数据安全读取方法及装置
阅读：946发布：2023-03-11
专利汇可以提供数据安全读取方法及装置专利检索，专利查询，专利分析的服务。并且一种数据安全读取方法，包括：接收 硬件 指令；分析所述硬件指令；如果所述硬件指令是读取指令，获取读取指令中的源地址；查找映射位图，并根据映射位图的数据 修改 读取指令中的读取地址；所述映射位图用于表示本地存储地址的数据是否转储到所述安全存储设备；将修改后的读取指令发送到硬件层。一种数据安全读取装置，包括：接收单元、指令分析单元、指令修改单元和发送单元。使木 马 或恶意工具即使取得了涉密信息也无法保存或传输所取得的信息，使数据始终存在于可控的安全范围内。，下面是数据安全读取方法及装置专利的具体信息内容。
权 利 要 求
1. 一种数据安全读取方法， 其特征在于， 包括：
分析所述硬件指令；
如果所述硬件指令是读取指令， 获取读取指令中的源地址；
所述硬件指令来自硬件映射层。
3. 如权利要求 1所述的数据安全读取方法， 其特征在于，
如果所述硬件指令不是读取指令或者所述读取指令的源地址是安全存储 设备上的地址， 直接将接收到的硬件指令发送到硬件层。
4. 如权利要求 1所述的数据安全读取方法， 其特征在于， 在接收硬件指令 之前， 所述数据安全读取方法还包括：
建立计算终端系统与所述安全存储设备的通讯；
将所述安全存储设备上的第二映射位图同步到所述计算终端系统， 保存 为映射位图。
5. 如权利要求 1所述的数据安全读取方法， 其特征在于， 所述安全存储设 备为远程存储设备， 所述远程存储设备被多个计算终端系统共享。
6. 一种数据安全读取装置， 其特征在于， 包括：
接收单元， 适于接收硬件指令；
指令分析单元， 适于分析所述硬件指令并判断所述硬件指令是否为读取 指令，如果所述硬件指令是读取指令， 获取读取指令中的源地址并判断所述源 地址是否为安全存储设备上的地址；
指令修改单元， 适于查找映射位图， 并根据映射位图的数据修改所述读 取指令中的读取地址；所述映射位图用于表示本地存储地址的数据是否转储到 所述安全存储设备；
发送单元， 适于将修改后的读取指令发送到硬件层。
7. 如权利要求 6所述的数据安全读取装置， 其特征在于， 所述硬件指令来 自硬件映射层。
8. 如权利要求 6所述的数据安全读取装置， 其特征在于， 还包括： 同步单元， 适于建立计算终端系统与所述安全存储设备的通讯， 并将映 射位图在所述计算终端系统和所述安全存储设备之间进行同步。
9. 如权利要求 6所述的数据安全读取装置， 其特征在于， 所述安全存储设 备为远程存储设备， 所述远程存储设备被多个计算终端系统共享。
数据安全读取方法及装置 技术领域
数据安全读取方法及装置 技术领域
本发明涉及数据安全领域， 尤其涉及一种数据安全读取方法及装置。 背景技术
现有的电子信息安全领域包括系统安全、 数据安全和设备安全三个子领 域。
在数据安全领域内， 一般采用下面三种技术确保数据安全： （1 )数据内 容安全技术， 包括数据加密解密技术和端到端数据加密技术，保障数据在存储 和传输过程中内容不被非法读取；（2 )数据安全转移技术， 包括防止非法拷贝、 打印或其它输出， 保障数据在使用和转移过程中的安全； （3 ) 网络阻断技术， 包括网络物理阻断和设置网络屏障等技术。
由于上述技术在应对计算机内核病毒、 木马、 操作系统漏洞、 系统后门 以及人为泄密时能力不足， 事实上任何计算设备上， 如计算机， 都有可能存在 恶意代码。 但根据 AV实验室分析， 目前针对计算机的所有危害总有效侦测能 力最多在 50%左右。 由于危害检出能力的不足， 事实上任何电脑上都可能存在 恶意代码， 一旦恶意代码进入终端系统， 上述的加密技术、 防拷贝技术以及网 络阻断技术在这种情况下将失去作用，现有的黑客技术可以轻松地利用系统漏 洞、 系统后门穿透上述安全技术、 植入恶意代码， 并利用恶意代码取得用户数 据。 上述技术更无法防范涉密人员的主动或被动泄密， 例如， 内部人员可以携 带存储设备，从内部网络或终端上下载所需的资料并带走存储设备，导致内部 泄密。
如图 1所示为现有技术中的计算机终端系统示意图， 包括： 用户界面层 101 , 应用层 102, 操作系统内核层 103, 硬件映射层 104以及硬件层 105。 终端 得到图形化或非图形化反馈。 以保存数据操作为例：
( 1 )用户通过某应用程序提供的用户界面， 选择 "保存" 功能；
