一種信息防泄密系統的設計與實現

武旭方，胡曉勤

（四川大學計算機學院，成都 610065）

一種信息防泄密系統的設計與實現

武旭方，胡曉勤

（四川大學計算機學院，成都 610065）

由于信息安全形勢日益嚴峻，數據保護手段也多種多樣。傳統的安全手段都是基于透明加解密來實現，這些方法會在加密文件中添加加密標志會導致保護系統的穩定性降低。提出一種信息防泄密系統，結合加密軟件TrueCrypt和文件過濾驅動，在不修改機密文件的前提下，將機密文件重定向到虛擬加密磁盤。有效保護數據的同時，提高系統的穩定性。

信息安全；文件過濾驅動；透明加解密

0 引言

隨著信息化的發展，用戶及企業產生數據的場景越來越多，包括了很多對機密性有高要求的情況。因此數據的防泄漏變得十分重要，保護數據防止被非法獲得是信息科學中的一個重要命題。目前，IPS、IDS及防火墻的技術和理念雖然也有了高速的發展，但是網絡攻擊手段也是日新月異，讓人防不勝防。即使是不聯網的主機也有被非法用戶查看或盜取機密信息的風險。所以數據加密存儲在計算機中是防止數據泄露的一種可靠的方法。但是，在保證數據的安全性的同時不能破壞用戶的原有習慣，即合法用戶能夠正常讀寫機密信息。因此本文提出了一種結合開源加密軟件TrueCrypt的透明加解密系統來實現數據的防泄漏。

1 系統架構

本系統主要包含以下幾個模塊，客戶端模塊、內核攔截模塊、磁盤加解密模塊、服務端模塊。客戶端模塊工作在被保護主機的應用層，主要實現系統與用戶的交流。包括要求用戶輸入用戶名及密碼、保護數據類型配置、保護路徑配置、脫密文件導出、清空加密磁盤等。

內核攔截模塊是本文的核心內容。關于截獲文件操作的方法大概有這么兩種，一是利用hook函數在應用層截獲相關的文件讀寫函數及文件信息設置函數，這種方法實現簡單但是很容易被非法進程繞過。本文采取的是第二種方法，即通過文件過濾驅動來截獲文件系統的I/O操作。磁盤加解密模塊是結合TrueCrypt來實現的。傳統基于文件過濾驅動的透明加解密系統中一個重要問題就是加密文件的識別，也就是說計算機的文件系統中同時存在密文文件和明文文件，因此在文件操作時就需要判斷是否為密文并解密。目前的解決方案中基本都是在文件的數據中添加已加密的標示，添加的位置可以是文件數據的開頭，中間或尾部。如果加在頭部還要考慮文件大小的問題，也就是說不能因為加密標志的添加導致了用戶看到文件大小的變化，所以此時還需要過濾文件系統的setinformation類IRP，屏蔽掉加密標志的影響。如果加密標志加在尾部，則每次寫文件都要對其進行移動。還有一種方法是自定義一種表示加密標志的文件屬性，文件的內容是一個文件的默認屬性，添加文件屬性并不會影響用戶看到文件大小的變化，文件屬性是NTFS所特有的，也就是說對于FAT32等其他文件系統來說，這種方法是無效的。

圖1 系統架構

因此綜上所述，傳統的文件透明加解密系統存在一些問題，實現復雜，增加保護系統的負擔，適用性不夠廣。所以本文提出了結合TrueCrypt的磁盤加解密方法。TrueCrypt可以創建虛擬磁盤，所有存放在這個虛擬磁盤中的文件都是加密存儲的，并不會添加加密標示。而且只有認證通過的合法用戶才能看到加密磁盤并正常讀寫，認證失敗時，加密磁盤不會被系統掛載。而且，由于文件是加密存儲的所以即使文件被拷貝或傳輸到其他地方也不怕信息泄露。

服務端模塊是實現登錄認證的功能，驗證用戶輸入的用戶名和密碼是否正確。驗證通過才可以讀寫機密文件，否則所有讀寫的文件都是明文存儲的。

2 系統實現的關鍵技術

2.1 Windows NT文件系統及過濾驅動

總所周知，用戶對文件的讀寫不是簡單的操作物理磁盤。Windows NT內核模式驅動是采用分層模型，及應用層對文件的讀寫先通過系統服務調用I/O管理器的IRP生成函數，又由于文件系統驅動在磁盤驅動的上層且已向IO管理器注冊。所以，文件系統驅動會先于磁盤驅動接收到該IRP。文件系統過濾驅動程序能夠過濾針對文件系統或卷的IO操作，它們可以監視、記錄、修改或阻止這些IO操作。它們的工作方式與設備棧中的其他驅動程序類似，它們接收IRP，執行自己的邏輯，再根據自己的需要，設置完成例程并將IRP發送給底層的驅動程序。但需要注意的是文件過濾驅動程序針對的是文件系統，它們不是WDM驅動程序，不能支持即插即用，所以我們不需要添加AddDevice例程。

