專利名稱：一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法
技術領域：
本發(fā)明屬于信息安全領域，具體涉及一種保障企業(yè)管理軟件數(shù)據(jù)安全性以及機密 性的方法。
背景技術：
目前，絕大部分企事業(yè)單位均采用安全性和機密性較低的國產(chǎn)管理軟件來處理企 業(yè)財務、進銷存、人事、工資等業(yè)務流程，涉及到企業(yè)核心機密資料。這些管理軟件的主流產(chǎn) 品采用C/S (Client/Server，客戶端/數(shù)據(jù)庫服務器)架構，其中，數(shù)據(jù)庫服務器采用通用 的 DBMS (Database Management System,關系數(shù)據(jù)庫，如 SQL_Server、Mysql、Oracle 等)，通 過數(shù)據(jù)庫的通訊服務端口對外提供服務(如SQL-Server為1433端口 )；客戶端則通過標 準ODBC^penDatabase Connectivity，開放數(shù)據(jù)庫互連)引擎與上述數(shù)據(jù)庫服務器建立連 接。上述企業(yè)管理軟件在使用過程中具有嚴重的安全隱患，其主要隱患列舉如下一 數(shù)據(jù)庫服務器明文存儲引起的泄密隱患上述企業(yè)管理軟件使用的DBMS數(shù)據(jù)庫服務器中，所有的數(shù)據(jù)文件和日志文件全 部以明文方式存儲，包括基礎數(shù)據(jù)、人事信息、財務信息、客戶信息等等。一旦這些明文數(shù)據(jù) 文件和日志文件被竊取，可以在其他安裝了同類型的DBMS數(shù)據(jù)庫的機器上輕易導入，將 直接導致企業(yè)核心機密信息的外泄。二 客戶端軟件造成的泄密隱患在使用企業(yè)管理軟件客戶端過程中，基本每個界面、每個報表均具備數(shù)據(jù)導出功 能，可以將當前報表導出成自定義報表格式、Excel等格式，造成泄密；基本每個報表均可 以直接打印輸出，造成泄密；甚至可以直接通過截屏工具將當前屏幕保存并發(fā)送出去，從而 造成企業(yè)核心機密信息泄密。三因口令丟失造成的網(wǎng)絡攻擊一方面是因為企業(yè)管理軟件用戶賬號的失竊。管理軟件客戶端的鑒權方式為簡單 的用戶名、密碼驗證，一旦普通員工竊取了部門主管的登錄口令，即可在任意一臺安裝有企 業(yè)管理軟件客戶端軟件的計算機上登錄企業(yè)管理軟件，從而越權查看涉密信息，造成企業(yè) 機密信息泄密。另一方面是對DBMS數(shù)據(jù)庫遠程非法入侵。企業(yè)管理軟件使用的DBMS數(shù)據(jù)庫服務 器通過默認通訊服務端口對網(wǎng)內(nèi)所有主機提供服務，DBMS數(shù)據(jù)庫的超級管理員甚至沒有設 置任何密碼。在同一個局域網(wǎng)內(nèi)任意計算機只要安裝一個同類型的DBMS數(shù)據(jù)庫客戶端工 具即可直接連接到遠程DBMS數(shù)據(jù)庫服務器，然后備份明文數(shù)據(jù)庫，從而造成企業(yè)機密信息 泄密。綜上所述，為加強企事業(yè)單位管理軟件的數(shù)據(jù)安全，杜絕最終用戶企業(yè)機密信息 的泄密，提供一種安全的、通用性強的企業(yè)管理軟件數(shù)據(jù)安全保護方法具有重大而緊迫的 現(xiàn)實意義。

發(fā)明內(nèi)容
