[發(fā)明專利]ICD安全管理系統(tǒng)及使用方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202010008366.9
• 申請(qǐng)日: 2020-01-06
• 公開（公告）號(hào): CN111209581A
• 公開（公告）日: 2020-05-29
• 發(fā)明（設(shè)計(jì)）人: 王立廣;沈楠;何武
• 申請(qǐng)（專利權(quán)）人: 奧普迪姆機(jī)器人自動(dòng)化（蘇州）有限公司
• 主分類號(hào): G06F21/60
• 分類號(hào): G06F21/60;G06F21/78
• 代理公司: 蘇州周智專利代理事務(wù)所(特殊普通合伙) 32312
• 代理人: 周雅卿

1.一種ICD安全管理系統(tǒng)，其特征在于：包括驅(qū)動(dòng)模塊、安全控制模塊、特征識(shí)別模塊、離線控制模塊、水印控制模塊、管理模塊、密碼管理模塊和ICD模塊。

2.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：所述驅(qū)動(dòng)模塊：在網(wǎng)絡(luò)層驅(qū)動(dòng)判斷策略下發(fā)的加密的目標(biāo)地址，當(dāng)用戶訪問某個(gè)應(yīng)用系統(tǒng)時(shí)由驅(qū)動(dòng)進(jìn)行判斷是否進(jìn)行加密，在客戶端對(duì)瀏覽器進(jìn)行監(jiān)測，一旦文件另保存或下載時(shí)則開始進(jìn)行加密；對(duì)于文件采用寫入磁盤多少加密多少、從磁盤讀多少解密多少的加解密策略；當(dāng)從本地遞交文檔上傳到應(yīng)用系統(tǒng)服務(wù)器時(shí)，由客戶端進(jìn)行判斷和監(jiān)測將文件解密上傳到服務(wù)器，保障服務(wù)器明文存儲(chǔ)。

3.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：所述安全控制模塊，使用Windows的應(yīng)用程序接口攔截技術(shù)實(shí)現(xiàn)對(duì)文件操作的攔截與監(jiān)控，能夠攔截復(fù)制、保存以及刪除操作，同時(shí)根據(jù)不同要求對(duì)不同的操作進(jìn)行攔截與放行，根據(jù)文檔密級(jí)、用戶權(quán)限進(jìn)行安全控制和透明加解密；采用動(dòng)態(tài)DLL替換方式，系統(tǒng)采用替換并修改操作系統(tǒng)底層動(dòng)態(tài)鏈接庫的方式截取所有文件讀寫操作，并根據(jù)文檔密級(jí)、用戶權(quán)限進(jìn)行安全控制和透明加解密；利用操作消息攔截技術(shù)，根據(jù)文檔密級(jí)、用戶權(quán)限對(duì)操作，包括保存、修改、復(fù)制、剪貼、黏貼、打印、截屏，進(jìn)行安全控制和透明加解密。

4.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：特征識(shí)別模塊：在操作系統(tǒng)內(nèi)核根據(jù)文件內(nèi)容來識(shí)別文件類型，并由此確認(rèn)該文件是否加密文件，并且每一個(gè)加密文件加入文件身份信息，記錄文件屬性信息，操作系統(tǒng)內(nèi)核對(duì)受控進(jìn)程進(jìn)行識(shí)別。

5.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：所述離線控制模塊，不限制外發(fā)文件的類型，支持所有的應(yīng)用程序的外發(fā)管理；對(duì)于密級(jí)度高的文檔，控制外發(fā)文檔在哪臺(tái)計(jì)算機(jī)上使用多長時(shí)間，使用多少次；對(duì)于密級(jí)度低的文檔，僅使用用戶名和密碼加以控制；對(duì)于外發(fā)文件的編輯、拷貝和另存進(jìn)行控制，可選擇性控制外部用戶在訪問加密文檔時(shí)需要連接服務(wù)器進(jìn)行強(qiáng)制身份認(rèn)證，可隨時(shí)收回用戶的閱讀權(quán)限。

