加/解密模塊用于對(duì)受控進(jìn)程進(jìn)行透明加密/解密操作，以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作； 安全保密盤在終端主機(jī)以普通磁盤分區(qū)的形式展現(xiàn)。
2.基于進(jìn)程隔離加密機(jī)制的安全保密盤模型的生成方法，其特征在于包括以下步驟: A.設(shè)置可信進(jìn)程名稱或可信的IP地址； B.建立進(jìn)程隔離機(jī)制，進(jìn)程隔離機(jī)制分別對(duì)網(wǎng)絡(luò)、外設(shè)以及內(nèi)存空間進(jìn)行可信進(jìn)程的篩選，設(shè)置的可信進(jìn)程觸碰安全保密盤后為受控進(jìn)程，或者任意進(jìn)程訪問(wèn)可信IP地址后自動(dòng)轉(zhuǎn)換為受控進(jìn)程，轉(zhuǎn)換為受控進(jìn)程的同時(shí)被強(qiáng)制置于虛擬隔離運(yùn)行環(huán)境運(yùn)行； C.將受控進(jìn)程轉(zhuǎn)換為I/O代理進(jìn)程，I/O代理進(jìn)程以透明寫加密/讀解密的方式對(duì)安全保密盤中的數(shù)據(jù)文件進(jìn)行讀寫操作。
3.根據(jù)權(quán)利要求2所述的基于進(jìn)程隔離加密機(jī)制的安全保密盤模型的生成方法，其特征在于步驟B的進(jìn)程隔離機(jī)制包括網(wǎng)絡(luò)訪問(wèn)過(guò)濾機(jī)制、內(nèi)存空間保護(hù)機(jī)制以及文件過(guò)濾驅(qū)動(dòng)機(jī)制； 所述網(wǎng)絡(luò)訪問(wèn)過(guò)濾機(jī)制根據(jù)訪問(wèn)控制列表ACL對(duì)網(wǎng)絡(luò)訪問(wèn)進(jìn)行數(shù)據(jù)包過(guò)濾，使受控進(jìn)程只能與可信網(wǎng)絡(luò)進(jìn)行安全通信； 內(nèi)存空間保護(hù)機(jī)制利用API HOOK監(jiān)控受控進(jìn)程對(duì)剪貼板和跨進(jìn)程的讀寫操作，禁止非可信進(jìn)程訪問(wèn)剪貼板內(nèi)敏感數(shù)據(jù)，允許可信進(jìn)程訪問(wèn)剪貼板內(nèi)敏感數(shù)據(jù)； 文件過(guò)濾驅(qū)動(dòng)機(jī)制用于實(shí)現(xiàn)受控進(jìn)程對(duì)除安全保密盤以外存儲(chǔ)空間的數(shù)據(jù)文件進(jìn)行寫操作時(shí)，觸發(fā)動(dòng)態(tài)重定向操作。
4.根據(jù)權(quán)利要求3所述的基于進(jìn)程隔離加密機(jī)制的安全保密盤模型的生成方法，其特征在于所述動(dòng)態(tài)重定向操作具體為:若該操作是可信進(jìn)程創(chuàng)建或讀寫文件的請(qǐng)求，則在安全保密盤中拷貝產(chǎn)生對(duì)應(yīng)的副本文件，再將該請(qǐng)求重定向到安全保密盤中進(jìn)行訪問(wèn)；若該操作是非可信進(jìn)程讀取安全保密盤內(nèi)文件的請(qǐng)求，則拒絕訪問(wèn)；若該操作是非可信進(jìn)程創(chuàng)建或讀寫安全保密盤外文件的請(qǐng)求，則直接允許訪問(wèn)。
【文檔編號(hào)】G06F12/14GK104077244SQ201410344375
【公開日】2014年10月1日 申請(qǐng)日期:2014年7月20日 優(yōu)先權(quán)日:2014年7月20日
【發(fā)明者】董霽樓, 陳鋒, 鮑愛(ài)華, 謝慶芳, 王艷梅 申請(qǐng)人:湖南藍(lán)途方鼎科技有限公司