針對以上提到的幾種安全隱患，本發(fā)明的目的在于提供一種專業(yè)的企業(yè)管理軟件 數(shù)據(jù)安全保護方法，主要目標是1、對數(shù)據(jù)庫服務器指定實例的數(shù)據(jù)文件和日志文件進行存儲加密，防止因拷貝明 文數(shù)據(jù)庫文件造成泄密，但不影響數(shù)據(jù)庫正常功能的使用2、實現(xiàn)數(shù)據(jù)庫的準入控制。只允許安裝了防護終端的計算機經(jīng)授權后才允許訪問 后臺數(shù)據(jù)庫服務器，否則一律拒絕服務，防止因口令泄密造成網(wǎng)絡攻擊3、對安裝了企業(yè)管理軟件客戶端的計算機進行加密防護，所有通過客戶端軟件導 出的目標文件將全部加密；在使用客戶端軟件過程中，所有可能泄密的操作，如打印、截屏、 內(nèi)容復制等，將受到嚴格限制。以下用詳細流程說明本發(fā)明采用技術方案一 數(shù)據(jù)庫文件的存儲加密本發(fā)明主要使用虛擬磁盤驅(qū)動、文件過濾驅(qū)動和文件重定向技術實現(xiàn)數(shù)據(jù)庫文件 的存儲加密，具體步驟如下步驟1 利用虛擬磁盤驅(qū)動創(chuàng)建一個能夠容納指定數(shù)據(jù)庫實例的數(shù)據(jù)文件和日志 文件的虛擬磁盤文件，隱藏保存在任意磁盤分區(qū)。步驟2 利用虛擬磁盤驅(qū)動安裝步驟1創(chuàng)建的磁盤文件成一個隱藏的虛擬磁盤分 區(qū)(在本發(fā)明中分區(qū)盤符為#:)，同時利用進程防護技術防止非授權進程訪問該虛擬磁盤 分區(qū)(盤符# )。步驟3 停止數(shù)據(jù)庫服務進程，拷貝指定數(shù)據(jù)庫實例的數(shù)據(jù)文件和日志文件到虛 擬磁盤分區(qū)(盤符# )，然后對原始的數(shù)據(jù)文件和日志文件進行加密，或直接刪除；步驟4 加載文件過濾驅(qū)動，該驅(qū)動可以攔截操作系統(tǒng)中所有進程的啟動；步驟5 啟動數(shù)據(jù)庫服務進程，此時文件過濾驅(qū)動將攔截數(shù)據(jù)庫服務進程的啟動， 注入文件重定向功能代碼到數(shù)據(jù)庫服務進程；步驟6 上述文件重定向功能代碼通過攔截數(shù)據(jù)庫服務進程對數(shù)據(jù)文件和日志文 件的讀、寫操作，全部重定向到虛擬磁盤分區(qū)(盤符#:)中對應的文件，完全不影響數(shù)據(jù)庫 服務的使用；步驟7 虛擬磁盤驅(qū)動將截獲數(shù)據(jù)庫服務進程對虛擬磁盤分區(qū)(盤符# )的讀、寫 操作，實現(xiàn)保存時自動加密，讀取時自動解密。以上流程能在不影響數(shù)據(jù)庫服務器正常工作情況下，實現(xiàn)數(shù)據(jù)文件和日志文件以 加密方式存儲在虛擬磁盤文件中。二 實現(xiàn)數(shù)據(jù)庫的準入控制本發(fā)明從數(shù)據(jù)庫服務器端和企業(yè)管理軟件客戶端兩部分出發(fā)，結合LSP(Layered Service Provider，分層服務提供程序，可以監(jiān)視系統(tǒng)網(wǎng)絡通訊情況)的網(wǎng)絡應用層過濾和 TDI (Transport Driver Interface，傳輸驅(qū)動接口)的網(wǎng)絡驅(qū)動層過濾，實現(xiàn)數(shù)據(jù)庫的準入 控制，具體步驟如下服務器端準入控制主要功能實現(xiàn)對數(shù)據(jù)庫服務器的通訊服務端口監(jiān)聽，只允許指定的IP連接。
4
