專利名稱：阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界的制作方法
阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界背景在例如公司的辦公室等企業(yè)計算環(huán)境中，多個個人計算機、工作站、服務(wù)器等連同 諸如大容量存儲子系統(tǒng)、內(nèi)部網(wǎng)絡(luò)接口、以及外部網(wǎng)絡(luò)接口等其他設(shè)備通?；ミB以提供其 中可生成信息、將信息發(fā)送到外部源并從外部源訪問信息、且在各用戶之間共享信息的集 成環(huán)境。通常，用戶執(zhí)行各種操作，包括訂單接收、制造、出貨、記賬、庫存控制、文檔準(zhǔn)備及 管理、電子郵件、web瀏覽，以及其中數(shù)據(jù)的創(chuàng)建、訪問、以及共享可獲益的其他操作。當(dāng)前，安全性通常是使用各種不同的安全產(chǎn)品，具體地包括在企業(yè)網(wǎng)絡(luò)的周界 (即“邊緣”)操作的硬件和軟件解決方案，來提供給企業(yè)的。這些解決方案通常包括監(jiān)視 在企業(yè)網(wǎng)絡(luò)與諸如因特網(wǎng)等外部網(wǎng)絡(luò)之間移動的通信量的防火墻、代理服務(wù)器、網(wǎng)關(guān)等。當(dāng)前邊緣設(shè)備通常掃描并檢查惡意軟件(即，諸如病毒、蠕蟲、木馬、rootkit等惡 意軟件)的傳入通信量，從而用來在企業(yè)周圍提供安全區(qū)域。它們可以阻止用戶例如下載 來自因特網(wǎng)的惡意軟件或接收傳入電子郵件中的惡意軟件。企業(yè)內(nèi)部的敏感或機密數(shù)據(jù) (統(tǒng)稱為“安全數(shù)據(jù)”)可以通過采用如數(shù)字簽名和水印之類的使得邊緣設(shè)備能夠阻塞該數(shù) 據(jù)被不適當(dāng)?shù)匕l(fā)送到網(wǎng)絡(luò)周界的外面的數(shù)字權(quán)限管理(“DRM”)方法來保護(hù)。盡管在許多應(yīng)用中表現(xiàn)得令人滿意，但這些當(dāng)前安全方法通常不能使傳統(tǒng)安全數(shù) 據(jù)得到保護(hù)。另外，這些方法可被企業(yè)內(nèi)部的具有將安全數(shù)據(jù)發(fā)送到網(wǎng)絡(luò)周界外面的正確 許可的惡意用戶容易地規(guī)避。提供本背景來介紹以下概述和詳細(xì)描述的簡要上下文。本背景不旨在幫助確定所 要求保護(hù)的主題的范圍，也不旨在被看作將所要求保護(hù)的主題限于解決以上所提出的問題 或缺點中的任一個或全部的實現(xiàn)。概述通過一種安排來阻止安全數(shù)據(jù)離開諸如企業(yè)網(wǎng)絡(luò)或公司網(wǎng)絡(luò)(“corpnet”)等網(wǎng) 絡(luò)的周界，在該安排中周期性地計算安全數(shù)據(jù)的散列并將這些散列推出送到該網(wǎng)絡(luò)上的諸 如防火墻等邊緣設(shè)備，這些散列被存儲在這些邊緣設(shè)備中以供稍后訪問。配置邊緣設(shè)備以 使得其能夠訪問在企業(yè)網(wǎng)絡(luò)與位于該企業(yè)網(wǎng)絡(luò)周界外面的諸如因特網(wǎng)等外部網(wǎng)絡(luò)之間流 動的所有通信量。只要用戶嘗試將數(shù)據(jù)發(fā)送到外部網(wǎng)絡(luò)，在邊緣設(shè)備上運行的進(jìn)程就計算 該外出數(shù)據(jù)的散列并將其與所存儲的與安全數(shù)據(jù)相關(guān)聯(lián)的散列相比較。如果該外出數(shù)據(jù)的 散列與所存儲的安全數(shù)據(jù)的散列之間作出了匹配，則邊緣設(shè)備阻塞該外出數(shù)據(jù)離開網(wǎng)絡(luò)周 界。