基于本地虛擬環(huán)境的防泄密方法及裝置制造方法
【專利摘要】本發(fā)明公開一種基于本地虛擬環(huán)境的防泄密方法及裝置，該方法包括：檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；若是，則根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限；若否，則拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。本發(fā)明通過(guò)檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；若是，則在啟動(dòng)安全桌面后，在虛擬環(huán)境中可以使用系統(tǒng)提供的基本服務(wù)；若否，則拒絕訪問網(wǎng)絡(luò)的方法，具有共享本地虛擬環(huán)境的系統(tǒng)組件并使用本機(jī)已有的應(yīng)用程序，同時(shí)阻止對(duì)本地文件訪問的有益效果，防止了終端本機(jī)信息的泄露，增強(qiáng)了終端本機(jī)信息的安全性。
【專利說(shuō)明】基于本地虛擬環(huán)境的防泄密方法及裝置
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全【技術(shù)領(lǐng)域】，尤其涉及一種基于本地虛擬環(huán)境的防泄密方法及裝置。
【背景技術(shù)】
[0002]隨著信息化技術(shù)的不斷發(fā)展進(jìn)步，企業(yè)中越來(lái)越多與業(yè)務(wù)相關(guān)的信息以電子文檔的形式存在，對(duì)帶有敏感內(nèi)容的機(jī)密文檔的防泄密技術(shù)是眾多企業(yè)和用戶關(guān)注的焦點(diǎn)。
[0003]現(xiàn)有技術(shù)的防泄密方法主要有以下幾種:①文檔加密方案，這種方案主要通過(guò)文件過(guò)濾驅(qū)動(dòng)等手段，給合法的程序提供真實(shí)的數(shù)據(jù)，給非法的程序提供加密后的數(shù)據(jù)。但文檔加密軟件無(wú)法區(qū)分哪些是合法的數(shù)據(jù)訪問，哪些是非法的數(shù)據(jù)訪問，由此而帶來(lái)的各種漏洞層出不窮。這個(gè)缺點(diǎn)成為了這個(gè)方案的最大問題。②遠(yuǎn)端虛擬化方案，這種方案通過(guò)遠(yuǎn)端服務(wù)器提供真實(shí)的訪問，而客戶端只能看到遠(yuǎn)端服務(wù)器傳回的影像數(shù)據(jù)。由于各種計(jì)算的集中，使得部署需要配備海量的服務(wù)器群，由此帶來(lái)成本、管理、維護(hù)的各種問題，使該方案無(wú)法大規(guī)模部署；同時(shí)該方案頁(yè)不符合用戶的使用習(xí)慣。③DLP (Data LeakagePrevention,數(shù)據(jù)泄露防護(hù))技術(shù)，一般通過(guò)文件數(shù)據(jù)內(nèi)容特征匹配算法，建立起一套匹配規(guī)則來(lái)定義不同安全等級(jí)的文檔，進(jìn)而對(duì)不同安全等級(jí)的文檔進(jìn)行全方位防護(hù)的安全技術(shù)；由于數(shù)據(jù)內(nèi)容的表達(dá)方式千差萬(wàn)別，在定義數(shù)據(jù)內(nèi)容匹配規(guī)則時(shí)，漏審率和誤判率很難平衡，所以這種方案的可操作性非常低。④防水墻技術(shù)，“防水墻”是一套針對(duì)防止內(nèi)部信息泄漏而設(shè)計(jì)的安全方案，防護(hù)范圍覆蓋了網(wǎng)絡(luò)、外設(shè)接口、存儲(chǔ)介質(zhì)和打印機(jī)構(gòu)成信息泄漏的全部途徑，與防病毒產(chǎn)品、外部安全產(chǎn)品一起構(gòu)成較為完整的網(wǎng)絡(luò)安全體系；但防水墻技術(shù)無(wú)法區(qū)分哪些是 合法的行為，哪些是非法的行為，從而衍生出大量的漏洞。

【發(fā)明內(nèi)容】

[0004]本發(fā)明的主要目的是提供一種基于本地虛擬環(huán)境的防泄密方法及裝置，旨在采用本地虛擬化方案解決網(wǎng)絡(luò)泄密問題。
[0005]本發(fā)明公開了一種基于本地虛擬環(huán)境的防泄密方法，包括以下步驟:
[0006]檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；
[0007]若是，則根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限；
[0008]若否，則拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。
[0009]優(yōu)選地，所述根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限包括:
[0010]檢測(cè)是否啟動(dòng)安全桌面；
[0011]若是，則允許在重定向緩沖區(qū)域訪問網(wǎng)絡(luò)系統(tǒng)資源，限制本機(jī)文件系統(tǒng)的訪問權(quán)限；
[0012]若否，則攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面。
