专利名称：基于涉密数据流向加密的本地数据防泄密系统及方法
技术领域：
本发明属于信息安全技术领域，涉及一种本地数据防泄密系统，尤其涉及一种基 于涉密数据流向加密的本地数据防泄密系统；同时，本发明还涉及上述本地数据防泄密系 统的防泄密方法。
背景技术：
随着整个社会的信息化，所有信息资料都转变成了计算机所能识别的方式——数 据，数据是整个信息实体的唯一存在形式。信息化创造了巨大的经济效益和社会财富，各行 各业已经离不开信息技术，有些行业甚至完全依赖于信息技术。然而，事物的以展总是两方 面的，信息技术同样也是双刃剑，高度信息化的社会给信息安全带来了空前的挑战。人们发 现传统的保密方法在信息社会里都失灵了，数据的可复制和快速传输的特性同样为信息资 料的泄密大开方便之门。这样防信息泄密就成为了当务之急，而且企业比较流行的是透明 加密技术，这种技术不影响使用者的习惯来自动、强制完成加密，甚至感觉不到它的存在。但是目前的透明加密技术都是依据监控系统的进程来完成，这样就必须对所使用 的软件进行限制，需要根据用户使用的软件的升级不断进行更新，对不支持的软件、进程无 法实现数据加密，引起软件的兼容性问题，特别是对源代码的编辑调试软件种类繁杂，更加 难以兼容。
发明内容
本发明所要解决的技术问题是提供一种基于涉密数据流向加密的本地数据防泄 密系统，可保护组织内部的重要数据，防止泄密。此外，本发明还提供一种上述本地数据防泄密系统的防泄密方法，可保护组织内 部的重要数据，防止泄密。为解决上述技术问题，本发明采用如下技术方案—种基于涉密数据流向加密的本地数据防泄密系统，所述系统包括实时加密模块，用于加密实时数据，并为已经加密的数据增加被加密标识字段；加密数据判断模块，用于数据打开前判断是否已经被加密；实时解密模块，用于解密被加密数据，送往涉密数据安全区域；涉密数据安全区域，用于存储解密模块送到的明文，以及相关程序文件，保证涉密 数据转换来的明文的存储安全；系统监控模块，用于监控涉密和非涉密进程，监控进程的I/O操作，将涉密进程的 I/O映射在涉密数据安全区域；剪切板监控模块，用于监控剪切板内容的流向；活动窗口监控模块，用于监控桌面活动的涉密进程窗口和非涉密进程窗口 ；磁盘文件写入缓冲区，用于暂存所述涉密数据安全区域输出的明文数据，确保数 据安全；
磁盘文件监控模块，用于监控磁盘文件，对比磁盘文件写入缓冲区的数据是否与 目标目录原数据的属性相同。作为本发明的一种优选方案，涉密数据安全区域的数据只有系统监控模块可以调 用，系统监控模块将所有涉密进程的I/O强制映射在涉密数据安全区域。作为本发明的一种优选方案，所述磁盘文件监控模块用于监控磁盘文件，通过 mafic number来过滤磁盘写入缓冲区文件，对比磁盘缓冲区数据是否与目标目录原数据的 属性相同，此处的属性包括文件的存储位置、hash函数值。作为本发明的一种优选方案，通过所述磁盘文件监控模块对比磁盘文件写入缓冲 区的数据是否与目标目录原数据的属性相同，智能判断写入磁盘的文件是否需要加密。作为本发明的一种优选方案，所述系统不禁止电子设备的截屏功能，所有包括有 涉密内容的截图都是被强制加密的，而没有涉密内容的截屏是不加密的。作为本发明的一种优选方案，通过对涉密进程活动窗口的监控，智能判断截屏内 容是否需要加密。一种上述本地数据防泄密系统的防泄密方法，该方法包括如下步骤A 系统管理员将系统中认为需要防止外泄的文件认定为涉密信息，进行手动加 密；B:打开加密文件，强制关闭所有网络服务的上行输出，防止网络服务向网络输出 数据；C 将打开加密文件的软件认定为涉密环境，所述系统监控模块对涉密环境的I/O 进行控制，只允许涉密环境的输入输出经过涉密数据安全区域；D:从涉密环境中输出的文件放入磁盘文件写入缓冲区，经磁盘文件写入缓冲区与 目标磁盘位置的原文件进行属性对比；如果没有发生变化，则将磁盘写入缓冲区的明文清 除，如果发生变化，则将缓冲区的明文加密写入磁盘位置，写入的为新创建文件都输入为密 文；E 对屏幕进行截屏，如果涉密进程展开活动在桌面，则截屏保存的文件为加密文 件；如果涉密软件最小化在任务栏，则截屏保存的文件为普通文件；F:将密文全部或者部分复制进另外一个文件中，则复制进密文的文件被加密。