[0001]本发明涉及一种信息系统在安全防护系统和方法，基于企业信息化系统在终端上应用时,通过Windows操作系统内核级的动态加解密技术，可实现对信息化系统中信息数据的防护，以避免通过终端进行信息泄露的可能。

　　[0005]随着企业信息化的不断发展，企业通过构建信息化系统，方便地为企业用户提供大量的信息数据，其中不乏有企业合同信息、企业客户信息等敏感的信息数据。在使用这些信息化系统时，用户通过计算机或智能移动终端(包括智能手机和平板电脑)接入信息化系统，并获取信息数据。信息化系统能够在系统内部通过用户帐户管理、用户权限管理，防范信息的泄漏；然而这些信息一旦到达用户访问终端(计算机或智能移动终端)，则不再受控于信息化系统的保护，例如用户可通过屏幕复制获取显示在访问终端屏幕上的信息数据，用户可以通过合法的数据下载功能，将信息数据下载至访问终端上存储，等等。因此由于访问终端的接入所引发的信息泄露事件频频发生。对于计算机上的信息泄露防护目前已比较成熟，然而在终端上仍无有效地防护手段和方法。

　　[0006]现有的终端安全软件，都是基于数据存储并指定数据类型(指定的文件格式)安全实现，对于访问信息化系统所面临的信息泄露问题，存在如下严重缺失:

　　[0007]1、对访问信息化系统时的操作无法进行管理。终端在访问信息化系统时，信息数据通过网络传输到终端后，并不以文件方式存储，而是直接通过应用软件(浏览器)显示到屏幕上，此时用户可进行例如屏幕拷贝、内容的复制粘贴等手段将信息数据获取。

　　[0008]2、对从信息化系统中下载、或导出的数据文件仅进行加密处理，能够有效地防止因丢失造成的信息泄露。然而，因为无法配合信息系统中的权限管理，不能有效地限制下载者的使用权限，可能会造成下载者的越权使用所导致的信息泄露。

　　[0009]本发明提供了一种信息系统在终端上的安全防护系统和方法，基于企业信息化系统在终端上应用时，通过Windows操作系统内核级的动态加解密技术，可实现对信息化系统中信息数据的防护，以避免通过终端进行信息泄露的可能。

　　[0010]本发明所述的信息系统在终端上的安全防护系统，可从三个层面防护当终端访问信息系统时的安全。

　　[0011]1.对访问信息化系统时的操作进行管理和控制。防止用户进行屏幕复制、浏览的信息数据复制粘贴等操作。

　　[0012]2.对从信息化系统中下载、或导出的数据文件进行自动加密处理。[0013]3.对从信息化系统中下载、或导出的数据文件，在使用时进行权限管理。

　　[0014]继承信息系统中对用户的权限管理，防止用户滥用、越权等造成的信息泄露。

　　[0016]Web服务器:安全策略设定模块、客户端管理模块、日志管理模块

　　[0017]客户端:信息访问控制模块、文件访问控制模块、文件下载监控模块、文件访问日志记录模块、加解密模块、通信模块、策略更新模块、客户端基本信息模块

　　[0019]安全策略设定模块是指通过web界面来预设安全保护的对象和安全保护的形式，包括信息访问控制模块、文件访问控制等。将设置好的策略保存到数据服务器以便客户通过通信接口获取策略信息。管理员可以新建、编辑、删除策略。

　　[0020]客户端管理模块:客户端将用户信息、客户端状态通过通信模块上传到服务器。通过web界面展现用户信息、用户状态以及调整用户组等功能。

　　[0021 ] 日志管理模块:客户将“文件访问日志记录模块”记录的日志信息，通过通信模块上传到服务器。Web界面展现日志记录(显示日志信息、曰志时间、操作类型、操作人等信息)。