[0013]優(yōu)選地，所述限制本機(jī)文件系統(tǒng)的訪問權(quán)限包括:[0014]封裝所述本機(jī)文件的根目錄，阻止所有對(duì)所述本機(jī)文件的訪問操作；
[0015]阻止對(duì)所述本機(jī)系統(tǒng)組件的讀寫操作；在對(duì)所述本機(jī)系統(tǒng)組件中的預(yù)置組件加載后，返回對(duì)應(yīng)的偽組件；調(diào)用所述偽組件，阻止對(duì)加載后的所述預(yù)置組件的讀寫操作；
[0016]放通所述本機(jī)共享軟件正常使用時(shí)的相關(guān)文件目錄，允許所述本機(jī)共享軟件的正常執(zhí)行；同時(shí)，禁止對(duì)所述共享軟件的讀寫操作。
[0017]優(yōu)選地，所述限制本機(jī)文件系統(tǒng)的訪問權(quán)限包括:
[0018]獲取并記錄所述本機(jī)文件系統(tǒng)中所有軟件各自對(duì)應(yīng)的軟件行為集合；
[0019]允許所述本機(jī)文件系統(tǒng)中的軟件訪問對(duì)應(yīng)的所述軟件行為集合，攔截所述軟件對(duì)超出所述軟件行為集合的訪問。
[0020]優(yōu)選地，所述攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面包括:
[0021]攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向信息；
[0022]訪問所述重定向信息指定的頁(yè)面，輸入認(rèn)證信息；
[0023]認(rèn)證通過(guò)，若未安裝所述安全桌面，則跳轉(zhuǎn)至所述安全桌面的安裝頁(yè)面，提示用戶安裝所述安全桌面；若已安裝所述安全桌面，則提示用戶啟動(dòng)所述安全桌面。
[0024]本發(fā)明還公開一種基于本地虛擬環(huán)境的防泄密裝置，包括:
[0025]數(shù)據(jù)檢測(cè)模塊，用于檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；
[0026]訪問權(quán)限控制模塊，用于在用戶數(shù)據(jù)來(lái)自虛擬環(huán)境時(shí)，根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限；
[0027]訪問提示模塊，用于在用戶數(shù)據(jù)不是來(lái)自虛擬環(huán)境時(shí)，拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。
[0028]優(yōu)選地，所述訪問權(quán)限控制模塊用于:
[0029]檢測(cè)是否啟動(dòng)安全桌面；
[0030]若是，則允許在重定向緩沖區(qū)域訪問網(wǎng)絡(luò)系統(tǒng)資源，限制本機(jī)文件系統(tǒng)的訪問權(quán)限；
[0031]若否，則攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面。
[0032]優(yōu)選地，所述訪問權(quán)限控制模塊還用于:
[0033]封裝所述本機(jī)文件的根目錄，阻止所有對(duì)所述本機(jī)文件的訪問操作；
[0034]阻止對(duì)所述本機(jī)系統(tǒng)組件的讀寫操作；在對(duì)所述本機(jī)系統(tǒng)組件中的預(yù)置組件加載后，返回對(duì)應(yīng)的偽組件；調(diào)用所述偽組件，阻止對(duì)加載后的所述預(yù)置組件的讀寫操作；
[0035]放通所述本機(jī)共享軟件正常使用時(shí)的相關(guān)文件目錄，允許所述本機(jī)共享軟件的正常執(zhí)行；同時(shí)，禁止對(duì)所述共享軟件的讀寫操作。
[0036]優(yōu)選地，所述訪問權(quán)限控制模塊還用于:
[0037]獲取并記錄所述本機(jī)文件系統(tǒng)中所有軟件各自對(duì)應(yīng)的軟件行為集合；
[0038]允許所述本機(jī)文件系統(tǒng)中的軟件訪問對(duì)應(yīng)的所述軟件行為集合，攔截所述軟件對(duì)超出所述軟件行為集合的訪問。
[0039]優(yōu)選地，所述訪問權(quán)限控制模塊還用于:
[0040]攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向信息；[0041]訪問所述重定向信息指定的頁(yè)面，輸入認(rèn)證信息；
[0042]認(rèn)證通過(guò)，若未安裝所述安全桌面，則跳轉(zhuǎn)至所述安全桌面的安裝頁(yè)面，提示用戶安裝所述安全桌面；若已安裝所述安全桌面，則提示用戶啟動(dòng)所述安全桌面。
[0043]本發(fā)明通過(guò)檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；若是，則在啟動(dòng)安全桌面后，在虛擬環(huán)境中可以使用系統(tǒng)提供的基本服務(wù)；若否，則拒絕訪問網(wǎng)絡(luò)的方法，具有共享本地虛擬環(huán)境的系統(tǒng)組件并使用本機(jī)已有的應(yīng)用程序，同時(shí)阻止對(duì)本地文件訪問的有益效果，防止了終端本機(jī)信息的泄露，增強(qiáng)了終端本機(jī)信息的安全性。
【專利附圖】

【附圖說(shuō)明】
[0044]圖1是安全桌面的組成一實(shí)施例結(jié)構(gòu)示意圖；