作为本发明的一种优选方案，涉密数据安全区域的数据只有系统监控模块可以调 用，系统监控模块将所有涉密进程的I/O强制映射在涉密数据安全区域。作为本发明的一种优选方案，通过所述磁盘文件监控模块对比磁盘文件写入缓冲 区的数据是否与目标目录原数据的属性相同，智能判断写入磁盘的文件是否需要加密。作为本发明的一种优选方案，所述系统不禁止电子设备的截屏功能，所有包括有 涉密内容的截图都是被强制加密的，而没有涉密内容的截屏是不加密的。作为本发明的一种优选方案，通过对涉密进程活动窗口的监控，智能判断截屏内 容是否需要加密。本发明的有益效果在于本发明提出的基于涉密数据流向加密的本地数据防泄密 系统及方法，使得在本地数据的透明加解密不再依赖于对系统使用程序的限制，而是通过 对涉密数据流向进行监控来实现，结合对磁盘写入数据进行对比实现，这样只要对磁盘重 要的文件进行指定加密，就既实现了对机密数据的防泄密，又实现了对未涉密数据的有效
5甄别，防止了过度加密带来的数据交流上的麻烦。结合数字证书系统使用，可以在企业单位 等中进行大规模部署，实现协同工作。此方法还可以配合原有的基于文件名称的加密和基 于进程名称的加密，与此两类加密方法可以很好的兼容，并且克服以上两种加密方法的不 足之处。
图1为本发明本地数据防泄密方法的流程图。
具体实施例方式下面结合附图详细说明本发明的优选实施例。实施例一本发明揭示了一种基于涉密数据流向加密的本地数据防泄密系统，所述系统包 括实时加密模块、加密数据判断模块、实时解密模块、涉密数据安全区域、系统监控模块、 剪切板监控模块、活动窗口监控模块、磁盘文件写入缓冲区、磁盘文件监控模块。实时加密模块用于加密实时数据，并为已经加密的数据增加被加密标识字段。加密数据判断模块用于数据打开前判断是否已经被加密。实时解密模块用于解密被加密数据，送往涉密数据安全区域。涉密数据安全区域用于存储解密模块送到的明文，以及相关程序文件，保证涉密 数据转换来的明文的存储安全。涉密数据安全区域的数据只有系统监控模块可以调用，系 统监控模块将所有涉密进程的I/O强制映射在涉密数据安全区域。系统监控模块用于监控涉密和非涉密进程，监控进程的I/O操作，将涉密进程的 I/O映射在涉密数据安全区域。剪切板监控模块用于监控剪切板内容的流向。活动窗口监控模块用于监控桌面活动的涉密进程窗口和非涉密进程窗口 ；磁盘文件写入缓冲区用于暂存所述涉密数据安全区域输出的明文数据，确保数据 安全；磁盘文件监控模块用于监控磁盘文件，对比磁盘文件写入缓冲区的数据是否与目 标目录原数据的属性相同。本实施例中，所述磁盘文件监控模块用于监控磁盘文件，通过 magic number来过滤磁盘写入缓冲区文件，对比磁盘缓冲区数据是否与目标目录原数据的 属性相同，此处的属性包括文件的存储位置、hash函数值。通过所述磁盘文件监控模块对 比磁盘文件写入缓冲区的数据是否与目标目录原数据的属性相同，智能判断写入磁盘的文 件是否需要加密。所述系统不禁止电子设备的截屏功能，所有包括有涉密内容的截图都是被强制加 密的，而没有涉密内容的截屏是不加密的。通过对涉密进程活动窗口的监控，智能判断截屏 内容是否需要加密。以上介绍了本发明本地数据防泄密系统，本发明在揭示上述本地数据防泄密系统 的同时，还揭示一种上述本地数据防泄密系统的防泄密方法；请参阅图1，本发明方法包括 如下步骤步骤A 系统管理员将系统中认为需要防止外泄的文件认定为涉密信息，进行手动加密；步骤B:打开加密文件，强制关闭所有网络服务的上行输出，防止网络服务向网络 输出数据；步骤C:将打开加密文件的软件认定为涉密环境，所述系统监控模块对涉密环境 的I/O进行控制，只允许涉密环境的输入输出经过涉密数据安全区域。