在各說明性示例中，提供了管理員管理功能，網(wǎng)絡(luò)管理員可通過該功能指定企業(yè) 中的哪些數(shù)據(jù)是“安全的”并且進(jìn)行散列并被阻塞離開網(wǎng)絡(luò)周界。管理員可以例如通過配 置所應(yīng)用的散列算法和其他安全數(shù)據(jù)管理參數(shù)來任選地配置安全數(shù)據(jù)管理。管理員還可接 收將安全數(shù)據(jù)發(fā)送到網(wǎng)絡(luò)外面的嘗試的通知和做出這些嘗試的主機或用戶的身份。在主機(例如，在企業(yè)的周界內(nèi)部的臺式或膝上型計算機)上運行的客戶機側(cè)代 理被配置成跟蹤在本地對從企業(yè)網(wǎng)絡(luò)下載的任何安全數(shù)據(jù)作出的改變?？蛻魴C側(cè)進(jìn)程計算 安全數(shù)據(jù)的散列(在該數(shù)據(jù)被用戶在本地主機上修改的情況下)；并且將該散列推出送到
4邊緣設(shè)備。即使安全數(shù)據(jù)通過用戶交互而改變，客戶機側(cè)代理也使所存儲的散列能夠保持 最新并且準(zhǔn)確地表示企業(yè)中的所有安全數(shù)據(jù)。提供本概述是為了以簡化的形式介紹將在以下詳細(xì)描述中進(jìn)一步描述的一些概 念。本概述不旨在標(biāo)識所要求保護(hù)的主題的關(guān)鍵特征或必要特征，也不旨在用于幫助確定 所要求保護(hù)的主題的范圍。附圖描述

圖1示出其中可實現(xiàn)本發(fā)明的用于阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界的安排的說明性 企業(yè)網(wǎng)絡(luò)環(huán)境；圖2示出將數(shù)據(jù)指定為“安全的”并且計算該安全數(shù)據(jù)的散列并將其推送到邊緣 設(shè)備且進(jìn)行存儲的說明性活動流程；圖3示出其中主機的用戶下載數(shù)據(jù)并嘗試通過邊緣設(shè)備將其發(fā)送出企業(yè)網(wǎng)絡(luò)的 周界外面的說明性使用場景；圖4示出邊緣設(shè)備對來自用戶的外出數(shù)據(jù)執(zhí)行散列計算、將所得散列與所存儲的 與安全數(shù)據(jù)相關(guān)聯(lián)的散列進(jìn)行比較、以及在發(fā)現(xiàn)匹配的情況下阻塞來自該用戶的該外出數(shù) 據(jù)的說明性活動流程；以及圖5示出操作主機的客戶機側(cè)代理的說明性使用場景和活動流程，其中計算用戶 修改的安全數(shù)據(jù)的散列并將其推出送到邊緣設(shè)備。各附圖中相同的附圖標(biāo)記指示相同的元素。除非另外指明否則各附圖中的元素不 是按比例繪制的。詳細(xì)描述圖1示出其中可實現(xiàn)本發(fā)明的用于阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界的安排的說明性 企業(yè)網(wǎng)絡(luò)環(huán)境100。諸如商業(yè)機構(gòu)、公司或其他組織等企業(yè)使用內(nèi)部企業(yè)網(wǎng)絡(luò)105，各種計 算機或工作站(統(tǒng)稱為“主機”并由附圖標(biāo)記115來標(biāo)識)被安排成通過該網(wǎng)絡(luò)來進(jìn)行通 信。諸如防火墻、網(wǎng)關(guān)、代理服務(wù)器、交換機、或路由器等邊緣設(shè)備121位于企業(yè)網(wǎng)絡(luò)105的 周界(由圖1中的虛線示出)。邊緣設(shè)備121通常將企業(yè)網(wǎng)絡(luò)105耦合到諸如公共網(wǎng)絡(luò)或 因特網(wǎng)125等外部網(wǎng)絡(luò)，如圖所示，該外部網(wǎng)絡(luò)包括可主存諸如網(wǎng)站等各種應(yīng)用程序和數(shù) 據(jù)的多個遠(yuǎn)程服務(wù)器。