　　[0023]通信模块:主要负责将服务器与客户端之间进行通信。比如:服务器设置的策略(安全策略设定模块)下载到客户端；将客户端信息(终端信息)、客户端状态以及文件访问日志记录模块记录的日志信息上传到服务器。是服务器与客户端连接的通道。

　　[0024]策略更新模块:通过通信模块获取服务器最新策略并通知信息访问控制模块、文件访问控制模块、文件访问日志记录模块、文件下载监控模块执行最新控制策略。

　　[0025]客户端基本信息模块:获取本机基本信息如:计算机名、IP地址、用户登录状态等并通过“通信模块”上传到服务器。

　　[0026]信息访问控制模块:通过“策略更新模块”获取“安全策略设定模块”设置的信息访问控制策略。实现对终端访问信息系统时的操作进行控制。其中访问操作包括对访问到的信息数据进行屏幕复制、内容复制粘贴、内容另存为、内容打印操作。同时实现对在终端上从信息系统中下载的数据文件进行自动加密、授权操作。其中授权操作包括授予只读、打印、修改、复制粘贴、还原权限。当下载的数据文件在终端上被打开使用时，信息访问控制模块对打开的数据文件进行权限控制。

　　[0027]文件访问控制模块:通过“策略更新模块”获取安全策略设定模块发来的指令，实现对终端中的文件对象的访问操作进行控制。其中文件对象，可以是某个指定文件、或一组文件、或目录。其中访问操作包括对文件对象的打开、创建、删除、改名、复制、移动、保存、属性设置操作。文件访问控制模块对文件和目录进行权限控制包括只读、隐藏、禁止删除、禁止打开、禁止拷贝、禁止非法应用程序访问一个已经被合法应用程序打开的文件。

　　[0028]文件访问日志记录模块:通过“策略更新模块”获取安全策略设定模块发来的指令，实现对文件的所有操作进行记录、跟踪并生成曰志文档通过通信模块上传到服务器。

　　[0029]文件下载监控模块:通过“策略更新模块”获取安全策略设定模块发来的指令，对从指定信息系统下载、导出文件进行监控。当下载或导出事件发生时，监控模块即使发现操作的文件并通知加密模块进行加密。[0030]加解密模块:对文件下载监控模块指定的文件进行加密，实现对文件的加解密处理。当合法应用程序读取被加密的数据时，加解密模块进行解密操作，合法应用程序则可正常使用数据；当合法应用程序对文件进行写操作时，加解密模块进行加密操作，合法应用程序保存的文件为加密后的文件；当非法应用程序读取被加密的数据时，动态加解密模块不进行解密操作，非法应用程序则无法正常使用数据；当非法应用程序对文件进行写操作时，加解密模块不进行加解密操作。

　　[0031]本发明还提供一种信息系统在终端上的安全防护方法，它采用本发明所述的信息系统在终端上的安全防护系统，可通过调用通信模块接口从服务器传递安全保护的指令和数据到客户端，策略更新模块会将安全保护的指令传递信息访问控制模块、文件访问控制模块、文件访问日志记录模块和文件下载监控模块；信息访问控制模块在接收安全策略设定模块的指令后，根据安全策略的要求，实时监视终端上所有访问信息系统的操作，并进行控制；文件访问控制模块在接收安全策略设定模块的指令后，根据安全策略的要求，实时监视终端上文件对象的所有操作，并进行控制；文件访问日志记录模块在接收安全策略设定模块的指令后，根据安全策略的要求，实时监视终端上文件对象的所有操作，并进行日志记录；文件下载监测模块在接收安全策略设定模块的指令后，根据安全策略的要求，实时监视终端下载文件操作并通知加解密模块进行加密。

　　[0032]服务器:搭建HTTP、HTTPS服务器，连接mysql数据库。Web服务器是制定安全策略(客户端执行指令)、数据存储中心；

　　[0034]通信层:主要用于网络请求、响应处理(网络数据传输)。通信模块属于这一层，通信模块下载安全策略、上传客户端信息、上传文件操作曰志信息等。

　　[0035]应用层:处理数据解析、命令下发、记录日志等操作`。策略更新模块解析安全策略并通知“信息访问控制模块、文件访问控制模块、文件下载监控模块”;文件访问日志记录模块记录文件操作曰志；客户端基本信息模块，记录客户端当前状态信息。

