一种基于动态透明隔离防护的企业数据资产保护方法
【技术领域】
[0001] 本发明设及计算机系统安全方法领域，具体是一种基于动态透明隔离防护的企业 数据资产保护方法。
【背景技术】
[0002] 近年来，随着信息化建设的不断推进，企业信息化程度越来越高，电子化的数据已 经成为企业的重要资产，而该些数据资产的安全性、完整性则直接关系到企业的竞争力。因 此，数据资产的安全防泄露成为信息安全领域的重要组成部分，也受到越来越多企业的关 注。在目前的数据防泄漏方法中，应用得比较多的包括控制类方法、加密类方法、过滤类方 法W及集中管控方法等。
[0003] 控制类方法的核屯、思想是权限概念的延伸，通过权限的设置对计算机系统的输入 和输出进行管理控制，并辅W安全检查和事后审计，从而对关键数据的传输进行控制，防止 出现未经授权的数据外泄。但是，由于该类方法通常未对关键数据进行加密存储，而主要关 注数据传输的合法性，因此无法解决诸如计算机失窃、磁盘丢失等情况下数据泄露的问题。 因此，该种方式出现在较早的安全产品中，目前使用的越来越少。加密类方法的核屯、方法是 采用加密算法将二进制数据转换为密文存储，只有在权限检查通过的前提下才进行解密使 用，从而避免数据外泄。具体到加密对象和加密方式，此类方法又可W分为文件级加密、磁 盘级加密、硬件级加密和网络级加密等类型。加密类方法能够保证关键数据W密文存储，从 而避免存储设备丢失造成的数据失泄密问题，但是对于用户主动性泄露数据的行为无法进 行有效防护，因此加密类方法通常与其他方法结合使用来对数据进行保护。过滤类方法的 特点是在网关处安装内容过滤设备，对常见网络协议进行分析过滤，管理员通过设置关键 词的方式避免敏感内容泄露。但该种方式难W识别特殊的网络协议，同时设备对内容进行 分析过滤也对其性能提出了较高的要求。集中管控方法的思想是将企业文档数据集中存储 在企业文件服务器上，本地不进行任何物理文件存储，从而避免数据泄露。该种方法能够保 证本地不留密，但是对网络带宽要求较高，同时出现故障时影响面过大，容易造成企业信息 系统运行长时间中断。
[0004] 总而言之，目前在企业数据资产防护方面，已有的解决方案要么采用"堵"的思路 对敏感信息传输渠道进行管控，没有考虑数据生产和消费端的安全防护，难W做到全面而 有效地控制；要么对主机内的进程及其数据进行一视同仁的加密处理，难W做到有的放矢， 只对敏感数据和敏感进程进行处理，影响了系统性能，同时难W做到个性化定制；要么采用 计算与数据分离的方式将数据集中存储，对网络性能要求较高，改变了用户的操作习惯，同 时也增加了安全管理的复杂性。
【发明内容】
[00化]本发明的目的在于提供一种基于动态透明隔离防护的企业数据资产保护方法，可W采用轻量级的方法识别主机访问企业核屯、数据资产的行为，并采用透明隔离防护运行的 方式保护用户数据安全，防止数据资产的遗失，w解决上述【背景技术】中提出的问题。
[0006] 为实现上述目的，本发明提供如下技术方案： 一种基于动态透明隔离防护的企业数据资产保护方法，步骤如下： (1) 将用户主机群划分为风险主机群和可信主机群，其中可信主机群安装了安全防护 终端，可信主机群能够穿透核屯、数据资产访问网关，进而访问到企业核屯、数据资产；而风险 主机群不能穿透核屯、数据资产访问网关，只能访问其他网络资源； (2) 在位于可信主机群的主机中，将系统中运行的进程划分为风险进程域和可信进程 域；在初始条件下，所有进程均位于风险进程域，进程行为不受控制，但任何访问企业核屯、 数据资产的行为均会被探测到，进而自动将其转换为可信进程，纳入到可信进程域的动态 透明隔离防护中； (3) 在可信进程域中，进程运行所依赖的存储资源、本地OS环境、内存资源进行了透明 隔离防护处理，进程对外部环境所做的任何修改均在透明隔离防护环境中进行，同时对网 络和外设的访问均置于安全管理策略的控制之下，难W主动泄露数据；同时外部的风险进 程无法访问透明隔离防护环境的任何数据，避免了基于内外互通的方式泄露企业核屯、数据 资产。
[0007] 作为本发明进一步的方案，所述步骤（2)中对进程访问企业核屯、数据资产的行为 进行主动探测，具体的方法是： 1) 将企业核屯、数据资产具体化为两种特定的进程：一、指定的软件应用，包括 Photoshop与CAD，该些软件所产生的数据被自动识别为企业核屯、数据资产；二、访问指定 网络资源的应用，网络资源包括数据库资源与访问文件服务器； 2) 对于1)中的第一类进程，采用进程信息进行匹配，匹配成功后即认为访问了企业核 屯、数据资产，纳入到可信进程域进行管理； 3) 对于1)中的第二类进程，采用网络行为进行匹配，匹配成功后即认为访问了企业核 屯、数据资产，纳入到可信进程域进行管理。
[000引与现有技术相比，本发明的有益效果是；本发明将企业终端划分为风险主机群和 可信主机群，可信主机内的进程又划分为风险进程域和可信进程域进行管理，在所有的集 合中，只有采用透明隔离防护运行的可信进程域能够访问企业核屯、数据资产，该种简明的 安全防护模型大大降低了安全管理的复杂度；本发明所实现的数据防泄漏方法是一种轻量 级防护方法，能够在同一个主机范围内同时容纳风险进程和可信进程，能够在风险进程访 问外部网络和外设资源的同时，采用透明隔离防护环境使可信进程域能够安全地访问敏感 数据资源，而不会造成任何的数据泄密，该种风险进程和可信进程无缝切换的方式可W在 最大程度上做到对用户友好，不改变用户的使用习惯；本发明所提出的安全防护方法能够 充分利用既有主机资源，同时对网络依赖性低，即使网络出现故障也不会影响业务系统的 运行，从而在最大程度上保证的业务运行的一贯性，使系统的适应性和健壮性得到增强。
【附图说明】
[0009] 图1是基于动态透明隔离防护的企业核屯、数据资产保护系统的总体架构图； 图2是立体化智能探测模块依据数据访问行为对主机