一種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法
【專利摘要】本發(fā)明提供了一種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法。該方法以磁盤過濾驅(qū)動(dòng)技術(shù)為核心，并結(jié)合了介質(zhì)標(biāo)簽技術(shù)和和現(xiàn)有的數(shù)據(jù)加密技術(shù)共同實(shí)現(xiàn)。該方法通過移動(dòng)存儲(chǔ)介質(zhì)植入介質(zhì)標(biāo)簽信息，和對(duì)控制終端加入控制策略，通過介質(zhì)標(biāo)簽信息和控制策略的對(duì)比匹配，有效安全控制，避免了使用過程中，在不受控的情況下被轉(zhuǎn)移數(shù)據(jù)和傳播病毒木馬的安全隱患。
【專利說明】ー種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及ー種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法，特別是涉及ー種適用于移動(dòng)存儲(chǔ)介質(zhì)從創(chuàng)建、使用到銷毀的全生命周期進(jìn)行安全控制的方法。
【背景技術(shù)】
[0002]隨著信息技木、尤其存儲(chǔ)技術(shù)的發(fā)展，移動(dòng)存儲(chǔ)介質(zhì)的容量及易用性都得到大幅度的改進(jìn)，在給工作帶來巨大便利的同時(shí)，也給企業(yè)的信息安全帶來極大的安全隱患，尤其是便攜性越來越好的海量移動(dòng)存儲(chǔ)介質(zhì)，能輕松帶走企業(yè)的海量數(shù)據(jù)，給企業(yè)信息安全、甚至國家安全帶來巨大安全隱患。因此，如果在現(xiàn)有環(huán)境下管理好、使用好移動(dòng)存儲(chǔ)介質(zhì)，是每ー個(gè)企業(yè)都必須面對(duì)的問題。移動(dòng)存儲(chǔ)介質(zhì)給企業(yè)來的安全隱患主要體現(xiàn)在以下幾個(gè)方面:
(I)方面快捷的存儲(chǔ)手段，使得企業(yè)的數(shù)據(jù)更容易在不受控的條件下被轉(zhuǎn)移，從而造成企業(yè)敏感數(shù)據(jù)知悉范圍的擴(kuò)大。
[0003](2)移動(dòng)存儲(chǔ)介質(zhì)作為病毒載體傳播病毒與木馬，尤其是有部分別有用心的利用移動(dòng)存儲(chǔ)介質(zhì)作為渡船，擺渡企業(yè)數(shù)據(jù)，給企業(yè)帶來巨大損失。
[0004](3)存儲(chǔ)有數(shù)據(jù)的移動(dòng)存儲(chǔ)介質(zhì)，由于其便攜性，使得它容易被帶到ー些不受控的環(huán)境，甚至?xí)斐山橘|(zhì)遺失，導(dǎo)致數(shù)據(jù)被他人獲取。
[0005]要保障企業(yè)數(shù)據(jù)的安全，對(duì)于移動(dòng)存儲(chǔ)介質(zhì)，就必須解決好介質(zhì)管理及數(shù)據(jù)訪問
的管理。
[0006]磁盤過濾驅(qū)動(dòng)技術(shù)作為存儲(chǔ)介質(zhì)的保護(hù)方式，其應(yīng)用越來越廣泛。所謂過濾就是在本來已有的設(shè)備棧中加入ー個(gè)自己的設(shè)備。由于Windows向任何ー個(gè)設(shè)備發(fā)送IRP請(qǐng)求都會(huì)首先發(fā)送給這個(gè)設(shè)備所在設(shè)備棧的最上層設(shè)備，然后再依次傳遞下去，這就使得加入的設(shè)備在目標(biāo)設(shè)備之前獲取IRP請(qǐng)求成為可能，這時(shí)候就可以加入自己的處理流程。插入設(shè)備棧的用戶設(shè)備叫做過濾設(shè)備，建立這個(gè)設(shè)備并使其具有特殊功能的驅(qū)動(dòng)叫做過濾驅(qū)動(dòng)。
