數據安全存儲方法及裝置制造方法及圖紙

本發明專利技術公開了一種數據安全存儲方法，該方法包括以下步驟：接收硬件指令；分析所述硬件指令；并且如果所述硬件指令是存儲指令，修改所述存儲指令中的目標地址為對應的在安全存儲設備上的存儲地址；將修改后的存儲指令發送到硬件層。還公開了一種數據安全存儲裝置，該裝置包括以下單元：接收單元，適于接收硬件指令；指令分析單元，適于分析所述硬件指令并判斷所述硬件指令是否為存儲指令；指令修改單元，適于修改所述存儲指令中的目標地址為對應的在安全存儲設備上的存儲地址；發送單元，適于將修改后的存儲指令發送到硬件層。本技術方案能夠實現硬件層上信息的持久化操作，即指令級數據轉儲，木馬或惡意工具即使取得了涉密信息也無法保存所取得的信息，使數據始終存在于可控的安全范圍內。

【技術實現步驟摘要】
【國外來華專利技術】數據安全存儲方法及裝置
本專利技術涉及數據安全領域，尤其涉及一種數據安全存儲方法及裝置。
技術介紹
現有的電子信息安全領域包括系統安全、數據安全和設備安全三個子領域。在數據安全領域內，一般采用下面三種技術確保數據安全：(1)數據內容安全技術，包括數據加密解密技術和端到端數據加密技術，保障數據在存儲和傳輸過程中內容不被非法讀取；(2)數據安全轉移技術，包括防止非法拷貝、打印或其它輸出，保障數據在使用和轉移過程中的安全；(3)網絡阻斷技術，包括網絡物理阻斷和設置網絡屏障等技術。由于上述技術在應對計算機內核病毒、木馬、操作系統漏洞、系統后門以及人為泄密時能力不足，事實上任何計算設備上，如計算機，都有可能存在惡意代碼。但根據AV實驗室分析，目前針對計算機的所有危害總有效偵測能力最多在50％左右。由于危害檢出能力的不足，事實上任何電腦上都可能存在惡意代碼，一旦惡意代碼進入終端系統，上述的加密技術、防拷貝技術以及網絡阻斷技術在這種情況下將失去作用，現有的黑客技術可以輕松地利用系統漏洞、系統后門穿透上述安全技術、植入惡意代碼，并利用惡意代碼取得用戶數據。上述技術更無法防范涉密人員的主動或被動泄密，例如，內部人員可以攜帶存儲設備，從內部網絡或終端上下載所需的資料并帶走存儲設備，導致內部泄密。如圖1所示為現有技術中的計算機終端系統示意圖，包括：用戶界面層101，應用層102，操作系統內核層103，硬件映射層104以及硬件層105。終端系統的用戶通過處于用戶界面層101的用戶界面對計算機終端系統進行操作并得到圖形化或非圖形化反饋。以保存數據操作為例：(1)用戶通過某應用程序提供的用戶界面，選擇“保存”功能；(2)應用層102調用對應代碼，將保存指令轉化為一個或多個的操作系統提供的接口函數，即保存操作成為對一系列操作系統提供的接口函數的調用；(3)操作系統內核層103接收到上述的操作系統的接口函數調用，將每一個操作系統接口函數轉化為一個或多個硬件映射層104提供的接口函數；即保存操作成為對一系列硬件映射層104提供的接口函數的調用；(4)上述每一個硬件映射層104提供的接口函數在硬件映射層104中轉化為一個或多個硬件指令調用，例如設備操作指令；(5)處于硬件層105的硬件，例如CPU，接收上述硬件指令調用并執行硬件指令。上述計算機終端中，當其被惡意代碼侵入后，惡意代碼可以從計算機系統中取得數據，惡意代碼在竊取數據后。惡意代碼的行為模式為：(1)存儲行為：將目標數據內容保存到某個存儲位置；(2)傳輸行為：將竊取的數據直接通過網絡傳輸到指定的目標地址。另外，使用上述計算設備或信息設備的人員進行內部泄密的行為模式包括：(1)主動泄密：涉密人員通過主動拷貝、通過惡意工具穿透安全系統、置入木馬等手段直接取得涉密數據，并進行泄密；(2)被動泄密：涉密人員使用的電腦或存儲介質因保管不善丟失或使用不當，例如將涉密裝備直接接入Internet造成的泄密。應用上述數據安全方法在該計算機終端系統中，仍然無法解決：1.基于設備過濾的防拷貝技術無法保證涉密信息在終端不被非法存儲；2.基于網絡過濾無法確保涉密信息不失控；3.涉密人員可通過惡意代碼或惡意工具造成泄密；4.涉密人員因涉密設備或存儲介質失控造成泄密。綜上所述，現有技術仍缺乏一種在終端系統遭到惡意代碼侵入后仍然能夠保證數據安全的方法。
技術實現思路
本專利技術解決的問題是提供一種在終端系統遭到惡意代碼侵入后仍然能夠保證數據安全的方法，提高數據安全性。為了解決上述問題，本專利技術的實施例中提供了一種數據安全存儲方法，包括：接收硬件指令；分析所述硬件指令；如果所述硬件指令是存儲指令，修改所述存儲指令中的目標地址為對應的在安全存儲設備上的存儲地址；將修改后的存儲指令發送到硬件層。可選的，修改所述存儲指令中的目標地址為對應的在安全存儲設備上的存儲地址之后，還包括：更新映射位圖中所述目標地址對應的位；所述映射位圖用于表示本地存儲地址的數據是否轉儲到所述安全存儲設備。可選的，更新映射位圖之后，還包括：將已經更新的映射位圖同步到所述安全存儲設備，保存為第二映射位圖。可選的，接收硬件指令之前，還包括：建立計算終端系統與所述安全存儲設備的通訊；將所述安全存儲設備上的第二映射位圖同步到所述計算終端系統，保存為映射位圖。可選的，如果所述將所述安全存儲設備上的第二映射位圖同步到所述計算終端系統失敗，將計算終端系統中的本地存儲空間映射到所述安全存儲設備上，并建立映射位圖和第二映射位圖。可選的，所述的硬件指令為硬件端口I/O指令。可選的，所述安全存儲設備為遠程存儲設備，所述遠程存儲設備被多個計算終端系統共享。可選的，所述硬件指令來自硬件映射層。進一步的，本專利技術的實施例中提供了一種數據安全存儲裝置，包括：接收單元，適于接收硬件指令；指令分析單元，適于分析所述硬件指令并判斷所述硬件指令是否為存儲指令；指令修改單元，適于修改所述存儲指令中的目標地址為對應的在安全存儲設備上的存儲地址；發送單元，適于將修改后的存儲指令發送到硬件層。可選的，還包括：更新單元，與指令修改單元耦接，適于在指令修改單元修改所述存儲指令之后，更新映射位圖中所述目標地址對應的位；所述映射位圖用于表示本地存儲地址的數據是否轉儲到所述安全存儲設備。可選的，還包括同步單元，與所述更新單元耦接，適于建立計算終端系統與所述安全存儲設備的通訊，并將映射位圖在所述計算終端系統和所述安全存儲設備之間進行同步。可選的，所述硬件指令來自硬件映射層。可選的，所述安全存儲設備為遠程存儲設備，所述遠程存儲設備被多個計算終端系統共享。與現有技術相比，本專利技術具有以下優點：1、數據安全存儲方法實現了指令級數據轉儲即數據全轉儲，以此為基礎，實現了計算終端系統全運行周期的數據安全存儲方法，一方面，使木馬或惡意工具即使取得了涉密信息也無法保存所取得的信息，使數據始終存在于可控的安全范圍內；另一方面，本地不再保存涉密數據，因此防止了涉密人員的主動泄密和被動泄密；2、接收來自硬件映射層的硬件指令可以100％的篩查所有指令，進一步提高數據安全性。附圖說明圖1是現有技術中計算機終端系統包含軟件和硬件的分層示意圖；圖2是本專利技術的第一個實施例中提供的運行時指令重組方法的流程圖；圖3是本專利技術的第一個實施例中指令重組過程和重組指令片段的示意圖；圖4是本專利技術的第二個實施例中提供的運行時指令重組方法的流程圖；圖5是本專利技術的第三個實施例中提供的重組指令的生成方法流程圖；圖6是本專利技術的第七個實施例中提供的運行時指令重組裝置的框圖；圖7是本專利技術的第八個實施例中提供的運行時指令重組裝置的框圖；圖8是本專利技術的第九個實施例中提供的運行時指令重組裝置的指令重組單元的框圖；圖9是本專利技術的第十個實施例中提供的計算機終端系統的層次結構框圖；圖10是本專利技術的第十個實施例中提供的數據轉儲過程整體流程圖；圖11是圖10中初始化過程S1000的流程圖；圖12是本專利技術的第十個實施例中提供的Bitmap示意圖；圖13是本專利技術的第十個實施例中提供的數據安全存儲方法的流程圖；圖14是本專利技術的第十個實施例中提供的數據安全讀取方法的流程圖；圖15是本專利技術的第十一個實施例中提供的數據安全傳輸方法的流程圖；圖16是本專利技術的第十一個實施例中提供的網絡結構示意圖本文檔來自技高網...