步驟1 在數(shù)據(jù)庫服務器所在計算機安裝LSP網(wǎng)絡應用過濾器，監(jiān)視并攔截當前系 統(tǒng)的所有網(wǎng)絡通訊情況；步驟2 利用LSP網(wǎng)絡應用過濾器監(jiān)聽數(shù)據(jù)庫服務器進程的通訊服務端口，一旦發(fā) 現(xiàn)有遠程客戶端連接到該端口，從該連接中分析客戶端的IP和端口，進入步驟3 ；步驟3 :LSP網(wǎng)絡應用過濾器根據(jù)權限分配表(本發(fā)明的方法中維護的允許哪些 客戶端IP訪問數(shù)據(jù)庫的權限表)，檢索當前連接客戶端的權限，如果判斷允許連接則放行 該連接，此時該客戶端可以正常連接到數(shù)據(jù)庫服務器；如果判斷無此權限，則立即斷開該連 接，此時該客戶端無法連接到數(shù)據(jù)庫服務器?？蛻舳藴嗜肟刂浦饕δ芑赥DI的網(wǎng)絡驅(qū)動層過濾，只允許授權客戶端的指定進程在規(guī)定時 間段內(nèi)連接數(shù)據(jù)庫服務器。步驟1 在企業(yè)管理軟件客戶端所在計算機安裝TDI網(wǎng)絡驅(qū)動，監(jiān)視并攔截當前系 統(tǒng)的所有連接到指定數(shù)據(jù)庫服務器的通訊服務端口的網(wǎng)絡通訊情況；步驟2 :TDI網(wǎng)絡驅(qū)動一旦監(jiān)聽到試圖連接到數(shù)據(jù)庫服務器的通訊服務端口的通 訊，從該通訊連接中分析當前建立連接的進程信息，進入步驟3 ；步驟3 :TDI網(wǎng)絡驅(qū)動根據(jù)預定義的權限分配表(本發(fā)明的方法中維護的允許客 戶端哪些進程訪問數(shù)據(jù)庫的權限表)，檢索當前進程是否有權限連接到數(shù)據(jù)庫服務器，如果 判斷允許連接則放行該連接，此時該進程可以正常連接到數(shù)據(jù)庫服務器；如果判斷無此權 限，則直接返回，此時該進程提示連接數(shù)據(jù)庫服務器失敗。以上流程通過服務器端的LSP的網(wǎng)絡應用層過濾和客戶端的TDI的網(wǎng)絡驅(qū)動過 濾，實現(xiàn)數(shù)據(jù)庫服務器的準入控制。三實現(xiàn)企業(yè)管理軟件客戶端的加密防護本發(fā)明主要使用文件過濾驅(qū)動和API H00K( —種用于改變API執(zhí)行結果的技術， Microsoft自身也在Windows操作系統(tǒng)里面使用了這個技術，如Windows兼容模式等)技術 實現(xiàn)企業(yè)管理軟件客戶端的輸出文件加密和應用安全防護，具體步驟如下步驟1 在企業(yè)管理軟件客戶端所在計算機安裝文件過濾驅(qū)動和API HOOK。文件 過濾驅(qū)動負責對企業(yè)管理軟件客戶端的輸出文件自動加密，API H00K負責過濾和攔截企業(yè) 管理軟件客戶端可能發(fā)生的泄密行為。步驟2 加載文件過濾驅(qū)動后可以攔截當前系統(tǒng)所有進程的啟動，一旦攔截到企 業(yè)管理軟件客戶端的啟動，則進入透明加解密流程，對企業(yè)管理軟件客戶端所有導出的文 件強制加密；當企業(yè)管理軟件客戶端讀取已加密的文件時自動解密。步驟3 加載API H00K實現(xiàn)企業(yè)管理軟件客戶端的應用防護，通過過濾操作系統(tǒng) 發(fā)起的內(nèi)容復制、打印、截屏等內(nèi)核API，然后根據(jù)授權策略(本發(fā)明的系統(tǒng)中維護的客戶 端防護權限)判斷是否放行，如果不允許則直接返回，這些可能發(fā)生泄密的內(nèi)核API將不 能正確執(zhí)行，以此達到防打印、截屏、內(nèi)容復制等。優(yōu)選地，所述企業(yè)管理軟件為使用C/S架構的企業(yè)管理軟件。優(yōu)選地，所述數(shù)據(jù)庫所述數(shù)據(jù)庫為DBMS數(shù)據(jù)庫。以上流程可以實現(xiàn)企業(yè)管理軟件客戶端所有輸出的文件均被執(zhí)行強制加密，在使 用企業(yè)管理軟件客戶端過程中所有的內(nèi)容復制、報表打印、截屏操作將受到嚴格限制，防止泄密。


