[發明專利]機密信息泄露防止系統、機密信息泄露防止方法及機密信息泄露防止程序

有效

• 申請號: 201080061281.1
• 申請日: 2010-12-06
• 公開（公告）號: CN102713925A
• 公開（公告）日: 2012-10-03
• 發明（設計）人: 佐佐木貴之
• 申請（專利權）人: 日本電氣株式會社
• 主分類號: G06F21/24
• 分類號: G06F21/24;G06F21/20
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 王波波

技術領域

本發明涉及一種用于防止機密信息泄露的技術，以及更具體地，涉及一種用于使用多級別安全機制防止機密信息泄露的技術。

背景技術

關于防止機密信息泄露，已經提出了多種技術。例如，專利文檔1(專利公開JP-A-2004-220120)描述了認證機構通過將數據庫中收集的用戶信息和與用戶訪問的信息資源相對應的信息相比較來認證用戶。

專利文檔2(專利公開JP-A-2005-275669)描述了一種數據監視方法，其中，當發起數據發送命令時，如果將發起數據發送命令的應用程序作為要監視的應用程序進行了登記，則限制數據發送命令。

專利文檔3(專利公開JP-A-2009-169895)描述了一種客戶端終端，在檢測到向網絡發送了機密文件時，所述客戶端終端在向網絡發送分組之前向所述分組添加附加信息，其中所述附加信息表示包括機密信息。

專利文檔4(專利公開JP-A-2008-033584)描述了一種配置，其中，安裝在客戶端設備中的VM(安全虛擬機)將自己插入諸如WWW瀏覽器之類的程序與操作系統(OS)之間，以及在將與程序所發起的文件訪問相關的系統調用的內容修改為安全內容之后，向操作系統傳送這些內容。

[專利文檔1]專利公開JP-A-2004-220120

[專利文檔2]專利公開JP-A-2005-275669

[專利文檔3]專利公開JP-A-2009-169895

[專利文檔4]專利公開JP-A-2008-033584

這里，多級別安全系統(MLS)是已知的，其將載明安全級別的標簽分配給數據、應用程序、用戶和設備，并基于所分配標簽控制對訪問目標的訪問。這種多級別安全系統預先向應用程序分配例如表示“公共”、“機密”等的標簽，以及當應用程序對訪問目標進行訪問時，基于所分配標簽控制訪問。

然而，如果應用程序對網絡中的訪問目標進行訪問(在下文中，稱作“網絡訪問”)，則有必要在應用程序訪問所述訪問目標之前進行檢查并控制應用程序，但是這伴隨著以下問題。

例如，關于由應用程序實施的網絡訪問，可以考慮在緊鄰從終端設備向網絡發送訪問之前的定時處對訪問進行檢查和控制的方法。可以例如通過使用防火墻等執行檢查。然而，存在一些應用程序，例如通過使用由操作系統提供的網絡服務功能等來執行網絡訪問。在這種情況下，通過操作系統執行網絡訪問，而不是通過應用程序。因此，防火墻檢測由操作系統實施的網絡訪問而非由應用程序實施的網絡訪問，所以防火墻不能夠確定網絡訪問源于哪個應用程序，因而難以根據應用程序的標簽執行訪問控制。

同時，關于使用網絡服務功能的應用程序的網絡訪問，可以考慮在應用程序調用網絡服務功能的定時處檢查和控制網絡服務功能的方法。可以通過使用專利文檔4中描述的系統調用的鉤子(hook)執行檢查。然而，對于該方法，由于監視目標限于設置了鉤子的特定應用程序，因而存在如下問題：在監視過程中可能遺漏應用程序。

因此，盡管有必要沒有任何遺漏地控制由應用程序實施的網絡訪問，但是不管由應用程序實施的網絡訪問的方法是什么，前述專利文檔1至4均并沒有提供有效方案，用于解決前述問題。

發明內容

因此，本發明的目標在于，提供一種系統，能夠根據應用程序的安全級別沒有任何遺漏地控制由該應用程序實施的網絡訪問，而不管由應用程序實施的網絡訪問的方法是什么。

本發明是一種機密信息泄露防止系統，基于向應用程序分配的安全級別來控制經由網絡訪問服務提供單元從應用程序發送的網絡訪問請求和從應用程序直接發送的網絡訪問請求，所述機密信息泄露防止系統包括：第一監視單元，用于監視應用程序是否已經調用了網絡訪問服務提供單元，第二監視單元，用于監視是否向網絡發送了網絡訪問請求，第一訪問控制單元，用于當第一監視單元檢測到已經調用了網絡訪問服務提供單元時，基于向已經調用了服務提供單元的應用程序分配的安全級別來控制所檢測到的調用的網絡訪問請求，以及第二訪問控制單元，用于當第二監視單元檢測到已經發送了網絡訪問請求時，確定第一訪問控制單元是否已經對所檢測到的網絡訪問請求執行了訪問控制，以及如果確定結果是否定的，則基于向已經發送了網絡訪問請求的應用程序分配的安全級別來控制網絡訪問請求。