一种面向虚拟桌面的数据访问内审方法及信息安全装置

摘要

本发明公开了一种面向虚拟桌面的数据访问内审方法及信息安全装置，该内审方法包括以下步骤：虚拟桌面网关截获并分析用户终端的连接请求；虚拟桌面网关依据用户身份在提供的桌面服务中添加内审标记；虚拟桌面网关恢复具有内审标记的虚拟桌面连接。该装置能够有效防止终端操作人员从虚拟桌面服务器中窃取敏感数据，提高信息泄露事件发生后的事件追踪能力和精度。

说明书

技术领域

本发明涉及信息安全技术领域，尤其涉及一种在虚拟桌面环境下控制数据流的装置。

背景技术

虚拟桌面技术是一种实现应用终端集中化的可行技术手段，通过虚拟桌面技术可以使原来分散的数据处理和存储集中化成为可能。在数据处理和存储实现集中化的同时，用户可以通过多种类的、多位置的访问手段来访问虚拟桌面中的数据。用户终端与虚拟桌面服务器之间依靠虚拟桌面协议进行通信。

在企业中应用虚拟桌面技术具有安全性、保密性的优点，但是终端使用人员的恶意窃取虚拟桌面内存储的隐私数据的行为却很难及时防御，尤其是使用“录屏”等手段实施的信息窃取行为很难被发现和事后追踪。因此需要设计方法，能够根据用户身份为其整个对虚拟桌面的数据访问过程添加内审标记，以便为事后的取证和追踪带来依据和便利。

发明内容

本发明解决的技术问题在于提出一种面向虚拟桌面的数据访问内审方法，提高虚拟桌面环境下的数据安全性。在虚拟桌面环境下，用户终端和虚拟桌面服务器之间，部署有相应的虚拟桌面网关，其中主要包括身份认证模块、图像处理模块和策略管理模块。

为了解决以上问题，一种面向虚拟桌面的数据访问内审方法，包括以下步骤：

虚拟桌面网关截获并分析用户终端的连接请求；

虚拟桌面网关依据用户身份为虚拟桌面服务添加内审标记;

虚拟桌面网关完成具有内审标记的虚拟桌面连接。

进一步，作为一种优选，为了降低应用的复杂性，用户终端从虚拟桌面服务器获取虚拟桌面服务的过程可以被分解成两个阶段：连接建立阶段和虚拟桌面图像交换阶段。

进一步，作为一种优选，所述虚拟桌面网关截获并分析用户终端的连接请求步骤进一步包括：在连接建立阶段，用户终端向虚拟桌面服务器发起连接请求时，请求中应包括详细的用户身份信息，包括用户的ID（用户名/证书/USB-Key等）、所使用终端的标识（主机名/IP地址/MAC地址等），而连接请求必定经由虚拟桌面网关发送给虚拟桌面服务器。

进一步，作为一种优选，所述虚拟桌面网关截获并分析用户终端的连接请求步骤进一步包括：对于虚拟桌面网关来说，用户终端向虚拟桌面服务器发出的连接请求中包含的所有身份信息均是可以被虚拟桌面网关的身份认证模块解析得到的。

进一步，作为一种优选，所述虚拟桌面网关依据用户身份为虚拟桌面服务添加内审标记步骤进一步包括：虚拟桌面网关的身份认证模块在连接建立阶段劫持（hijack）用户连接请求，即在用户终端申请建立连接时暂时挂起该连接请求，对请求进行解析，解析得到的用户身份信息和用户使用的终端身份信息后，将信息传递给图像处理模块，进入为虚拟桌面服务添加内审标记的过程，包括生成内审标记：由图像处理模块使用单向函数（如散列函数）计算出用户特征，将此特征作为该用户独有的内审标记；内审标记编码：通过策略管理模块读取预先定义的图像策略，使用策略中规定的图像编码算法和图像格式将特征编码为图像信息进行存储。最后完成连接请求，亦即完成连接建立阶段，开始虚拟桌面图像交换阶段。