[0007]過濾驅(qū)動(dòng)分為設(shè)備過濾和類過濾兩種，設(shè)備過濾是指建立一個(gè)過濾設(shè)備并將其綁定在ー個(gè)有名字的設(shè)備上，此類過濾驅(qū)動(dòng)對(duì)Windows中很多即插即用設(shè)備難以綁定；類過濾是指能夠在某ー類特定的設(shè)備建立時(shí)由Pnp Manager調(diào)用指定的過濾驅(qū)動(dòng)代碼，并允許用戶在此時(shí)對(duì)這ー類設(shè)備進(jìn)行綁定。根據(jù)過濾驅(qū)動(dòng)在整個(gè)設(shè)備棧的不同位置又可分為上層過濾和下層過濾。
[0008]如圖1所示，系統(tǒng)中接入一個(gè)磁盤設(shè)備時(shí)都會(huì)加載磁盤驅(qū)動(dòng)器驅(qū)動(dòng)才能被操作系統(tǒng)所識(shí)別為ー個(gè)磁盤設(shè)備，才能被操作系統(tǒng)使用，因此磁盤過濾驅(qū)動(dòng)綁定在系統(tǒng)磁盤驅(qū)動(dòng)器設(shè)備驅(qū)動(dòng)之上，當(dāng)系統(tǒng)加載磁盤驅(qū)動(dòng)器設(shè)備驅(qū)動(dòng)時(shí)也會(huì)被我們的磁盤過濾驅(qū)動(dòng)所綁定。這樣ー來，在信息安全領(lǐng)域的應(yīng)用中磁盤過濾驅(qū)動(dòng)常常被用作磁盤保護(hù)、磁盤還原、磁盤加密的核心技術(shù)了。
[0009]在磁盤過濾驅(qū)動(dòng)中，對(duì)所有磁盤(包括物理硬盤、移動(dòng)存儲(chǔ)介質(zhì)中的移動(dòng)硬盤、U盤...等)的加載、訪問、數(shù)據(jù)讀寫，可以采用的處理方法幾乎是無限制的:可以接受、可以拒絕、也可以修改。因此我們利用磁盤過濾驅(qū)動(dòng)技術(shù)的這種特性可以攔截移動(dòng)存儲(chǔ)介質(zhì)加載和數(shù)據(jù)讀寫，來實(shí)現(xiàn)對(duì)移動(dòng)存儲(chǔ)介質(zhì)的管控。

【發(fā)明內(nèi)容】

[0010]本發(fā)明要解決的技術(shù)問題是提供一種移動(dòng)存儲(chǔ)介質(zhì)從創(chuàng)建、使用到銷毀的全生命周期進(jìn)行安全控制的方法。該方法以磁盤過濾驅(qū)動(dòng)技術(shù)為核心，并結(jié)合了介質(zhì)標(biāo)簽技術(shù)和和現(xiàn)有的數(shù)據(jù)加密技術(shù)共同實(shí)現(xiàn)。該方法通過移動(dòng)存儲(chǔ)介質(zhì)植入介質(zhì)標(biāo)簽信息，和對(duì)控制終端加入控制策略，通過介質(zhì)標(biāo)簽信息和控制策略的對(duì)比匹配，有效安全控制，避免了使用過程中，在不受控的情況下被轉(zhuǎn)移數(shù)據(jù)和傳播病毒木馬的安全隱患。
[0011]本發(fā)明采用的技術(shù)方案如下:一種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法，其具體方法步驟為:一、移動(dòng)存儲(chǔ)介質(zhì)連入受控終端；二、受控終端通過磁盤過濾驅(qū)動(dòng)攔截所有系統(tǒng)對(duì)移動(dòng)存儲(chǔ)介質(zhì)的操作；三、磁盤過濾讀取并解析移動(dòng)存儲(chǔ)介質(zhì)中的介質(zhì)標(biāo)簽信息；四、判斷是否有介質(zhì)標(biāo)簽信息并且與受控策略相符，是則執(zhí)行下一步，否則拒絕移動(dòng)存儲(chǔ)介質(zhì)接入