圖1為SQL-Server數(shù)據(jù)庫服務器存儲加密技術原理2為SQL-Server數(shù)據(jù)庫服務器存儲加密流程3為SQL-Server數(shù)據(jù)庫端LSP準入控制流程4為企業(yè)管理軟件客戶端TDI準入控制流程5為企業(yè)管理軟件客戶端文件輸出強制加密流程6為企業(yè)管理軟件客戶端泄密防護流程圖
具體實施例方式下面本發(fā)明以SQL-Server數(shù)據(jù)庫服務器為例，結合附圖對本發(fā)明的技術方案進 行清楚、完整的描述。其中，本發(fā)明也適用于MySqLOracle等DBMS數(shù)據(jù)庫的保護?；诒?發(fā)明中的實施例，本領域普通技術人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實 施例，都屬于本發(fā)明保護的范圍。一 SQL-Server數(shù)據(jù)庫服務器存儲加密如圖1所示描述了 SQL-Server數(shù)據(jù)庫服務器存儲加密技術原理。本發(fā)明在 SQL-Server服務器端創(chuàng)建了一個較大空間的虛擬磁盤文件，然后利用虛擬磁盤驅(qū)動安裝 隱藏的虛擬磁盤分區(qū)(在本發(fā)明中分區(qū)盤符為#:)；所有寫入隱藏分區(qū)的數(shù)據(jù)將自動加 密存儲到虛擬磁盤文件。利用文件過濾驅(qū)動攔截SQL-Server服務器進程的讀、寫數(shù)據(jù)文件 的操作，重定向到虛擬磁盤分區(qū)(盤符# )，以此實現(xiàn)SQL-Server所有創(chuàng)建和保存的數(shù)據(jù) 文件、日志文件全部加密保存在虛擬磁盤文件中，而SQL-Server數(shù)據(jù)庫的正常功能不受影 響。如圖2所示，具體描述了本發(fā)明的技術流程a)在初始化安裝時，創(chuàng)建一個較大空間的虛擬磁盤文件，利用虛擬磁盤驅(qū)動 安裝該磁盤文件成一個隱藏的虛擬磁盤分區(qū)(在本發(fā)明中分區(qū)盤符為#:)；然后停止 SQL-Server服務進程，拷貝待保護數(shù)據(jù)文件和日志文件到虛擬磁盤分區(qū)(盤符# )，原始數(shù) 據(jù)文件和日志文件進行加密或刪除處理b)正常使用過程中，利用加載文件過濾驅(qū)動攔截操作系統(tǒng)中所有進程的啟動；當 判斷到SQL-Server服務進程啟動后，則注入文件重定向功能代碼，以攔截SQL-Server服務 進程的讀、寫文件操作c)當文件重定向功能攔截到SQL-Server服務進程的讀、寫文件操作全部重定向 到虛擬磁盤分區(qū)(盤符# )中對應的文件d)如圖所示，虛擬磁盤驅(qū)動將截獲SQL-Server服務進程對虛擬磁盤分區(qū)(盤符 # )的讀、寫操作，實現(xiàn)保存時自動加密，讀取時自動解密。在本流程中，本發(fā)明提供了進程防護驅(qū)動，對允許訪問虛擬磁盤分區(qū)(盤符# ) 的進程進行過濾和攔截，防止黑客通過CMD (Windows Command Prompt，微軟Windows系統(tǒng)基 于command, com上的命令解釋程序)或?qū)Ｓ霉ぞ咧苯釉L問虛擬磁盤分區(qū)(盤符# )。二 SQL-Server數(shù)據(jù)庫的準入控制