( 2 )应用层 102调用对应代码， 将保存指令转化为一个或多个的操作系 统提供的接口函数， 即保存操作成为对一系列操作系统提供的接口函数的调 用； ( 3 )操作系统内核层 103接收到上述的操作系统的接口函数调用， 将每 一个操作系统接口函数转化为一个或多个硬件映射层 104提供的接口函数； 即 保存操作成为对一系列硬件映射层 104提供的接口函数的调用；
( 4 )上述每一个硬件映射层 104提供的接口函数在硬件映射层 104中转化 为一个或多个硬件指令调用， 例如设备操作指令；
( 5 )处于硬件层 105的硬件， 例如 CPU,接收上述硬件指令调用并执行硬 件指令。
上述计算机终端中， 当其被恶意代码侵入后， 恶意代码可以从计算机系 统中取得数据， 恶意代码在窃取数据后。 恶意代码的行为模式为： （1 )存储行 为： 将目标数据内容保存到某个存储位置； （2 )传输行为： 将窃取的数据直接 通过网络传输到指定的目标地址。 另外，使用上述计算设备或信息设备的人员 进行内部泄密的行为模式包括： （1 )主动泄密： 涉密人员通过主动拷贝、 通过 恶意工具穿透安全系统、置入木马等手段直接取得涉密数据，并进行泄密； ( 2 ) 将涉密装备直接接入 Internet造成的泄密。
应用上述数据安全方法在该计算机终端系统中， 仍然无法解决： 1.基于 设备过滤的防拷贝技术无法保证涉密信息在终端不被非法存储； 2.基于网络 过滤无法确保涉密信息不失控； 3. 涉密人员可通过恶意代码或恶意工具造成 泄密； 4. 涉密人员因涉密设备或存储介质失控造成泄密。
综上所述， 现有技术仍缺乏一种在终端系统遭到恶意代码侵入后仍然能 够保证数据安全的方法。
发明内容
本发明解决的问题是提供一种在终端系统遭到恶意代码侵入后仍然能够 保证数据安全的方法， 提高数据安全性。
为了解决上述问题， 本发明的实施例中提供了一种数据安全读取方法， 包括： 接收硬件指令； 分析所述硬件指令； 如果所述硬件指令是读取指令， 获 取读取指令中的源地址； 查找映射位图， 并根据映射位图的数据修改读取指令 中的读取地址；所述映射位图用于表示本地存储地址的数据是否转储到所述安 全存储设备； 将修改后的读取指令发送到硬件层。
可选的， 所述硬件指令来自硬件映射层。
可选的， 如果所述硬件指令不是读取指令或者所述读取指令的源地址是 安全存储设备上的地址， 直接将接收到的硬件指令发送到硬件层。 可选的， 在接收硬件指令之前， 所述数据安全读取方法还包括： 建立计 算终端系统与所述安全存储设备的通讯；将所述安全存储设备上的第二映射位 图同步到所述计算终端系统， 保存为映射位图。
可选的， 所述安全存储设备为远程存储设备， 所述远程存储设备被多个 计算终端系统共享。
进一步的， 本发明的实施例中还提供了一种数据安全读取装置， 包括： 接收单元， 适于接收硬件指令； 指令分析单元， 适于分析所述硬件指令并判断 所述硬件指令是否为读取指令，如果所述硬件指令是读取指令， 获取读取指令 适于查找映射位图， 并根据映射位图的数据修改所述读取指令中的读取地址； 所述映射位图用于表示本地存储地址的数据是否转储到所述安全存储设备；发 送单元， 适于将修改后的读取指令发送到硬件层。
可选的， 所述硬件指令来自硬件映射层。
可选的， 还包括： 同步单元， 适于建立计算终端系统与所述安全存储设 备的通讯，并将映射位图在所述计算终端系统和所述安全存储设备之间进行同 步。
可选的， 所述安全存储设备为远程存储设备， 所述远程存储设备被多个 计算终端系统共享。
与现有技术相比， 本发明具有以下优点： 全范围内， 并且保证在安全存储数据（转储）之后， 可以将转储数据读出； 由 于本地将不再保存在涉密状态下的任何数据，因此防止了涉密人员的主动泄密 和被动泄密；
2. 安全存储设备为远程存储设备时， 可以为多个终端共享， 提高安全存 储设备的空间使用效率。
图 1是现有技术中计算机终端系统包含软件和硬件的分层示意图； 图 2是本发明的第一个实施例中提供的运行时指令重组方法的流程图； 图 3是本发明的第一个实施例中指令重组过程和重组指令片段的示意图； 图 4是本发明的第二个实施例中提供的运行时指令重组方法的流程图； 图 5是本发明的第三个实施例中提供的重组指令的生成方法流程图； 图 6是本发明的第七个实施例中提供的运行时指令重组装置的框图； 图 7是本发明的第八个实施例中提供的运行时指令重组装置的框图； 图 8是本发明的第九个实施例中提供的运行时指令重组装置的指令重组 单元的框图；
图 9是本发明的第十个实施例中提供的计算机终端系统的层次结构框图； 图 10是本发明的第十个实施例中提供的数据转储过程整体流程图； 图 11是图 10中初始化过程 S1000的流程图；