[0045]圖2是本發(fā)明基于本地虛擬環(huán)境的防泄密方法一實(shí)施例流程示意圖；
[0046]圖3是本發(fā)明基于本地虛擬環(huán)境的防泄密方法中，未啟動(dòng)安全桌面時(shí)，攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面一實(shí)施例信號(hào)流圖；
[0047]圖4是本發(fā)明基于本地虛擬環(huán)境的防泄密裝置一實(shí)施例結(jié)構(gòu)示意圖。
[0048]本發(fā)明目的的實(shí)現(xiàn)、功能特點(diǎn)及優(yōu)點(diǎn)將結(jié)合實(shí)施例，參照附圖做進(jìn)一步說(shuō)明。
【具體實(shí)施方式】
[0049]以下結(jié)合說(shuō)明書附圖及具體實(shí)施例進(jìn)一步說(shuō)明本發(fā)明的技術(shù)方案。應(yīng)當(dāng)理解，此處所描述的具體實(shí)施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。
[0050]本發(fā)明基于本地虛擬環(huán)境的防泄密方法及裝置中，所述的虛擬環(huán)境指的是，使用沙盒技術(shù)在本地提供一個(gè)虛擬環(huán)境，這個(gè)虛擬環(huán)境會(huì)共享系統(tǒng)的基本核心組件，享受系統(tǒng)提供的基本服務(wù)。但在虛擬化的環(huán)境中無(wú)法訪問到本地的文件資源。同時(shí)用戶如果需要上網(wǎng)，只能在虛擬環(huán)境中通過(guò)安全桌面上網(wǎng)，而無(wú)法在真實(shí)的桌面環(huán)境中使用默認(rèn)桌面上網(wǎng)；用戶在虛擬環(huán)境中可以使用系統(tǒng)提供的基本服務(wù)，但是無(wú)法訪問到本地的文件資源。這樣，既可以保障虛擬環(huán)境自身的安全，也可以保障沙盒中不會(huì)產(chǎn)生對(duì)本機(jī)的非法訪問。同時(shí)，還需要在網(wǎng)絡(luò)的出口即網(wǎng)絡(luò)資源邊界部署一臺(tái)網(wǎng)關(guān)設(shè)備，即安全網(wǎng)關(guān)，用于控制在不同網(wǎng)絡(luò)之間的數(shù)據(jù)通信。當(dāng)用戶試圖上網(wǎng)的時(shí)候，安全網(wǎng)關(guān)檢測(cè)用戶的數(shù)據(jù)是否來(lái)自虛擬環(huán)境，如果不是，則拒絕其訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中進(jìn)行上網(wǎng)。在邊界上，安全網(wǎng)關(guān)根據(jù)配置判斷用戶數(shù)據(jù)是否合法，是否允許用戶數(shù)據(jù)通行；同時(shí)安全網(wǎng)關(guān)還負(fù)責(zé)用戶的認(rèn)證、安全桌面的分發(fā)、管理員的配置等。
[0051]所述沙盒在計(jì)算機(jī)領(lǐng)域指一種虛擬技術(shù)，提供應(yīng)用程序運(yùn)行的虛擬環(huán)境；所述默認(rèn)桌面指用戶日常使用的真實(shí)系統(tǒng)桌面，所述安全桌面指為提供用戶訪問網(wǎng)絡(luò)而使用沙盒虛擬出來(lái)的安全桌面。該安全桌面部署在用戶使用的終端上，用于構(gòu)建虛擬安全桌面，和安全網(wǎng)關(guān)進(jìn)行通信，供用戶訪問網(wǎng)絡(luò)等；同時(shí)，安全桌面還負(fù)責(zé)處理自身和默認(rèn)桌面之間的資源訪問、數(shù)據(jù)交換等。
[0052]參照?qǐng)D1，圖1是安全桌面的組成一實(shí)施例結(jié)構(gòu)示意圖；如圖1所示，安全桌面主要是由網(wǎng)關(guān)設(shè)備上的后臺(tái)、驅(qū)動(dòng)及終端上的服務(wù)、程序共同組成的一個(gè)整體；圖1所定義的各組件的功能為:
[0053]IngressDrv (應(yīng)用設(shè)備驅(qū)動(dòng)程序的擴(kuò)展名)，SD (Secure Digital,安全數(shù)字)設(shè)備上的網(wǎng)絡(luò)攔截模塊，負(fù)責(zé)SD未啟動(dòng)時(shí)互聯(lián)網(wǎng)訪問的攔截；singress，SD設(shè)備上提供服務(wù)的后臺(tái)程序，負(fù)責(zé)與所有安裝了 SD的終端進(jìn)行通信，主要功能有下發(fā)規(guī)則、更新網(wǎng)絡(luò)攔截信息、更新認(rèn)證信息、授權(quán)數(shù)控制等；SDModule (模塊)，終端上的核心組件，以服務(wù)的方式常駐運(yùn)行，主要負(fù)責(zé)與SD設(shè)備通信，獲取規(guī)則、上報(bào)網(wǎng)絡(luò)訪問信息、守護(hù)安全桌面核心組件、可靠性保護(hù)等；SDLancher，終端上啟動(dòng)安全桌面的一個(gè)程序，主要負(fù)責(zé)從SDModule獲取運(yùn)行信息，然后對(duì)運(yùn)行環(huán)境檢查以及啟動(dòng)Sangforn ;Sangforn，負(fù)責(zé)終端上SD大部分UI (user