TWI488066B - 防止檔案以加密形式外洩的防護方法 - Google Patents

Description

防止檔案以加密形式外洩的防護方法

本發明是一種防止檔案以加密形式外洩的防護方法，主要應用於機密防護(Data Leakage Prevention)系統。機密防護系統在進行檔案的內容分析時，如果使用者的文件已經過加密處理再對外傳送，理論上機密防護系統就無法對這些密文進行內容分析並決定如何控管。本發明提出一個解決方案，防止機密文件以加密的形式對外洩露，屬於機密防護領域的核心技術。

機密防護系統需要進行檔案的內容分析，以決定是否允許使用者對外傳送這些檔案。但如果使用者先將檔案予以加密處理再對外傳送，理論上機密防護系統就無法對這些密文進行內容分析的作業。某些機密防護系統採用全面禁止疑似密文檔案對外傳送的監控方式，但這涉及眾多密文格式的辨識，也會限縮使用者的應用系統功能與便利性。而本專利從系統底層針對使用者的加密及壓縮行為進行監控，能防止機密檔案被使用者以加密形式對外洩露，也不至於影響使用者的應用系統功能與便利性。

其他防止機密檔案對外洩露的習知技術，例如我國專利公告號343301，『用以追蹤資訊外流狀況之資訊保全系統及方法』，提出的方法為利用不同的安全策略來執行不同的資料保護方法，其重點為只要企業內部的資料要外流時，使用者端就必須與特定的監視伺服端連線，取得授權之後才得以放行，或是由伺服端將資料予以轉碼之後再傳出假資料。這個方法要求伺服端能夠立即回應使用者端的需求，增加了企業內部網路的負荷而影響到網路服務的速度及品質，也需要 安裝維、護特定的伺服系統才可防止機密資料的對外洩露。

另於我國專利公開號200839549，『一種檔案外流追蹤的方法』當中，可發現與本案有若干相似的技術構想。然而該案係利用使用者端可辨識檔案的檔名、檔案容量大小、檔案片段字串的比對方法，以解決習知技術中無法立即追蹤且迅速找到相關洩密檔案及洩密者等問題。其另一目的在於防止使用者端使用不該持有之檔案進行非法之行為或將機密檔案外流之情事發生，以達到追蹤、監督與管理檔案之功用。但該案亦未如本專利針對使用者將檔案先加密後再對外傳出的行為進行監控，理論上如果使用者對外傳送的文件已經過加密處理，則任何的機密防護系統將難以對這些密文的內容進行分析與控管的作業。本發明提出了一個解決方案，從系統底層針對使用者的加密行為進行監控，可在第一時間管制機密文件被應用程序加密，從而提高了機密防護作業的效率與應用系統功能面。

本案發明人鑑於上述習用方式所衍生的各項缺點，乃亟思加以改良創新，並經多年苦心孤詣潛心研究後，終於成功研發完成本件防止檔案以加密形式外洩的防護方法。

本發明專利目的在於建立一種防止檔案以加密形式外洩的防護方法，主要應用於機密防護系統。當使用者先對機密文件進行加密作業之後再對外傳送密文時，理論上機密防護系統就無法進行這些密文檔案的內容分析及控管，本發明提出一個解決方案，防止機密檔案以加密的形式對外洩露，且不會限縮應用系統的功能與可用性。

機密防護系統在進行機密監控作業時，必須能夠正確地判斷一份文件的內容是否包含政策所定義的機密，以便執行 適當的防護作業。但是在進行文件檔案的內容分析時，如果使用者對外傳送的文件已經過加密處理，理論上機密防護系統就無法對這個密文檔案進行內容分析以及後續的控管作業。