涉密数据安全区域 的数据只有系统监控模块可以调用，系统监控模块将所有涉密进程的I/O强制映射在涉密 数据安全区域。步骤D 从涉密环境中输出的文件放入磁盘文件写入缓冲区，通过所述磁盘文件 监控模块对比磁盘文件写入缓冲区的数据是否与目标目录原数据的属性相同，智能判断写 入磁盘的文件是否需要加密。如果没有发生变化，则将磁盘写入缓冲区的明文清除，如果发 生变化，则将缓冲区的明文加密写入磁盘位置，写入的为新创建文件都输入为密文。步骤E:对屏幕进行截屏，如果涉密进程展开活动在桌面，则截屏保存的文件为加 密文件；如果涉密软件最小化在任务栏，则截屏保存的文件为普通文件。所述系统不禁止电 子设备的截屏功能，所有包括有涉密内容的截图都是被强制加密的，而没有涉密内容的截 屏是不加密的。通过对涉密进程活动窗口的监控，智能判断截屏内容是否需要加密。步骤F:将密文全部或者部分复制进另外一个文件中，则复制进密文的文件被加
滋
r t [ o综上所述，本发明提出的基于涉密数据流向加密的本地数据防泄密系统及方法， 使得在本地数据的透明加解密不再依赖于对系统使用程序的限制，而是通过对涉密数据流 向进行监控来实现，结合对磁盘写入数据进行对比实现，这样只要对磁盘重要的文件进行 指定加密，就既实现了对机密数据的防泄密，又实现了对未涉密数据的有效甄别，防止了过 度加密带来的数据交流上的麻烦。结合数字证书系统使用，可以在企业单位等中进行大规 模部署，实现协同工作。此方法还可以配合原有的基于文件名称的加密和基于进程名称的 加密，与此两类加密方法可以很好的兼容，并且克服以上两种加密方法的不足之处。实施例二本实施例构建一个监控涉密数据流向的加密方法，关键是构建一个文件过滤系统 和数据监控系统，其包括-实时加密模块，用于加密实时数据，并为已经加密的数据增加被加密标识字段; 采用的加密算法可以是3DES，AES和IDEA等国外算法，也可以是国家密码管理局推荐的 SCB2-C、SSF33等算法，密钥长度为128位或者256位。-加密数据判断模块，用于数据打开前判断是否已经被加密，如果数据没有被加 密，直接送往相关程序；如果数据被加密，则送往解密模块。-实时解密模块，用于解密被加密数据，送往涉密数据安全区域。-涉密数据安全区域，用于存储解密模块送到的明文，以及相关程序文件，保证涉 密数据转换来的明文的存储安全，通过windws底层驱动技术实现的实时动态加解密文件 的文件存储空间，与开源的PGPDisk，TrueCrypt相类似。-系统监控模块，用于监控涉密和非涉密进程，监控涉密数据安全区域和普通磁盘 之间的文件操作，由一个进程监控驱动程序、文件过滤系统驱动程序组成，此模块可通过。 通过系统监控模块的建立，使所有涉密进程的1\0操作都必须在映射在涉密数据安全区域进行。-磁盘写入缓冲区，用于暂存涉密数据安全区域输出的明文数据，确保数据安全。-磁盘文件监控模块，用于监控磁盘文件，通过magicnumber来过滤磁盘写入缓 冲区文件，对比磁盘缓冲区数据是否与目标目录原数据的属性相同，此处的属性包括文件 的存储位置，hash函数值(MD5、SHA-1等)。-剪切板监控模块，监控剪切板内容的流向。_活动窗口监控模块，监控桌面活动的涉密进程窗口和非涉密进程窗口。当涉密进 程处于桌面活动状态时，截屏软件也进入涉密状态。本实施例同时揭示一种监控涉密数据流向的加密方法，请参阅图1，所述方法包含 以下几个步骤第一步系统管理员将系统中认为需要防止外泄的文件认定为涉密信息，进行手 动加密；第二步打开加密文件，强制关闭所有网络服务的上行输出，防止网络服务向网络 输出数据。第三步将打开加密文件的软件认定为涉密环境，监控模块对涉密环境的1\0进 行控制，只允许涉密环境的输入输出经过涉密数据安全区域；第四步从涉密环境中输出的文件放入磁盘写入缓冲区，经磁盘写入缓冲区与目 标磁盘位置的原文件进行属性对比，如果没有发生变化，则将磁盘写入缓冲区的明文清除， 如果发生变化，则将缓冲区的明文加密写入磁盘位置，写入的为新创建文件都输入为密文。