并給出警告提示；五、允許移動(dòng)存儲(chǔ)介質(zhì)接入受控終端；六、若移動(dòng)存儲(chǔ)介質(zhì)執(zhí)行的為數(shù)據(jù)讀取操作處理，則將讀取的介質(zhì)扇區(qū)進(jìn)行數(shù)據(jù)解密；若移動(dòng)存儲(chǔ)介質(zhì)執(zhí)行的為數(shù)據(jù)寫入操作處理，則判斷是否允許寫入，是則執(zhí)行下一步，否則拒絕寫入操作；七、將數(shù)據(jù)加密后寫入移動(dòng)存儲(chǔ)介質(zhì)。
[0012]作為優(yōu)選，所述磁盤過濾驅(qū)動(dòng)采用的是上層過濾驅(qū)動(dòng)。
[0013]作為優(yōu)選，將介質(zhì)標(biāo)簽信息寫入移動(dòng)存儲(chǔ)介質(zhì)的具體方法為:對(duì)移動(dòng)存儲(chǔ)介質(zhì)的MBR區(qū)進(jìn)行解析和修改，為介質(zhì)劃定一段隱藏扇區(qū)，將介質(zhì)標(biāo)簽信息通過加密處理后寫入其中，并將介質(zhì)的DBR區(qū)和數(shù)據(jù)區(qū)進(jìn)行加密處理。
[0014]作為優(yōu)選，所述步驟還包括:當(dāng)受控策略中禁止移動(dòng)存儲(chǔ)介質(zhì)使用時(shí)，受控終端將禁止一切移動(dòng)存儲(chǔ)介質(zhì)的接入，并將違規(guī)接入的移動(dòng)存儲(chǔ)介質(zhì)記錄在審計(jì)日志上，并上報(bào)服務(wù)端。
[0015]作為優(yōu)選，所述步驟還包括:介質(zhì)管理系統(tǒng)客戶端對(duì)可信移動(dòng)存儲(chǔ)介質(zhì)上的文件操作記錄詳細(xì)的審計(jì)日志。
[0016]與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果是:移動(dòng)存儲(chǔ)介質(zhì)管理方法采用移動(dòng)存儲(chǔ)介質(zhì)標(biāo)簽技術(shù)和數(shù)據(jù)加密技術(shù)相結(jié)合，對(duì)企業(yè)內(nèi)部使用的移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行標(biāo)簽管理，在此過程中對(duì)標(biāo)簽移動(dòng)存儲(chǔ)介質(zhì)從創(chuàng)建、到使用、再到銷毀的全生命周期進(jìn)行監(jiān)管和控制，做到對(duì)移動(dòng)存儲(chǔ)介質(zhì)的使用可知、可控。
【專利附圖】

【附圖說明】
[0017]圖1為磁盤驅(qū)動(dòng)層級(jí)圖。
[0018]圖2為本發(fā)明實(shí)現(xiàn)移動(dòng)存儲(chǔ)介質(zhì)控制方法的流程圖。
[0019]圖3為本發(fā)明其中一實(shí)施例的移動(dòng)存儲(chǔ)介質(zhì)標(biāo)簽制作示意圖。
【具體實(shí)施方式】
[0020]為了使本發(fā)明的目的、技術(shù)方案及優(yōu)點(diǎn)更加清楚明白，以下結(jié)合附圖及實(shí)施例，對(duì)本發(fā)明進(jìn)行進(jìn)ー步詳細(xì)說明。應(yīng)當(dāng)理解，此處所描述的具體實(shí)施例僅用以解釋本發(fā)明，并不用于限定本發(fā)明。
[0021]本說明書中公開的所有特征，除了互相排除的特征以外，均可以以任何方式組合。
[0022]本說明書(包括任何附加權(quán)利要求、摘要和附圖)中公開的任一特征，除非特別敘述，均可被其他等效或者具有類似目的的替代特征加以替換。即，除非特別敘述，每個(gè)特征只是一系列等效或類似特征中的一個(gè)例子而已。
