数据安全关联存储方法及装置与流程

本发明属于计算机安全领域，尤其涉及一种数据安全关联存储方法及装置。

背景技术

随着计算机与网络技术的快速发展，一方面使人们日常生活工作更加便利，但另一方面也使人们的个人数据、企业数据、乃至涉密数据面临着更为严重的泄密风险，尤其是政府机要、军队、工业、金融、医疗等重点领域。

中国专利201180064966.6提出了一种从指令级别实现数据转储的方法，该方法通过在文件数据产生变动而产生的数据持久化操作的时，通过修改存储指令的目标地址，将指向本地的数据变更为指向远端的安全存储设备上，从而实现了数据集中存储，并且达到了本地数据存储无痕的效果。

上述安全策略虽然达到了一定的效果，但是该策略是针对安全策略部署完成之后，计算机终端产生的“写”进行的操作，而在安全策略部署之前，计算机终端很有可能已经存在许多的文件，若这些文件在用户的使用过程中，其实质内容没有得到变更，例如无法编辑的多媒体文件，又或者用户只打开浏览了word，但没有对该word进行再次编辑，则这些文件无法得到上述专利策略的保护。

现有技术中缺乏用户无感的、对于计算机终端本地已有数据/文件的安全策略。

技术实现要素：

有鉴于此，本发明的一个目的是提出数据安全持久化方法，以解决现有技术中所揭示的问题。

在一些说明性实施例中，所述数据安全关联存储方法，应用于计算设备，包括：第一非易失性存储区域上的数据被访问时，获取所述数据以及与其存在关联关系的数据的存储地址；根据获取到的所述存储地址，对该数据及关联数据进行目标地址为第二非易失性存储区域的存储处理。

优选地，所述数据安全关联存储方法还包括：将所述数据及关联数据的源地址分别转换为对应在所述第二非易失性存储区域上的地址。

优选地，所述数据安全关联存储方法还包括：清除所述第一非易失性存储区域上的所述数据及关联数据。

优选地，所述将所述数据及其关联数据的源地址转换为对应在所述第二非易失性存储区域上的地址，具体包括：建立与在所述第二非易失性存储区域上的所述数据及关联数据之间的联系。

优选地，所述第一非易失性存储区域上的数据被访问是指所述第一非易失性存储区域上的数据被读取访问。

本发明的另一个目的在于提供一种数据安全存储装置，以解决现有技术中所揭示的问题。

在一些说明性实施例中，所述数据安全存储装置，应用于计算设备，包括：识别模块，用于在第一非易失性存储区域上的数据被访问时，获取所述数据以及与其存在关联关系的数据的存储地址；转储模块，用于根据获取到的所述存储地址，对该数据及关联数据进行目标地址为第二非易失性存储区域的存储处理。

优选地，所述数据安全存储装置，还包括：索引模块，用于将所述数据及关联数据的源地址分别转换为对应在所述第二非易失性存储区域上的地址。

优选地，所述数据安全存储装置，还包括：擦除模块，用于清除所述第一非易失性存储区域上的所述数据及关联数据。

优选地，所述将所述数据及其关联数据的源地址转换为对应在所述第二非易失性存储区域上的地址，具体包括：建立与在所述第二非易失性存储区域上的所述数据及关联数据之间的联系。

优选地，所述第一非易失性存储区域上的数据被访问是指所述第一非易失性存储区域上的数据被读取访问。

与现有技术相比，本发明具有以下优点：

1.安全策略伴随着用户操作从计算设备底层检测并执行，数据的转移对于用户而言是无感的。

2.将本地数据转移实现了本地无数据化，进一步的降低了终端本地的泄密风险。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是本发明的说明性实施例的流程图；