本發明提出一種防止檔案以加密形式外洩的防護方法，該機密監控方法首先針對目標執行緒進行應用程式介面掛勾(API Hook)的處理，所掛勾的API為檔案讀寫行為相關的系統API，例如kernel32.dll的ReadFile與WriteFile等API，在應用軟體啟動時置入這些掛勾進行監控，一旦某執行緒讀取了機密檔案之後，本發明系統即進入防止加密寫檔之保護狀態，於此狀態中該執行緒所有寫出檔案的動作都會被分析，以判斷該程序是否將機密文件加密轉碼並寫出密文檔案，若分析結果認為該執行緒已執行加密寫檔之作業，則本發明系統將依機密防護政策所規定，進行警示、再加密、刪除、稽核等防護作業，如此即可在第一時間防止應用程序將機密文件進行加密處理，從而避免使用者後續對外傳送機密密文檔時的監控難題，為了能夠辨識眾多的加密檔案格式以進行正確的防護作業，本發明採用一種基於資訊熵值以及檔案比對的綜合分析方法，可有效地判斷大多數加密演算法所產生的密文檔案格式。

一種防止檔案以加密形式外洩的防護方法，係於機密防護系統之內容分析與端點監控作業，其中該端點監控作業之方法包括下列步驟：步驟a.當該機密防護系統偵測到使用者啟用應用程式之際，即載入一個監控機密的動態函式庫，並置入檔案讀寫相關的應用程式介面掛鉤；步驟b.當置入之該應用程式介面掛鉤在偵測到該應用程序有讀取檔案時，即透過程序間通訊管道通知一機密防護程序，進行該檔案的內容分析作業，以判斷該應用程序是否有將機密文件予以加密之 行為；步驟c.該應用程序於收到該機密防護系統傳回的內容分析結果時，若為非機密文件則允許其繼續進行檔案讀寫作業，對於機密文件則進入寫檔監控狀態；步驟d.該應用程序於該寫檔監控狀態中將分析所有寫出檔案的格式，若判斷為加密格式則依照機密政策所訂進行相應的防護作業。

其中該機密防護程序，係以一個預先安裝於使用者電腦系統的常駐程序，負責機密防護系統的政策載入與執行、內容分析、稽核記錄作業，該檔案讀寫相關的應用程式介面掛鉤，係指該應用程式介面掛鉤技術，針對該應用程序進行讀取檔案、寫出檔案作業時必需使用的作業系統函式庫，介入其間進行額外的監控處理，該應用程式介面掛鉤，在該應用程序讀取檔案時，即進入相關該掛鉤的監控流程，該監控流程係利用程序間通訊管道通知該機密防護程序，請求該機密防護程序進行目標檔案的內容分析作業，並取得分析結果，該應用程式介面掛鉤在控制加密寫檔時，該程序間通訊管道收到該機密防護系統傳回的內容分析結果時，若該目標檔案並非機密文件，則繼續該程序的該檔案讀寫，不做任何的防護，若為機密文件則進入該寫檔監控狀態，該應用程序當進入該寫檔監控狀態時，將分析所有寫出檔案的格式，若判斷其為加密格式則依照該機密政策所訂進行相應的防護作業，包括稽核、警示、再加密或刪除檔案作業，若寫出的檔案並非加密格式，則繼續該程序的該檔案讀寫，不做任何的防護，該分析該檔案是否為加密格式的方法，係基於資訊熵值以及檔案長度之比對分析，其步驟為：a.檢查並過濾該應用程序寫出的檔案即為原檔案的情形，以免誤判密文格式；b.檢查並過濾該應用程序寫出的檔案為Base64編碼的情形，以免誤判密文格式；c.計算已寫出檔案內容的熵值，若熵值低於某一內定之門檻值則視為非加密格式；d.若該檔案內容的熵值高於該 門檻值，則進一步分析該檔案內容是否為常用的壓縮格式，以避免壓縮格式造成誤判的情形；e.若該檔案內容不是壓縮格式則再進行該檔案內容長度的比對分析，以決定該寫出之該檔案內容是否為加密格式。