　　[0036]HOOK层:主要捕获系统调用信息，过滤并处理安全策略中设置的指令。

　　[0037]信息访问控制模块、文件访问控制模块和文件下载监控模块通过更改操作系统工作流程，实现对文件的访问控制和日志记录。具体Hook操作系统的系统调用:0pen、Read、Writ^Delete和Move，通过逻辑(安全策略信息)判断是否允许文件访问操作来继续或阻断系统调用。

　　[0042]为满足各种客户对不同安全需求，安全等级有三级:核密，机密，秘密。

　　[0044]通过应用程序可以设定不同加密算法，如DES，3DES，AES，RC4等。

　　[0045]3)密钥设定[0046]通过应用程序可以设定不同密钥，可以设定任何长度的密钥。

　　[0048]为了实现专用应用程序解密，从而设定专用读取程序，获得授权的应用程序可以正常读取文件，驱动会为其透明加解密，而对于非授权的应用程序却只能读到密文，无法正常读取使用文件。

　　[0050]设定是否应用策略，或者是是否容许特定的文件操作穿过(PASS)过滤层。

　　[0052]设定策略的详细内容，如具体的文件类型(可以使用通配符*、?)，特定的文件目录。策略内容可以指定任何逻辑扇区比如:@:\*.*，就是在终端储存设备下的所有文件都是加密保存的。包括如下内容:

　　1.一种信息系统的安全防护系统,其特征在于该系统包括该系统包括Web服务器:安全策略设定模块、客户端管理模块、日志管理模块，信息访问控制模块、文件访问控制模块、文件下载监控模块、件访问日志记录模块、加解密模块、通信模块、策略更新模块、客户端基本信息模块，该系统的信息访问控制模块、文件访问控制模块、文件下载监控模块、件访问日志记录模块、加解密模块、通信模块、策略更新模块运行在终端机器上以便保护终端访问信息系统。安全策略设定模块:通过web界面来预设安全保护的对象和安全保护的形式，包括信息访问控制模块、文件访问控制等。客户端管理模块:通过web界面展现用户信息、用户状态以及调整用户组等功能。日志管理模块:Web界面展现用户操作日志记录(显示日志信息、日志时间、操作类型、操作人等信息)。通信模块:主要负责将服务器与客户端之间进行通信。是服务器与客户端连接的通道。策略更新模块:通过通信模块获取服务器最新策略并通知信息访问控制模块、文件访问控制模块、文件访问日志记录模块、文件下载监控模块等执行最新控制策略。客户端基本信息模块:获取本机基本信息(计算机名、IP地址、用户登录状态等)。信息访问控制模块:根据信息访问控制策略，实现对PC终端访问信息系统时的操作进行控制。文件访问控制模块:根据安全策略实现对从信息系统下载的文件访问操作进行控制。文件访问日志记录模块:记录对从信息系统下载文件操作信息。文件下载监控模块:对从指定信息系统下载、导出文件进行监控。加解密模块:对文件下载监控模块指定的文件进行加密，实现对文件的加解密处理。

　　2.如权利要求1所述的一种信息系统的安全防护系统，其特征在于，Web服务器的安全策略设定模块是规则的制定者，控制客户端信息访问控制模块、文件访问曰志记录模块、文件下载监控模块等行为准则。

　　3.如权利要求1所述的一种信息系统的安全防护系统，其特征在于，信息访问控制模块，实现对终端访问信息系统时的操作进行控制。其中访问操作包括对访问到的信息数据进行屏幕复制、内容复制粘贴、内容另存为、内容打印操作。同时实现对在终端上从信息系统中下载的数据文件进行自动加密、授权操作。其中授权操作包括授予只读、打印、修改、复制粘贴、还原权限。当下载的数据文件在终端上被打开使用时，信息访问控制模块对打开的数据文件进行权限控制。