图 12是本发明的第十个实施例中提供的 Bitmap示意图；
图 13是本发明的第十个实施例中提供的数据安全存储方法的流程图； 图 14是本发明的第十个实施例中提供的数据安全读取方法的流程图； 图 15是本发明的第十一个实施例中提供的数据安全传输方法的流程图； 图 16是本发明的第十一个实施例中提供的网络结构示意图；
图 17是本发明第十二个实施例中提供的数据安全存储装置的结构框图； 图 18是本发明第十三个实施例中提供的数据安全读取装置的结构框图。 具体实施方式
为使本发明的上述目的、 特征和优点能够更为明显易懂， 下面结合附图 对本发明的具体实施方式做详细的说明。
在以下描述中阐述了具体细节以便于充分理解本发明。 但是本发明能够 以多种不同于在此描述的其它方式来实施，本领域技术人员可以在不违背本发 明内涵的情况下做类似推广。 因此本发明不受下面公开的具体实施方式的限 制。
计算机运行过程中， CPU地址寄存器保存下一条将要运行的机器指令的地 址； 为了实现运行时机器指令监控， 本发明一些实施例中将获取该寄存器中的 数据， 并按照该数据指向的地址， 读取下一条、 多条将要运行的机器指令； 并 且， 修改所述一条、 多条机器指令所组成的待调度的指令片段， 从而在每一条 机器指令运行前获得控制权， 不断的进行后续指令的分析。 进一步的， 本发明 的一些实施例中，在获取到待调度的机器指令片段后，还包括对其中的目标指 令进行处理的步骤，从而不仅对运行时指令进行了重组以监控运行时指令，还 完成对所述目标指令的修改和更新。
本发明的第一个实施例中提供了一种运行时指令重组方法。 如图 2所示， 该方法包括：
S101 , 緩存指令运行环境；
S102, 获取待调度的机器指令片段； 在所述获取的机器指令片段的最后 一条指令前，插入第二跳转指令， 所述第二跳转指令指向指令重组平台的入口 地址， 生成具有地址 A"的重组指令片段； 将所述緩存的指令运行环境中的地 址寄存器的值 A修改为地址 A";
S103, 恢复所述指令运行环境。
具体的， 在步骤 S101执行之前， 本方法获取 CPU执行权或控制权。 CPU 执行本方法的步骤时， 首先緩存指令运行环境（即步骤 S101 ), 即緩存刚刚执 行的被监控指令的结果。 所述 CPU在本实施例中为 X86架构中央处理器； 在本 发明的其他实施例中， 也可以是 MIPS处理器或基于 ARM架构的处理器， 而且 本领域普通技术人员可以了解，所述 CPU也可以是任何其他类型的计算设备中 的指令处理单元。
在步骤 S101中， 所述緩存指令运行环境包括： 向緩存栈中压入指令运行 相关的寄存器数据。在本发明的其他实施例中，緩存或保存指令运行环境也可 以在指定的、 默认的其他緩存数据结构、 地址中进行。
在步骤 S102中， 获取待调度的机器指令片段包括：
51021 , 从 CPU地址寄存器读取待调度的机器指令地址；
51022, 以跳转指令为检索目标，检索所述机器指令地址对应的机器指令， 直到发现第一个跳转指令； 所述跳转指令包括 Jump指令和 Call指令；
51023, 将所述第一个跳转指令及其之前的所有机器指令作为一个待调度 的机器指令片段； 将该机器指令片段保存在指令重组平台中，或其他指令重组 平台能够读取的存储位置。
在本发明的其他实施例中， 获取待调度的机器指令片段也可以以非跳转 指令， 例如写入指令、 读取指令等， 为检索目标， 切分机器指令片段； 这时， 需要保证其中的跳转指令执行后， 指令重组平台仍能够获取 CPU控制权， 所以 跳转指令需要作为补充检索目标或者第二检索目标，即得到粒度更小的机器指 令片段。 仍然在步骤 S102中， 在插入第二跳转指令 JP2之前， 本实施例提供的方法 还可以包括：
S1025, 解析所述机器指令片段， 利用指令集匹配所述机器指令片段， 得 到待处理的目标机器指令； 所述指令集包括 X86, MIPS和 ARM指令集；
S1026, 按照预定的方式， 修改所述目标机器指令。
利用上述步骤， 不仅可以完成运行时指令监控， 还可以进行其他处理过 程， 将在下面的实施例中进一步展开描述。
由于本实施例只是为了可以实现运行时指令的重组， 所以步骤 S1025~ S1026没有在本实施例中执行， 直接执行步骤： 在所述机器指令片段的最后一 条指令（即跳转指令 JP1 )前， 插入第二跳转指令 JP2, 所述 JP2指向指令重组 平台的入口地址， 生成具有地址 A"的重组指令片段； 将所述緩存的指令运行 环境中的地址寄存器的值 A修改为地址 A"。其中的指令重组平台就是本实施例 中提供的指令重组方法的执行平台。