另外，配置邊緣設(shè)備121以使得其能訪問在企業(yè)網(wǎng)絡(luò)105與外部網(wǎng) 絡(luò)125之間流入和流出的所有通信量。在該示例中，邊緣設(shè)備121被安排成微軟因特網(wǎng)安全及加速(“ISA”)服務(wù)器，其 被修改以提供以下在圖4的附隨文本中描述的附加功能。ISA服務(wù)器通過諸如高速緩存、 HTTP (超文本傳輸協(xié)議)壓縮、以及服務(wù)質(zhì)量(“QoS”)策略增強等特征來將網(wǎng)絡(luò)邊緣安全 特征與增強網(wǎng)絡(luò)性能集成在一起。如圖所示，多個服務(wù)器130在環(huán)境100中操作并且耦合到企業(yè)網(wǎng)絡(luò)105。在此，服 務(wù)器130表示通常在企業(yè)中使用的各種資源中的任一種，包括例如應(yīng)用和數(shù)據(jù)庫服務(wù)器、 文件服務(wù)器、業(yè)務(wù)范圍(“L0B”)服務(wù)器(支持例如電子郵件)、內(nèi)容和協(xié)作管理服務(wù)器等。環(huán)境100中還支持管理員控制臺136 (“管理控制臺”)。管理控制臺136使得能夠 配置和管理企業(yè)網(wǎng)絡(luò)105，如創(chuàng)建并維護(hù)用戶特權(quán)和許可、監(jiān)視網(wǎng)絡(luò)操作和資源、生成報告、 設(shè)定用于安全和審計的策略，等等。管理控制臺的現(xiàn)有的商業(yè)上可獲得的示例是微軟操作 管理器(“MOM”)，其可被修改成包括以下描述的附加功能。
圖2示出與管理控制臺136交互的管理員或其他授權(quán)用戶將企業(yè)100中存在的數(shù) 據(jù)指定為安全的并且計算該安全數(shù)據(jù)的散列并將其推送到邊緣設(shè)備121且進(jìn)行存儲以供 稍后訪問的說明性活動流程。通常，安全數(shù)據(jù)包括具有專有、機密、或敏感性質(zhì)的數(shù)據(jù)，除非 在嚴(yán)格控制的條件下否則如果該數(shù)據(jù)被發(fā)送出網(wǎng)絡(luò)105的周界外面則將對企業(yè)造成某種 風(fēng)險或危險或者違反保持該數(shù)據(jù)處于網(wǎng)絡(luò)內(nèi)部的義務(wù)或策略，不管這些義務(wù)是法定的、契 約的、還是作為企業(yè)的正常接受的做法來施加的。盡管預(yù)計在將數(shù)據(jù)指定為安全的時候使 用的準(zhǔn)則隨實現(xiàn)而變化，但在大多數(shù)情況下，安全數(shù)據(jù)在被發(fā)送到企業(yè)網(wǎng)絡(luò)周界外面時服 從各個約束。此處使用的術(shù)語“數(shù)據(jù)”適用于環(huán)境100中的幾乎任何類型的信息或?qū)ο?，?通常將包括大多數(shù)企業(yè)設(shè)置中的可使用不同格式和文件擴(kuò)展名(例如，.doc、. txt等)的 文件夾、文件、以及文檔。該活動流程在圖2的步驟(1)開始，在那里管理員根據(jù)取決于特定實現(xiàn)的情形的 一些準(zhǔn)則來將環(huán)境100中的特定數(shù)據(jù)指定或標(biāo)記為是安全的。在該示例中，該指定是由被 假定為具有執(zhí)行這些任務(wù)的必要授權(quán)的管理員來提供的。然而，在其他實現(xiàn)中，在一些情況 下，向其他用戶賦予將數(shù)據(jù)指定為是安全的所必需的許可是合乎需要的。在步驟(2)，周期性地運行用于計算安全數(shù)據(jù)(即，被管理員指定為安全的數(shù)據(jù)) 的散列209的散列過程205。該散列過程可以使用例如庫類或API (應(yīng)用程序編程接口)所 提供的方法來實現(xiàn)，其被合并到在服務(wù)器130中的一個或多個上運行的應(yīng)用程序或操作系 統(tǒng)軟件中?