interface,用戶界面)的顯示工作,如顯示啟動(dòng)界面、托盤、導(dǎo)出框文件對(duì)話框等；SangforSDH，終端上的核心組件，負(fù)責(zé)創(chuàng)建整個(gè)虛擬環(huán)境，啟動(dòng)虛擬環(huán)境中所有Π，啟動(dòng)虛擬explorer (網(wǎng)絡(luò)瀏覽器),注入另一個(gè)核心組件SangforSD ;SangforSD,終端上的核心組件，會(huì)注入到虛擬環(huán)境中所有的進(jìn)程內(nèi)，負(fù)責(zé)文件、注冊(cè)表重定向、內(nèi)存保護(hù)、系統(tǒng)關(guān)鍵位置保護(hù)、文件訪問控制等；ProxyIE,終端上被注冊(cè)到系統(tǒng)LSP (Layered Service Provider,分層服務(wù)提供商)中的組件，由系統(tǒng)注入到所有需要訪問網(wǎng)絡(luò)的程序，主要負(fù)責(zé)網(wǎng)絡(luò)攔截功倉(cāng)泛。
[0054]在終端上，安全桌面會(huì)安裝一套客戶端組件。安全桌面的核心組件SDModule負(fù)責(zé)與SD設(shè)備進(jìn)行通信，監(jiān)控SD運(yùn)行狀況，下發(fā)設(shè)備規(guī)則等。用戶如果點(diǎn)擊啟動(dòng)安全桌面，那么首先會(huì)啟動(dòng)SDLancher運(yùn)行程序,SDLancher程序負(fù)責(zé)檢查運(yùn)行環(huán)境,從SDModule獲取策略等。完成上述任務(wù)后，SDLancher啟動(dòng)SangforUI程序,SangforUI程序負(fù)責(zé)顯示安全桌面啟動(dòng)的進(jìn)度條。SangforUI啟動(dòng)以后，負(fù)責(zé)啟動(dòng)SangforSDUI ；SangforSDUI程序是安全桌面的一個(gè)核心組件，負(fù)責(zé)創(chuàng)建虛擬環(huán)境,初始化虛擬環(huán)境中的UI，啟動(dòng)虛擬環(huán)境內(nèi)的explorer，將另一個(gè)核心組件注入explorer。SangforSD會(huì)注入到虛擬環(huán)境中所有的進(jìn)程內(nèi)，負(fù)責(zé)安全桌面的文件重定向、注冊(cè)表重定向、內(nèi)存保護(hù)、系統(tǒng)保護(hù)等功能。重要組件ProxyIE注入本機(jī)所有需要訪問網(wǎng)絡(luò)的進(jìn)程，并過(guò)濾所有本機(jī)的網(wǎng)絡(luò)行為。
[0055]基于以上描述，請(qǐng)參照?qǐng)D2，圖2是本發(fā)明基于本地虛擬環(huán)境的防泄密方法一實(shí)施例流程示意圖；如圖2所示，本發(fā)明基于本地虛擬環(huán)境的防泄密方法包括以下步驟:
[0056]步驟S01、檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；若是，則執(zhí)行步驟S02 ;若否，則執(zhí)行步驟S03 ；
[0057]安全桌面的沙盒技術(shù)主要是通過(guò)對(duì)虛擬環(huán)境中的API (Application ProgramInterface，應(yīng)用程序界面)進(jìn)行掛鉤實(shí)現(xiàn)的。首先，對(duì)文件操作、注冊(cè)表操作、內(nèi)存操作、系統(tǒng)配置等各種系統(tǒng)API進(jìn)行掛鉤。這樣便可以對(duì)各種行為進(jìn)行控制，對(duì)于非法的危險(xiǎn)行為，直接拒絕訪問。對(duì)于合法的操作，將其引導(dǎo)至一個(gè)重定向的緩沖區(qū)域，而不會(huì)對(duì)真實(shí)環(huán)境產(chǎn)生影響。
[0058]步驟S02、根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限；
[0059]步驟S03、拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。
[0060]對(duì)于不是來(lái)自虛擬環(huán)境的用戶數(shù)據(jù)，將直接拒絕其訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中進(jìn)行上網(wǎng)。
[0061]對(duì)于來(lái)自虛擬環(huán)境的用戶數(shù)據(jù)，檢測(cè)終端是否啟動(dòng)了安全桌面；因?yàn)?，在終端沒有安裝或啟動(dòng)安全桌面時(shí)，本地的數(shù)據(jù)訪問攔截是不生效的；但數(shù)據(jù)包到達(dá)AC (AccessController，接入控制器)設(shè)備以后，將會(huì)被攔截，并返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面。