专利名称：监测受限资源的方法和装置的制作方法
技术领域：
本发明涉及信息安全领域，特别涉及一种监测受限资源的方法和装置。
背景技术：
在日常工作中，存在一类信息，它们虽然不是涉密信息，也不能对外公开，例如常见的单位内部资料等，通常把这类信息资源称之为受限资源。但是随着互联网技术的发展， 这些受限资源，很容易被外界人士访问，从而可能存在泄漏的风险，虽然目前对于涉密信息的访问及失泄密发现等有很多方案及产品，但还没有一种关于怎样监测受限资源被访问或泄露的方法。
发明内容
为了保证受限资源的安全性，本发明实施例提供了一种监测受限资源的方法和装置。所述技术方案如下一方面，提供了一种监测受限资源的方法，所述方法包括获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。所述标识信息包括所述第一客户端所要访问的资源的地址信息、所述第一客户端所要访问的资源的文件名和所述第一客户端所要访问资源的标识符中的任意一个或多个。所述判断所述第一客户端所要访问的资源是否为受限资源之后，还包括判断所述第一客户端对所述受限资源是否有访问权限，如果是，则允许所述第一客户端访问所述受限资源。所述判断所述第一客户端对所述受限资源是否有访问权限，包括获取所述第一客户端的身份信息，查询本地是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。所述方法还包括当检测到所述第一客户端将所述受限资源传输到所述第二客户端时，获取并记录所述第二客户端的身份信息，以供所述用户查看所述第二客户端的访问事件。另一方面，提供了一种监测受限资源的装置，所述装置包括获取模块，用于获取第一客户端所要访问的资源的标识信息；第一记录模块，用于根据所述标识信息，判断所述资源是否为受限资源，如果是， 则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。所述第一记录模块包括判断单元，用于判断所述第一客户端所要访问的资源是受限资源之后，判断所述第一客户端对所述受限资源是否有访问权限，如果是，则允许所述第一客户端访问所述受限资源。所述判断单元具体用于获取所述第一客户端的身份信息，查询本地是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。所述装置还包括第二记录模块，用于当检测到所述第一客户端将所述受限资源传输到所述第二客户端时，获取并记录所述第二客户端的身份信息，以供所述用户查看所述第二客户端的访问事件。所述装置包括网络控制网关。本发明实施例提供的技术方案，获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件，从而实现了对受限资源访问者的监测。
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。图1是本发明实施例1提供的一种监测受限资源的方法的流程图；图2是本发明实施例2提供的一种监测受限资源的方法的流程图；图3是本发明实施例3提供的一种监测受限资源的装置的示意图；图4是本发明实施例3提供的另一种监测受限资源的装置的示意图。
具体实施例方式为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。实施例1参见图1，本实施例中提供了一种监测受限资源的方法，包括101、获取第一客户端所要访问的资源的标识信息；102、根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。其中，可选地，所述标识信息包括所述第一客户端所要访问的资源的地址信息、 所述第一客户端所要访问的资源的文件名和所述第一客户端所要访问资源的标识符中的任意一个或多个。进一步地本实施例中，所述判断所述第一客户端所要访问的资源是否为受限资源之后，还包括判断所述第一客户端对所述受限资源是否有访问权限，如果是，则允许所述第一客户端访问所述受限资源。优选地，本实施例中，所述判断所述第一客户端对所述受限资源是否有访问权限，包括获取所述第一客户端的身份信息，查询本地是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。可选地本实施例中，所述方法还包括当检测到所述第一客户端将所述受限资源传输到所述第二客户端时，获取并记录所述第二客户端的身份信息，以供所述用户查看所述第二客户端的访问事件。本实施例的有益效果包括获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息， 以供用户查看所述第一客户端的访问事件，从而实现了对受限资源访问者的监测。实施例2本实施例中提供了一种监测受限资源的方法，一方面，本实施例中，优选地，受限资源的拥有者可以在网络的重要节点处，如网站资源的出入口处，设置网络控制网关，该网络控制网关上存储有权访问受限资源的客户端的身份信息和需要监测的受限资源的标识信息，用于对客户端的访问事件进行监测，使得客户端必须通过该网络控制网关才能够访问网站的受限资源，以便受限资源的拥有者对受限资源的访问情况进行监控。