[0023]如圖2所示，ー種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法，其具體方法步驟為:一、移動(dòng)存儲(chǔ)介質(zhì)連入受控終端；ニ、受控終端通過磁盤過濾驅(qū)動(dòng)攔截所有系統(tǒng)對(duì)移動(dòng)存儲(chǔ)介質(zhì)的操作；三、磁盤過濾讀取并解析移動(dòng)存儲(chǔ)介質(zhì)中的介質(zhì)標(biāo)簽信息；四、判斷是否有介質(zhì)標(biāo)簽信息并且與受控策略相符，是則執(zhí)行下一歩，否則拒絕移動(dòng)存儲(chǔ)介質(zhì)接入并給出警告提示?,五、允許移動(dòng)存儲(chǔ)介質(zhì)接入受控終端；六、若移動(dòng)存儲(chǔ)介質(zhì)執(zhí)行的為數(shù)據(jù)讀取操作處理，則將讀取的介質(zhì)扇區(qū)進(jìn)行數(shù)據(jù)解密；若移動(dòng)存儲(chǔ)介質(zhì)執(zhí)行的為數(shù)據(jù)寫入操作處理，則判斷是否允許寫入，是則執(zhí)行下一歩，否則拒絕寫入操作；七、將數(shù)據(jù)加密后寫入移動(dòng)存儲(chǔ)介質(zhì)。
[0024]所述磁盤過濾驅(qū)動(dòng)采用的是上層過濾驅(qū)動(dòng)，位于磁盤驅(qū)動(dòng)器設(shè)備驅(qū)動(dòng)之上，這時(shí)過濾設(shè)備在設(shè)備棧上位于實(shí)際功能設(shè)備的上面，會(huì)首先獲得Windows系統(tǒng)發(fā)下來的IRP請(qǐng)求，便于過濾設(shè)備的實(shí)現(xiàn)者進(jìn)行處理。
[0025]所述介質(zhì)標(biāo)簽信息包括移動(dòng)存儲(chǔ)介質(zhì)的編號(hào)、所屬単位、部門、責(zé)任人、使用范圍、密級(jí)、加密算法和加密密鑰等信息。
[0026]將介質(zhì)標(biāo)簽信息寫入移動(dòng)存儲(chǔ)介質(zhì)的具體方法為:對(duì)移動(dòng)存儲(chǔ)介質(zhì)的MBR區(qū)進(jìn)行解析和修改，為介質(zhì)劃定一段隱藏扇區(qū)，將介質(zhì)標(biāo)簽信息通過加密處理后寫入其中，并將介質(zhì)的DBR區(qū)和數(shù)據(jù)區(qū)進(jìn)行加密處理。
[0027]首先管理員在服務(wù)端制作可信移動(dòng)存儲(chǔ)介質(zhì)，通過可信移動(dòng)存儲(chǔ)介質(zhì)制作頁面，填入介質(zhì)標(biāo)簽信息內(nèi)容寫入 介質(zhì)中，并對(duì)介質(zhì)進(jìn)行格式化和數(shù)據(jù)加密處理。
[0028]如圖3所示，ー個(gè)普通的移動(dòng)存儲(chǔ)介質(zhì)由三個(gè)部分組成，主引導(dǎo)扇區(qū)(MBR)、分區(qū)引導(dǎo)扇區(qū)(DBR)和數(shù)據(jù)區(qū)(DATA)，其中MBR和DBR之間會(huì)有一部分空白扇區(qū)，MBR和空白扇區(qū)都屬于隱藏扇區(qū)，是系統(tǒng)不可見的，創(chuàng)建介質(zhì)標(biāo)簽時(shí)，將空白扇區(qū)中植入自定義的介質(zhì)標(biāo)簽信息。
