[发明专利]一种信息防泄密系统

说明书

技术领域

本发明属于计算机技术领域，尤其涉及一种信息防泄密系统。

背景技术

信息安全的终极目标是保障信息在存储和传输时的安全。信息安全的漏洞既可以存在于有线或无线、固定或移动网络之中，也可以是通过USB等设备接口经由直接的物理接触构成，因此，全面管理终端端点的信息泄漏防范(information leakage prevention，ILP)技术和解决方案，在计算机安全技术领域有其一定的应用价值。目前国内外一些厂商相继推出了不同的信息保护产品，这些产品都是针对文档的权限进行设置，如一定时间内只读、限制打印次数、限制只读次数等，而且还存在以下安全漏洞和局限性：

1)只能对指定文件格式进行处理，如PDF、Office、TXT、CAD等，有的还甚至需要专门的阅读器。

2)没有防范第一作者，第一作者可以任意地对其书写的重要信息文档做出副本，这样就很容易通过文档副本泄露了信息。

3)对文件的加密迟后，目前的信息保护产品只能对整个文件进行加密，但在这之前，作者编辑/修改的文件在磁盘中是以明文保存的，属于不安全时期，目前木马等病毒猖獗，在作者边写文档便保存的同时，就可以把整个文档的信息全部窃取。

4)只对单个文档进行控制，对打开/编辑该文档的软件程序并不控制，这就存在很大的漏洞，比如，已经对特定的一个word文件进行控制，但黑客可以在word.exe程序中注入黑客程序，在读取该word文件的同时，窃取该word文件的全部信息。

发明内容

本发明要解决的技术问题是针对现有技术中信息防泄密系统存在的加密滞后的缺陷提出一种能够实时加密的更加安全可靠的信息防泄密系统。

为解决上述技术问题，本发明的信息防泄密系统包括服务器和客户端，客户端的操作系统内核(即客户端内核层)中包括智能监控模块和动态加解密模块。客户端在通过服务器的认证后进入本地安全环境。

其中智能监控模块包括文本/二进制区分子模块、本地文件I/O监控子模块和网络I/O监控子模块。文本/二进制区分子模块负责对文件类型进行区分，判定是否为文本文件，本地文件I/O监控子模块和网络I/O监控子模块以及动态加解密模块都只针对文本文件进行处理；本地文件I/O监控子模块负责对本地文件I/O进行监控；网络I/O监控子模块负责对网络I/O进行监控。

动态加解密模块对写出的所有文本文件进行动态加密，并设置加密标志，读入加密文件时，对加密数据进行解密，最终以明文的形式陈现给用户。

文本/二进制区分子模块对文本和二进制的区分是基于MAGIC Number，若一个文件的MAGIC Number在MAGIC Number库中，则判断其是文本文件，否则判断它是二进制文件。

本地文件I/O监控子模块对本地文件I/O的监控是通过对文件过滤驱动中的相关历程进行挂钩(hook)实现的，该本地文件I/O监控子模块拦截Windows文件过滤驱动，在拦截历程中对用户的所有文件操作进行过滤。

网络I/O监控子模块对网络I/O的监控是通过TDI过滤驱动从内核级对网络通信数据进行监控，监控程序调用动态加解密驱动模块对环境内的进程发送的数据进行加密处理，对环境内进程接受的数据进行解密；对于环境外的进程，如果环境外的进程将数据发往指定IP列表中的服务器，则将数据包丢弃；环境内的进程发往受保护服务器的网络数据首先在TDI过滤驱动中进行加密处理，然后通过路由将数据丢到SSL VPN虚拟网卡，VPN对加密的数据进行解密处理，并对数据进行封装然后通过VPN加密隧道发送出去。

动态加解密模块采用AES 256位高强度加密算法，加密密钥变化，为使用该信息防泄密系统的工作组内部提供相同的策略、密钥。

客户端的操作系统内核中还包括日志审计模块，用户在使用被监控应用时的任何读写操作都被自动强制地进行日志记录，各条日志的主键是从用户使用的证书中提取的用户名；该日志审计模块采用3W1H日志格式。

服务器提供身份认证功能和信息配置功能，客户端启动信息防泄密系统之前首先需要通过管理员分发的证书向服务器进行身份认证，认证成功则允许启动系统，并从服务器下载相关配置信息到本地，否则提示认证失败，不启动信息防泄密系统；服务器还提供安全审计功能，客户端将用户在本地所有对文件操作和网络I/O信息发送到服务器，这些审计信息保存在服务器端数据库中，便于事后责任追踪；服务器还用于保存日志审计模块产生的日志。