图2是本发明的说明性实施例的结构示意图；

图3是本发明的说明性实施例的流程图；

图4是本发明的说明性实施例的结构示意图；

图5是本发明的说明性实施例的流程图；

图6是本发明的说明性实施例的结构示意图；

图7是本发明的说明性实施例的流程图；

图8是本发明的说明性实施例的结构示意图；

图9是本发明的说明性实施例的流程图；

图10是本发明的说明性实施例的结构框图。

具体实施方式

以下描述和附图充分地示出本发明的具体实施方案，以使本领域的技术人员能够实践它们。其他实施方案可以包括结构的、逻辑的、电气的、过程的以及其他的改变。实施例仅代表可能的变化。除非明确要求，否则单独的部件和功能是可选地，并且操作的顺序可以变化。一些实施方案的部分和特征可以被包括在或替换其他实施方案的部分和特征。本发明的实施方案的范围包括权利要求书的整个范围，以及权利要求书的所有可获得的等同物。在本文中，本发明的这些实施方案可以被单独地或总地用术语“发明”来表示，这仅仅是为了方便，并且如果事实上公开了超过一个的发明，不是要自动地限制该应用的范围为任何单个发明或发明构思。

在以下详细描述中，会提出大量特定细节，以便于提供对本发明的透彻理解。但是，本领域的技术人员会理解，即使没有这些特定细节也可实施本发明。在其它情况下，没有详细描述众所周知的方法、过程、组件和电路，以免影响对本发明的理解。

术语解释：

现在参照图1，图1示出了本发明中的针对于计算设备本地数据或文件的转移的安全策略的方法流程图，如该流程图所示，公开了一种数据安全关联存储方法，应用于计算设备，该计算设备具备两个或两个以上的非易失性存储区域,或者具备从两个或两个以上的非易失性存储区域上读/写数据的能力，包括：

步骤s11.第一非易失性存储区域上的数据被访问时，获取被访问的所述数据以及与其存在关联关系的数据的存储地址；

其中，第一非易失性存储区域、第二非易失性存储区域可以是指一非易失性存储设备上的位置不同的存储区域，例如磁盘分区后产生的盘符c、d、e等，也可以是两个相对独立的非易失性存储设备上的存储区域。另外，第二非易失性存储区域的安全性要高于第一非易失性存储区域。

其中，步骤s11中数据访问可以是指对读取/写入访问，也可以是指数据被读取访问加载到内存后，对数据执行的打开操作。

优选地，步骤s11中的所述获取被访问的所述数据的存储地址，该地址可以为数据在第一非易失性存储区域上的地址，也可以是数据加载到易失性存储区域(内存)中后，数据在易失性存储区域中的地址。

其中，步骤s11中与被访问的数据存在关联关系的数据可以是指与数据存在调用关系的其它数据，例如在word文档中利用嵌入或超链接方式与该文档所建立的联系的另一文档/图片/多媒体文件等等(其中，嵌入或超链接方式在另一文档中的数据同样也可以设置为与word文件存在关联关系)；又可以是指与数据同属于一应用程序的其它数据，例如某应用程序的.exe执行文件所对应的该应用程序的配置文件、配置数据等等。

步骤s12.根据所述存储地址对所述数据及其关联数据进行目标地址为第二非易失性存储区域的存储处理。

本发明的数据转移的安全策略设置在计算设备底层，伴随着用户的操作而执行，对用户而言是完全无感的。

在一些说明性实施例中，所述数据安全持久化方法，还可以包括：

步骤s13.将所述数据及其关联数据的源地址转换为该数据在所述第二非易失性存储区域上的地址。

即，将所述数据及其关联数据在计算设备内部调度中的索引关系转移/转换到该数据及其关联数据在第二非易失性存储区域上的地址，使得该“数据”之后的读/写均指向第二非易失性存储区域，而非第一非易失性存储区域，用户对该“数据”的操作均是对在第二非易失性存储区域内该“数据”进行的操作；并且在这过程中，即不需要用户的手动拖拽、创建等主动操作，用户正常操作即可，对于用户操作而言毫无影响。

优选地，所述步骤s13中转移/转换数据的索引关系可以采用多种方式，例如：

1).通过直接修改数据在计算设备中的文件系统内的索引目录，将索引从原来的第一非易失性存储区域的地址更改为数据在第二非易失性存储区域上的新地址；

2).通过建立(数据在第一非易失性存储区域上的地址)原索引与数据在第二非易失性存储区域上的新地址(新索引)之间的映射关系；

例如：创建映射表，该映射表中存储有原索引与新索引之间的对应关系，在用户对“数据”进行操作时，计算设备底层的获取“数据”访问请求，并从中提取索引(原索引)，调取映射表，并从该映射表中匹配到对应的索引(新索引)，文件系统通过新索引从第二非易失性存储区域内获取到该“数据”。