其中，客户端的身份信息包括IP地址信息，授权账号信息和邮件信息等中的任意一个或多个，受限资源的标识信息包括资源的地址信息、资源的文件名和资源的标识符等中的任意一个或多个， 对此本实施例不做具体限定。优选地，网络控制网关将访问频率高的客户端的身份信息存储到本地，并将客户端访问频率高的受限资源的标识信息存储在本地，另一方面，本实施例中，优选地创建一个资源管理数据库，将那些访问频率不高的受限资源的标识信息和客户端的身份信息存储到资源管理数据库中，其中网络控制网关还可以根据客户端的访问频率更新本地存储的客户端的身份信息和受限资源的标识信息，对此本实施例不做具体限定。参见图2，具体的本实施例中提供的一种监测受限资源的方法包括201、获取第一客户端所要访问的资源的标识信息。本实施例中，第一客户端可以是互联网中的任一客户端，也可以是公司内部网络中的任一客户端，对此本实施例不做具体限定。本实施例中，在网络资源出入口处的网络控制网关检测到第一客户端提出访问需求时，获取第一客户端所要访问资源的标识信息，以便通过资源的标识信息确认该客户端所要访问的资源是否为受限资源。202、根据资源的标识信息，判断该资源是否为受限资源，如果是，则执行步骤203 ； 否则停止监测。本实施例中，在网络控制网关获取到资源的标识信息后，判断该资源是否为受限资源，具体的方法包括网络控制网关在本地查找是否有与该资源的标识信息相匹配的标识信息，如果没有，则继续查找资源管理数据库，判断资源管理数据库中是否有与该资源标识相匹配的标识信息，其中如果网络控制网关能够在本地查找到与该资源的标识信息相匹配的标识信息，则不需要再到资源管理数据库中进行查找，如果网络控制网关查找到与该资源标识相匹配的标识信息，则确认该资源为受限资源。本实施例中，如果网络控制网关没有查找到与该资源的标识信息相匹配的标识信息，则确认第一客户端所要访问的资源不是受限资源，网络控制网关不需要对客户端的操作进行监控。
203、判断第一客户端对该受限资源是否有访问权限，如果是，则允许第一客户端访问该受限资源；否则拒绝该客户端访问该受限资源。本实施例中，当网络控制网关判断出第一客户端所要访问的资源就是受限资源后，如果该客户端需要进一步访问该受限资源，则还需要判断该客户端是否对该受限资源有访问权限，具体包括获取所述第一客户端的身份信息，查询是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。 其中查询是否有与所述第一客户端的身份信息相匹配的身份信息的方法包括网络控制网关在本地查找是否有第一客户端的身份信息，如果没有，则继续查找资源管理数据库，判断资源管理数据库中是否有第一客户端的身份信息，其中如果网络控制网关能够在本地查找到第一客户端的身份信息，则不需要再去资源管理数据库中查找。本实施例中，可选地，也可以单独设置访问者权限库，在该访问者权限库里面预先存储有权访问该受限资源的客户端的身份信息，进一步地，可将该访问者权限数据库分类为访问者IP库、邮件库、授权账号库等，对此本实施例不做具体限定。此种情况下，客户端在登录该受限资源时，可能是通过邮件进行登录，或是授权账号进行登录，或是IP地址进行登录，这时控制网关可以获取用户的邮件信息，授权账号信息，或是IP地址，将访问者的邮件信息、授权账号信息或IP地址与访问者权限数据库中预先存储的有权访问受限资源的客户端的身份信息进行匹配，如果找到对应的信息，则表明该客户端有权访问该受限资源，如果未找到对应的信息，则表明该客户端无权访问该受限资源，从而实现了对访问受限资源的客户端的控制。204、记录客户端的身份信息，以供用户查看所述第一客户端的访问事件。本实施例中，优选地创建一个访问者信息数据库，用于记录受限资源的访问事件， 一旦网络控制网关监测到有客户端访问受限资源，则提取该客户端的身份信息，并将客户端的身份信息保存到访问者信息数据库中，以实现对客户端的访问事件的监测，当有信息泄露时，用户就可以在访问者信息库中查找可能泄露信息的客户端的身份信息，本实施例中的用户指的是受限资源拥有者。205、当检测到第一客户端将受限资源传输到第二客户端时，获取并记录第二客户端的身份信息，以供用户查看第二客户端的访问事件。本实施例中，第一客户端通过了身份认证，网络控制网关继续对第一客户端的访问事件进行监测，如果发现第一客户端将该受限资源传输给第二客户端，其中第二客户端可能是互联网中的任一客户端，或是公司内部网络中的任一客户端，对此本实施例不做具体限定，第二客户端间接的也成了该受限资源的访问者，则立即获取第二客户端的身份信息，并记录第一客户端向第二客户端传输受限资源的事件，优选地将该事件和第二客户端的身份信息保存到访问者信息库中。当该受限资源的拥有者想要了解该受限资源的访问情况时，可以根据第一客户端和第二客户端的身份信息，结合访问者信息库进行追踪调查，从而实现了对受限资源泄漏的监测。本实施例的有益效果包括获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息， 以供用户查看所述第一客户端的访问事件，从而实现了对受限资源访问者的监测。并且进一步地监控第一客户端的访问情况，当第一客户端向第二客户端传输受限资源时，记录该