[0062]參照?qǐng)D3，圖3是本發(fā)明基于本地虛擬環(huán)境的防泄密方法中，未啟動(dòng)安全桌面時(shí)，攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面一實(shí)施例信號(hào)流圖；如圖3所示，在未啟動(dòng)安全桌面時(shí)，由AC攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面的具體過(guò)程為:攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向信息，在一優(yōu)選的實(shí)施例中，所述重定向消息為HTTP302 ;瀏覽器訪問HTTP302中指定的頁(yè)面，輸入正確的認(rèn)證信息；認(rèn)證通過(guò)后，若未安裝所述安全桌面，則跳轉(zhuǎn)至所述安全桌面的安裝頁(yè)面，提示用戶安裝所述安全桌面；在一優(yōu)選的實(shí)施例中，用戶在安裝界面通過(guò)控件ActiveX提示自動(dòng)安裝，或者手動(dòng)下載exe安裝文件進(jìn)行安裝；安裝成功后，提示用戶啟動(dòng)安全桌面。若終端已安裝所述安全桌面，則提示用戶啟動(dòng)所述安全桌面。啟動(dòng)安全桌面后，終端將可以正常進(jìn)行上網(wǎng)。
[0063]在一優(yōu)選的實(shí)施例中，啟動(dòng)安全桌面后，限制終端的相應(yīng)訪問權(quán)限包括:允許終端在重定向緩沖區(qū)域訪問網(wǎng)絡(luò)系統(tǒng)資源，限制本機(jī)文件系統(tǒng)的訪問權(quán)限；所述限制本機(jī)文件系統(tǒng)的訪問權(quán)限包括:限制本機(jī)文件、本機(jī)系統(tǒng)組件及本機(jī)共享軟件的訪問權(quán)限。具體地，封裝所述本機(jī)文件的根目錄，阻止所有對(duì)所述本機(jī)文件的訪問操作；阻止對(duì)所述本機(jī)系統(tǒng)組件的讀寫操作；在對(duì)所述本機(jī)系統(tǒng)組件中的預(yù)置組件加載后，返回對(duì)應(yīng)的偽組件；調(diào)用所述偽組件，阻止對(duì)加載后的所述預(yù)置組件的讀寫操作；放通所述本機(jī)共享軟件正常使用時(shí)的相關(guān)文件目錄，允許所述本機(jī)共享軟件的正常使用。
[0064]具體地，攔截對(duì)應(yīng)的API，阻止所有對(duì)本機(jī)文件的訪問。同時(shí)對(duì)于本機(jī)系統(tǒng)組件的訪問，允許當(dāng)次調(diào)用，當(dāng)次調(diào)用完畢后，將不再允許對(duì)指定資源的訪問，實(shí)現(xiàn)對(duì)系統(tǒng)資源讀寫的控制。對(duì)于加載的行為，將返回一個(gè)fake組件(偽組件)，所述fake組件對(duì)于正規(guī)的系統(tǒng)調(diào)用會(huì)直接跳到鉤子函數(shù)中，防止了在內(nèi)存中加載組件后通過(guò)讀取內(nèi)存而出現(xiàn)泄密的問題。
[0065]由于大部分微軟產(chǎn)品如offices、IE都有如下特性，即如果通過(guò)UI操作打開一個(gè)文件路徑，則必須一級(jí)一級(jí)目錄的打開，如果某一級(jí)目錄不存在，則不會(huì)繼續(xù)打開文件。比如在Explorer或IE的地址欄輸入C: \test\l.txt,如果test文件夾不存在或者打不開，則1.txt就無(wú)法打開；使用“打開文件對(duì)話框”的方式也是一樣，進(jìn)去后什么文件都看不到。因此，只需對(duì)相應(yīng)的目錄設(shè)置鉤子函數(shù)即可，比如對(duì)NtCreateFile函數(shù)掛鉤，當(dāng)傳進(jìn)來(lái)的路徑是個(gè)二級(jí)目錄時(shí)如C:\test\，由于返回路徑不存在，則終端將無(wú)法看到C:\test目錄和打開C:\test目錄下的文件，即使在地址欄輸入完整文件路徑也無(wú)法打開。因此當(dāng)復(fù)用本地軟件如Word時(shí),可以把office相關(guān)目錄和windows目錄放通,讓word能正常使用，然后通過(guò)上述封存文件目錄的方法，用戶即使采用“打開文件對(duì)話框”，無(wú)法看到任何文件，即可以執(zhí)行共享軟件但禁止對(duì)該共享軟件的讀寫操作，有效地防止了信息泄露。
[0066]在一優(yōu)選的實(shí)施例中，啟動(dòng)安全桌面后，限制終端的相應(yīng)訪問權(quán)限包括:獲取并記錄所述本機(jī)文件系統(tǒng)中所有軟件各自對(duì)應(yīng)的軟件行為集合；允許所述本機(jī)文件系統(tǒng)中的軟件訪問對(duì)應(yīng)的所述軟件行為集合，攔截所述軟件對(duì)超出所述軟件行為集合的訪問。
[0067]具體地，由于終端上的每一款軟件都會(huì)有自己行為的集合，將這些行為集合定義為所述的軟件行為集合；將超出這些軟件自己行為集合的行為定義為用戶行為集合。例如，騰訊聊天軟件QQ啟動(dòng)時(shí)，會(huì)訪問系統(tǒng)目錄里的13個(gè)文件，訪問QQ軟件自身目錄里的27個(gè)文件，這些行為就是定義的軟件行為集合。如果用戶要通過(guò)QQ聊天窗口發(fā)送一個(gè)文件，那么可能就會(huì)訪問一些額外的文件，這種行為即定義的用戶行為集合。
[0068]對(duì)本機(jī)文件系統(tǒng)的訪問權(quán)限進(jìn)行限制時(shí)，首先通過(guò)一個(gè)軟件行為產(chǎn)生工具，自動(dòng)產(chǎn)生并獲取本機(jī)文件系統(tǒng)中所有軟件對(duì)應(yīng)的軟件行為集合，然后將對(duì)應(yīng)的這些軟件行為集合記錄下來(lái)；在虛擬環(huán)境里，允許各個(gè)軟件訪問自身對(duì)應(yīng)的軟件行為集合；如果某個(gè)軟件嘗試訪問超過(guò)它自身對(duì)應(yīng)的軟件行為集合的內(nèi)容時(shí)，就會(huì)被攔截掉，有效地限制對(duì)本機(jī)文件系統(tǒng)的相應(yīng)訪問權(quán)限。
