一種基于動態(tài)透明隔離防護的企業(yè)數(shù)據(jù)資產(chǎn)保護方法
【技術(shù)領(lǐng)域】
[0001] 本發(fā)明設(shè)及計算機系統(tǒng)安全方法領(lǐng)域，具體是一種基于動態(tài)透明隔離防護的企業(yè) 數(shù)據(jù)資產(chǎn)保護方法。
【背景技術(shù)】
[0002] 近年來，隨著信息化建設(shè)的不斷推進，企業(yè)信息化程度越來越高，電子化的數(shù)據(jù)已 經(jīng)成為企業(yè)的重要資產(chǎn)，而該些數(shù)據(jù)資產(chǎn)的安全性、完整性則直接關(guān)系到企業(yè)的競爭力。因 此，數(shù)據(jù)資產(chǎn)的安全防泄露成為信息安全領(lǐng)域的重要組成部分，也受到越來越多企業(yè)的關(guān) 注。在目前的數(shù)據(jù)防泄漏方法中，應(yīng)用得比較多的包括控制類方法、加密類方法、過濾類方 法W及集中管控方法等。
[0003] 控制類方法的核屯、思想是權(quán)限概念的延伸，通過權(quán)限的設(shè)置對計算機系統(tǒng)的輸入 和輸出進行管理控制，并輔W安全檢查和事后審計，從而對關(guān)鍵數(shù)據(jù)的傳輸進行控制，防止 出現(xiàn)未經(jīng)授權(quán)的數(shù)據(jù)外泄。但是，由于該類方法通常未對關(guān)鍵數(shù)據(jù)進行加密存儲，而主要關(guān) 注數(shù)據(jù)傳輸?shù)暮戏ㄐ?，因此無法解決諸如計算機失竊、磁盤丟失等情況下數(shù)據(jù)泄露的問題。 因此，該種方式出現(xiàn)在較早的安全產(chǎn)品中，目前使用的越來越少。加密類方法的核屯、方法是 采用加密算法將二進制數(shù)據(jù)轉(zhuǎn)換為密文存儲，只有在權(quán)限檢查通過的前提下才進行解密使 用，從而避免數(shù)據(jù)外泄。具體到加密對象和加密方式，此類方法又可W分為文件級加密、磁 盤級加密、硬件級加密和網(wǎng)絡(luò)級加密等類型。加密類方法能夠保證關(guān)鍵數(shù)據(jù)W密文存儲，從 而避免存儲設(shè)備丟失造成的數(shù)據(jù)失泄密問題，但是對于用戶主動性泄露數(shù)據(jù)的行為無法進 行有效防護，因此加密類方法通常與其他方法結(jié)合使用來對數(shù)據(jù)進行保護。過濾類方法的 特點是在網(wǎng)關(guān)處安裝內(nèi)容過濾設(shè)備，對常見網(wǎng)絡(luò)協(xié)議進行分析過濾，管理員通過設(shè)置關(guān)鍵 詞的方式避免敏感內(nèi)容泄露。但該種方式難W識別特殊的網(wǎng)絡(luò)協(xié)議，同時設(shè)備對內(nèi)容進行 分析過濾也對其性能提出了較高的要求。集中管控方法的思想是將企業(yè)文檔數(shù)據(jù)集中存儲 在企業(yè)文件服務(wù)器上，本地不進行任何物理文件存儲，從而避免數(shù)據(jù)泄露。該種方法能夠保 證本地不留密，但是對網(wǎng)絡(luò)帶寬要求較高，同時出現(xiàn)故障時影響面過大，容易造成企業(yè)信息 系統(tǒng)運行長時間中斷。
[0004] 總而言之，目前在企業(yè)數(shù)據(jù)資產(chǎn)防護方面，已有的解決方案要么采用"堵"的思路 對敏感信息傳輸渠道進行管控，沒有考慮數(shù)據(jù)生產(chǎn)和消費端的安全防護，難W做到全面而 有效地控制；要么對主機內(nèi)的進程及其數(shù)據(jù)進行一視同仁的加密處理，難W做到有的放矢， 只對敏感數(shù)據(jù)和敏感進程進行處理，影響了系統(tǒng)性能，同時難W做到個性化定制；要么采用 計算與數(shù)據(jù)分離的方式將數(shù)據(jù)集中存儲，對網(wǎng)絡(luò)性能要求較高，改變了用戶的操作習(xí)慣，同 時也增加了安全管理的復(fù)雜性。

【發(fā)明內(nèi)容】

[00化]本發(fā)明的目的在于提供一種基于動態(tài)透明隔離防護的企業(yè)數(shù)據(jù)資產(chǎn)保護方法，可W采用輕量級的方法識別主機訪問企業(yè)核屯、數(shù)據(jù)資產(chǎn)的行為，并采用透明隔離防護運行的 方式保護用戶數(shù)據(jù)安全，防止數(shù)據(jù)資產(chǎn)的遺失，w解決上述【背景技術(shù)】中提出的問題。