进一步，作为一种优选，虚拟桌面网关完成具有内审标记的虚拟桌面连接的步骤进一步包括：当用户终端通过虚拟桌面网关向虚拟桌面服务器申请图像时，虚拟桌面服务器会向用户发送当前的虚拟桌面图像帧。而虚拟桌面网关的图像处理模块会首先暂时挂起该申请，当收到来自虚拟桌面服务器的准备发送给用户终端的原始虚拟桌面图像帧后，将内审标记图像植入其中，即将内审标记与虚拟桌面图像帧进行融合；最后图像处理模块恢复前述申请，将植入了与用户身份和终端身份绑定的内审标记后的虚拟桌面图像信息发送回用户终端。

进一步，作为一种优选，进一步包括：虚拟桌面网关应当保证在虚拟桌面图像传输过程中能够对每一帧虚拟桌面图像进行处理，以确保该方法无法被旁路或绕开。

进一步，作为一种优选，虚拟桌面网关完成具有内审标记的虚拟桌面连接的步骤包括，虚拟桌面的图像处理模块恢复之前挂起的来自于用户终端的服务申请，将植入了与用户身份和终端身份绑定的内审标记后的虚拟桌面图像信息发送回用户终端，完成此次虚拟桌面图像帧的请求过程。

在具体实施中，本发明提出了一种能有效防止数据被窃取并提高失泄密事件追踪能力的信息安全装置，该装置包括：

一个及以上的服务器，在服务器上实施硬件虚拟化技术，虚拟出多个虚拟机，所述虚拟机上部署虚拟桌面系统；

一个及以上的用户终端，用户在终端操作平台上操作，访问所述虚拟桌面系统，并发送数据交换的请求；

硬件网关，部署在所述虚拟桌面和操作平台间；

该硬件网关预定义一套内审标记策略；

内审标记策略是一组用于定义如何生成以及使用内审标记的规则，其中主要包含了以图像形式存储的内审标记的编码算法、储存格式、以及将内审标记植入虚拟桌面图像时所使用的的方式（包括显式植入即终端可见式植入以及隐式植入即终端不可见式植入）；

该硬件网关作为虚拟桌面服务的代理，截获并分析用户终端发向虚拟桌面服务器的连接请求，依据连接请求中的身份信息以及预定义的内审标记策略，生成内审标记图像；

该硬件网关作为虚拟桌面服务的代理，在虚拟桌面服务器响应用户终端的请求，向用户终端发送虚拟桌面图像时，会截获待发送的虚拟桌面图像，将之前生成的内审标记图像植入到虚拟桌面图像后，发送融合的图像帧。

本发明的有益效果在于，第一，内审标记由用户身份信息和用户当前使用的终端的身份信息综合计算得出，能够有效与当前用户形成绑定关系，增强了内审标记的有效性和实时性；第二，内审标记的图像编码在整个虚拟桌面会话过程中持续存在于有虚拟桌面服务器传送给用户终端的每一帧画面中，确保了内审方法不会出现纰漏；第三，内审标记的生成和植入均在虚拟桌面网关完成，整个过程对终端用户透明，无法被终端用户绕过，同时也保证了内审标记自身的完整性，综上，这种方法能够有效防止终端操作人员从虚拟桌面服务器中窃取敏感数据，提高信息泄露事件发生后的事件追踪能力和精度。

附图说明

当结合附图考虑时，通过参照下面的详细描述，能够更完整更好地理解本发明以及容易得知其中许多伴随的优点，但此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1是本发明中虚拟桌面网关三个模块的协同工作示意。