[0069]本實(shí)施例通過(guò)檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；若是，則在啟動(dòng)安全桌面后，在虛擬環(huán)境中可以使用系統(tǒng)提供的基本服務(wù)；若否，則拒絕訪問網(wǎng)絡(luò)的方法，具有共享本地虛擬環(huán)境的系統(tǒng)組件并使用本機(jī)已有的應(yīng)用程序，同時(shí)阻止對(duì)本地文件訪問的有益效果，防止了本機(jī)信息的泄露，增強(qiáng)了本機(jī)信息的安全性。
[0070]參照?qǐng)D4，圖4是本發(fā)明基于本地虛擬環(huán)境的防泄密裝置一實(shí)施例結(jié)構(gòu)示意圖。如圖4所示，本發(fā)明基于本地虛擬環(huán)境的防泄密裝置包括:數(shù)據(jù)檢測(cè)模塊01、訪問權(quán)限控制模塊02和訪問提不I旲塊03。
[0071 ] 數(shù)據(jù)檢測(cè)模塊OI，用于檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境。
[0072]安全桌面的沙盒技術(shù)主要是通過(guò)對(duì)虛擬環(huán)境中的API進(jìn)行掛鉤實(shí)現(xiàn)的。首先，對(duì)文件操作、注冊(cè)表操作、內(nèi)存操作、系統(tǒng)配置等各種系統(tǒng)API進(jìn)行掛鉤。這樣便可以對(duì)各種行為進(jìn)行控制，對(duì)于非法的危險(xiǎn)行為，數(shù)據(jù)檢測(cè)模塊01直接拒絕訪問。對(duì)于合法的操作，數(shù)據(jù)檢測(cè)模塊01將其引導(dǎo)至一個(gè)重定向的緩沖區(qū)域，而不會(huì)對(duì)真實(shí)環(huán)境產(chǎn)生影響。
[0073]訪問權(quán)限控制模塊02，用于在用戶數(shù)據(jù)來(lái)自虛擬環(huán)境時(shí)，根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限。
[0074]對(duì)于來(lái)自虛擬環(huán)境的用戶數(shù)據(jù)，訪問權(quán)限控制模塊02檢測(cè)終端是否啟動(dòng)了安全桌面；因?yàn)?，在終端沒有安裝或啟動(dòng)安全桌面時(shí)，本地的數(shù)據(jù)訪問攔截是不生效的；但數(shù)據(jù)包到達(dá)AC設(shè)備以后，將會(huì)被攔截，并返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面。
[0075]未啟動(dòng)安全桌面時(shí)，攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面的過(guò)程請(qǐng)參照?qǐng)D3所述實(shí)施例的具體描述，在此不再贅述。
[0076]在一優(yōu)選的實(shí)施例中，啟動(dòng)安全桌面后，訪問權(quán)限控制模塊02限制終端的相應(yīng)訪問權(quán)限包括:允許終端在重定向緩沖區(qū)域訪問網(wǎng)絡(luò)系統(tǒng)資源，限制本機(jī)文件系統(tǒng)的訪問權(quán)限；所述限制本機(jī)文件系統(tǒng)的訪問權(quán)限包括:限制本機(jī)文件、本機(jī)系統(tǒng)組件及本機(jī)共享軟件的訪問權(quán)限。具體地，封裝所述本機(jī)文件的根目錄，阻止所有對(duì)所述本機(jī)文件的訪問操作；阻止對(duì)所述本機(jī)系統(tǒng)組件的讀寫操作；在對(duì)所述本機(jī)系統(tǒng)組件中的預(yù)置組件加載后，返回對(duì)應(yīng)的偽組件；調(diào)用所述偽組件，阻止對(duì)加載后的所述預(yù)置組件的讀寫操作；放通所述本機(jī)共享軟件正常使用時(shí)的相關(guān)文件目錄，允許所述本機(jī)共享軟件的正常使用。
[0077]具體地，訪問權(quán)限控制模塊02攔截對(duì)應(yīng)的API，阻止所有對(duì)本機(jī)文件的訪問。同時(shí)對(duì)于本機(jī)系統(tǒng)組件的訪問，允許當(dāng)次調(diào)用，當(dāng)次調(diào)用完畢后，將不再允許對(duì)指定資源的訪問，實(shí)現(xiàn)對(duì)系統(tǒng)資源讀寫的控制。對(duì)于加載的行為，將返回一個(gè)fake組件，所述fake組件對(duì)于正規(guī)的系統(tǒng)調(diào)用會(huì)直接跳到鉤子函數(shù)中，防止了在內(nèi)存中加載組件后通過(guò)讀取內(nèi)存而出現(xiàn)泄密的問題。
[0078]由于大部分微軟產(chǎn)品如offices、IE都有如下特性，即如果通過(guò)UI操作打開一個(gè)文件路徑，則必須一級(jí)一級(jí)目錄的打開，如果某一級(jí)目錄不存在，則不會(huì)繼續(xù)打開文件。比如在Explorer或IE的地址欄輸入C: \test\l.txt,如果test文件夾不存在或者打不開,則