插入 JP2是为了在 CPU运行所述待调度的机器指令片段时， 在 JP1运行前， 重新开始运行所述指令重组平台，指令重组平台将继续分析下一段待调度的机 器指令片段， 重复本方法中的步骤进而完成对所有运行指令的重组。 更具体的 描述见下面对步骤 S103的分析。
在步骤 S103中， 恢复所述指令运行环境包括： 从緩存栈中弹出指令运行 相关的寄存器数据；其中地址寄存器保存的跳转指令的目标地址已经修改为以 A"为入口地址的新的机器指令片段。 恢复所述指令运行环境后， 指令重组平 台完成运行， CPU继续执行上一个机器指令片段的最后一条指令即跳转指令， 其目标地址如上所述成为 A" , CPU将执行 A"为入口地址的新的机器指令片段。 所述以 A"为入口地址的指令片段执行到倒数第二跳指令（即第二跳转指令 JP2 ) 后， 所述指令重组平台重新得到 CPU控制权； 所述指令重组平台重新开始执行 步骤 S101〜步骤 S103。
为了进一步说明指令重组过程和重组指令片段的生成， 请参考图 3; 其中 包括： 待调度的机器指令集合 401 , 其中的第一个跳转指令为 4012, 也称为第 一跳转指令 4012;假设第一跳转指令 4012指向机器指令 4013,在指令 4012之前 的指令运行结束之前，如果指令 4012的目标地址为变量， 则其指向地址是不可 知的， 所以这里假设第一跳转指令 4012指向机器指令 4013; 从第一跳转指令 4012以前的包括第一跳转指令 4012的所有机器指令构成了机器指令片段 4011。 继续参考图 3, 当指令重组平台 411运行后， 首先緩存指令运行环境； 然后 获取机器指令片段 4011 ;指令重组平台在第一跳转指令 4012前插入了第二跳转 指令 4113 , 第二跳转指令 4113指向指令重组平台 411本身， 从而生成了重组指 令片段 4111 ,重组指令片段的地址为 A";将所述緩存的指令运行环境中的地址 寄存器的值 A修改为地址 A"; 最后恢复所述指令运行环境。
指令重组平台 411结束运行后， CPU继续执行上一个重组指令片段的最后 一条跳转指令， 其中的地址寄存器的值已经改为 A"。 以 A"为地址的重组指令 片段运行后，当执行到第二跳转指令 4113时，指令重组平台 411会重新获得 CPU 控制权， 并继续分析后续的待调度的机器指令，从而完成了运行时指令重组的 方法。
进一步的， 由于程序运行过程中所生成的机器指令具有很高的重复性， 为了提高指令重组效率， 节省计算设备的计算资源 （CPU资源）， 如图 4所示， 本发明第二实施例中提供了一种运行时指令重组方法。 具体过程包括：
S201 , 緩存指令运行环境；
S202,利用所述緩存的指令运行环境中的地址寄存器的值 A查找地址对应 表； 所述地址对应表用于表示地址 A对应的待重组的机器指令片段是否具有已 保存的重组过的指令片段， 所述已保存的重组过的指令片段具有地址 A，；
S203, 如果找到相应的记录， 将所述地址寄存器的值 A修改为记录中的值 A' , 恢复所述指令运行环境；
S204, 如果没有找到相应的记录， 获取待调度的机器指令片段； 在所述 获取的机器指令片段的最后一条指令前，插入第二跳转指令， 所述第二跳转指 令指向指令重组平台的入口地址， 生成具有地址 A"的重组指令片段； 将所述 緩存的指令运行环境中的地址寄存器的值 A修改为地址 A"；
S205, 恢复所述指令运行环境。
进一步的， 步骤 S204还包括： 所述利用地址 A"与地址 A在所述地址对应表 中建立一条记录。 具有地址 A"重组指令片段被保存在重组指令平台中， 以供 重用。
本方法利用地址对应表， 极大的节省了计算资源， 提高了运行时指令重 组的效率。
上述实施例中直接操作机器指令， 即二进制机器码， 在本发明的其他实 施例中， 由于还有进一步的指令处理、 指令修改的操作， 所述的待调度的机器 指令片段可以经过反汇编生成汇编代码片段， 以供后续操作使用， 然后在恢复 所述指令运行环境之前汇编所述的汇编代码片段， 再得到二进制机器码。
本发明第三实施例中提供了一种运行时指令重组方法。 具体过程包括：
S301 , 緩存当前指令运行环境；
S302,利用所述緩存的指令运行环境中的地址寄存器的值 A查找地址对应 表；
5303 , 如果找到相应的记录， 将所述地址寄存器的值 A修改为记录中的值 A' , 恢复所述指令运行环境；