1.服務器端準入控制如圖3描述了在SQL-Server服務端利用LSP網(wǎng)絡應用層過濾器實現(xiàn)指定IP的授 權訪問?；玖鞒虨閍)在SQL-Server服務器所在計算機安裝LSP網(wǎng)絡應用層過濾器，監(jiān)聽所有遠程客 戶端試圖連接到本地SQL-Server服務器1433端口的通訊；b)當LSP網(wǎng)絡應用層過濾器監(jiān)聽到有遠程客戶端試圖連接本地SQL-Server服務 器1433端口時，則分解連接的IP和端口，然后根據(jù)預定義的權限分配表(本發(fā)明的系統(tǒng)中 維護的允許哪些客戶端IP訪問數(shù)據(jù)庫的權限表)判斷是否允許連接，如果允許連接則放 行，否則拒絕創(chuàng)建連接。在本流程中，本發(fā)明可以做到在SQL-Server服務端基于IP規(guī)則判斷的準入控制， 但無法識別遠程客戶端是否是授權的進程連接到SQL-Server服務器，可能因此導致在客 戶端通過其他黑客工具連接到SQL-Server服務器從而導致企業(yè)機密信息泄密。2.客戶端準入控制如圖4所示，客戶端連接進程的有效性判斷，將有安裝在企業(yè)管理軟件客戶端所 在計算機的TDI驅(qū)動進行判斷，以此彌補圖3的漏洞。基本流程為a)在企業(yè)管理軟件客戶端計算機安裝TDI網(wǎng)絡過濾驅(qū)動，監(jiān)聽本地連試圖連接到 SQL-Server服務器1433端口的通訊；b) TDI網(wǎng)絡過濾驅(qū)動攔截到試圖連接到SQL-Server服務器1433端口的事件，則分 析發(fā)起連接的進程，獲取進程指紋信息與預定義的權限分配表(本發(fā)明的系統(tǒng)中維護的允 許客戶端哪些進程訪問數(shù)據(jù)庫的權限表)進行校驗，如果校驗成功則放行，該進程可以正 常連接到SQL-Server服務器；如果校驗失敗則斷開連接，則該進程連接失敗。在本流程中，本發(fā)明可以做到在企業(yè)管理軟件客戶端基于應用程序的準入控制， 有效彌補了 LSP網(wǎng)絡應用過濾器的缺陷。三企業(yè)管理軟件客戶端的加密防護如圖5和圖6所示，描述了對企業(yè)管理軟件客戶端的輸出加密和應用防護的過程。如圖5所示，企業(yè)管理軟件客戶端輸出加密主要利用文件過濾驅(qū)動攔截進程的啟 動，實現(xiàn)對輸出文件加密和讀取解密，具體流程為a)安裝在企業(yè)管理軟件客戶端的文件過濾驅(qū)動攔截所有進程的啟動，如果判斷是 合法的客戶端進程，則啟動透明加解密流程；b)利用透明加解密流程對企業(yè)管理軟件客戶端所有導出的文件強制加密；當企 業(yè)管理軟件客戶端讀取已加密的文件時自動解密。如圖6所示描述了企業(yè)管理軟件客戶端應用防護過程。通過文件過濾驅(qū)動攔截企 業(yè)管理軟件客戶端的啟動，注入API HOOK以實現(xiàn)對企業(yè)管理軟件客戶端的應用安全防護， 通過過濾系統(tǒng)發(fā)起的內(nèi)容復制、打印、截屏等內(nèi)核API，然后根據(jù)授權策略(本發(fā)明的系統(tǒng) 中維護的客戶端防護權限)判斷是否放行，如果不允許則直接返回，這些可能發(fā)生泄密的 內(nèi)核API將不能正確執(zhí)行，以此達到防打印、截屏、內(nèi)容復制等功能。通過輸出加密和應用防護兩種手段相結合，本發(fā)明可以做到企業(yè)管理軟件客戶端 輸出的所有文件自動強制加密，即使流傳出去也不會造成泄密，同時企業(yè)管理軟件客戶端 仍然可以正常使用已加密的文件；而應用防護則可以實現(xiàn)在使用企業(yè)管理軟件客戶端時無