；蛘?，步驟(2)處的散列過程205可被實現(xiàn)成在服務(wù)器130外部運行，例如在操作 于企業(yè)的建筑物上的獨立平臺上運行的應(yīng)用程序、操作系統(tǒng)、功能、或組件所提供的服務(wù)， 或作為來自諸如因特網(wǎng)等外部網(wǎng)絡(luò)的軟件服務(wù)來提供。取決于給定實現(xiàn)的要求，步驟(2)處的散列過程205可以使用各種已知散列算法 中的一種。這些散列算法包括例如LM(Lan管理器)、MD4、MD5、CRC16、CRC32、SHA_0/l/2等 (安全散列算法)、Tiger、RIPEMD，等等。盡管各散列算法在所產(chǎn)生的散列的長度以及其他 因素方面不同，但它們本質(zhì)上都用于取得輸入到該算法的數(shù)據(jù)并將其縮減成更短且唯一的 被稱為“散列”的標(biāo)識符。即使在散列算法的輸入數(shù)據(jù)輕微改變的情況下，所得散列可以顯 著不同。結(jié)果，該散列對將源數(shù)據(jù)標(biāo)識為某種類型的壓縮形式的數(shù)字簽名而言是有效的。在一些應(yīng)用中，所使用的特定散列算法可由管理員使用管理控制臺136來選擇。 這一特征使管理員能夠指定用于根據(jù)可用資源來細(xì)調(diào)或優(yōu)化各過程的參數(shù)，或選擇散列強 度和計算它所需的處理資源之間的特定平衡?？杀话才懦煽捎晒芾韱T選擇的其他處理參數(shù) 包括何時以及如何(例如，按需、批量、在資源可用時等)將散列算法應(yīng)用于環(huán)境100中的 數(shù)據(jù)。管理控制臺136還可被配置成監(jiān)視并生成關(guān)于涉及環(huán)境100中的安全數(shù)據(jù)的活動 的報告和審計日志。例如，管理控制臺136可跟蹤安全數(shù)據(jù)的數(shù)量和身份、訪問安全數(shù)據(jù)的 人、以及他們訪問它的時間。還可在管理控制臺接收與主機115和邊緣設(shè)備121所采取的 動作有關(guān)的通知，如以下更詳細(xì)地描述的。在圖2的步驟(3)，通過企業(yè)網(wǎng)絡(luò)105將計算得到的散列212推出送到邊緣設(shè)備 121。如下所述，在該示例中，它們由邊緣設(shè)備121存儲并在邊緣設(shè)備121掃描來自企業(yè)網(wǎng) 絡(luò)105的外出通信量時被訪問。在替換配置中，散列205可被推送到與邊緣設(shè)備121分開
6但仍在操作上與其相耦合的存儲(即，儲存庫)。在許多實現(xiàn)中，將使用諸如硬盤驅(qū)動器所 提供的存儲器等非易失性存儲器來在持久的基礎(chǔ)上存儲散列205。因為企業(yè)網(wǎng)絡(luò)105中存在的數(shù)據(jù)通常是動態(tài)的，其中數(shù)據(jù)被持續(xù)地創(chuàng)建、刪除、以 及修改，所以安全數(shù)據(jù)的散列通常是頻繁生成的并被推出送到邊緣設(shè)備121。這使得邊緣設(shè) 備121能夠用關(guān)于企業(yè)中的安全數(shù)據(jù)的最新信息來保持更新。圖3示出其中可應(yīng)用本發(fā)明的用于阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界的安排的說明性 使用場景。注意，圖3示出適用于不同使用情況的一般場景。因此，在一些情況下，用戶302 可以操作安全數(shù)據(jù)并且在其他情況下可操作常規(guī)的非安全數(shù)據(jù)。在該使用場景中的步驟(1)，用戶302將數(shù)據(jù)312下載到用戶的本地主機115。在 步驟(2)，用戶302例如通過將文件附加到定址到因特網(wǎng)(S卩，外部網(wǎng)絡(luò)125)上的外部域的 電子郵件或通過經(jīng)由FTP(文件傳輸協(xié)議)將數(shù)據(jù)上傳到外部FTP站點或服務(wù)器來嘗試將 數(shù)據(jù)發(fā)送出企業(yè)網(wǎng)絡(luò)105的周界外面。