本发明涉及计算机及信息安全技术领域，具体涉及一种针对byod环境的信息安全保护系统与方法。
背景技术：
随着信息技术、通信技术等现代科学技术的快速发展，个人电子设备的工作能力不断增强、普及程度越来越高，使得byod（bringyourowndevices，自带设备）这一概念愈加流行并得以逐步实施。byod实现的是一种灵活高效、便捷美好的办公场景。在byod环境中，工作人员可以借助于智能手机、平板电脑等个人终端设备，随时随地接入工作网络及办公系统，完成资料获取、数据共享等工作，达到节省办公成本、提升工作效率等有益效果。
区别于传统的办公方式，byod存在用户设备数量多且种类多样、接入网络复杂多变、接入时间及地点不可预知等特点；此外，将办公数据上传至云端后，数据拥有者便失去了对数据的绝对控制权。因此当个人设备经由各类网络频繁接入时，容易引发办公网络和系统的信息安全问题，如数据窃取、隐私泄露、恶意软件植入、非授权访问等。此类问题一旦发生，将给企业带来不可估量的损失。
综上可见，伴随着byod的愈发流行，为保护用户隐私、保障企业的数据安全及可靠运转，byod环境中存在的信息安全问题应受到足够重视，有必要开发相应的信息安全技术。
技术实现要素：
针对现有技术的不足，本发明所解决的问题是byod环境下信息安全问题。
为解决上述技术问题，本发明采用的技术方案是一种针对byod环境的信息安全保护系统，包括：
安全管理设备，负责系统全局的信息安全工作，包括：安全策略的制定、身份认证、属性认证、数据加密及入侵检测；
byod设备，作为访问控制中的主体，用于进行对工作网络及办公系统的访问；
云平台：负责文件的存储和数据重加密工作；
通过对系统的访问控制、数据加密、系统审计及入侵检测，实现对byod环境的多级防护，确保信息安全。
所述安全管理设备，包括：
主动安检模块，用于实现对byod设备的安全检测，并在用户允许的情况下，对不满足安全要求的byod设备进行升级（如安装相应安全插件或补丁），协助byod设备完成对工作网络及办公系统的接入；
身份认证模块，用于实现对byod设备的身份认证，以确认操作者的身份并对其进行跟踪审计；
属性认证模块，用于实现对byod设备的属性进行认证，包括设备所含操作系统种类、所安装安全软件版本、所处网络环境及ip地址；
策略制定模块，用于制定信息安全保护策略，包括数据属性基加密abe方案中的数据加密策略即访问控制策略；
策略更新模块，用于更新信息安全保护策略；
数据加密模块，基于属性基加密abe方案用于实现各类数据包括办公数据、网络地址及接入口令的加密操作；
私钥生成模块，基于属性基加密abe方案用于生成byod设备所需要的解密私钥；
跟踪审计模块，用于跟踪审计byod设备的行为，包括接入是否成功、接入时间、访问过程持续时间、已访问的数据文件及对文件的改动。
所述byod设备，包括：
被动安检模块，用于实现对当前设备的安全检测并提交给安全管理设备，只有通过安全检测的设备方有能被允许访问工作网络及办公系统；
数据解密模块，基于属性基加密abe方案用于实现对加密数据包括办公数据、网络地址及接入口令的解密。
所述云平台，包括：
数据存储模块，用于实现对各类数据的存储；
代理重加密模块，用于实现对加密数据的重加密。
本发明还提供了一种针对byod环境的信息安全保护方法，包括如下步骤：
（1）系统初始化，完成系统的初始化工作，包括文档收集、云平台搭建及属性基加密abe方案的初始化；
（2）安全策略制定与数据加密，制定信息安全策略，并完成对数据文件的加密操作，具体由信息安全管理者执行以下分步骤：
1）制定信息安全策略，包含但不限于制定访问控制策略、入侵检测策略及属性基加密算法；
2）基于所述入侵检测策略完成入侵检测平台的搭建；
3）基于所述访问控制策略生成访问结构；
4）借助于属性基加密abe方案，根据访问结构完成数据加密；
（3）加密数据存储与共享，将加密后的数据上传至云端，以利于byod设备对数据的随时随地获取，实现数据的高效共享；
（4）byod设备接入与跟踪审计，实现对byod的安全检测、身份认证、属性认证、访问控制及行为跟踪与审计过程，具体包含如下分步骤：
1）信息安全管理者检测byod设备是否已安装符合要求的被动检测模块，若已安装被动检测模块，则要求该模块提供最新的安全检测结果；否则由主动安全检测模块强制byod设备安装符合要求的被动检测模块，并提供最新的安全检测结果；
2）若安全检测结果符合信息安全管理者所预先制定的安全要求，则对该byod设备进行身份认证、属性认证；否则驳回该byod设备的访问请求并进行记录；
3）信息安全管理者根据byod设备所拥有的属性，基于属性基加密abe方案为其生成解密私钥；