【技術保護點】

【技術特征摘要】
【國外來華專利技術】1.一種數據安全存儲方法，其特征在于，包括：接收硬件指令；分析所述硬件指令；如果所述硬件指令是存儲指令，則將所述存儲指令中原指向本地存儲設備的目標地址修改為對應的在計算終端系統外部的安全存儲設備上的存儲地址；將修改后的存儲指令發送到硬件層。2.如權利要求1所述的數據安全存儲方法，其特征在于，修改所述存儲指令中的目標地址為對應的在安全存儲設備上的存儲地址之后，還包括：更新映射位圖中所述目標地址對應的位；所述映射位圖用于表示本地存儲地址的數據是否轉儲到所述安全存儲設備。3.如權利要求2所述的數據安全存儲方法，其特征在于，更新映射位圖之后，還包括：將已經更新的映射位圖同步到所述安全存儲設備，保存為第二映射位圖。4.如權利要求3所述的數據安全存儲方法，其特征在于，接收硬件指令之前，還包括：建立計算終端系統與所述安全存儲設備的通訊；將所述安全存儲設備上的第二映射位圖同步到所述計算終端系統，保存為映射位圖。5.如權利要求4所述的數據安全存儲方法，其特征在于，如果所述將所述安全存儲設備上的第二映射位圖同步到所述計算終端系統失敗，將計算終端系統中的本地存儲空間映射到所述安全存儲設備上，并建立映射位圖和第二映射位圖。6.如權利要求1所述的數據安全存儲方法，其特征在于，所述的硬件指令為硬件端口I/O指令。7.如權利要求1所述的數...

【專利技術屬性】
技術研發人員：汪家祥，
申請(專利權)人：北京中天安泰信息科技有限公司，
類型：
國別省市：