因為邊緣設(shè)備121擔(dān)當(dāng)?shù)酵獠烤W(wǎng)絡(luò)125的網(wǎng)關(guān)，所以在此其被安排成掃描來自企 業(yè)網(wǎng)絡(luò)105的所有外出通信量以阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界。用于實現(xiàn)這一功能的說明性 活動流程在圖4中示出。在步驟(1)，在邊緣設(shè)備121上運行的散列過程405計算在主機 115處工作的用戶302(圖3)嘗試發(fā)送出去的每一段外出數(shù)據(jù)312的散列。這一散列過程 405類似于圖2中示出的過程205并在附隨文本中描述。即，該過程可以使用庫類或API所 提供的方法來實現(xiàn)或以其他方式被合并到在邊緣設(shè)備121上運行的操作系統(tǒng)或應(yīng)用程序 所提供的功能、組件或服務(wù)中。在步驟(2)，將來自主機115的外出數(shù)據(jù)的計算得到的散列409與和安全數(shù)據(jù)相關(guān) 聯(lián)的所存儲的散列422進(jìn)行比較，所存儲的散列如圖2所示并如附隨文本所述地計算。在 步驟(3)，如果發(fā)現(xiàn)計算得到的散列409與所存儲的散列422之一相匹配，則來自主機155 的外出數(shù)據(jù)312包括安全數(shù)據(jù)(即，先前由管理員指定為安全的數(shù)據(jù))并且將被阻塞離開 企業(yè)網(wǎng)絡(luò)105的周界。如果在所存儲的散列422之間沒有找到匹配的散列，則外出數(shù)據(jù)312 包括非安全數(shù)據(jù)，并且將被允許離開企業(yè)網(wǎng)絡(luò)周界。在發(fā)現(xiàn)匹配時，可以向管理控制臺136發(fā)送通知以通知網(wǎng)絡(luò)管理員存在將安全數(shù) 據(jù)發(fā)送出網(wǎng)絡(luò)的嘗試，并且該嘗試已被阻塞。該通知還可被配置成包括作出該嘗試的主機 或用戶的身份。這對管理員在管理企業(yè)網(wǎng)絡(luò)105和用戶時而言是有用的信息。例如，該事 件可以指示用戶302不知道關(guān)于敏感和專有數(shù)據(jù)的處理的企業(yè)策略并且需要更多訓(xùn)練。用 戶302可能僅僅在嘗試發(fā)送出安全數(shù)據(jù)時犯了錯誤?；蛘撸韵虑闆r是可能的用戶302實際上是惡意用戶或黑客假裝了合法用戶的 身份，并且惡意用戶或黑客有意尋求違反策略來將數(shù)據(jù)移出網(wǎng)絡(luò)105之外。該事件還可指 示企業(yè)中的機器或其他IT資產(chǎn)已受到損害的可能性，這由發(fā)出安全數(shù)據(jù)的嘗試來證明。在圖4中的步驟(4)，管理控制臺136接收邊緣設(shè)備121阻塞了外出安全數(shù)據(jù)的 通知。該通知可例如出于審計目的來記錄，或作為警報來向網(wǎng)絡(luò)管理員發(fā)出。在一些實現(xiàn) 中，管理控制臺136還可被配置成向管理員提供手動地超控該阻塞的能力并允許外出數(shù)據(jù) 離開網(wǎng)絡(luò)周界，而不管其散列同所存儲的與安全數(shù)據(jù)相關(guān)聯(lián)的散列相匹配的事實。管理員 還可以選擇封鎖發(fā)起被阻塞的外出安全數(shù)據(jù)的主機或用戶，使其不能訪問服務(wù)器130上的 其他安全數(shù)據(jù)。