4）byod设备从云平台下载需要使用的数据文档，如果其拥有的属性集合满足相应的访问控制策略，便能够使用解密私钥进行解密，否则无法使用该数据；
5）信息安全管理者对byod设备的所有行为进行跟踪记录，并以此为基础完成相应审计与分析；
（5）安全策略更新与数据重加密，实现对安全策略的更新，并在云平台的协助下完成数据的重加密工作，具体包含如下分步骤：
1）当安全策略发生变动时，信息安全管理者制定新的安全策略，包括入侵检测策略及审计策略；
2）如果访问控制策略已变更，信息安全管理者生成新的访问结构以及代理重加密密钥；
3）信息安全管理者将新的访问结构和/或代理重加密密钥发送给云平台；
4）云平台借助于属性基加密abe方案，根据旧密文、新的访问结构和/或代理重加密密钥完成对密文数据的更新。
作为本发明的进一步改进，还可以借助于网络防火墙、重要文件备份及分布式存储技术进一步加强系统的安全性与可靠性，优化系统的工作效率。
采用本发明的技术方案能够实现数据加密、对byod设备的访问控制、跟踪及分析byod设备行为、保护办公系统的信息安全，并能够降低企业运营成本、提高工作效率与质量、增强企业竞争力，且整体具有较好的实用性和可扩展性。
附图说明
图1为本发明系统结构框架图；
图2为本发明属性基加密abe方案的框架示意图；
图3为本发明方法的工作流程；
图4为本发明方法中安全检查的执行流程；
图5为本发明方法中数据加密的执行流程；
图6为本发明方法中解密私钥的生成及更新流程；
图7为本发明方法中数据解密的执行流程；
图8为本发明方法中策略更新及密文重加密的执行流程。
具体实施方式
下面结合附图和实施例对本发明的具体实施方式作进一步的说明，但不是对本发明的限定。
图1示出了一种针对byod环境的信息安全保护系统，包括：
安全管理设备，负责系统全局的信息安全工作，包括：安全策略的制定、身份认证、属性认证、数据加密及入侵检测；
byod设备，作为访问控制中的主体，用于进行对工作网络及办公系统的访问；
云平台：负责文件的存储和数据重加密工作；
所述安全管理设备，包括：
主动安检模块，用于实现对byod设备的安全检测，并在用户允许的情况下，对不满足安全要求的byod设备进行升级（如安装相应安全插件或补丁），协助byod设备完成对工作网络及办公系统的接入；
身份认证模块，用于实现对byod设备的身份认证，以确认操作者的身份并对其进行跟踪审计；
属性认证模块，用于实现对byod设备的属性进行认证，包括设备所含操作系统种类、所安装安全软件版本、所处网络环境及ip地址；
策略制定模块，用于制定信息安全保护策略，例如数据属性基加密abe方案中的数据加密策略即访问控制策略；
策略更新模块，用于更新信息安全保护策略；
数据加密模块，基于属性基加密abe方案用于实现各类数据包括办公数据、网络地址及接入口令的加密操作；
私钥生成模块，基于属性基加密abe方案用于生成byod设备所需要的解密私钥；
跟踪审计模块，用于跟踪审计byod设备的行为，包括接入是否成功、接入时间、访问过程持续时间、已访问的数据文件及对文件的改动。
所述byod设备，包括：
被动安检模块，用于实现对当前设备的安全检测并提交给安全管理设备，只有通过安全检测的设备方有能被允许访问工作网络及办公系统；
数据解密模块，基于属性基加密abe方案用于实现对加密数据包括办公数据、网络地址及接入口令的解密。
所述云平台，包括：
数据存储模块，用于实现对各类数据的存储；
代理重加密模块，用于实现对加密数据的重加密。
图2示出了本发明属性基加密abe方案的框架示意，包含安全管理设备、byod设备、云平台三类实体。安全管理设备是访问策略的制定者、各类数据的加密方、用户解密私钥的生成方；byod设备是各类数据的解密方和使用方；云平台是加密数据的存储方、代理重加密的完成方。属性基加密abe方案的执行过程主要包含如下算法：
（1）setup算法，主要由安全管理设备实现加密方案的初始化工作，生成系统公钥pk及主密钥mk；
（2）encrypt算法，由安全管理设备执行，具体分步骤如下：
1）根据预先定义的访问控制策略生成相应的访问结构as；
2）基于访问结构as和公钥pk加密明文形式的数据m，获得密文ct；
3）将密文数据ct上传至云平台；
（3）keygen算法，即私钥生成算法，主要是由安全管理设备根据byod设备提供的属性集合s生成用户私钥sk；
（4）decrypt算法，由byod设备执行，具体分步骤如下：
1）从云平台获取密文形式的数据ct；
2）根据自身拥有的私钥sk完成对密文形式服务需求数据ct的解密，得到明文形式的服务需求数据m；
（5）policyupdate算法，由安全管理设备执行，具体分步骤如下：
1）根据新的访问控制策略构造新的访问结构as*；
2）根据访问结构as及as*，生成代理重加密密钥key；