第五步对屏幕进行截屏，如果涉密进程展开活动在桌面，则截屏保存的文件为加 密文件，如果涉密软件最小化在任务栏，则截屏保存的文件为普通文件。第六步将密文全部或者部分复制进另外一个文件中，则本发明因为采用了上述方法和系统，使得在本地数据的透明加解密不再依赖于对 系统使用程序的限制，而是通过对涉密数据流向进行监控来实现，结合对磁盘写入数据进 行对比实现，这样只要对磁盘重要的文件进行指定加密，就既实现了对机密数据的防泄密， 又实现了对未涉密数据的有效甄别，防止了过度加密带来的数据交流上的麻烦。结合数字 证书系统使用，可以在企业单位等中进行大规模部署，实现协同工作。此方法还可以配合原 有的基于文件名称的加密和基于进程名称的加密，与此两类加密方法可以很好的兼容，并 且克服以上两种加密方法的不足之处。实施例三在客户端PC上安装系统软件，包括实时加密模块，数据判断模块，实时解密模块， 涉密数据安全区域，涉密数据安全区域监控模块。涉密数据安全区域，包括但不局限于存放 密文解密后的明文以及打开密文的相关程序的存储位置。典型的，我们以打开cpp文件(C++源代码)为例，讲解本发明的实施方式。步骤1，系统认定系统中某些代码是属于公司或者单位内的机密代码，做某个软件 项目必须使用它，假设这个源代码文件以secret, cpp命名，我们运用这个系统中的加密模 块对这个文件进行强制加密。步骤2，用Microsoft Visual 6. 0打开secret, cpp，强制关闭所有网络服务的上 行输出；
步骤3，实时解密模块将secret, cpp解密进入涉密数据安全区域，并且Microsoft Visual 6.0进入涉密状态，Microsoft Visual 6. 0所有的1\0操作都将被强制映射入涉密 数据安全区域步骤4，在Microsoft Visual 6. 0中对secret, cpp进行编辑，编译，保存，则 Microsoft Visual 6. 0新生成的所有文件都被加密。步骤5，将Microsoft Visual 6. 0打开secret, cpp的文本框中的代码部分或者全 部复制进记事本，则记事本进程被系统监控模块监控，记事本保存的文件将被加密。步骤6，我们对正在编辑含有secret, cpp文件内容的活动窗口的桌面进行截屏， 则通过活动窗口监控模块，对截屏所得的图片进行强制加密。总之，通过任何的使用方法产生的和secret, cpp相关的文件都将是密文。这样既 实现了对secret, cpp的防泄密，又不影响secret, cpp的正常使用。类似的，系统中的文本、图片等的使用方法同上。这里本发明的描述和应用是说明性的，并非想将本发明的范围限制在上述实施例 中。这里所披露的实施例的变形和改变是可能的，对于那些本领域的普通技术人员来说实 施例的替换和等效的各种部件是公知的。本领域技术人员应该清楚的是，在不脱离本发明 的精神或本质特征的情况下，本发明可以以其它形式、结构、布置、比例，以及用其它组件、 材料和部件来实现。在不脱离本发明范围和精神的情况下，可以对这里所披露的实施例进 行其它变形和改变。
权利要求
一种基于涉密数据流向加密的本地数据防泄密系统，其特征在于，所述系统包括实时加密模块，用于加密实时数据，并为已经加密的数据增加被加密标识字段；加密数据判断模块，用于数据打开前判断是否已经被加密；实时解密模块，用于解密被加密数据，送往涉密数据安全区域；涉密数据安全区域，用于存储解密模块送到的明文，以及相关程序文件，保证涉密数据转换来的明文的存储安全；系统监控模块，用于监控涉密和非涉密进程，监控进程的I/O操作，将涉密进程的I/O映射在涉密数据安全区域；剪切板监控模块，用于监控剪切板内容的流向；活动窗口监控模块，用于监控桌面活动的涉密进程窗口和非涉密进程窗口；磁盘文件写入缓冲区，用于暂存所述涉密数据安全区域输出的明文数据，确保数据安全；磁盘文件监控模块，用于监控磁盘文件，对比磁盘文件写入缓冲区的数据是否与目标目录原数据的属性相同。