其中依據該檔案內容長度進行比對分析的方法，其步驟為：a.計算原檔案內容壓縮後的長度做為參考值；b.進行與該寫出檔案長度之比較；c.做為該比較基準的密文檔案長度為：原檔案內容壓縮後之長度的特定倍數範圍，以及該原檔案內容長度的特定倍數範圍，兩者均為密文長度；d.若該寫出檔案之長度符合該密文檔案長度，則判斷寫出之檔案為密文格式，否則即為非密文格式。

本發明所提供之防止檔案以加密形式外洩的防護方法，與前述引證案及其他習用技術相互比較時，更具有下列之優點：

1.本發明之防止檔案以加密形式外洩的防護方法，於應用程序將機密文件進行加密處理的第一時間進行防護作業，從而避免後續使用者對外傳送密文檔時的監控難題。

2.本發明之防止檔案以加密形式外洩的防護方法，不會限縮使用者的應用系統功能與便利性。

3.本發明之防止檔案以加密形式外洩的防護方法，採用一種基於資訊熵值以及檔案比對的綜合分析方法，可以有效地判斷大多數加密演算法所產生的密文檔案格式。

請參考圖1，為本發明防止檔案以加密形式外洩的防護方法之系統架構圖，由圖中可知，使用者110於操作電腦系統 150時，所啟用的加密應用程序130會讀取機密文件120再進行轉碼加密的作業，當加密應用程序130啟動時會先載入本發明的機密監控動態函式庫160，載入方式可利用作業系統提供的機制或由機密防護系統程序180持續監視所有程序之啟動並由遠端置入，當加密應用程序130讀取某一機密文件120時，預置於加密應用程序130的動態函式庫160所監控的API掛鉤，即利用程序間通訊(Inter Process Communication)的方式通知機密防護系統程序180，進行該檔案的內容分析，以便加密應用程序130判斷是否已讀取含有機密內容的檔案而須進入加密寫檔的防護狀態，若在此防護狀態中加密應用程序130寫出了某一個檔案140，此時應用程序130會立即分析該寫出之檔案140是否為加密檔案，若經判斷為加密檔案則依機密防護政策所示刪除該檔案140，或是進行再加密、隔離、稽核等防護作業，而機密防護系統程序180則將此一事件記錄上傳至機密管理中心170伺服端進行稽核管理。

請參考圖2，為本發明防止檔案以加密形式外洩的防護方法之加密應用程式監控流程圖，當系統偵測到有加密應用程序啟動200時即進入偵測與分析之處理流程，首先進行檔案讀寫作業相關API之掛鉤設置210，以監控其後續的加密寫檔相關行為，當該執行緒讀取了某一檔案220時，讀檔相關的API掛鉤，例如Kernel32.dll的ReadFile，立即會以具名管線(Named Pipe)的方法通知機密防護程序進行該檔案的內容分析230，若該檔案分析的結果為無機密內容231則不需進行加密寫檔之防護，應用程序可繼續完成其檔案讀寫的作業270，若分析結果表示已讀取的檔案為機密文件321，則需進行此應用程序寫檔作業的監控240，接下來如果該應用程序有任何寫出檔案的行為250，則寫檔相關的API掛鉤，例如Kernel32.dll的WriteFile與CloseHandle會先查出檔案與路徑名稱再進行 是否為一般文件格式251或加密檔案252的分析，若分析結果251表示已寫出的檔案為一般文件格式，則可繼續完成其檔案讀寫的作業270，若不為一般文件格式252，則進行是否為加密檔案的分析252，再依機密防護政策所示進行警示、再加密、稽核或刪除等相關防護作業260。若該檔案分析的結果251不是密文格式則無需進行防護，應用程序可繼續完成其檔案讀寫的作業270。

請參考圖3，為本發明防止檔案以加密形式外洩的防護方法之密文格式分析流程圖，首先讀取已寫出之檔案內容300，接著與原檔案進行內容的相互比較310，經過比對後若兩者內容相同即表示不是密文格式311而傳回False值380並結束密文格式的分析流程，否則再判斷檔案內容是否為Base64編碼格式311，若為Base64編碼格式312則進行解碼作業320，然後再回到上述的檔案內容比對流程310，若不是Base64編碼格式312則計算資料內容熵(Entropy)值330，熵值是一種基於資訊理論(Information Theory)關於不確定性(Uncertainty)的數學度量，如下所示：