本發(fā)明的用于阻止安全數(shù)據(jù)離開網(wǎng)絡(luò)周界的安排還可適用于被企業(yè)中的用戶修 改的數(shù)據(jù)?，F(xiàn)在轉(zhuǎn)向圖5，示出了操作主機115的客戶機側(cè)代理的說明性使用場景和活動流 程，其中計算被修改的安全數(shù)據(jù)的散列509并將其推出送到邊緣設(shè)備121。如在(1)所示，該用戶場景需要用戶502將安全數(shù)據(jù)512下載到該用戶的本地主 機115并隨后修改該數(shù)據(jù)。例如，數(shù)據(jù)512可包括用戶502通過編輯該文檔(S卩，修改文本、 添加新文本、刪除已有文本等)來修改的文字處理文檔。在該示例中，因為修改文檔是源自 安全數(shù)據(jù)的，所以假定其將維持安全指定。然而，計算得到的該修改數(shù)據(jù)的散列將與計算得 到的原始安全數(shù)據(jù)的散列不匹配。為有效地處理這一使用場景，如在(2)所示，在主機115上運行的客戶機側(cè)代理 525被配置成跟蹤安全數(shù)據(jù)的下載以及該主機的用戶對該安全數(shù)據(jù)的任何后續(xù)修改的發(fā) 生?？蛻魴C側(cè)代理525計算修改數(shù)據(jù)的散列并將其推送到邊緣設(shè)備121，其將被存儲在那里 以供將來使用。這使得即使在企業(yè)中的安全數(shù)據(jù)被用戶修改，邊緣設(shè)備121也能夠用關(guān)于 該數(shù)據(jù)的最新信息來保持更新?？扇芜x地，只要用戶作出對安全數(shù)據(jù)的修改并且計算了新 散列，客戶機側(cè)代理525就可以生成并向管理控制臺136發(fā)送通知?？蛻魴C側(cè)代理525所使用的散列過程以與圖2和4所示并在附隨文本中描述的過 程相類似的方式來執(zhí)行。還要強調(diào)的是，所有三個散列過程(即，例如在服務(wù)器130、主機 115以及邊緣設(shè)備121處實現(xiàn)的散列過程)必須使用同一散列算法。因此，盡管管理控制臺 136可被配置成允許管理員選擇特定散列算法(如上所述)，但所選算法將需要與在企業(yè)環(huán) 境中運行的所有散列過程一起使用。萬一用戶隨后嘗試將修改數(shù)據(jù)發(fā)送出企業(yè)網(wǎng)絡(luò)105，則邊緣設(shè)備121可以計算這 一外出數(shù)據(jù)的散列，并隨后將其與所存儲的散列進(jìn)行比較，如圖4所示并在附隨文本中描 述的。在這種情況下，在計算得到的外出數(shù)據(jù)的散列與客戶機代理525先前計算得到的散 列相匹配時，邊緣設(shè)備將阻塞該外出數(shù)據(jù)離開網(wǎng)絡(luò)周界，因為它將識別出該外出數(shù)據(jù)是安 全的。客戶機代理525通常被實現(xiàn)成軟件組件，其在每一主機115上運行并且例如作為 安全產(chǎn)品或應(yīng)用程序的一部分或作為操作系統(tǒng)所提供的功能來集成?；蛘?，客戶機代理525 可以在獨立平臺上運行并且在遠(yuǎn)程的基礎(chǔ)上提供對主機115中的一個或多個的監(jiān)視和對 修改安全數(shù)據(jù)的散列的計算。盡管用結(jié)構(gòu)特征和/或方法動作專用的語言描述了本主題，但可以理解，所附權(quán) 利要求書中定義的主題不必限于上述具體特征或動作。相反，上述具體特征和動作是作為 實現(xiàn)權(quán)利要求的示例形式公開的。
權(quán)利要求
一種阻止安全數(shù)據(jù)(209)離開企業(yè)網(wǎng)絡(luò)(105)的周界的方法，所述方法包括以下步驟監(jiān)視越過所述企業(yè)網(wǎng)絡(luò)周界(105)被發(fā)送出去的外出數(shù)據(jù)(312)；計算所述外出數(shù)據(jù)的散列(405)；將所述外出數(shù)據(jù)的散列(405)與所存儲的多個散列(422)中的每一個進(jìn)行比較，所存儲的散列(422)與各自都被所述企業(yè)網(wǎng)絡(luò)(105)的管理員或授權(quán)用戶指定為安全的相應(yīng)數(shù)據(jù)文件(209)相關(guān)聯(lián)；如果所述外出數(shù)據(jù)的散列(405)與所存儲的散列(422)之一相匹配則阻塞所述外出數(shù)據(jù)(312)離開所述周界；以及如果所述外出數(shù)據(jù)的散列(405)與所存儲的散列(422)中的任何一個都不相匹配則允許所述外出數(shù)據(jù)(312)越過所述網(wǎng)絡(luò)周界退出。
