[发明专利]一种数据防护方法、装置及系统

说明书

技术领域

本发明涉及通信技术领域，尤其涉及一种数据防护方法、装置及系统。

背景技术

随着信息化的发展，信息安全日益成为企业安全管理和风险控制的核心内容。许多企业为了防止员工在外发数据时造成的信息泄露，在其内部网络中部署了数据防泄漏(Data Loss Prevent，DLP)服务器，以保护其数据安全。

现有的DLP实现方案中，可以通过网页代理(web proxy)服务器或者邮件传送代理(Mail Transfer Agent，MTA)服务器将来自于用户终端的外发的数据(网页数据或者邮件)传输到DLP服务器中，DLP服务器采用关键字、元数据、正则表达式、多模匹配、指纹匹配等算法对外发的数据流中的数据的安全性进行判定，发送通过安全性判定的数据至目的地址，拦截未通过安全性判定的数据或者选择性的发送该数据至目的地址。

现有技术中，DLP服务器在进行安全性判定时，对于系统监控范围内的所有用户的外发数据都执行同样的判定流程，导致外发数据的安全性判定时延较大，影响数据的外发效率，影响用户体验。

发明内容

本发明的实施例提供一种数据防护方法、装置及系统，可以减少外发数据的安全性判定时延，进而提高数据的外发效率，提高用户体验。

为达到上述目的，本发明的实施例采用如下技术方案：

第一方面，提供一种数据防护方法，包括：

接收来自用户终端的外发数据，所述外发数据中携带用户的身份标识；

根据所述身份标识从信誉服务器获取所述用户的用户等级和信誉值，所述信誉值为所述用户的外发数据的违规百分比；

发送所述外发数据、所述用户等级和所述信誉值至数据防泄漏DLP服务器，以使所述DLP服务器根据所述用户等级和所述信誉值对所述外发数据的安全性进行判定，进而使所述DLP服务器生成包含判定结果的消息，所述判定结果包括通过安全性判定和未通过安全性判定；

接收来自所述DLP服务器的所述包含所述判定结果的消息，并根据所述判定结果采用与所述判定结果对应的策略处理所述外发数据。

结合第一方面，在第一方面的第一种可能的实现方式中，所述根据所述身份标识从信誉服务器获取所述用户的用户等级和信誉值，包括：

发送所述身份标识至所述信誉服务器，以使所述信誉服务器根据所述身份标识查询所述用户的用户等级和所述信誉值；

接收来自所述信誉服务器的所述用户等级和所述信誉值。

结合第一方面、或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述来自用户终端的外发数据为所述用户终端的通过身份认证的外发数据。

结合第一方面、第一方面的第一或第二种可能的实现方式，在第一方面的第三种可能的实现方式中，所述用户的用户等级包括：免审查级、审查级和停外发权限级，所述审查级至少包括简单审查级和严格审查级；

所述违规百分比为所述信誉服务器根据所述信誉服务器中预存的所述用户的外发数据通过所述安全性判定的次数和未通过所述安全性判定的次数计算得到的。

结合第一方面、第一方面的第一、第二或第三种可能的实现方式，在第一方面的第四种可能的实现方式中，所述根据所述判定结果采用预设策略处理所述外发数据，包括：

若所述判定结果指示所述外发数据通过安全性判定，则发送所述外发数据至所述外发数据的目的地址；

若所述判定结果指示所述外发数据未通过所述安全性判定，则拦截所述外发数据。

结合第一方面、或第一方面的上述任意一种可能的实现方式，在第一方面的第五种可能的实现方式中，在所述接收来自所述DLP服务器的所述包含所述判定结果的消息，并根据所述判定结果采用与所述判定结果对应的策略处理所述外发数据之后，所述方法还包括：

发送所述包含所述判定结果的消息至所述信誉服务器，以使得所述信誉服务器根据所述身份标识和所述判定结果更新所述用户等级和所述信誉值。

接收来自所述用户终端的通过身份认证的用户终端的外发数据。

结合第一方面、或第一方面的上述任意一种可能的实现方式，在第一方面的第六种可能的实现方式中，若所述外部数据为Web数据，所述发送所述外发数据、所述用户等级和所述信誉值至DLP服务器，具体为：

通过互联网内容适配协议ICAP协议向所述DLP服务器发送所述外发数据、所述用户等级和所述信誉值，其中所述用户等级和所述信誉值携带在扩展的ICAP头部字段中。

第二方面，还提供一种数据防护方法，包括：