5304,如果没有找到相应的记录，如图 5所示， 重组指令的生成方法包括： S3041 , 获取待调度的机器指令片段；
53042, 反汇编所述机器指令片段， 得到汇编指令片段；
53043 , 解析所述汇编指令片段， 利用指令集匹配所述汇编指令片段， 得 到待处理的目标汇编指令；
53044, 在所述汇编指令片段的最后一条指令前， 插入第二跳转指令 JP2, 所述 JP2指向指令重组平台的入口地址， 生成具有地址 A"的重组指令片段；
53045 , 汇编修改过的汇编指令片段， 得到重组后的机器指令片段；
53046, 利用地址 A"与地址 A在所述地址对应表中建立一条记录；
53047,将所述緩存的指令运行环境中的地址寄存器的值 A修改为地址 A";
5305 , 恢复所述指令运行环境。
步骤 S3042与 S3045为相对应的反汇编与汇编步骤。 利用反汇编技术将机 器指令片段转换成为汇编指令片段之后， 易于做其他匹配、分析及修改的后续 步骤。其余步骤的具体内容与上述实施例中的内容相同或基本相同， 这里不再 赘述。
针对存储 /读取指令， 本发明第四实施例中提供了一种运行时指令重组方 法。 具体过程包括：
S401 , 緩存当前指令运行环境；
S402,利用所述緩存的指令运行环境中的地址寄存器的值 A查找地址对应 表； 5403 , 如果找到相应的记录， 将所述地址寄存器的值 A修改为记录中的值 A' , 恢复所述指令运行环境；
5404, 如果没有找到相应的记录， 重组指令的生成方法包括：
S4041 , 获取待调度的机器指令片段；
S4042, 反汇编所述机器指令片段， 得到汇编指令片段；
54043 , 解析所述汇编指令片段， 利用指令集匹配所述汇编指令片段， 得 到待处理的目标汇编指令； 所述目标指令为存储 /读取指令；
54044, 如果所述汇编指令包括存储 /读取指令，修改其中的存储和读取地 址为安全存储设备上的地址；
S4045 , 在所述汇编指令片段的最后一条指令前， 插入第二跳转指令 JP2, 所述 JP2指向指令重组平台的入口地址， 生成具有地址 A"的重组指令片段；
54046, 汇编修改过的汇编指令片段， 得到重组后的机器指令片段；
54047, 利用地址 A"与地址 A在所述地址对应表中建立一条记录；
54048,将所述緩存的指令运行环境中的地址寄存器的值 A修改为地址 A"; S405 , 恢复所述指令运行环境。
本实施例是在反汇编步骤之后进行指令处理的； 在其他实施例中， 也可 以省略反汇编和对应的汇编步骤， 直接处理机器指令。
在步骤 S4044中， 针对存储和读取指令进行操作， 修改其中的目标和源地 址， 以实现转移存储； 并且通过转移存储到安全存储设备上， 实现数据安全。 针对 I/O指令， 本发明第五实施例中提供了一种运行时指令重组方法。 具 体过程包括：
5501 , 緩存当前指令运行环境；
5502,利用所述緩存的指令运行环境中的地址寄存器的值 A查找地址对应 表；
5503 , 如果找到相应的记录， 将所述地址寄存器的值 A修改为记录中的值 A' , 恢复所述指令运行环境；
5504, 如果没有找到相应的记录， 重组指令的生成方法包括：
S5041 , 获取待调度的机器指令片段；
S5042, 反汇编所述机器指令片段， 得到汇编指令片段；
S5043 , 解析所述汇编指令片段， 利用指令集匹配所述汇编指令片段， 得 到待处理的目标汇编指令； 目标指令为 I/O指令；
55044, 如果所述汇编指令包括 I/O指令， 将所述 I/O指令中的输入指令全 部阻止；
55045, 在所述汇编指令片段的最后一条指令前， 插入第二跳转指令 JP2, 所述 JP2指向指令重组平台的入口地址， 生成具有地址 A"的重组指令片段；
55046, 汇编修改过的汇编指令片段， 得到重组后的机器指令片段；
55047, 利用地址 A"与地址 A在所述地址对应表中建立一条记录；
55048,将所述緩存的指令运行环境中的地址寄存器的值 A修改为地址 A"; S505, 恢复所述指令运行环境。
本实施例是在反汇编步骤之后进行指令处理的； 在其他实施例中， 也可 以省略反汇编和对应的汇编步骤， 直接处理机器指令。
在步骤 S5044中， 针对 I/O指令进行操作， 将所述 I/O指令中的输入指令全 部阻止， 以实现彻底阻断对本地硬件设备的写操作； 结合上一个实施例中的存 储指令处理过程，还可以实现对除存储指令之外的输入指令的阻止， 可以提高 计算设备中的数据安全性。
针对网络传输指令， 本发明第六实施例中提供了一种运行时指令重组方 法。 具体过程包括：
