CN103218573A

CN103218573A - 一种基于虚拟磁盘保护的无痕访问控制方法及装置

Info

Publication number: CN103218573A
Application number: CN2013101631957A
Authority: CN
Inventors: 郑朝晖
Original assignee: ANHUI HIGHGUARD NETWORKS TECHNOLOGY Co Ltd
Current assignee: Highguard Networks Inc
Priority date: 2013-05-07
Filing date: 2013-05-07
Publication date: 2013-07-24
Anticipated expiration: 2033-05-07
Also published as: CN103218573B

Abstract

本发明提供一种基于虚拟磁盘保护的无痕访问控制方法及装置，包括在用户端***中通过usbkey创建虚拟磁盘；在用户端与web服务器之间设有带安全插件的安全网关设备；通过usbkey对用户身份进行认证，认证通过访问涉密web***；安全插件挂载虚拟磁盘建立虚拟访问空间；对虚拟访问空间中的文件进行重定向到虚拟磁盘中。本发明保证只有用户可以访问虚拟磁盘内的文件，禁止***内其它进程访问虚拟磁盘内的用户文件，从而保证文件在传输过程中的安全性，并保护用户本地文件的安全。

Description

一种基于虚拟磁盘保护的无痕访问控制方法及装置

技术领域

本发明涉及网络安全技术领域，具体涉及客户端无痕访问控制方法及装置。

背景技术

用户在通过浏览器访问web***时，浏览器不仅会将浏览历史记录保存在本地，同时还会把临时文件、输入网址记录等数据保存在本地临时目录中。即使用户在退出浏览器时，清除了所有的缓存文件和访问历史记录，但非法用户依然可以通过各种数据恢复工具恢复出被清除的文件和记录。同时非法用户也可以通过木马等工具窃取用户的缓存文件，造成泄密的安全隐患。

用户在通过浏览器访问涉密***时，数据包在网络传输过程中是以明文方式加密的。用户在下载、上传文件时，存在被非法用户窃听、窃取的风险。

另外，在计算机中进行文档操作时也都会留有记录。以OFFICE系列为例，每个文档生成编辑和使用时，会产生临时文件，也存在存储介质上。在对文档进行常规删除时，会将此文档原封不动地拷到回收站的恢复空间下。非法用户通过一定的方法，可以恢复关于文档的详细信息。

发明内容

为了解决上述实际应用中存在的安全隐患问题，本发明的目的是提供一种基于虚拟磁盘保护的无痕访问控制方法及装置，保证只有用户可以访问虚拟磁盘内的文件，禁止***内其它进程访问虚拟磁盘内的用户文件，从而保证文件在传输过程中的安全性，并保护用户本地文件的安全。

本发明的目的可以通过以下技术方案来实现：

一种基于虚拟磁盘保护的无痕访问控制方法，包括以下步骤：

（1）在用户端***中通过usbkey创建虚拟磁盘；

（2）在用户端与web服务器之间设有带安全插件的安全网关设备；

（3）安全网关设备通过usbkey对用户身份进行认证，认证通过访问涉密web***；

（4）安全插件挂载（1）中虚拟磁盘建立的虚拟访问空间；

（5）安全防护模块对虚拟访问空间中的文件进行重定向到虚拟磁盘中。

所述安全插件检测到退出事件，安全防护模块停止运行，并卸载虚拟磁盘。

为了保护虚拟磁盘的安全性，所述步骤（1）中usbkey在虚拟磁盘上设加密通道。

本发明中安全网关设备，用于隔离用户端与web服务器并实现数据加密传输。实现了端到端的加密传输，保证数据传输***的安全性。安全网关设备在用户登录时，根据用户身份和登录使用的认证方式，以及制定的访问策略，确定用户的访问权限，防止用户非法访问和修改应用***和数据。另外，安全网关提供详细的日志功能，详细记录用户的各种访问日志以及管理员的各种管理操作，为以后的安全审查和追踪提供依据。

安全防护模块，用于对所述虚拟磁盘上的文件、应用程序进行保护、监控，并将浏览器的缓存目录强制重定向到所述虚拟磁盘模块中，同时禁用除虚拟磁盘外的其它所有磁盘，包括光驱和移动盘。用户在下载文件时，只能将文件下载到虚拟磁盘中，不能将文件保存到除虚拟磁盘外的其它地方。