3）将访问结构as*和代理重加密密钥key发送给云平台；
（6）reencrypt算法，由云平台执行，主要是根据访问结构as*和代理重加密密钥key完成对旧密文ct的更新，生成新密文ct*。
图3示出了一种针对byod环境的信息安全保护方法的工作流程，包括如下过程：
（1）安全管理方进行系统搭建并完成初始化工作，如办公网络搭建、安全管理设备及云平台的部署等；
（2）安全管理方制定信息安全策略，如入侵检测策略、访问控制策略、数据加密方案及参数等；
（3）安全管理方根据入侵检测策略构建入侵检测系统；
（4）安全管理方根据访问控制策略生成访问结构；
（5）安全管理方借助于abe方案，使用访问结构对明文数据m进行加密，得到密文ct并上传至云平台；
（6）byod设备请求接入网络或者系统；
（7）安全管理设备完成对byod设备进行安全检测，如果通过安全检测，则继续下一步；否则进入第（11）步；
（8）进行身份认证、属性认证、解密私钥（sk）生成等一系列信息安全相关工作；
（9）byod设备从云平台下载所需数据文档；
（10）byod设备具备解密资格，即byod设备所拥有的属性集合满足加密时所使用的访问结构，则继续下一步；否则进入第（11）步；
（11）byod设备借助于属性基加密abe方案中的decrypt算法以及解密私钥sk对密文数据ct进行解密；
（12）安全管理设备对byod设备的访问行为进行跟踪审计，并生成系统日志。
图4示出了本发明方法中安全检查的执行流程，具体分步骤如下：
（1）系统初始化，主要完成安全检测模块的初始化，如安全标准的制定、安全检测的指标及流程等、安检模块的设计等过程；
（2）检测byod设备是否安装有被动安检模块，如果未安装，则继续第（4）步，强制该byod安装被动安检模块；否则继续下一步；
（3）检测被动安检模块是否需要更新，如果需要更新，则继续下一步，强制该byod更新被动安检模块；否则继续第（5）步；
（4）为byod设备安装或者更新被动安检模块；
（5）启动被动检测模块，收集byod设备的安全状态信息，如设备所安装的操作系统类型及版本号、是否安装安全软件、安全软件版本号、已安装的程序列表等；
（6）启动主动安全检测模块，根据上述安全状态信息以及预先制定的安全标准，对当前byod设备的安全性进行检测，若通过安全性检测则继续身份认证等后续过程；否则继续下一步；
（7）对本次访问请求进行记录后退出当前过程。
图5示出了本发明方法中数据加密的执行流程，具体分步骤如下：
（1）系统初始化，如制定访问控制策略、初始化属性基加密abe方案等；
（2）根据访问控制策略生成访问结构as；
（3）根据访问结构as，借助于abe策略中的encrypt算法对明文数据m进行加密，获得密文数据ct；
（4）将密文数据ct上传至云平台。
图6示出了本发明方法中解密私钥的生成及更新流程，具体分步骤如下：
（1）判定byod设备是否拥有解密私钥，若没有解密私钥则转入分步骤（3），否则转入分步骤（2）；
（2）判定byod设备所持有的解密私钥是否需要更新，若需更新则转入分步骤（3），否则结束当前过程；
（3）byod设备提供的属性集合s，包含诸如设备类型、所处网络、历史访问记录、电池剩余电量等属性；
（4）安全管理设备借助于属性基加密abe方案中的keygen算法，根据属性集合s以及系统主密钥mk等信息生成解密私钥sk；
（5）安全管理设备将解密私钥sk发送给byod设备。
图7示出了本发明方法中数据解密的执行流程，具体分步骤如下：
（1）从云平台获取密文数据ct；
（2）如果满足解密要求（即生成私钥sk时所使用的属性集合s满足加密明文数据m时所使用的访问机构as），则根据自身拥有的私钥sk完成对密文数据ct的解密，解密成功得到明文形式的服务需求数据m；否则解密失败。
图8示出了本发明方法中策略更新及密文重加密的执行流程，具体分步骤如下：
（1）安全管理设备根据当前网络或者系统的动态安全需求制定新的访问控制策略；
（2）安全管理设备借助于属性基加密abe方案中的policyupdate算法，根据新的访问控制策略生成新的访问结构as*；
（3）安全管理设备根据旧访问结构as以及新访问结构as*，生成代理重加密密钥key；
（4）安全管理设备将访问结构as*和代理重加密密钥key发送给云平台；
（5）云平台借助于属性基加密abe方案中的reencrypt算法，根据访问结构as*和代理重加密密钥key完成对旧密文ct的更新，生成新密文ct*。
以上结合附图对本发明的实施方式做出了详细说明，但本发明不局限于所描述的实施方式。对于本领域技术人员而言，在不脱离本发明的原理和精神的情况下，对这些实施方式进行各种变化、修改、替换和变型仍落入本发明的保护范围内。