5601 , 緩存当前指令运行环境；
5602,利用所述緩存的指令运行环境中的地址寄存器的值 A查找地址对应 表；
5603, 如果找到相应的记录， 将所述地址寄存器的值 A修改为记录中的值 A' , 恢复所述指令运行环境；
5604, 如果没有找到相应的记录， 重组指令的生成方法包括：
S6041 , 获取待调度的机器指令片段；
S6042, 反汇编所述机器指令片段， 得到汇编指令片段；
56043, 解析所述汇编指令片段， 利用指令集匹配所述汇编指令片段， 得 到待处理的目标汇编指令； 目标指令为网络传输指令；
56044, 如果所述汇编指令包括网络传输指令， 检验所述网络传输指令中 的目标地址对应的远端计算设备是否为安全地址； 如果不是， 阻止所述网络传 输指令；
56045, 在所述汇编指令片段的最后一条指令前， 插入第二跳转指令 JP2, 所述 JP2指向指令重组平台的入口地址， 生成具有地址 A"的重组指令片段；
56046, 汇编修改过的汇编指令片段， 得到重组后的机器指令片段；
56047, 利用地址 A"与地址 A在所述地址对应表中建立一条记录；
56048,将所述緩存的指令运行环境中的地址寄存器的值 A修改为地址 A"; S605, 恢复所述指令运行环境。
本实施例是在反汇编步骤之后进行指令处理的； 在其他实施例中， 也可 以省略反汇编和对应的汇编步骤， 直接处理机器指令。
在步骤 S6044中， 针对网络传输指令进行操作， 检验所述网络传输指令中 的目标地址对应的远端计算设备是否为安全地址； 如果不是， 阻止所述网络传 输指令， 以实现数据安全传输。
上述多个实施例中的地址对应表是由指令重组平台建立并维护的， 可以 是固定长度的数组结构，也可以是可变长度的链表结构，还可以是其他存储二 位数据的适当的数据结构。 优选的， 其长度可调节， 并且其占用空间可释放。 释放地址对应表的操作可以随机进行， 也可以周期进行。 在一些实施例中， 所 述的地址对应表还可以包括记录建立时间字段， 用于在释放空间删除记录时， 按照建立时间的长短删除记录。在一些实施例中， 所述的地址对应表还可以包 括记录使用次数字段， 在查找地址对应表步骤中， 如果找到， 将改变该字段的 值； 所述记录使用次数字段也用于在释放空间删除记录时，按照使用次数的多 少删除记录。
进一步的， 为了从系统启动后即执行运行时的指令监控， 实现计算设备 运行阶段的运行时指令全监控， 本发明另一个实施例中，修改计算机启动时的 load指令， 在 load指令执行前调用本发明提供的指令重组平台， 执行上述运行 时指令重组方法， 由于 load指令跳转地址为已知的固定地址， 指令重组平台可 以事先建立好地址对应表及该第一条记录， 并建立好第一个重组指令片段。
进一步的， 本发明还提供一种计算机可读介质， 其中， 所述可读介质中 存储有计算机可执行的程序代码，所述程序代码用于执行上述实施例中提供的 运行时指令重组方法的步骤。
另一个方面， 与上述运行时指令重组方法相对应， 本发明的第七个实施 例中提供了一种运行时指令重组装置。
如图 6所示， 指令重组装置 500包括：
指令运行环境緩存 /恢复单元 501 , 适于緩存和恢复指令运行环境； 指令获取单元 502,适于在指令运行环境緩存 /释放单元緩存指令运行环境 后， 获取待调度的机器指令片段；
指令重组单元 503 , 适于解析、 修改所述待调度的机器指令片段， 以生成 具有地址 A"的重组指令片段； 和
指令替换单元 504, 适于将所述緩存的指令运行环境中的地址寄存器的值 修改为重组指令片段的地址。
所述指令运行环境緩存 /恢复单元 501分别与指令获取单元 502以及指令替 换单元 504耦接， 所述指令获取单元 502,指令重组单元 503和指令替换单元 504 依次耦接。
指令重组装置 500的执行运行时指令重组时：
首先， 指令运行环境緩存 /恢复单元 501緩存指令运行环境， 即向緩存栈中 压入指令运行相关的寄存器数据；
然后， 所述指令获取单元 502从 CPU地址寄存器读取待调度的机器指令地 址， 并从所述机器指令地址读取机器指令片段， 所述机器指令片段最后一条指 令为跳转指令。 具体的， 指令获取单元 502从 CPU地址寄存器 511读取待调度的 机器指令地址； 以跳转指令为检索目标，检索所述机器指令地址对应的机器指 令， 直到发现第一个跳转指令； 所述跳转指令包括 Jump指令和 Call指令； 将所 述第一个跳转指令及其之前的所有机器指令作为一个待调度的机器指令片段； 将该机器指令片段保存在指令重组装置 500中，或其他指令重组装置 500能够读 取的存储位置；