2.如權(quán)利要求1所述的方法，其特征在于，包括在位于所述網(wǎng)絡(luò)周界(105)上的邊緣設(shè) 備(121)中執(zhí)行監(jiān)視、計算、比較、阻塞、以及允許的又一步驟。
3.如權(quán)利要求2所述的方法，其特征在于，所述邊緣設(shè)備(121)還被配置成擔(dān)當(dāng)?shù)酵獠?網(wǎng)絡(luò)(125)的網(wǎng)關(guān)，并且所述外出數(shù)據(jù)(312)旨在通過所述外部網(wǎng)絡(luò)(125)上的地址來接 收。
4.如權(quán)利要求3所述的方法，其特征在于，所述邊緣設(shè)備(121)還被配置成提供包括防 火墻功能在內(nèi)的邊緣安全性，以及從高速緩存、HTTP壓縮、或QoS策略增強之一選擇的網(wǎng)絡(luò) 優(yōu)化。
5.如權(quán)利要求4所述的方法，其特征在于，包括接收為被指定為安全的數(shù)據(jù)(209)計算 得到的散列(212)并將接收到的散列(212)與所存儲的多個散列(422) —起存儲的又一些 步驟，接收到的散列(212)用于唯一地標(biāo)識所指定的安全數(shù)據(jù)。
6.如權(quán)利要求5所述的方法，其特征在于，所存儲的散列(422)在持久的基礎(chǔ)上被存儲 在部署在所述邊緣設(shè)備(121)或能夠在操作上耦合到所述邊緣設(shè)備(121)的外部設(shè)備中的 一個上的儲存庫中。
7.如權(quán)利要求6所述的方法，其特征在于，包括在所述外出數(shù)據(jù)(312)被阻塞離開所述 周界時向所述企業(yè)網(wǎng)絡(luò)(105)中的管理員管理功能(136)發(fā)送通知的又一步驟。
8.如權(quán)利要求7所述的方法，其特征在于，包括響應(yīng)于所述通知從網(wǎng)絡(luò)管理員接收手 動超控的又一步驟，所述手動超控指示準(zhǔn)許所述外出數(shù)據(jù)(312)離開所述網(wǎng)絡(luò)周界(105)。
9.如權(quán)利要求8所述的方法，其特征在于，所述管理員管理功能(136)包括從配置管 理、監(jiān)視、報告、或?qū)徲嬛贿x擇的特征。
10.如權(quán)利要求9所述的方法，其特征在于，所述管理員管理功能(136)被配置成允許 在多個不同的散列算法之間進(jìn)行選擇。
11.一種用于將企業(yè)網(wǎng)絡(luò)(105)中的數(shù)據(jù)標(biāo)識為安全的方法，所述方法包括以下步驟從所述企業(yè)網(wǎng)絡(luò)的管理員或授權(quán)用戶接收數(shù)據(jù)文件(209)是安全的指定；計算所述數(shù)據(jù)文件(209)的散列(212)以唯一地將其標(biāo)識為安全數(shù)據(jù)，安全數(shù)據(jù)在離 開所述企業(yè)網(wǎng)絡(luò)周界(105)時服從各個約束；以及將所述散列(212)發(fā)送到位于所述企業(yè)網(wǎng)絡(luò)周界(105)上的邊緣設(shè)備(121)，所述邊緣 設(shè)備(121)被安排成阻塞從所述企業(yè)網(wǎng)絡(luò)(105)外出的安全數(shù)據(jù)。
12.如權(quán)利要求11所述的方法，其特征在于，包括計算被指定為安全的其他數(shù)據(jù)的散 列(212)以使得所述邊緣設(shè)備(121)能用所述企業(yè)網(wǎng)絡(luò)(105)中的當(dāng)前安全數(shù)據(jù)的身份來 保持更新的又一步驟。
