[发明专利]阻止安全数据离开网络周界

说明书

背景

在例如公司的办公室等企业计算环境中，多个个人计算机、工作站、服务器等连同诸如大容量存储子系统、内部网络接口、以及外部网络接口等其他设备通常互连以提供其中可生成信息、将信息发送到外部源并从外部源访问信息、且在各用户之间共享信息的集成环境。通常，用户执行各种操作，包括订单接收、制造、出货、记账、库存控制、文档准备及管理、电子邮件、web浏览，以及其中数据的创建、访问、以及共享可获益的其他操作。

当前，安全性通常是使用各种不同的安全产品，具体地包括在企业网络的周界(即“边缘”)操作的硬件和软件解决方案，来提供给企业的。这些解决方案通常包括监视在企业网络与诸如因特网等外部网络之间移动的通信量的防火墙、代理服务器、网关等。

当前边缘设备通常扫描并检查恶意软件(即，诸如病毒、蠕虫、木马、rootkit等恶意软件)的传入通信量，从而用来在企业周围提供安全区域。它们可以阻止用户例如下载来自因特网的恶意软件或接收传入电子邮件中的恶意软件。企业内部的敏感或机密数据(统称为“安全数据”)可以通过采用如数字签名和水印之类的使得边缘设备能够阻塞该数据被不适当地发送到网络周界的外面的数字权限管理(“DRM”)方法来保护。

尽管在许多应用中表现得令人满意，但这些当前安全方法通常不能使传统安全数据得到保护。另外，这些方法可被企业内部的具有将安全数据发送到网络周界外面的正确许可的恶意用户容易地规避。

提供本背景来介绍以下概述和详细描述的简要上下文。本背景不旨在帮助确定所要求保护的主题的范围，也不旨在被看作将所要求保护的主题限于解决以上所提出的问题或缺点中的任一个或全部的实现。

概述

通过一种安排来阻止安全数据离开诸如企业网络或公司网络(“corpnet”)等网络的周界，在该安排中周期性地计算安全数据的散列并将这些散列推出送到该网络上的诸如防火墙等边缘设备，这些散列被存储在这些边缘设备中以供稍后访问。配置边缘设备以使得其能够访问在企业网络与位于该企业网络周界外面的诸如因特网等外部网络之间流动的所有通信量。只要用户尝试将数据发送到外部网络，在边缘设备上运行的进程就计算该外出数据的散列并将其与所存储的与安全数据相关联的散列相比较。如果该外出数据的散列与所存储的安全数据的散列之间作出了匹配，则边缘设备阻塞该外出数据离开网络周界。

在各说明性示例中，提供了管理员管理功能，网络管理员可通过该功能指定企业中的哪些数据是“安全的”并且进行散列并被阻塞离开网络周界。管理员可以例如通过配置所应用的散列算法和其他安全数据管理参数来任选地配置安全数据管理。管理员还可接收将安全数据发送到网络外面的尝试的通知和做出这些尝试的主机或用户的身份。

在主机(例如，在企业的周界内部的台式或膝上型计算机)上运行的客户机侧代理被配置成跟踪在本地对从企业网络下载的任何安全数据作出的改变。客户机侧进程计算安全数据的散列(在该数据被用户在本地主机上修改的情况下)；并且将该散列推出送到边缘设备。即使安全数据通过用户交互而改变，客户机侧代理也使所存储的散列能够保持最新并且准确地表示企业中的所有安全数据。

提供本概述是为了以简化的形式介绍将在以下详细描述中进一步描述的一些概念。本概述不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

附图描述

图1示出其中可实现本发明的用于阻止安全数据离开网络周界的安排的说明性企业网络环境；

图2示出将数据指定为“安全的”并且计算该安全数据的散列并将其推送到边缘设备且进行存储的说明性活动流程；

图3示出其中主机的用户下载数据并尝试通过边缘设备将其发送出企业网络的周界外面的说明性使用场景；

图4示出边缘设备对来自用户的外出数据执行散列计算、将所得散列与所存储的与安全数据相关联的散列进行比较、以及在发现匹配的情况下阻塞来自该用户的该外出数据的说明性活动流程；以及

图5示出操作主机的客户机侧代理的说明性使用场景和活动流程，其中计算用户修改的安全数据的散列并将其推出送到边缘设备。

各附图中相同的附图标记指示相同的元素。除非另外指明否则各附图中的元素不是按比例绘制的。

详细描述