然后， 指令重组单元 503在所述获取的机器指令片段的最后一条指令前， 插入第二跳转指令，所述第二跳转指令指向指令重组装置的入口地址， 生成具 有地址 A"的重组指令片段；
然后， 指令替换单元 504将所述緩存的指令运行环境中的地址寄存器的值 A爹改为地址 A";
最后， 指令运行环境緩存 /恢复单元 501恢复所述指令运行环境， 即从緩存 栈中弹出指令运行相关的寄存器数据。
进一步的， 在本发明的第八个实施例中提供了一种运行时指令重组装置， 充分利用运行时指令重复性， 提高重组效率， 节省计算装置的计算资源。
如图 7所示， 指令重组装置 600包括：
指令运行环境緩存 /恢复单元 601 , 适于緩存和恢复指令运行环境； 指令获取单元 602,适于在指令运行环境緩存 /释放单元緩存指令运行环境 后， 获取待调度的机器指令片段；
指令重组单元 603 , 适于解析、 修改所述待调度的机器指令片段， 以生成 具有地址 A"的重组指令片段；
指令替换单元 604, 适于将所述緩存的指令运行环境中的地址寄存器的值 修改为重组指令片段的地址； 和
指令检索单元 605, 适于利用所述緩存的指令运行环境中的地址寄存器的 值 A查找地址对应表； 所述地址对应表用于表示地址 A对应的待重组的机器指 令片段是否具有已保存的重组过的指令片段，所述已保存的重组过的指令片段 具有地址 A，； 如果找到相应的记录， 指令检索单元适于调用指令替换单元， 将所述地址寄存器的值 A修改为记录中的值 A，； 如果没有找到相应的记录， 指 令检索单元适于利用地址 A"与地址 A在所述地址对应表中建立一条记录。
所述指令运行环境緩存 /恢复单元 601分别与指令检索单元 605以及指令替 换单元 604耦接， 所述指令检索单元 605分别与指令获取单元 602, 指令重组单 元 603和指令替换单元 604耦接， 所述指令获取单元 602,指令重组单元 603和指 令替换单元 604依次耦接。
指令重组装置 600的执行运行时指令重组时：
首先， 指令运行环境緩存 /恢复单元 601緩存指令运行环境， 即向緩存栈中 压入指令运行相关的寄存器数据；
然后， 指令检索单元 605利用所述緩存的指令运行环境中的地址寄存器的 值 A查找地址对应表；
如果找到相应的记录， 指令检索单元 605调用指令替换单元 604, 指令替 换单元 604将所述地址寄存器的值 A修改为记录中的值 A，； 指令替换单元 604 调用指令运行环境緩存 /恢复单元 602, 以恢复所述指令运行环境， 即从緩存栈 中弹出指令运行相关的寄存器数据， 重组结束；
如果没有找到相应的记录， 所述指令获取单元 602从 CPU地址寄存器读取 待调度的机器指令地址， 并从所述机器指令地址读取机器指令片段， 所述机器 指令片段最后一条指令为跳转指令。 具体的， 指令获取单元 602从 CPU地址寄 存器 611读取待调度的机器指令地址； 以跳转指令为检索目标， 检索所述机器 指令地址对应的机器指令，直到发现第一个跳转指令；所述跳转指令包括 Jump 指令和 Call指令； 将所述第一个跳转指令及其之前的所有机器指令作为一个待 调度的机器指令片段； 将该机器指令片段保存在指令重组装置 600中， 或其他 指令重组装置 600能够读取的存储位置；
然后， 指令重组单元 603在所述获取的机器指令片段的最后一条指令前， 插入第二跳转指令， 所述第二跳转指令指向指令重组装置的入口地址， 生成具 有地址 A"的重组指令片段；
然后， 指令重组单元 603将地址 A"发送给指令检索单元 605 , 指令检索单 元 605利用地址 A"与地址 A在其中的地址对应表中建立一条记录； 以备后续指 令重用；
然后， 指令替换单元 604将所述緩存的指令运行环境中的地址寄存器的值 A爹改为地址 A";
最后， 指令运行环境緩存 /恢复单元 501恢复所述指令运行环境， 即从緩存 栈中弹出指令运行相关的寄存器数据。
本实施例中， 指令重组单元 603还包括：
指令解析单元 6031 , 适于利用指令集匹配所述机器指令片段， 得到待处 理的目标机器指令； 所述指令集包括 X86, MIPS和 ARM指令集；
指令修改单元 6032, 适于按照预定的方式， 修改所述目标机器指令。 如果所述目标指令为存储 /读取指令， 所述指令解析单元 6031将负责获取 待调度的机器指令片段中的存储 /读取指令， 所述指令修改单元 6032修改其中 的存储和读取地址为安全存储设备上的地址。其作用和效果与上述对应的方法 实施例相同， 这里不再赘述。