[0029]通過對(duì)移動(dòng)存儲(chǔ)介質(zhì)的MBR區(qū)進(jìn)行解析和修改，為介質(zhì)劃定一段隱藏扇區(qū)，即從MBR扇區(qū)的后一扇區(qū)一直到第63扇區(qū)總共63個(gè)扇區(qū)劃為隱藏扇區(qū)，將標(biāo)簽信息通過加密處理后寫入其中，只有磁盤過濾驅(qū)動(dòng)程序能解析和識(shí)別，所謂隱藏扇區(qū)就是為操作系統(tǒng)無法識(shí)別或無法讀取的扇區(qū)，標(biāo)簽信息寫入其中不會(huì)被操作系統(tǒng)所識(shí)別，普通格式化工具也無法移除該介質(zhì)標(biāo)簽，由于隱藏扇區(qū)經(jīng)過加密的處理，扇區(qū)中的內(nèi)容無法被盜取和篡改，保證了標(biāo)簽信息的安全可靠，這樣一旦介質(zhì)被植入標(biāo)簽信息后，就如同為ー個(gè)人做了一張身份證ー樣會(huì)跟其一生，進(jìn)行全生命周期的控制。
[0030]所述步驟還包括:當(dāng)受控策略中禁止移動(dòng)存儲(chǔ)介質(zhì)使用時(shí)，受控終端將禁止一切移動(dòng)存儲(chǔ)介質(zhì)的接入，并對(duì)違規(guī)接入的移動(dòng)存儲(chǔ)介質(zhì)記錄在審計(jì)日志上，井上報(bào)服務(wù)端。
[0031]在受控終端上安裝介質(zhì)管理系統(tǒng)，并注冊(cè)到服務(wù)端。介質(zhì)管理系統(tǒng)中包括客戶端應(yīng)用程序和磁盤過濾驅(qū)動(dòng)控制程序兩大部分，客戶端應(yīng)用程序接受來自服務(wù)器的控制策略和信息設(shè)置，管理員可以通過服務(wù)端對(duì)受控終端的単位、部門、責(zé)任人和終端密級(jí)信息進(jìn)行設(shè)置，并下發(fā)相應(yīng)的控制策略，當(dāng)策略中禁止存儲(chǔ)介質(zhì)使用時(shí)，受控終端將禁止一切介質(zhì)的接入并對(duì)違規(guī)接入的介質(zhì)記錄審計(jì)日志上報(bào)服務(wù)端；當(dāng)策略中允許可信介質(zhì)接入時(shí)，受控終端將允許可信介質(zhì)(植入標(biāo)簽的加密介質(zhì))接入和使用，禁止非可信介質(zhì)的接入。
[0032]所述步驟還包括:介質(zhì)管理系統(tǒng)客戶端對(duì)可信移動(dòng)存儲(chǔ)介質(zhì)上的文件操作記錄詳細(xì)的審計(jì)日志。
[0033]可信介質(zhì)接入受控終端使用時(shí)，磁盤過濾驅(qū)動(dòng)會(huì)攔截介質(zhì)的接入，并讀取可信介質(zhì)的標(biāo)簽信息，根據(jù)策略判斷該介質(zhì)是否能被接入或是否可讀寫。介質(zhì)管理系統(tǒng)客戶端還可以對(duì)可信介質(zhì)上的文件操作記錄詳細(xì)的審計(jì)日志，供事后可追溯。
[0034]通過對(duì)介質(zhì)全生命周期的監(jiān)管和控制，為內(nèi)網(wǎng)受控終端介質(zhì)使用安全帶來了極大的好處:
1、外部介質(zhì)進(jìn)不來。通過對(duì)介質(zhì)的管控，在內(nèi)部受控終端上避免了外來移動(dòng)存儲(chǔ)介質(zhì)的非法接入并很方便的盜取內(nèi)部數(shù)據(jù)的行為；同時(shí)也避免的外來移動(dòng)存儲(chǔ)介質(zhì)攜帶病毒木馬程序入侵內(nèi)部終端，為內(nèi)部終端的介質(zhì)安全使用保駕護(hù)航。
[0035]2、內(nèi)部數(shù)據(jù)出不去。通過對(duì)可信標(biāo)簽介質(zhì)中數(shù)據(jù)的加密處理，在可信介質(zhì)中存儲(chǔ)的數(shù)據(jù)內(nèi)容在外部機(jī)器或其他不可控的環(huán)境中無法讀取，以保證即使可信介質(zhì)的遺失或被盜，非法人員在外部環(huán)境中也無法獲取可信介質(zhì)中的內(nèi)容，保證內(nèi)部數(shù)據(jù)的安全。
