专利名称：一种基于虚拟化技术的数据防泄密系统的制作方法
技术领域：
本发明属于信息安全技术领域，涉及一种虚拟化技术应用于数据安全防护领域的系统，特别是涉及一种基于虚拟化技术的数据防泄密系统；同时，本发明还涉及上述数据防泄密系统的防泄密方法。
背景技术：
随着信息化在我国的蓬勃发展，电子化的数据已经成为每个部门、每个企业、每个个人的重要资产。数据的保密性、完整性和可用性关系到政府、重要行业和企业的生存力和竞争力。因此，数据安全，作为信息安全领域中的重要组成部分，正越来越受到大家的关注。 数据安全，涵盖防丢失、防泄露及防滥用等多个层面。其中，数据防泄漏又是当前尤为突出的热点问题。电子邮件、即时通讯、可移动存储介质等计算机科学成果的广泛应用，在提升人们工作效率的同时，也不可避免地扩展了数据泄漏的通道，尤其是用户的主动泄密行为更是防不胜防。面对这样的严峻形势，国内外安全厂商近年来纷纷推出自己的数据泄露防护解决方案。目前的数据泄露防护以动态加解密技术为核心，分为文档级动态加解密和磁盘级动态加解密两种方式。基于文档级动态加解密技术是在不同的操作系中(如WINDOWS、LINUX、UNIX等)， 应用程序在访问存储设备数据时，一般都通过操作系统提供的API调用文件系统，然后文件系统通过存储介质的驱动程序访问具体的存储介质；而磁盘级动态加解密技术是在系统启动时，动态加解密系统实时解密硬盘的数据，系统读取什么数据，就直接在内存中解密数据，然后将解密后的数据提交给操作系统即可。基于文档级动态加解密技术的缺点在有些文件系统自身支持文件的动态加解密， 如Windows系统中的NTFS文件系统，其本身就提供了 EFS (Encryption File System)支持，作为一种通用的系统，难以做到满足各种用户个性化的要求，如自动加密某些类型文件寸。而磁盘级动态加解密技术的缺点在于该技术所采用的加解密算法的速度直接受到系统性能的影响。
发明内容
本发明的目的是针对现有技术的不足，提出一种不受系统性能限制、又能满足各种用户个性化的要求一种基于虚拟化技术的数据防泄密系统。—种基于虚拟化技术的数据防泄密系统是在操作系统之上利用虚拟化技术在工作站中构建虚拟化工作环境，通过对宿主操作系统的I/O调用、系统调用、动态库调用进行重定向而实现的；所述的数据防泄密系统由管理模块、驱动重定向模块、监控模块、日志审计模块、数据加解密模块组成。所述的管理模块主要用于设置登录模式及在操作系统之上构建虚拟层以实现专用文件系统；所述的驱动重定向模块主要完成对宿主操作系统驱动层的系统消息事件的修
3改及重定向；所述的监控模块主要实时监视本地目录、文件，并控制本地目录、文件的访问权限；所述的日志审计模块用于记录用户的操作记录；所述的数据加解密模块主要完成对需要保护的文档以及编辑完成回写的文档进行加密，对打开重定向至保护目录下的文档进行解密。进一步的，所述登录模式包含管理员登录模式和普通用户登录模式，以所述管理员模式登录后，可将本地磁盘的文件复制到专用文件系统所对应的区域中，并可以为此区域的电子文档设置属性权限及使用范围，作为受控文档；以所述的普通用户登录模式登录后，用户仅能设置电子文档使用范围。进一步的，所述的专用文件系统引导出的起始地址和文件分区表存放位置不同于其他的常规文件系统，并能针对不同的文件扩展出不同的属性。进一步的，可扩展的文件属性包括电子文档的可转发、电子文档的访问次数、电子文档的访问时间权限、电子文档的不可打印限制。在专用文件系统所对应的区域中创建电子文档并设置控制信息时，驱动重定向模块获取电子文档的PID及文件的控制信息，并对文件另外为重定向到制定位置。一种基于虚拟化技术的数据防泄密系统监控模块实时对文档和文档内容进行监控，并实时对操作系统的驱动层截获系统事件，包括但不限于如复制、打印、另存、拷贝屏幕、网络发送，并将所述事件进行分类处理，根据安全策略进行文档访问控制。所述的监控模块实时对内存缓冲区的数据进行加密锁定，当内存缓冲区被释放时实时擦除所有数据。本发明的优点在于提出一种不受系统性能限制、又能满足各种用户个性化的要求一种基于虚拟化技术的数据防泄密系统，特别是提供一种通过保证限制用户只能在虚拟安全环境下存取关键数据，同时关键数据的物理存储也被集中在受加密保护的虚拟存储空间中，防止未授权用户窃听、破解、非法复制传播保密数据的数据防泄密保护方法；有效实现了仅在用户进入安全工作环境时，才能访问受保护的文件，并且用户的操作也都受到各个虚拟资源的限定，网络传输、外设存取等泄密行为都被完全控制或者禁止；由于安全数据始终存储在虚拟工作区域中，无法复制、转储，因此有效防范了用户的主动泄密行为；通过控制应用程序的执行、数据读写、剪贴复制操作、文件另存为操作、屏幕拷贝操作、打印操作、文件访问次数、文件访问时间等，从而使电子文档的内容一直处于受控状态。