图2是本发明中连接建立阶段的流程图。

图3是本发明中虚拟桌面图像传输阶段的流程图。

具体实施方式

以下参照图2、图3对本发明的实施例进行说明。

为使上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

一种面向虚拟桌面的数据访问内审方法，包括以下步骤：

虚拟桌面网关截获并分析用户终端的连接请求； 虚拟桌面网关依据用户身份在提供的虚拟桌面服务中添加内审标记； 虚拟桌面网关恢复具有内审标记的虚拟桌面连接。

用户终端从虚拟桌面服务器申请服务的流程可以分为两个阶段，虚拟桌面连接建立阶段和虚拟桌面图像交换阶段。其中连接建立阶段主要完成用户终端和虚拟桌面服务器之间的连接和认证，虚拟桌面网关截获并分析用户终端的连接请求步骤主要在这个阶段内进行；虚拟桌面图像交换阶段主要完成虚拟桌面服务器把用户请求的虚拟桌面以图像的方式传输给用户终端，虚拟桌面服务器依据用户身份在提供的桌面服务中添加内审标记步骤主要在此阶段内进行。

如图1所示，在连接建立阶段，包括以下步骤：

S1、虚拟桌面网关的身份认证模块截获连接请求；

S2、虚拟桌面网关的身份认证模块解析用户身份信息；

S3、虚拟桌面网关的图像处理模块依据身份信息使用单向函数生成内审标记；

S4、虚拟桌面网关的策略管理模块读取内审标记策略，依据策略由虚拟桌面网关的图像处理模块将内审标记编码为图像；

S5、完成连接。

如图2所示，在虚拟桌面图像传输阶段，包括以下步骤：

S1、虚拟桌面网关的图像处理模块截获来自用户终端的图像传输请求；

S2、虚拟桌面网关的图像处理模块从虚拟桌面服务器获取原始虚拟桌面图像信息；

S3、虚拟桌面网关的图像处理模块获取内审标记图像信息；

S4、虚拟桌面网关的图像处理模块将原始虚拟桌面图像信息与内审标记图像信息融合；

S5、虚拟桌面网关的图像处理模块发送融合后的图像。

用户终端和虚拟桌面服务器之间通过虚拟桌面协议（如RDP、SPICE、ICA等）进行通信，本发明提出的一种面向虚拟桌面的数据访问内审方法需要虚拟桌面网关在用户终端和虚拟桌面服务器之间扮演协议代理中间人的角色。

在用户终端申请连接虚拟桌面服务器的处理阶段，虚拟桌面网关的身份认证会模块处理用户的连接请求。当用户从终端申请连接虚拟桌面服务器时，身份认证模块会暂时挂起该连接请求，并进入处理流程。首先，从请求中解析出用户的详细身份信息，包括用户自身的身份（用户名/USB-Key/证书等）以及所使用终端的身份（主机名/IP地址/MAC地址等）；然后，身份认证模块把获取的身份信息交给图像处理模块，图像处理模块会使用单向函数(例如MD5,SHA系列算法等)计算出与该用户身份所绑定的内审标记，即Tag_user=H（U_id）；再然后，依据内审标记策略（由策略管理模块读取），图像处理模块使用图像编码算法(如空域算法,patchwork算法等)将内审标记转化为图像信息进行存储，即Encode_imgage（Tag_user）；最后，结束处理，将用户请求完成。

在用户终端向虚拟桌面服务器请求虚拟桌面图像的阶段，虚拟桌面网关会作为代理向用户传回带有内审标记的虚拟桌面图像。流程为：当用户终端向虚拟桌面服务器请求一帧虚拟桌面图像时，虚拟桌面网关的图像处理模块将请求暂时挂起，然后从虚拟桌面服务器获取到相应的虚拟桌面图像帧，同时取出用户的内审标记图像信息，将内审标记图像植入到虚拟桌面图像帧中，即将图像进行融合后，形成新的图像，作为用户请求的一帧图像传回。

如上所述，对本发明的实施例进行了详细地说明，但是只要实质上没有脱离本发明的发明点及效果可以有很多的变形，这对本领域的技术人员来说是显而易见的。因此，这样的变形例也全部包含在本发明的保护范围之内。