其表示單位通常為bits/byte，最小值趨近於0，最大值趨近於8，本發明將之應用於密文檔案格式的判斷，一般而言，若計算出的熵值偏高則代表該檔案內容的編碼組合相當隨機，且難以進一步壓縮該檔案內容，大多數的密文檔案、已壓縮過的檔案或是多媒體影音檔等格式，都是具有高熵值的檔案內容，若計算結果該檔案內容的熵值小於內定的門檻值331，例如小於7.0，則傳回False值380結束密文格式的分析流程，反之若該檔案內容的熵值大於內定門檻值331，則進行檔案內容是否為一般壓縮格式之分析332，在此所謂的一般壓縮格式 是指ZIP、GZIP、RAR、ARJ、LZH等常見的檔案壓縮格式，當判斷該檔案內容為壓縮格式時則進一步分析是否屬於壓縮加密的格式333，分析結果若不是壓縮加密格式則傳回False值360，否則即傳回True值結束密文格式分析流程370；若之前判斷該檔案內容並非一般的壓縮格式332，則繼續進行與原檔案內容的比較，在這裡係利用檔案長度的比較350以進一步判斷該寫出之檔案內容內容是否為密文格式351，這是基於一般的加密演算法所產製的密文檔案長度，通常會等於或稍大於原來的明文檔案長度Lo，但因為許多加密程式會整合壓縮的功能，造成密文檔案長度反較原檔案長度為小，所以本方法於此處也需計算出原檔案內容執行標準ZIP壓縮後的長度Lc作為參考值340，而作為判斷基準的密文可能長度Le則可定義為：該原檔案內容的壓縮後長度Lc的0.8倍至Lc的1.3倍左右，以及原檔案長度Lo至Lo的1.1倍左右，兩者都是可能的密文長度Le。當寫出的檔案內容長度並非上述兩種可能的密文長度時，則傳回False值380結束流程，若為密文長度則可視為密文格式而傳回True值370結束密文格式分析的流程。

上列詳細說明乃針對本發明之一可行實施例進行具體說明，惟該實施例並非用以限制本發明之專利範圍，凡未脫離本發明技藝精神所為之等效實施或變更，均應包含於本案之專利範圍中。

綜上所述，本案不僅於技術思想上確屬創新，並具備習用之傳統方法所不及之上述多項功效，已充分符合新穎性及進步性之法定發明專利要件，爰依法提出申請，懇請 貴局核准本件發明專利申請案，以勵發明，至感德便。

110‧‧‧使用者

120‧‧‧機密文件

130‧‧‧加密應用程序

140‧‧‧檔案

150‧‧‧電腦系統

160‧‧‧動態函式庫

170‧‧‧機密管理中心

180‧‧‧機密防護系統程序

200^~ 260‧‧‧加密應用程式監控流程

300^~ 380‧‧‧密文格式分析流程

請參閱有關本發明之詳細說明及其附圖，將可進一步瞭解本發明之技術內容及其目的功效；有關附圖為：圖1為本發明防止檔案以加密形式外洩的防護方法之系統架構圖。

圖2為本發明防止檔案以加密形式外洩的防護方法之加密應用程式監控流程圖。

圖3為本發明防止檔案以加密形式外洩的防護方法之密文格式分析流程圖。

110‧‧‧使用者

120‧‧‧機密文件

130‧‧‧加密應用程序

140‧‧‧檔案

150‧‧‧電腦系統

160‧‧‧動態函式庫

170‧‧‧機密管理中心

Claims (8)