6.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：所述水印控制模塊，文檔在被打開瀏覽編輯過程，系統(tǒng)自動(dòng)在屏幕或打印內(nèi)容中增加水印信息，水印信息包括用戶信息、時(shí)間信息，用于用戶在打開文檔后拍照或打印文檔內(nèi)容非法擴(kuò)散到外部時(shí)作為追查非法擴(kuò)散的責(zé)任人。

7.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：所述管理模塊負(fù)責(zé)對(duì)用戶訪問目標(biāo)地址、文檔密級(jí)、用戶權(quán)限、用戶操作控制、水印控制策略進(jìn)行統(tǒng)一管理和下發(fā)，其他模塊根據(jù)下發(fā)的安全策略進(jìn)行相應(yīng)的安全控制和透明加解密。

8.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)，其特征在于：所述密碼管理模塊負(fù)責(zé)對(duì)稱、非對(duì)稱密鑰的生成、安全分發(fā)、安全存儲(chǔ)、安全銷毀全生命周期管理，為加解密模塊提供所需的密鑰。

9.根據(jù)權(quán)利要求1所述的ICD安全管理系統(tǒng)的使用方法，其特征在于：包括下載文件、文件離線使用、上傳文件三個(gè)步驟；

所述下載文件，具體包括如下步驟：

步驟101：開始；

步驟102：驅(qū)動(dòng)模塊初始化，從管理模塊獲取策略，從密碼管理模塊獲得密鑰；

步驟103：驅(qū)動(dòng)層監(jiān)測到用戶訪問受控目標(biāo)進(jìn)行下載或另存為操作；

步驟104：驅(qū)動(dòng)層根據(jù)安全策略信息、用戶操作文件密級(jí)、用戶權(quán)限進(jìn)行判斷；

步驟105：判斷是否自動(dòng)加密，是，轉(zhuǎn)入步驟106，否，轉(zhuǎn)入步驟107；

步驟106：調(diào)用驅(qū)動(dòng)模塊加密下載文件，保存密文；

步驟107：明文保存；

所述文件離線使用，具體包括如下步驟：

步驟201：開始；

步驟202：安全控制模塊初始化，從管理模塊獲取策略，從密碼管理模塊獲得密鑰；

步驟203：安全控制模塊通過截取或替換技術(shù)監(jiān)測應(yīng)用層對(duì)受控文件的保存、修改、復(fù)制、剪貼、黏貼、打印、截屏操作；

步驟204：根據(jù)策略、密級(jí)、權(quán)限、合法進(jìn)程識(shí)別判斷是否合法操作；

步驟205：判斷是否為合法，是，轉(zhuǎn)入步驟206，否，轉(zhuǎn)入步驟212；

步驟206：判斷是否為密文，是，轉(zhuǎn)入步驟207，否，轉(zhuǎn)入步驟208；

步驟207：調(diào)用安全控制模塊解密；

步驟208：解密后明文內(nèi)容送相應(yīng)的合法進(jìn)程進(jìn)行合法操作；

步驟209：操作過程有屏幕顯示則進(jìn)行屏幕水印控制，有打印則進(jìn)行打印水印控制；

步驟210：操作過程中，內(nèi)存緩存中的明文內(nèi)容通過觸發(fā)驅(qū)動(dòng)模塊自動(dòng)加密，合法進(jìn)程需讀取時(shí)由驅(qū)動(dòng)層解密；

步驟211：關(guān)閉文件或操作完成時(shí)，由應(yīng)用層加密文件內(nèi)容，將加密后的密文內(nèi)容保存到對(duì)應(yīng)的密文文件中；

步驟212：取消用戶操作；

所述上傳文件，具體包括如下步驟：

步驟301：開始；

步驟302：驅(qū)動(dòng)模塊初始化，從管理模塊獲取策略，從密碼管理模塊獲得密鑰；

步驟303：驅(qū)動(dòng)層監(jiān)測到用戶訪問受控目標(biāo)地址進(jìn)行上傳操作；

步驟304：判斷是否為密文，是，轉(zhuǎn)入步驟305，否，轉(zhuǎn)入步驟306；

步驟305：調(diào)用驅(qū)動(dòng)模塊解密密文；

步驟306：通過安全通道上傳明文到服務(wù)端。