在安全网关设备上安装有安全插件，用户在第一次访问涉密web***时，会自动下载安全插件并安装。该安全插件用来监控用户对涉网络的访问情况。当用户通过身份认证登录到安全网关设备后，如果用户通过浏览器访问涉密web***，则安全插件会启动，自动挂载虚拟磁盘并启动安全防护功能；当用户退出涉密web***时，安全插件会自动停止安全防护服务并卸载虚拟磁盘。

本发明还提供了一种基于虚拟磁盘保护的无痕访问装置，包括用户端与web服务器，所述用户端与web服务器通过安全网关设备进行交互式连接；所述用户端设有USB接口，所述USB接口插接有usbkey。

所述usbkey包括单片机，所述单片机分别交互式连接有存储器模块、安全防护模块，所述单片机与安全网关设备进行交互式连接。

所述安全防护模块包括阻止通过usbkey访问的应用程序或进程的另存、拷贝操作的文件过滤驱动模块与将其缓存目录强制重定向到存储器模块中的定向模块；所述文件过滤驱动模块与定向模块分别与所述单片机交互式连接。

其中存储器模块，用于存储浏览涉密web***时的缓存文件、访问记录和下载文件。

usbkey是一种USB接口的硬件设备，其内部单片机中设有登录证书和加密证书，安全网关设备利用登录证书来校验用户的身份，用户端利用加密证书对创建的虚拟磁盘进行加密保护。usbkey采用虚拟磁盘技术，在用户端建立虚拟访问空间，作为工作文件和浏览器临时文件的缓存空间，供浏览器和用户使用，使用户只能把文件存储到虚拟磁盘上，防止涉密数据的泄漏。用户在访问涉密web***时，安全插件会自动挂载虚拟磁盘；当用户退出涉密***时，安全插件会自动卸载虚拟磁盘。采用文件过滤驱动对虚拟磁盘上的文件进行保护和对应用程序进行监控。文件过滤驱动从内核监控应用程序（进程）对虚拟磁盘中文件的所有IO读写请求，阻止应用程序（进程）非法另存和拷贝操作；当应用程序读\写虚拟磁盘中的文件时，文件过滤驱动取得当前读\写虚拟磁盘中文件的进程号(PID)，标记此应用程序（进程）为受保护的进程，通过跟踪与写操作（Ｗrite）相关的IRP和 FastIO请求，除允许此应用程序（进程）向虚拟磁盘中写操作（Ｗrite）外，禁止此应用程序（进程）向其他盘空间进行写操作，防止由于另存（Save as）或拷贝（Copy）方式而造成的文件泄密。

定向模块对浏览器特定的目录进行重定向操作，防止由于浏览器在操作过程中产生的临时文件而造成的泄密。

自动挂载与卸载虚拟磁盘主要工作流程是：

用户端先连接上usbkey，再通过安全网关设备的身份认证登录到安全***并访问涉密web***后，如果是第一次访问，浏览器会自动下载安全插件并安装。安全插件启动后，会自动加载用户本地的虚拟磁盘建立虚拟访问空间，同时启动安全防护服务。用户能访问虚拟访问空间，在里面浏览、创建或者下载文件。用户只能在虚拟访问空间内对文件进行编辑、删除等操作，但无法将文件保存至安全的虚拟访问空间外的地方。同时启动安全防护服务，则会自动禁止用户和其它应用程序访问***内其它分区，包括光驱和移动磁盘。同时也会禁止除浏览器进程之外的其它进程访问安全的虚拟访问空间，避免因安全的虚拟访问空间文件被其它进程访问所造成的安全隐患。

当用户退出涉密web***时，安全插件会检测到退出事件，安全防护模块停止运行，并卸载虚拟磁盘。此时之前创建的安全的虚拟访问空间消失，但保存在安全的存储器模块的虚拟磁盘工作区内的文件还存在，***内的其它分区均可正常访问。

所以，本发明的有益效果有：

1、用户端与web服务器通过安全网关设备进行通讯，隔离了用户端与web服务器并实现数据加密传输，有效保护了用户浏览web***及操作文件的安全性，通过对用户访问的权限进行控制，防止非法用户访问内部网络；