1.txt就無(wú)法打開；使用“打開文件對(duì)話框”的方式也是一樣，進(jìn)去后什么文件都看不到。因此，只需對(duì)相應(yīng)的目錄設(shè)置鉤子函數(shù)即可，比如對(duì)NtCreateFile函數(shù)掛鉤，當(dāng)傳進(jìn)來(lái)的路徑是個(gè)二級(jí)目錄時(shí)如C:\test\，由于返回路徑不存在，則終端將無(wú)法看到C:\test目錄和打開C:\test目錄下的文件，即使在地址欄輸入完整文件路徑也無(wú)法打開。因此當(dāng)復(fù)用本地軟件如Word時(shí),訪問權(quán)限控制模塊02可以把office相關(guān)目錄和windows目錄放通,讓word能正常使用，然后通過(guò)上述封存文件目錄的方法，用戶即使采用“打開文件對(duì)話框”，無(wú)法看到任何文件，即可以執(zhí)行共享軟件但禁止對(duì)該共享軟件的讀寫操作，有效地防止了信息泄露。
[0079]在一優(yōu)選的實(shí)施例中，啟動(dòng)安全桌面后，訪問權(quán)限控制模塊02限制終端的相應(yīng)訪問權(quán)限包括:獲取并記錄所述本機(jī)文件系統(tǒng)中所有軟件各自對(duì)應(yīng)的軟件行為集合；允許所述本機(jī)文件系統(tǒng)中的軟件訪問對(duì)應(yīng)的所述軟件行為集合，攔截所述軟件對(duì)超出所述軟件行為集合的訪問。
[0080]具體地，由于終端上的每一款軟件都會(huì)有自己行為的集合，將這些行為集合定義為所述的軟件行為集合；將超出這些軟件自己行為集合的行為定義為用戶行為集合。例如，騰訊聊天軟件QQ啟動(dòng)時(shí)，會(huì)訪問系統(tǒng)目錄里的13個(gè)文件，訪問QQ軟件自身目錄里的27個(gè)文件，這些行為就是定義的軟件行為集合。如果用戶要通過(guò)QQ聊天窗口發(fā)送一個(gè)文件，那么可能就會(huì)訪問一些額外的文件，這種行為即定義的用戶行為集合。
[0081]訪問權(quán)限控制模塊02對(duì)本機(jī)文件系統(tǒng)的訪問權(quán)限進(jìn)行限制時(shí)，首先通過(guò)一個(gè)軟件行為產(chǎn)生工具，自動(dòng)產(chǎn)生并獲取本機(jī)文件系統(tǒng)中所有軟件對(duì)應(yīng)的軟件行為集合，然后將對(duì)應(yīng)的這些軟件行為集合記錄下來(lái)；在虛擬環(huán)境里，訪問權(quán)限控制模塊02允許各個(gè)軟件訪問自身對(duì)應(yīng)的軟件行為集合；如果某個(gè)軟件嘗試訪問超過(guò)它自身對(duì)應(yīng)的軟件行為集合的內(nèi)容時(shí)，訪問權(quán)限控制模塊02就會(huì)攔截這種訪問行為，有效地限制了對(duì)本機(jī)文件系統(tǒng)的相應(yīng)訪問權(quán)限。
[0082]在一優(yōu)選的實(shí)施例中，所述訪問權(quán)限控制模塊02可以是獨(dú)立于本機(jī)的一個(gè)外部實(shí)體；本實(shí)施例對(duì)所述訪問權(quán)限控制模塊02的具體類型不作限定。
[0083]訪問提示模塊03，用于在用戶數(shù)據(jù)不是來(lái)自虛擬環(huán)境時(shí)，拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。
[0084]對(duì)于不是來(lái)自虛擬環(huán)境的用戶數(shù)據(jù)，訪問提示模塊03將直接拒絕其訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中進(jìn)行上網(wǎng)。
[0085]本實(shí)施例通過(guò)檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境；若是，則在啟動(dòng)安全桌面后，在虛擬環(huán)境中可以使用系統(tǒng)提供的基本服務(wù)；若否，則拒絕訪問網(wǎng)絡(luò)，具有共享本地虛擬環(huán)境的系統(tǒng)組件并使用本機(jī)已有的應(yīng)用程序，同時(shí)阻止對(duì)本地文件訪問的有益效果，防止了本機(jī)信息的泄露，增強(qiáng)了本機(jī)信息的安全性。
[0086]以上所述僅為本發(fā)明的優(yōu)選實(shí)施例，并非因此限制其專利范圍，凡是利用本發(fā)明說(shuō)明書及附圖內(nèi)容所作的等效結(jié)構(gòu)或等效流程變換，直接或間接運(yùn)用在其他相關(guān)的【技術(shù)領(lǐng)域】，均同理包括在本發(fā)明的專利保護(hù)范圍內(nèi)。
【權(quán)利要求】
1.一種基于本地虛擬環(huán)境的防泄密方法，其特征在于，包括以下步驟: 檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境； 若是，則根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限； 若否，則拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。