3).通过改造索引建立与第二非易失性存储区域上的数据的联系

例如：计算设备底层的获取“数据”访问请求时，从中提取数据的索引关系(原索引)，对原索引进行特定的改造，使得改造后的索引指向数据在第二非易失性存储区域上的地址。

在一些说明性实施例中，所述数据安全持久化方法，还可以包括：

步骤s14.清除所述第一非易失性存储区域上的所述数据及其关联数据。

其中，“清除”可以是指删除该数据在文件系统中的索引，也可以是在删除数据的索引的基础上，对数据的源地址进行覆盖式擦除；

优选地，还可以包括，当检测到第一非易失性存储区域上的数据均被转移到第二非易失性存储区域时，对第一非易失性存储区域上的数据进行整体清除，例如整个盘符的格式化操作。

基于上述步骤s11—s14，本发明实现了如下技术效果：

1.安全策略伴随着用户操作从计算设备底层检测并执行，数据的转移对于用户而言是无感的。

2.将本地数据转移实现了本地无数据化，进一步的降低了终端本地的泄密风险。

现在参照图2，本发明公开了数据安全关联存储方法的一优选实施例，数据安全关联存储方法已部署在计算设备上，该计算设备具备一块硬盘，该硬盘至少具有两个分区，即分区c、分区d；文件a与文件b存储在分区c上，文件b与文件a存在关联关系；方法流程，如图3所示，包括：

s21.用户通过交互界面选择打开文件a；

s22.分析文件a的属性特征，确定文件a关联文件b；

s23.计算设备底层逻辑根据文件a与文件b的索引确定a和b的位置；

s24.根据确定的位置访问分区c上的文件a，触发执行数据转移，将文件a和文件b复制到分区d上；

s25.将索引文件a和文件b的源地址分别转换为文件a和文件b在分区d上的地址；

s26.清除在分区c上的所述文件a和文件b；

s27.再次确定文件a的位置地址，将分区d上的文件a加载到内存中，执行打开呈现用户。

该优选实施例中用户只执行了选择操作，与用户的常规操作无变化，并且本发明中数据转移的操作，每个文件最多只需要执行一次即可，像文件b一样的数据在关联数据的执行操作过程中已经得到了转移，在之后对文件b的操作时，无须再进行转移处理。

现在参照图4，本发明公开了数据安全关联存储方法的另一优选实施例，数据安全关联存储方法已部署在计算设备上，该计算设备具有两块硬盘，硬盘a和硬盘b；文件a与文件b存储在硬盘a上，文件b与文件a存在关联关系；方法流程，如图5所示，包括：

s31.用户通过交互界面选择打开文件a；

s32.分析文件a的属性特征，确定文件a关联文件b；

s33.计算设备底层逻辑根据文件a与文件b的索引确定a和b的位置；

s34.根据确定的位置访问硬盘a上的文件a，触发执行数据转移，将文件a和文件b复制到硬盘b上；

s35.将索引文件a和文件b的源地址分别转换为文件a和文件b在硬盘b上的地址；

s36.清除在硬盘a上的所述文件a和文件b；

s37.再次确定文件a的位置地址，将硬盘b上的文件a加载到内存中，执行打开呈现用户。

图4实施例与图2实施例相比，应用于两块非易失性存储设备之间的数据转移操作，并且可以通过上述实施例的应用将本地数据转移到计算设备外部更加安全的存储设备当中。

图6公开了数据安全关联存储方法的另一优选实施例，数据安全关联存储方法已部署在计算设备上，该计算设备至少具有一块硬盘，即本地硬盘e；并且该计算设备通过网络与后台的存储服务器建立有通信，该存储服务器上至少具有一硬盘或一磁盘阵列f；文件a与文件b存储在本地硬盘e上，文件b与文件a存在关联关系；方法流程，如图7所示，包括：