　　4.如权利要求1所述的一种信息系统在终端上的安全防护系统，其特征在于，文件访问控制模块，可以是某个指定文件、或一组文件、或目录。其中访问操作包括对文件对象的打开、创建、删除、改名、复制、移动、保存、属性设置操作。文件访问控制模块对文件和目录进行权限控制包括只读、隐藏、禁止删除、禁止打开、禁止拷贝、禁止非法应用程序访问一个已经被合法应用程序打开的文件。

　　5.如权利要求1所述的一种信息系统的安全防护系统，其特征在于，文件下载监控模块，对从指定信息系统下载、导出文件进行监控。当下载或导出事件发生时，监控模块即使发现操作的文件并通知加密模块进行加密。

　　6.如权利要求1所述的一种信息系统的安全防护系统，其特征在于，加解密模块在系统核心层，实现对文件的加解密处理。当合法应用程序读取被加密的数据时，加解密模块进行解密操作，合法应用程序则可正常使用数据；当合法应用程序对文件进行写操作时，加解密模块进行加密操作，合法应用程序保存的文件为加密后的文件；当非法应用程序读取被加密的数据时，动态加解密模块不进行解密操作，非法应用程序则无法正常使用数据；当非法应用程序对文件进行写操作时，加解密模块不进行加解密操作。

　　7.—种信息系统的安全护方法,其特征在于米用权利要求1-6任一所述之信息安全防护系统，终端随着操作系统启动而自动启动。文件下载监控模块时时监控对信息系统操作的行为，及时防止从信息系统拷贝数据，打印数据。对从信息系统下载的文件进行即时加密。对打开的文件禁止拷 贝、粘贴、打印、另存等控制。防止从信息系统泄密。

　　【发明者】王松山, 王晓波, 周亮 申请人:苏州慧盾信息安全科技有限公司

　　针对传统单一加密方式易被破解的问题，提出基于多种加密算法的动态加解密方法。通过生成随机数并计算调度因子，动态确定加密算法的组合顺序，对明文进行多层加密，显著提升数据传输安全性。该方法利用调度因...

　　针对传统加解密算法中密钥易被窃取导致安全性不足的问题，提出将加密密钥文件拆分为多个子文件分散存储，加解密时通过动态组合子文件实现密钥使用，避免完整密钥在内存中暴露，有效提升密钥保护水平。 ...

　　针对传统加密方法中密钥易被窃取的问题，提出一种基于密钥元素与规则分离存储的加密方案。通过将密钥规则加密后上传至云服务器，结合终端密钥元素动态生成密钥，实现加密数据与密钥规则的物理隔离，有效降低...

　　针对动态加解密算法易被破解、用户特征信息泄露等安全问题，提出通过版本号对比与实时更新机制，实现算法动态升级。系统定期获取更新标识号，校验后下载更新文件并执行更新，有效提升算法安全性与数据防护能...

　　针对传统终端依赖生物识别模块导致成本高、空间占用大的问题，提出一种基于触摸屏触控参数（压力、时长）的加密解密方法。通过检测触控行为特征并映射至预设字符，实现无需硬件模块的加密验证，既保障安全性...

　　针对传统数字电视条件接收系统依赖智能卡导致用户使用受限的问题，提出基于移动终端的解决方案。通过认证服务器生成动态加密/解密密钥，结合移动终端与机顶盒的双向认证机制，实现无需智能卡的节目解扰功能...

　　1.数字信号处理 2.传感器技术及应用 3.机电一体化产品开发 4.机械工程测试技术 5.逆向工程技术研究

　　1.振动信号时频分析理论与测试系统设计 2.汽车检测系统设计 3.汽车电子控制系统设计