1. 一種防止檔案以加密形式外洩的防護方法，係於機密防護系統之內容分析與端點監控作業，其中該端點監控作業之方法包括下列步驟：步驟a.當該機密防護系統偵測到使用者啟用應用程式之際，即載入一個監控機密的動態函式庫，並置入檔案讀寫相關的應用程式介面掛鉤；步驟b.當置入之該應用程式介面掛鉤在偵測到該應用程序有讀取檔案時，即透過程序間通訊管道通知一機密防護程序，進行該檔案的內容分析作業，以判斷該應用程序是否有將機密文件予以加密之行為；步驟c.該應用程序於收到該機密防護系統傳回的內容分析結果時，若為非機密文件則允許其繼續進行檔案讀寫作業，對於機密文件則進入寫檔監控狀態；步驟d.該應用程序於該寫檔監控狀態中將分析所有寫出檔案的格式，若判斷為加密格式則依照機密政策所訂進行相應的防護作業。
2. 如申請專利範圍第1項所述之防止檔案以加密形式外洩的防護方法，其中該機密防護程序，係以一個預先安裝於使用者電腦系統的常駐程序，負責機密防護系統的政策載入與執行、內容分析、稽核記錄作業。
3. 如申請專利範圍第1項所述之防止檔案以加密形式外洩的防護方法，其中該檔案讀寫相關的應用程式介面掛鉤， 係指該應用程式介面掛鉤技術，針對該應用程序進行讀取檔案、寫出檔案作業時必需使用的作業系統函式庫，介入其間進行額外的監控處理。
4. 如申請專利範圍第1項所述之防止檔案以加密形式外洩的防護方法，其中該應用程式介面掛鉤，在該應用程序讀取檔案時，即進入相關該掛鉤的監控流程，該監控流程係利用程序間通訊管道通知該機密防護程序，請求該機密防護程序進行目標檔案的內容分析作業，並取得分析結果。
5. 如申請專利範圍第1項所述之防止檔案以加密形式外洩的防護方法，其中該應用程式介面掛鉤在控制加密寫檔時，該程序間通訊管道收到該機密防護系統傳回的內容分析結果時，若目標檔案並非機密文件，則繼續該程序的該檔案讀寫，不做任何的防護，若為機密文件則進入該寫檔監控狀態。
6. 如申請專利範圍第5項所述之防止檔案以加密形式外洩的防護方法，其中該應用程序當進入該寫檔監控狀態時，將分析所有寫出檔案的格式，若判斷其為加密格式則依照該機密政策所訂進行相應的防護作業，包括稽核、警示、再加密或刪除檔案作業，若寫出的檔案並非加密格式，則繼續該程序的該檔案讀寫，不做任何的防護。
7. 如申請專利範圍第6項所述之防止檔案以加密形式外洩的防護方法，其中該分析該檔案是否為加密格式的方法，係基於資訊熵值以及檔案長度之比對分析，其步驟為：a.檢查並過濾該應用程序寫出的檔案即為原檔案的情形，以免誤判密文格式； b.檢查並過濾該應用程序寫出的檔案為Base64編碼的情形，以免誤判密文格式；c.計算已寫出檔案內容的熵值，若熵值低於某一內定之門檻值則視為非加密格式；d.若該檔案內容的熵值高於該門檻值，則進一步分析該檔案內容是否為常用的壓縮格式，以避免壓縮格式造成誤判的情形；e.若該檔案內容不是壓縮格式則再進行該檔案內容長度的比對分析，以決定該寫出之該檔案內容是否為加密格式。
8. 如請求項7所述之防止檔案以加密形式外洩的防護方法，其中依據該檔案內容長度進行比對分析的方法，其步驟為：a.計算原檔案內容壓縮後的長度做為參考值；b.進行與該寫出檔案長度之比較；c.做為該比較基準的密文檔案長度為：原檔案內容壓縮後之長度的特定倍數範圍，以及該原檔案內容長度的特定倍數範圍，兩者均為密文長度；d.若該寫出檔案之長度符合該密文檔案長度，則判斷寫出之檔案為密文格式，否則即為非密文格式。