[0006] 為實現(xiàn)上述目的，本發(fā)明提供如下技術(shù)方案： 一種基于動態(tài)透明隔離防護的企業(yè)數(shù)據(jù)資產(chǎn)保護方法，步驟如下： (1) 將用戶主機群劃分為風(fēng)險主機群和可信主機群，其中可信主機群安裝了安全防護 終端，可信主機群能夠穿透核屯、數(shù)據(jù)資產(chǎn)訪問網(wǎng)關(guān)，進而訪問到企業(yè)核屯、數(shù)據(jù)資產(chǎn)；而風(fēng)險 主機群不能穿透核屯、數(shù)據(jù)資產(chǎn)訪問網(wǎng)關(guān)，只能訪問其他網(wǎng)絡(luò)資源； (2) 在位于可信主機群的主機中，將系統(tǒng)中運行的進程劃分為風(fēng)險進程域和可信進程 域；在初始條件下，所有進程均位于風(fēng)險進程域，進程行為不受控制，但任何訪問企業(yè)核屯、 數(shù)據(jù)資產(chǎn)的行為均會被探測到，進而自動將其轉(zhuǎn)換為可信進程，納入到可信進程域的動態(tài) 透明隔離防護中； (3) 在可信進程域中，進程運行所依賴的存儲資源、本地OS環(huán)境、內(nèi)存資源進行了透明 隔離防護處理，進程對外部環(huán)境所做的任何修改均在透明隔離防護環(huán)境中進行，同時對網(wǎng) 絡(luò)和外設(shè)的訪問均置于安全管理策略的控制之下，難W主動泄露數(shù)據(jù)；同時外部的風(fēng)險進 程無法訪問透明隔離防護環(huán)境的任何數(shù)據(jù)，避免了基于內(nèi)外互通的方式泄露企業(yè)核屯、數(shù)據(jù) 資產(chǎn)。
[0007] 作為本發(fā)明進一步的方案，所述步驟（2)中對進程訪問企業(yè)核屯、數(shù)據(jù)資產(chǎn)的行為 進行主動探測，具體的方法是： 1) 將企業(yè)核屯、數(shù)據(jù)資產(chǎn)具體化為兩種特定的進程：一、指定的軟件應(yīng)用，包括 Photoshop與CAD，該些軟件所產(chǎn)生的數(shù)據(jù)被自動識別為企業(yè)核屯、數(shù)據(jù)資產(chǎn)；二、訪問指定 網(wǎng)絡(luò)資源的應(yīng)用，網(wǎng)絡(luò)資源包括數(shù)據(jù)庫資源與訪問文件服務(wù)器； 2) 對于1)中的第一類進程，采用進程信息進行匹配，匹配成功后即認為訪問了企業(yè)核 屯、數(shù)據(jù)資產(chǎn)，納入到可信進程域進行管理； 3) 對于1)中的第二類進程，采用網(wǎng)絡(luò)行為進行匹配，匹配成功后即認為訪問了企業(yè)核 屯、數(shù)據(jù)資產(chǎn)，納入到可信進程域進行管理。
[000引與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果是；本發(fā)明將企業(yè)終端劃分為風(fēng)險主機群和 可信主機群，可信主機內(nèi)的進程又劃分為風(fēng)險進程域和可信進程域進行管理，在所有的集 合中，只有采用透明隔離防護運行的可信進程域能夠訪問企業(yè)核屯、數(shù)據(jù)資產(chǎn)，該種簡明的 安全防護模型大大降低了安全管理的復(fù)雜度；本發(fā)明所實現(xiàn)的數(shù)據(jù)防泄漏方法是一種輕量 級防護方法，能夠在同一個主機范圍內(nèi)同時容納風(fēng)險進程和可信進程，能夠在風(fēng)險進程訪 問外部網(wǎng)絡(luò)和外設(shè)資源的同時，采用透明隔離防護環(huán)境使可信進程域能夠安全地訪問敏感 數(shù)據(jù)資源，而不會造成任何的數(shù)據(jù)泄密，該種風(fēng)險進程和可信進程無縫切換的方式可W在 最大程度上做到對用戶友好，不改變用戶的使用習(xí)慣；本發(fā)明所提出的安全防護方法能夠 充分利用既有主機資源，同時對網(wǎng)絡(luò)依賴性低，即使網(wǎng)絡(luò)出現(xiàn)故障也不會影響業(yè)務(wù)系統(tǒng)的 運行，從而在最大程度上保證的業(yè)務(wù)運行的一貫性，使系統(tǒng)的適應(yīng)性和健壯性得到增強。
【附圖說明】
[0009] 圖1是基于動態(tài)透明隔離防護的企業(yè)核屯、數(shù)據(jù)資產(chǎn)保護系統(tǒng)的總體架構(gòu)圖； 圖2是立體化智能探測模塊依據(jù)數(shù)據(jù)訪問行為對主機