s41.用户通过交互界面选择打开文件a；

s42.分析文件a的属性特征，确定文件a关联文件b；

s43.计算设备底层逻辑根据文件a与文件b的索引确定a和b的位置；

s44.根据确定的位置访问硬盘e上的文件a，触发执行数据转移，将文件a和文件b通过网络传输或写到(例如通过网络存储服务，iscsi指令)存储服务器的硬盘f上；

s45.将索引文件a和文件b的源地址分别转换为文件a和文件b在硬盘f上的地址；

s46.清除在硬盘e上的所述文件a和文件b；

s47.再次确定文件a的位置地址，将硬盘f上的文件a加载到内存中(例如通过网络存储服务，iscsi指令)，执行打开呈现用户。

通过将本地的数据转移到后台管理，并且使新产生的数据始终处于后台存储当中，本地存储无痕，降低了本地数据泄密风险。并且相比较而言，后台存储的安全性比用户终端的本地安全性要高很多，提高了数据存储的安全性。

本发明除利用如图6实施例将本地数据转移到后台服务器存储当中之外，还可以将本地数据转移到安全的移动存储介质中，该方法流程与图4所示的相似，如图8所示实施例，数据安全关联存储方法已部署在计算设备上，该计算设备至少具有一块硬盘，即本地硬盘e；并且该计算设备通过外设端口接入有移动存储介质g；文件a存储在本地硬盘e上；方法流程，如图9所示，包括：

s51.用户通过交互界面选择打开文件a；

s52.分析文件a的属性特征，确定文件a关联文件b；

s53.计算设备底层逻辑根据文件a与文件b的索引确定a和b的位置；

s54.根据确定的位置访问硬盘e上的文件a，触发执行数据转移，将文件a和文件b写到移动存储介质g上；

s55.将索引文件a和文件b的源地址分别转换为文件a和文件b在移动存储介质g上的地址；

s56.清除在硬盘e上的所述文件a和文件b；

s57.再次确定文件a的位置地址，将移动存储介质g上的文件a加载到内存中，执行打开呈现用户。

通过将本地的数据转移到移动存储介质，解决了在离网情况下的数据安全问题，实现了本地存储无痕，降低了本地数据泄密风险。

现在参照图10，图10示出了本发明的数据安全关联存储装置的结构框图，该结构框图所示出的装置100，包括：在第一非易失性存储区域上的数据被访问时，获取所述数据以及与其存在关联关系的数据的存储地址的识别模块101；根据获取到的所述存储地址，对该数据及关联数据进行目标地址为第二非易失性存储区域的存储处理的转储模块102。

在一些优选地实施例中，所述数据安全关联存储装置，还包括：将所述数据及关联数据的源地址分别转换为对应在所述第二非易失性存储区域上的地址的索引模块103。

在一些优选地实施例中，所述数据安全关联存储装置，还包括：清除所述第一非易失性存储区域上的所述数据及关联数据的擦除模块104。

在一些说明性实施例中，所述将所述数据及其关联数据的源地址转换为对应在所述第二非易失性存储区域上的地址，具体包括：建立与在所述第二非易失性存储区域上的所述数据及关联数据之间的联系。

在一些说明性实施例中，所述第一非易失性存储区域上的数据被访问是指所述第一非易失性存储区域上的数据被读取访问。

本领域技术人员应当理解，本发明中各实施例可以相互组合，例如将本发明中配置方法与计算设备运行方法相结合，又或者将本发明中计算设备运行方法与数据处理方法相结合。

本领域技术人员还应当理解，结合本文的实施例描述的各种说明性的逻辑框、模块、电路和算法步骤均可以实现成电子硬件、计算机软件或其组合。为了清楚地说明硬件和软件之间的可交换性，上面对各种说明性的部件、框、模块、电路和步骤均围绕其功能进行了一般地描述。至于这种功能是实现成硬件还是实现成软件，取决于特定的应用和对整个系统所施加的设计约束条件。熟练的技术人员可以针对每个特定应用，以变通的方式实现所描述的功能，但是，这种实现决策不应解释为背离本公开的保护范围。

以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。