2、通过安全网关设备对传输通道进行加密，避免了文件在传输过程中被窃取的安全隐患。

3、采用usbkey在用户端创建虚拟磁盘，usbkey中的存储器模块作为工作文件和浏览器临时文件的缓存空间，供浏览器和用户使用。用户在访问涉密web***时，安全插件会挂载虚拟磁盘建立虚拟访问空间；当用户退出涉密***时，安全插件会卸载虚拟磁盘。通过对用户保存在虚拟磁盘内的文件进行保护，防止了***内其它进程对文件进行操作；

4、安全防护模块自动禁止用户和其它应用程序访问用户端***内其它分区，包括光驱和移动磁盘。同时也会禁止除浏览器进程之外的其它进程访问虚拟磁盘工作区，避免因虚拟磁盘工作内文件被其它进程访问所造成的安全隐患。

5、定向模块将浏览器的缓存目录强制重定向到虚拟磁盘，防止了因浏览器本身的运行机制导致的安全风险。

附图说明

图1是本发明装置的结构示意图；

图2是本发明中的usbkey电路原理框图；

图3是挂载虚拟磁盘流程图；

图4是卸载虚拟磁盘流程图。

具体实施方式

如图1、图2所示，一种基于虚拟磁盘保护的无痕访问装置，包括用户端1与web服务器4，所述用户端1与web服务器4通过安全网关设备3进行交互式连接；所述用户端1设有USB接口，所述USB接口插接有usbkey　2。所述usbkey　2包括单片机2-1，所述单片机2-1分别交互式连接有存储器模块2-2、安全防护模块，所述单片机2-1与安全网关设备3进行交互式连接。安全防护模块包括阻止通过usbkey访问的应用程序或进程的另存、拷贝操作的文件过滤驱动模块2-3与将其缓存目录强制重定向到存储器模块2-2中的定向模块2-4；所述文件过滤驱动模块2-3与定向模块2-4分别与单片机2-1交互式连接。

如图3、图4所示，一种基于虚拟磁盘保护的无痕访问控制方法，包括以下步骤：

（1）在用户端***中通过usbkey创建虚拟磁盘，并在虚拟磁盘上设加密通道；

（4）安全插件挂载（1）中虚拟磁盘建立虚拟访问空间；

（5）usbkey启动安全防护模块对虚拟访问空间中的文件进行重定向到虚拟磁盘中，并阻止应用程序的相关操作；

（6）所述安全插件检测到退出事件，安全防护模块停止运行，并卸载虚拟磁盘。

以上实施例并非仅限于本发明的保护范围，所有基于本发明的基本思想而进行修改或变动的都属于本发明的保护范围。

Claims

1.一种基于虚拟磁盘保护的无痕访问控制方法，其特征在于：包括以下步骤：

（1）在用户端***中通过usbkey创建虚拟磁盘；

（4）安全插件挂载（1）中虚拟磁盘建立的虚拟访问空间；

（5）安全防护模块对虚拟访问空间中的文件进行重定向到（1）中的虚拟磁盘中。

2.根据权利要求1所述的方法，其特征在于：所述安全插件检测到退出事件，安全防护模块停止运行，并同时卸载虚拟磁盘。

3.根据权利要求1所述的方法，其特征在于：所述步骤（1）中usbkey在虚拟磁盘上设加密通道。

4.一种基于虚拟磁盘保护的无痕访问装置，包括用户端与web服务器，其特征在于：所述用户端与web服务器通过安全网关设备进行交互式连接；所述用户端设有USB接口，所述USB接口插接有usbkey。

5.根据权利要求4所述的装置，其特征在于：所述usbkey包括单片机，所述单片机分别交互式连接有存储器模块、安全防护模块，所述单片机与安全网关设备进行交互式连接。

6.根据权利要求5所述的装置，其特征在于：所述安全防护模块包括通过usbkey访问的应用程序或进程的另存、拷贝操作的文件过滤驱动模块与将其缓存目录强制重定向到存储器模块中的定向模块；所述文件过滤驱动模块与定向模块分别与所述单片机交互式连接。