7法正常使用內(nèi)容復制、報表打印、截屏或錄屏操作造成企業(yè)機密信息泄密。最后我們以某一具體實施例來說明本發(fā)明的可行性。某單位安裝和使用的一套財務軟件系統(tǒng)，分為SQL-Server數(shù)據(jù)庫服務器和財務 客戶端兩部分，存在一系列安全隱患，迫切需要解決1.以SQL-Server數(shù)據(jù)庫為例，由于是明文存儲，一旦黑客入侵或內(nèi)外勾結拿走了 數(shù)據(jù)文件和日志文件，將直接造成泄密。在使用了本發(fā)明描述的SQL-Server數(shù)據(jù)庫服務器存儲加密方法后，將在服務器 端對所有SQL-Server數(shù)據(jù)庫的數(shù)據(jù)文件和日志文件加密存儲到虛擬磁盤文件中，原始的 文件將進行加密和刪除，因此無法獲取有價值的數(shù)據(jù)文件和日志文件。2.從SQL-Server數(shù)據(jù)庫的準入控制來說，一旦財務客戶端系統(tǒng)口令失竊，或者 SQL-Server數(shù)據(jù)庫的SA賬戶口令丟失，別有用心者將直接可以在局域網(wǎng)內(nèi)登錄財務客戶 端，或者直接安裝SQL-Server客戶端登錄到SQL-Server數(shù)據(jù)庫中，從而造成財務信息泄
滋
r t [ o在使用本發(fā)明描述的LSP網(wǎng)絡應用層過濾和TDI網(wǎng)絡過濾驅(qū)動后，將可以在 SQL-Server數(shù)據(jù)庫服務器端基于IP進行準入控制，在財務軟件客戶端可以基于進程進行 準入控制，兩者的有效結合將構建完整的SQ L-Server數(shù)據(jù)庫服務器準入控制保護。3.從財務客戶端泄密途徑來說，登錄了財務客戶端以后可以導出財務信息為多種 報表格式，同時可以通過內(nèi)容復制、打印、截屏或錄屏等手段造成當前財務信息的泄密。在使用了本發(fā)明所描述的財務客戶端的輸出加密和應用防護流程后，財務客戶端 輸出的所有文件將自動予以加密；在使用財務客戶端時，內(nèi)容復制、打印、截屏或錄屏等手 段將進行嚴格控制，嚴防泄密。本發(fā)明對SQL-Server數(shù)據(jù)庫文件存儲加密和準入控制功能，也適用于其他DBMS 數(shù)據(jù)管理系統(tǒng)，如ACESS、MySql、FoxPro、Sybase、Oracle等常用數(shù)據(jù)庫平臺。
8
權利要求
一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法，通過對企業(yè)管理軟件的數(shù)據(jù)庫和客戶端進行處理，實現(xiàn)對企業(yè)管理軟件數(shù)據(jù)的安全保護，具體為(1)對數(shù)據(jù)庫文件進行存儲加密，防止數(shù)據(jù)庫服務器泄密；(2)對數(shù)據(jù)庫服務器進行準入控制，只允許安裝了防護終端的計算機經(jīng)授權后才允許訪問后臺數(shù)據(jù)庫服務器，防止非授權的終端入侵；(3)對企業(yè)管理軟件客戶端的輸出進行加密和應用防護，即對所有通過客戶端軟件導出的目標文件加密，防止通過客戶端軟件發(fā)生泄密。
2.根據(jù)權利要求1所述的一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法，其特征在于，所述 的對數(shù)據(jù)庫文件的存儲加密具體步驟為(2. 1)創(chuàng)建一個虛擬磁盤文件，利用虛擬磁盤驅(qū)動安裝該虛擬磁盤文件成一個隱藏的 虛擬磁盤分區(qū)，然后停止數(shù)據(jù)庫服務進程，拷貝待保護數(shù)據(jù)文件和日志文件到所述虛擬磁 盤分區(qū)，原始數(shù)據(jù)文件和日志文件進行加密或刪除處理；(2. 2)使用文件過濾驅(qū)動攔截操作系統(tǒng)中所有進程的啟動，當判斷到數(shù)據(jù)庫服務進程 啟動后，則注入文件重定向功能代碼，以攔截數(shù)據(jù)庫服務進程的讀、寫文件操作；(2. 3)利用文件重定向?qū)?shù)據(jù)庫服務進程所有的數(shù)據(jù)讀、寫操作重定向到所述虛擬磁 盤分區(qū)中，虛擬磁盤驅(qū)動將截獲數(shù)據(jù)庫服務進程對所述虛擬磁盤分區(qū)的讀、寫操作，實現(xiàn)保 存時自動加密，讀取時自動解密。