图1 一种基于虚拟化技术的数据防泄密系统构造原理图。图2 —种基于虚拟化技术的数据防泄密系统工作示意图。图3 —种基于虚拟化技术的数据防泄密系统使用模式图。
具体实施例方式如图1所示，一种基于虚拟化技术的数据防泄密系统是在操作系统之上利用虚拟化技术在工作站中构建虚拟化工作环境，通过对宿主操作系统的I/O调用、系统调用、动态库调用进行重定向而实现的；所述的数据防泄密系统由管理模块、驱动重定向模块、监控模块、日志审计模块、数据加解密模块组成。
所述的管理模块主要用于设置登录模式及在操作系统之上构建虚拟层以实现专用文件系统；所述的驱动重定向模块主要完成对宿主操作系统驱动层的系统消息事件的修改及重定向；所述的监控模块主要实时监视本地目录、文件，并控制本地目录、文件的访问权限；所述的日志审计模块用于记录用户的操作记录；所述的数据加解密模块主要完成对需要保护的文档以及编辑完成回写的文档进行加密，对打开重定向至保护目录下的文档进行解密。进一步的，所述登录模式包含管理员登录模式和普通用户登录模式，以所述管理员模式登录后，可将本地磁盘的文件复制到专用文件系统所对应的区域中，并可以为此区域的电子文档设置属性权限及使用范围，作为受控文档；以所述的普通用户登录模式登录后，用户仅能设置电子文档使用范围。进一步的，所述的专用文件系统引导出的起始地址和文件分区表存放位置不同于其他的常规文件系统，并能针对不同的文件扩展出不同的属性。在专用文件系统所对应的区域中创建电子文档并设置控制信息时，驱动重定向模块获取电子文档的PID及文件的控制信息，并对文件另外为重定向到制定位置。一种基于虚拟化技术的数据防泄密系统实时对文档和文档内容进行监控，并实时对操作系统的驱动层截获系统事件，包括但不限于如复制、打印、另存、拷贝屏幕、网络发送，并将所述事件进行分类处理，根据安全策略进行文档访问控制。所述的监控模块实时对内存缓冲区的数据进行加密锁定，当内存缓冲区被释放时实时擦除所有数据。管理模块中的登录模式可通过设置密码尝试次数上限防止对基于虚拟化技术的数据防泄密系统数据的暴力破解，登录尝试到达上限后系统自行锁定，需要管理员模式登录方能打开。如管理员密码尝试到上限后，该虚拟工作环境工作区域自动销毁。通过身份认证后，所述的一种基于虚拟化技术的数据防泄密系统自动加载驱动， 准备对系统事件进行处理。一种基于虚拟化技术的数据防泄密系统利用文档的PID来区分受控文件及非受控文件，防止受控文件内容被剪切到非保护文件中，防止受控文件内文字的托动到非保护文件中，防止OLE访问，Office系列的软件可被OLE的方式被其它工具获取内容，并控制是否能打印受控文件。如图2所述，当用户打开一份文件时，一种基于虚拟化技术的数据防泄密系统对文件进行判定，是否为受控文件，如是，再次判断是否通过属性保护，如是，则判断是否需要加载虚拟环境，如是，则在虚拟安全环境下运行带属性的文件。进一步的，如果，打开的文件不是受控文件或没有通过属性保护或不需要加载虚拟环境，则打开文件的同时及即关闭文件。如图3所示，用户以管理员或普通用户的方式登录所述的一种基于虚拟化技术的数据防泄密系统后，在管理员模式下，可将本地磁盘的文件复制到安全区域，并可以为此区域的电子文档设置属性权限及使用范围，作为受控文档；以所述的普通用户登录模式登录后，“普通用户”登录成功后，检测“管理员”设置的电子文档属性，电子文档受控设计中，首先会检测文件类型是否是安全受控文件，检测文件扩展名及文件系统中的扩展属性，调用相应的函数来得到当前的电子文档属性权限，再去依次去检查权限的有效性，如电子文档的打开次数权限，如是否打开次数已经减少为0，提示使用期限权限已经到对话框后直接退出，并不去调用电子文档。每打开一次便函将打开次数减少一次，直到打开次数为0时，便不可以访问此文件，弹出打开次数已经减少为0这样的对话框。一种基于虚拟化技术的数据防泄密系统的专用文件系统可设置的文件扩展属性如下有