2.2 文件實時監控

要做到實時監控文件系統，首先需要正確的附加我們的過濾設備到文件系統設備，附加過濾設備可以用內核函數IoAttachDevicetoStack。同時，我們驅動程序的例程中也要處理相應的操作，例如文件讀寫的IRP主要包括IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_ WRITE。由于文件系統支持FastIO例程，因此也需要相應處理。在這些例程中，我們可以針對感興趣的應用層操作進行處理，例如禁止用戶創建、讀、寫文件時，在相應IRP例程中直接調用IoCompleteRequest，并返回STATUS_SUCCESS。在這里，我們針對機密文件的寫操作要重定向到加密磁盤。

2.3 過濾驅動與客戶端的通信

用戶的一些文件可能不是機密的，或者并不想把一些不重要而且體積龐大的文件進行重定向到虛擬磁盤去加密，例如視頻文件、圖片文件等。這時用戶就可以設置文件格式白名單，意味著特定格式的文件將在文件操作的監控中不做處理。同樣的，用戶可能對特定路徑下的文件操作并不感興趣，此時可以設置路徑白名單，特定路徑下的文件讀寫也不會被重定向。這些白名單的設置都是在應用層的客戶端完成，但需要通知到我們內核設備。這時就涉及了我們的驅動程序與應用層客戶端的通信問題。在這里我們利用DeviceIocontrol來實現控制驅動的目的。但這里產生并發生給我們驅動程序的IRP是IRP_CONTROL_CODE，接收這類IRP的是我們的控制設備不是過濾設備，所以在IRP例程中要判斷設備類型。這里我們通過定義宏來實現，如下：

3 結語

該本文在Windows NT內核平臺上，設計并實現了一種信息防泄漏系統。利用文件系統過濾驅動能夠有效的監控文件操作，相對于應用層的攔截，本文提出的方法更加可靠，惡意程序難以繞過。傳統的透明加解密方法，要在加密文件中添加加密標志。本文結合True-Crypt創建虛擬加密磁盤，并將機密文件的寫操作重定向到加密磁盤，讀取文件時從加密磁盤中透明解密返回給用戶。這樣確保了機密文件的加密存儲防止機密文件被盜取到明文的風險。

本系統還有一些方面需要完善，由于機密文件被重定向到虛擬磁盤，機密文件的位置會變成虛擬磁盤，讀取時需要到虛擬磁盤中。可以這樣完善，機密文件的實際內容扔重定向到虛擬磁盤，但其創建時的初始位置被一個空文件代替，可以利用空文件的命名來識別已重定向文件，識別完成后再實際讀取虛擬磁盤中的真實機密文件。

[1]王全民，周清．文件透明加密技術研究[J]．計算機技術與發展，2010,20(3)：147-150.

[2]譚文，陳銘霖．Windows內核安全與驅動開發[M]．北京：電子工業出版社，2015.

[3]張帆．Windows驅動開發詳解[M]．北京：電子工業出版社，2008.

[4]瞿進，李清寶，白燕，魏珉.文件過濾驅動在網絡安全終端中的應用[J].計算機應用,2007,27(3):624-626.

Design and Implementation of a Data Leak Prevention System

WU Xu-fang，HU Xiao-qin
（College of Computer Science，Sichuan University,Chengdu 610065）

Due to the increasingly serious situation of information security,data protection is in varied forms.Traditional security methods are based on transparent encryption and decryption,these methods will modify sensitive file to show that it need to be encrypted or decrypted.So, traditional method will lead to the stability of the protection system to reduce.Proposes a kind of information leakage prevention system, which is based on the encryption software TrueCrypt and file system filter driver.While effectively protecting the data,the stability of the system is improved.

Information Security;File System Filter Driver;Transparent Encryption/Decryption

1007-1423（2017）07-0072-03

10.3969/j.issn.1007-1423.2017.07.018

武旭方（1991-），男，安徽阜陽人，碩士，研究方向為信息與網絡安全

2016-12-22

2017-02-10

國家重點研發計劃（No.2016yfb00604、No.2016yfb00605）、國家自然科學基金項目（No.61572334）

胡曉勤，四川內江人，博士，研究方向為災難備份、信息安全