6传输事件，从而能够查找到间接访问受限资源的客户端，进一步保证了受限资源的安全性。实施例3参见图3，本实施例中提供了一种监测受限资源的装置，所述装置包括获取模块 301和第一记录模块302。获取模块301，用于获取第一客户端所要访问的资源的标识信息；第一记录模块302，用于根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。本实施例中，第一记录模块302包括判断单元，用于判断所述第一客户端所要访问的资源是受限资源之后，判断所述第一客户端对所述受限资源是否有访问权限，如果是，则允许所述第一客户端访问所述受限资源。优选地，本实施例中判断单元具体用于获取所述第一客户端的身份信息，查询本地是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。可选地，参见图4，本实施例中的装置还包括第二记录模块303，用于当检测到所述第一客户端将所述受限资源传输到所述第二客户端时，获取并记录所述第二客户端的身份信息，以供所述用户查看所述第二客户端的访问事件。可选地，本实施例中的装置包括网络控制网关。本实施例的有益效果包括获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息， 以供用户查看所述第一客户端的访问事件，从而实现了对受限资源访问者的监测。本实施例提供的装置，具体可以与方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。本发明实施例提供的上述技术方案的全部或部分可以通过程序指令相关的硬件来完成，所述程序可以存储在可读取的存储介质中，该存储介质包括R0M、RAM、磁碟或者光盘等各种可以存储程序代码的介质。以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
权利要求
1.一种监测受限资源的方法，其特征在于，所述方法包括获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。
2.根据权利要求1所述的方法，其特征在于，所述标识信息包括所述第一客户端所要访问的资源的地址信息、所述第一客户端所要访问的资源的文件名和所述第一客户端所要访问资源的标识符中的任意一个或多个。
3.根据权利要求1所述的方法，其特征在于，所述判断所述第一客户端所要访问的资源是否为受限资源之后，还包括判断所 述第一客户端对所述受限资源是否有访问权限，如果是，则允许所述第一客户端访问所述受限资源。
4.根据权利要求3所述的方法，其特征在于，所述判断所述第一客户端对所述受限资源是否有访问权限，包括获取所述第一客户端的身份信息，查询本地是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。
5.根据权利要求1所述的方法，其特征在于，所述方法还包括当检测到所述第一客户端将所述受限资源传输到所述第二客户端时，获取并记录所述第二客户端的身份信息，以供所述用户查看所述第二客户端的访问事件。
6.一种监测受限资源的装置，其特征在于，所述装置包括获取模块，用于获取第一客户端所要访问的资源的标识信息；第一记录模块，用于根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。
7.根据权利要求6所述的装置，其特征在于，所述第一记录模块包括判断单元，用于判断所述第一客户端所要访问的资源是受限资源之后，判断所述第一客户端对所述受限资源是否有访问权限，如果是，则允许所述第一客户端访问所述受限资源。
8.根据权利要求7所述的装置，其特征在于，所述判断单元具体用于获取所述第一客户端的身份信息，查询本地是否有与所述第一客户端的身份信息相匹配的身份信息，如果是，则确认所述第一客户端对所述受限资源有访问权限。
9.根据权利要求6所述的装置，其特征在于，所述装置还包括第二记录模块，用于当检测到所述第一客户端将所述受限资源传输到所述第二客户端时，获取并记录所述第二客户端的身份信息，以供所述用户查看所述第二客户端的访问事件。
10.根据权利要求6-9任一项所述的装置，其特征在于，所述装置包括网络控制网关。
全文摘要
本发明公开了一种监测受限资源的方法和装置，属于信息安全领域。所述方法包括获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件。本发明实施例中获取第一客户端所要访问的资源的标识信息；根据所述标识信息，判断所述资源是否为受限资源，如果是，则记录所述第一客户端的身份信息，以供用户查看所述第一客户端的访问事件，从而实现了对受限资源访问者的监测，保证了受限资源的安全性。
文档编号H04L29/06GK102546636SQ20121000641
公开日2012年7月4日 申请日期2012年1月10日 优先权日2012年1月10日
发明者刘畅, 方滨兴, 杨少华, 赵玲玲, 陆天波, 陈渌萍 申请人:北京邮电大学