电子文档的可转发电子文档的所有者可以设置是否将电子文档可转发给其他用户。 “管理员”给电子文档设置好此权限后，“普通用户”可将有此属性的电子文档用密文外发方式发给其它用户。电子文档的读写控制“管理员”会给电子文档设置文件是否可读属性，“普通用户”登录后访问文件便具有了这个属性，如本文件设为只读，“普通用户”打开后将不能修改文件，如果设置为读写，则“普通用户”可以对文件进行写操作。针对文件所有者本人是没有只读权限的设置。电子文档的访问次数电子文档属性的访问次数是电子文档在“管理员”发给“普通用户”前预先设置好的，“普通用户”每打开一次电子文档，访问次数便会减少1，直到减少到0次，则文件不开以被打开，用户须自己清除掉此文件。电子文档的访问时间权限“管理员”设置文件访问限制时间，“普通用户”使用此电子文档时便具有了这个属性，如电子文档只允许在2009-09-22日之前使用，当“普通用户”访问文件的时间在访问时间期之后，则不允许打开。针对电子文档所有者本人是没有访问时间权限的。电子文档的不可打印限制“管理员”可将电子文档属性设置不可打印权限，使用这个电子文档的“普通用户”操作便受到限制，此电子文档将不可以打印。如果设了可打印属性，则电子文档才可以打印。
权利要求
1.一种基于虚拟化技术的数据防泄密系统，其特征在于所述的数据防泄密系统是在操作系统之上利用虚拟化技术在工作站中构建虚拟化工作环境，通过对宿主操作系统的I/O 调用、系统调用、动态库调用进行重定向而实现的；所述的数据防泄密系统由管理模块、驱动重定向模块、监控模块、日志审计模块、数据加解密模块组成。
2.如权利要求1所述的一种基于虚拟化技术的数据防泄密系统，其特征在于所述的管理模块主要用于设置登录模式及在操作系统之上构建虚拟层以实现专用文件系统；所述的驱动重定向模块主要完成对宿主操作系统驱动层的系统消息事件的修改及重定向；所述的监控模块主要实时监视本地目录、文件，并控制本地目录、文件的访问权限；所述的日志审计模块用于记录用户的操作记录；所述的数据加解密模块主要完成对需要保护的文档以及编辑完成回写的文档进行加密，对打开重定向至保护目录下的文档进行解密。
3.如权利要求2所述的一种基于虚拟化技术的数据防泄密系统，其特征在于所述登录模式包含管理员登录模式和普通用户登录模式，以所述管理员模式登录后，可将本地磁盘的文件复制到专用文件系统所对应的区域中，并可以为此区域的电子文档设置属性权限及使用范围，作为受控文档；以所述的普通用户登录模式登录后，用户仅能设置电子文档使用范围。
4.如权利要求2所述的一种基于虚拟化技术的数据防泄密系统，其特征在于所述的专用文件系统引导出的起始地址和文件分区表存放位置不同于其他的常规文件系统，并能针对不同的文件扩展出不同的属性。
5.如权利要求4所述的一种基于虚拟化技术的数据防泄密系统，其特征在于可扩展的文件属性包括电子文档的可转发、电子文档的访问次数、电子文档的访问时间权限、电子文档的不可打印限制。
6.如权利要求1所述的一种基于虚拟化技术的数据防泄密系统，其特征在于监控模块实时对文档和文档内容进行监控，并实时对操作系统的驱动层截获系统事件，包括但不限于如复制、打印、另存、拷贝屏幕、网络发送，并将所述事件进行分类处理，根据安全策略进行文档访问控制。
7.如权利要求1所述的一种基于虚拟化技术的数据防泄密系统，其特征在于监控模块实时对内存缓冲区的数据进行加密锁定，当内存缓冲区被释放时实时擦除所有数据。
全文摘要
一种基于虚拟化技术的数据防泄密系统，其特征在于所述的数据防泄密系统是在操作系统之上利用虚拟化技术在工作站中构建虚拟化工作环境，通过对宿主操作系统的I/O调用、系统调用、动态库调用进行重定向而实现的；所述的数据防泄密系统由管理模块、驱动重定向模块、监控模块、日志审计模块、数据加解密模块组成。本发明的优点在于提出一种通过保证限制用户只能在虚拟安全环境下存取关键数据，同时关键数据的物理存储也被集中在受加密保护的虚拟存储空间中，防止未授权用户窃听、破解、非法复制传播保密数据的数据防泄密保护方法。
文档编号G06F21/00GK102254117SQ201110189539
公开日2011年11月23日 申请日期2011年7月7日 优先权日2011年7月7日
发明者李鹏 申请人:李鹏