13.如權(quán)利要求12所述的方法，其特征在于，所述計算是以預(yù)定時間間隔來執(zhí)行的。
14.如權(quán)利要求13所述的方法，其特征在于，包括使用被安排成管理所述企業(yè)網(wǎng)絡(luò) (105)中的設(shè)備的配置的管理員控制臺(136)來設(shè)置所述預(yù)定時間間隔的又一步驟。
15. 一種用于將在企業(yè)網(wǎng)絡(luò)(105)中的主機(115)處被修改的數(shù)據(jù)標(biāo)識為安全的方法， 安全數(shù)據(jù)在離開所述企業(yè)網(wǎng)絡(luò)周界(105)時服從各個約束，所述方法包括以下步驟監(jiān)視所述主機(115)處的活動以標(biāo)識從所述企業(yè)網(wǎng)絡(luò)(105)中的源(130)下載的安全 數(shù)據(jù)何時被修改；計算所述修改數(shù)據(jù)的散列(509)以將所述修改數(shù)據(jù)唯一地標(biāo)識為安全的；以及 將所述散列(509)發(fā)送到位于所述企業(yè)網(wǎng)絡(luò)周界(105)上的邊緣設(shè)備(121)，所述邊緣 設(shè)備(121)被安排成阻塞從所述企業(yè)網(wǎng)絡(luò)(105)外出的安全數(shù)據(jù)。
16.如權(quán)利要求15所述的方法，其特征在于，包括響應(yīng)于所述監(jiān)視來生成管理員通知的又一步驟。
17.如權(quán)利要求16所述的方法，其特征在于，所述邊緣設(shè)備(121)是從防火墻、路由器、 代理服務(wù)器、交換機、或網(wǎng)關(guān)之一選擇的。
18.如權(quán)利要求17所述的方法，其特征在于，所述主機(115)是從臺式計算機、膝上 型計算機、或工作站之一選擇的計算設(shè)備，所述計算設(shè)備耦合到所述源，所述源是服務(wù)器 (130)。
19.如權(quán)利要求18所述的方法，其特征在于，所述散列(509)是使用從LM、MD4、MD5、 CRC16、CRC32、SHA-O/U SHA-O, SHA-1、SHA-2、Tiger、或 RIPEMD 之一選擇的算法來計算的。
20.如權(quán)利要求19所述的方法，其特征在于，所述監(jiān)視、計算、以及發(fā)送是由部署在所 述企業(yè)網(wǎng)絡(luò)(105)中的主機(115)中的客戶機側(cè)代理(525)來執(zhí)行的。
全文摘要
通過一種安排來阻止安全數(shù)據(jù)離開諸如企業(yè)網(wǎng)絡(luò)或公司網(wǎng)絡(luò)等網(wǎng)絡(luò)的周界，在該安排中周期性地計算安全數(shù)據(jù)的散列并將這些散列推送到該網(wǎng)絡(luò)上的諸如防火墻等邊緣設(shè)備，這些散列被存儲在那里以供稍后訪問。配置邊緣設(shè)備以使得其能夠訪問在企業(yè)網(wǎng)絡(luò)與位于該企業(yè)網(wǎng)絡(luò)之間外面的諸如因特網(wǎng)等外部網(wǎng)絡(luò)之間流動的所有通信量。只要用戶嘗試將數(shù)據(jù)發(fā)送到外部網(wǎng)絡(luò)，在邊緣設(shè)備上運行的進(jìn)程就計算該外出數(shù)據(jù)的散列并將其與所存儲的與安全數(shù)據(jù)相關(guān)聯(lián)的散列相比較。如果該外出數(shù)據(jù)的散列與所存儲的安全數(shù)據(jù)的散列之間作出了匹配，則邊緣設(shè)備阻塞外出數(shù)據(jù)離開網(wǎng)絡(luò)周界。
文檔編號H04L12/22GK101911591SQ200880125085
公開日2010年12月8日 申請日期2008年12月29日 優(yōu)先權(quán)日2008年1月15日
發(fā)明者P·普拉哈達(dá) 申請人:微軟公司