[0036]3、介質(zhì)使用可審查。通過介質(zhì)標(biāo)簽技術(shù)標(biāo)示了可信介質(zhì)，每一個(gè)可信介質(zhì)的標(biāo)號(hào)是唯一的，而且每一個(gè)可信介質(zhì)標(biāo)簽中也有相關(guān)的單位、部門和責(zé)任人信息，也就是可信介質(zhì)的使用責(zé)任到人，每個(gè)介質(zhì)的責(zé)任人可以設(shè)置介質(zhì)的使用口令，只有介質(zhì)的責(zé)任人才能真正使用該介質(zhì)，當(dāng)可信介質(zhì)在受控終端上使用時(shí)都會(huì)記錄詳細(xì)的審計(jì)日志，以保證出現(xiàn)泄密事件后可事后追查，責(zé)任人不可抵賴。
[0037]4、介質(zhì)使用可監(jiān)管?？尚沤橘|(zhì)的標(biāo)簽中含有使用范圍和使用密級(jí)，即可信介質(zhì)只能在策略允許范圍內(nèi)的受控終端上使用，有效避免可信介質(zhì)內(nèi)部交叉使用，擴(kuò)大介質(zhì)中敏感數(shù)據(jù)的知悉范圍。
【權(quán)利要求】
1.一種移動(dòng)存儲(chǔ)介質(zhì)安全控制方法，其具體方法步驟為:一、移動(dòng)存儲(chǔ)介質(zhì)連入受控終端；二、受控終端通過磁盤過濾驅(qū)動(dòng)攔截所有系統(tǒng)對(duì)移動(dòng)存儲(chǔ)介質(zhì)的操作；三、磁盤過濾讀取并解析移動(dòng)存儲(chǔ)介質(zhì)中的介質(zhì)標(biāo)簽信息；四、判斷是否有介質(zhì)標(biāo)簽信息并且與受控策略相符，是則執(zhí)行下一步，否則拒絕移動(dòng)存儲(chǔ)介質(zhì)接入并給出警告提示；五、允許移動(dòng)存儲(chǔ)介質(zhì)接入受控終端；六、若移動(dòng)存儲(chǔ)介質(zhì)執(zhí)行的為數(shù)據(jù)讀取操作處理，則將讀取的介質(zhì)扇區(qū)進(jìn)行數(shù)據(jù)解密；若移動(dòng)存儲(chǔ)介質(zhì)執(zhí)行的為數(shù)據(jù)寫入操作處理，則判斷是否允許寫入，是則執(zhí)行下一步，否則拒絕寫入操作；七、將數(shù)據(jù)加密后寫入移動(dòng)存儲(chǔ)介質(zhì)。
2.根據(jù)權(quán)利要求1所述的方法，所述磁盤過濾驅(qū)動(dòng)采用的是上層過濾驅(qū)動(dòng)。
3.根據(jù)權(quán)利要求1所述的方法，將介質(zhì)標(biāo)簽信息寫入移動(dòng)存儲(chǔ)介質(zhì)的具體方法為:對(duì)移動(dòng)存儲(chǔ)介質(zhì)的MBR區(qū)進(jìn)行解析和修改，為介質(zhì)劃定一段隱藏扇區(qū)，將介質(zhì)標(biāo)簽信息通過加密處理后寫入其中，并將介質(zhì)的DBR區(qū)和數(shù)據(jù)區(qū)進(jìn)行加密處理。
4.根據(jù)權(quán)利要求1所述的方法，所述步驟還包括:當(dāng)受控策略中禁止移動(dòng)存儲(chǔ)介質(zhì)使用時(shí)，受控終端將禁止一切移動(dòng)存儲(chǔ)介質(zhì)的接入，并將違規(guī)接入的移動(dòng)存儲(chǔ)介質(zhì)記錄在審計(jì)日志上，并上報(bào)服務(wù)端。
5.根據(jù)權(quán)利要求1到4之一所述的方法，所述步驟還包括:介質(zhì)管理系統(tǒng)客戶端對(duì)可信移動(dòng)存儲(chǔ)介質(zhì)上的文件操作記錄詳細(xì)的審計(jì)日志。
【文檔編號(hào)】G06F21/78GK103440465SQ201310382179
【公開日】2013年12月11日 申請(qǐng)日期:2013年8月29日 優(yōu)先權(quán)日:2013年8月29日
【發(fā)明者】付強(qiáng) 申請(qǐng)人:成都衛(wèi)士通信息安全技術(shù)有限公司