2.根据权利要求1所述的基于涉密数据流向加密的本地数据防泄密系统，其特征在于涉密数据安全区域的数据只有系统监控模块可以调用，系统监控模块将所有涉密进程 的I/O强制映射在涉密数据安全区域。
3.根据权利要求1所述的基于涉密数据流向加密的本地数据防泄密系统，其特征在于所述磁盘文件监控模块用于监控磁盘文件，通过magic number来过滤磁盘写入缓冲区 文件，对比磁盘缓冲区数据是否与目标目录原数据的属性相同，此处的属性包括文件的存 储位置、hash函数值。
4.根据权利要求1所述的基于涉密数据流向加密的本地数据防泄密系统，其特征在于通过所述磁盘文件监控模块对比磁盘文件写入缓冲区的数据是否与目标目录原数据 的属性相同，智能判断写入磁盘的文件是否需要加密。
5.根据权利要求1所述的基于涉密数据流向加密的本地数据防泄密系统，其特征在于所述系统不禁止电子设备的截屏功能，所有包括有涉密内容的截图都是被强制加密 的，而没有涉密内容的截屏是不加密的；通过对涉密进程活动窗口的监控，智能判断截屏内容是否需要加密。
6.一种权利要求1所述本地数据防泄密系统的防泄密方法，其特征在于，该方法包括 如下步骤A 系统管理员将系统中认为需要防止外泄的文件认定为涉密信息，进行手动加密； B:打开加密文件，强制关闭所有网络服务的上行输出，防止网络服务向网络输出数据；C 将打开加密文件的软件认定为涉密环境，所述系统监控模块对涉密环境的I/O进行 控制，只允许涉密环境的输入输出经过涉密数据安全区域；D:从涉密环境中输出的文件放入磁盘文件写入缓冲区，经磁盘文件写入缓冲区与目标 磁盘位置的原文件进行属性对比；如果没有发生变化，则将磁盘写入缓冲区的明文清除，如 果发生变化，则将缓冲区的明文加密写入磁盘位置，写入的为新创建文件都输入为密文；E 对屏幕进行截屏，如果涉密进程展开活动在桌面，则截屏保存的文件为加密文件； 如果涉密软件最小化在任务栏，则截屏保存的文件为普通文件；F:将密文全部或者部分复制进另外一个文件中，则复制进密文的文件被加密。
7.根据权利要求6所述的防泄密方法，其特征在于涉密数据安全区域的数据只有系统监控模块可以调用，系统监控模块将所有涉密进程 的I/O强制映射在涉密数据安全区域。
8.根据权利要求6所述的防泄密方法，其特征在于通过所述磁盘文件监控模块对比磁盘文件写入缓冲区的数据是否与目标目录原数据 的属性相同，智能判断写入磁盘的文件是否需要加密。
9.根据权利要求6所述的防泄密方法，其特征在于所述系统不禁止电子设备的截屏功能，所有包括有涉密内容的截图都是被强制加密 的，而没有涉密内容的截屏是不加密的。
10.根据权利要求6所述的防泄密方法，其特征在于通过对涉密进程活动窗口的监控，智能判断截屏内容是否需要加密。
全文摘要
本发明揭示了一种基于涉密数据流向加密的本地数据防泄密系统及方法，所述系统包括实时加密模块、加密数据判断模块、实时解密模块、涉密数据安全区域、系统监控模块、剪切板监控模块、活动窗口监控模块、磁盘文件写入缓冲区、磁盘文件监控模块。本发明提出的基于涉密数据流向加密的本地数据防泄密系统及方法，使得在本地数据的透明加解密不再依赖于对系统使用程序的限制，而是通过对涉密数据流向进行监控来实现，结合对磁盘写入数据进行对比实现，这样只要对磁盘重要的文件进行指定加密，就既实现了对机密数据的防泄密，又实现了对未涉密数据的有效甄别，防止了过度加密带来的数据交流上的麻烦。
文档编号H04L9/32GK101860438SQ201010214318
公开日2010年10月13日 申请日期2010年6月30日 优先权日2010年6月30日
发明者耿振民, 魏帅卫 申请人:上海华御信息技术有限公司