2.如權(quán)利要求1所述的方法，其特征在于，所述根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限包括: 檢測(cè)是否啟動(dòng)安全桌面； 若是，則允許在重定向緩沖區(qū)域訪問網(wǎng)絡(luò)系統(tǒng)資源，限制本機(jī)文件系統(tǒng)的訪問權(quán)限； 若否，則攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面。
3.如權(quán)利要求1或2所述的方法，其特征在于，所述限制本機(jī)文件系統(tǒng)的訪問權(quán)限包括: 封裝所述本機(jī)文件的根目錄，阻止所有對(duì)所述本機(jī)文件的訪問操作； 阻止對(duì)所述本機(jī)系統(tǒng)組件的讀寫操作；在對(duì)所述本機(jī)系統(tǒng)組件中的預(yù)置組件加載后，返回對(duì)應(yīng)的偽組件；調(diào)用所述偽組件，阻止對(duì)加載后的所述預(yù)置組件的讀寫操作； 放通所述本機(jī)共享軟件正常使用時(shí)的相關(guān)文件目錄，允許所述本機(jī)共享軟件的正常執(zhí)行；同時(shí)，禁止對(duì)所述共享軟件的讀寫操作。
4.如權(quán)利要求1或2所述的方法，其特征在于，所述限制本機(jī)文件系統(tǒng)的訪問權(quán)限包括: 獲取并記錄所述本機(jī)文件系統(tǒng)中所有軟件各自對(duì)應(yīng)的軟件行為集合； 允許所述本機(jī)文件系統(tǒng)中的軟件訪問對(duì)應(yīng)的所述軟件行為集合，攔截所述軟件對(duì)超出所述軟件行為集合的訪問。
5.如權(quán)利要求1或2所述的方法，其特征在于，所述攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面包括: 攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向信息； 訪問所述重定向信息指定的頁(yè)面，輸入認(rèn)證信息； 認(rèn)證通過(guò)，若未安裝所述安全桌面，則跳轉(zhuǎn)至所述安全桌面的安裝頁(yè)面，提示用戶安裝所述安全桌面；若已安裝所述安全桌面，則提示用戶啟動(dòng)所述安全桌面。
6.一種基于本地虛擬環(huán)境的防泄密裝置，其特征在于，包括: 數(shù)據(jù)檢測(cè)模塊，用于檢測(cè)用戶數(shù)據(jù)是否來(lái)自虛擬環(huán)境； 訪問權(quán)限控制模塊，用于在用戶數(shù)據(jù)來(lái)自虛擬環(huán)境時(shí)，根據(jù)是否啟動(dòng)安全桌面，限制相應(yīng)的訪問權(quán)限； 訪問提示模塊，用于在用戶數(shù)據(jù)不是來(lái)自虛擬環(huán)境時(shí)，拒絕訪問網(wǎng)絡(luò)，并提示到虛擬環(huán)境中訪問網(wǎng)絡(luò)。
7.如權(quán)利要求6所述的裝置，其特征在于，所述訪問權(quán)限控制模塊用于: 檢測(cè)是否啟動(dòng)安全桌面； 若是，則允許在重定向緩沖區(qū)域訪問網(wǎng)絡(luò)系統(tǒng)資源，限制本機(jī)文件系統(tǒng)的訪問權(quán)限； 若否，則攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向頁(yè)面，提示用戶安裝或啟動(dòng)安全桌面。
8.如權(quán)利要求6或7所述的裝置，其特征在于，所述訪問權(quán)限控制模塊還用于: 封裝所述本機(jī)文件的根目錄，阻止所有對(duì)所述本機(jī)文件的訪問操作；阻止對(duì)所述本機(jī)系統(tǒng)組件的讀寫操作；在對(duì)所述本機(jī)系統(tǒng)組件中的預(yù)置組件加載后，返回對(duì)應(yīng)的偽組件；調(diào)用所述偽組件，阻止對(duì)加載后的所述預(yù)置組件的讀寫操作； 放通所述本機(jī)共享軟件正常使用時(shí)的相關(guān)文件目錄，允許所述本機(jī)共享軟件的正常執(zhí)行；同時(shí)，禁止對(duì)所述共享軟件的讀寫操作。
9.如權(quán)利要求6或7所述的裝置，其特征在于，所述訪問權(quán)限控制模塊還用于: 獲取并記錄所述本機(jī)文件系統(tǒng)中所有軟件各自對(duì)應(yīng)的軟件行為集合； 允許所述本機(jī)文件系統(tǒng)中的軟件訪問對(duì)應(yīng)的所述軟件行為集合，攔截所述軟件對(duì)超出所述軟件行為集合的訪問。
10.如權(quán)利要求6或7所述的裝置，其特征在于，所述訪問權(quán)限控制模塊還用于: 攔截網(wǎng)絡(luò)系統(tǒng)資源的訪問，返回重定向信息； 訪問所述重定向信息指定的頁(yè)面，輸入認(rèn)證信息； 認(rèn)證通過(guò)，若未安裝所述安全桌面，則跳轉(zhuǎn)至所述安全桌面的安裝頁(yè)面，提示用戶安裝所述安全桌面；若已安裝所述安全桌面`，則提示用戶啟動(dòng)所述安全桌面。
【文檔編號(hào)】G06F21/62GK103870761SQ201210531774
【公開日】2014年6月18日 申請(qǐng)日期:2012年12月11日 優(yōu)先權(quán)日:2012年12月11日
【發(fā)明者】陳耀強(qiáng), 朱雋 申請(qǐng)人:深圳市深信服電子科技有限公司