3.根據(jù)權利要求1或2所述的一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法，其特征在于，所 述的對數(shù)據(jù)庫服務器的準入控制通過從數(shù)據(jù)庫服務器端和企業(yè)管理軟件客戶端兩部分出 發(fā)，結合LSP的網(wǎng)絡應用層過濾和TDI的網(wǎng)絡驅(qū)動層過濾，實現(xiàn)數(shù)據(jù)庫的準入控制，具體過 程為(3. 1)在數(shù)據(jù)庫服務器所在計算機通過LSP的網(wǎng)絡應用層過濾監(jiān)視并攔截操作系統(tǒng)中 所有網(wǎng)絡通訊情況，當截獲到有遠程客戶端試圖連接數(shù)據(jù)庫服務器的通訊服務端口時，則 分解連接的IP和端口，然后根據(jù)預定義的權限分配表判斷是否允許連接，如果允許連接則 放行，否則拒絕創(chuàng)建連接；(3. 2)在企業(yè)管理軟件客戶端通過TDI的網(wǎng)絡驅(qū)動層過濾驅(qū)動，監(jiān)視并攔截當前系統(tǒng) 的所有連接到指定數(shù)據(jù)庫服務器通訊服務端口的網(wǎng)絡通訊情況，分析發(fā)起連接的進程，獲 取進程指紋信息與預定義的權限分配表進行校驗，如果允許則放行，如果不允許則立即斷 開。
4.根據(jù)權利要求1-3之一所述的一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法，其特征在 于，所述的企業(yè)管理軟件客戶端的輸出加密和應用防護具體為，在企業(yè)管理軟件客戶端所 在計算機安裝文件過濾驅(qū)動和API Hook，所述文件過濾驅(qū)動用于對企業(yè)管理軟件客戶端的 輸出文件自動加密，所述API Hook用于過濾和攔截企業(yè)管理軟件客戶端可能發(fā)生泄密的內(nèi) 核API的執(zhí)行。
5.根據(jù)權利要求1-4之一所述的一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法，其特征在 于，所述企業(yè)管理軟件為使用C/S架構的企業(yè)管理軟件。
6.根據(jù)權利要求1-5之一所述的一種企業(yè)管理軟件的數(shù)據(jù)安全保護方法，其特征在 于，所述數(shù)據(jù)庫為DBMS數(shù)據(jù)庫。
全文摘要
本發(fā)明公布了一種企業(yè)管理軟件安全解決方法，屬于信息安全領域。本發(fā)明提出的方法能夠在完全不影響企業(yè)管理軟件應用流程的基礎上保證企業(yè)機密信息的數(shù)據(jù)安全。該方法通過對存儲了企業(yè)核心機密資料的數(shù)據(jù)庫文件進行存儲加密，防止因拷貝數(shù)據(jù)庫文件造成泄密；同時對數(shù)據(jù)庫服務器進行準入控制，只允許特定的終端經(jīng)過認證后才允許訪問數(shù)據(jù)庫服務器，防止因口令泄密造成網(wǎng)絡攻擊；對企業(yè)管理軟件系統(tǒng)客戶進行全方面智能防護，所有輸出文件進行加密，在使用管理軟件過程中，內(nèi)容拷貝、打印、截屏等可能發(fā)生泄密的操作進行嚴格控制。
文檔編號G06Q10/00GK101923678SQ20101024102
公開日2010年12月22日 申請日期2010年7月30日 優(yōu)先權日2010年7月30日
發(fā)明者熊彩輝 申請人:武漢天喻信息產(chǎn)業(yè)股份有限公司