如果所述目标指令为 I/O指令， 所述指令解析单元 6031将负责获取待调度 的机器指令片段中的 I/O指令， 所述指令修改单元 6032将所述 I/O指令中的输入 指令全部阻止。 其作用和效果与上述对应的方法实施例相同， 这里不再赘述。
如果所述目标指令为网络传输指令， 所述指令解析单元 6031将负责获取 待调度的机器指令片段中的网络传输指令，所述指令修改单元 6032检验所述网 络传输指令中的目标地址对应的远端计算设备是否为安全地址； 如果不是， 所 述指令修改单元适于阻止所述网络传输指令。其作用和效果与上述对应的方法 实施例相同， 这里不再赘述。
在本发明的第九个实施例中， 如图 8所示， 指令重组单元 703还可以包括 反汇编单元 7031和汇编单元 7034。 反汇编单元 7031 , 指令解析单元 7032, 指令 修改单元 7033和汇编单元 7034依次耦接。本实施的其他单元与上述的第八实施 例相同， 这里不再赘述。
其中， 反汇编单元 7031适于在解析、 修改所述待调度的机器指令片段之 前， 反汇编所述待调度的机器指令片段， 生成待调度的汇编指令片段； 发送给 指令解析单元 7032。
汇编单元 7034适于在解析、 修改所述待调度的机器指令片段之后， 汇编 重组后的汇编指令片段，得到机器码表示的重组指令片段； 发送给指令替换单 元。
在该实施例中， 所述指令解析单元 7032和指令修改单元 7033将操作待调 度的汇编指令片段， 其过程与上述对应的方法实施例相同。
上面详细的介绍了本发明的实施例中提供的运行时指令重组方法和装 置， 与现有技术相比， 具有以下优点：
( 1 )通过指令重组方法， 在指令运行状态下监控计算设备的指令；
( 2 )利用地址对应表， 提高了指令重组效率， 节省了计算资源；
( 3 )针对存储和读取指令进行操作， 修改其中的目标和源地址， 以实现 转移存储； 并且通过转移存储到安全存储设备上， 实现数据安全；
( 4 )针对 I/O指令进行操作， 将所述 I/O指令中的输入指令全部阻止， 以 实现彻底阻断对本地硬件设备的写操作；还可以实现对除存储指令之外的输入 指令的阻止， 可以提高计算设备中的数据安全性；
( 5 )针对网络传输指令进行操作， 检验所述网络传输指令中的目标地址 对应的远端计算设备是否为安全地址； 如果不是， 阻止所述网络传输指令， 以 实现数据安全传输。
针对目标指令为存储 /读取指令的情况， 上面给出了一个对存储和读取机 器指令的处理的实施例， 下面将给出更多的实施例； 并在这些实施例中， 提供 了数据安全存储和读取方法， 以及数据安全存储和读取装置。
当背景技术中的计算机终端系统， 被恶意代码侵入后， 恶意代码可以从 计算机系统中取得数据，恶意代码在窃取数据后。恶意代码的行为模式为： ( 1 ) 存储行为： 将目标数据内容保存到某个存储位置； （2 )传输行为： 将窃取的数 据直接通过网络传输到指定的目标地址。 另外，使用上述计算设备或信息设备 的人员进行内部泄密的行为模式包括：（1 )主动泄密： 涉密人员通过主动拷贝、 通过恶意工具穿透安全系统、置入木马等手段直接取得涉密数据，并进行泄密； 例如将涉密装备直接接入 Internet造成的泄密。
为了解决上述问题， 下面结合附图对本发明的具体实施方式做详细的说 明。 图 9是本发明第十个实施例中计算机终端系统层次结构示意图。 其中， 计 算机终端系统 200包括用户界面层 201 , 应用层 202, 操作系统内核层 203, 硬件 映射层 204, 安全层 205, 硬件层 206; 计算机终端系统 200与存储设备 100 (安 全存储设备）耦接。 硬件层 206包括 CPU2061 , 硬盘 2062 (即本地存储设备） 以及网卡 2063。 本实施例中， 存储设备 100为远程磁盘阵列， 通过网络连接硬 件层 206的网卡 2063, 与计算机终端系统 200交换数据； 在本发明的其他实施例 中， 存储设备 100也可以是其他已知或未知类型的存储设备。
结合上述层次结构， 参考图 10, 本实施例提供的数据转储过程为：
S1000, 初始化；
S2000, 数据写入；
S3000, 数据读取。
在其他实施例中， 上述的数据写入、 读取过程以及初始化过程不需全部 执行， 执行所需的过程或步骤即可。
进一步的， 参考图 11 , 上述的初始化过程 S1000包括：
S1010, 建立计算机终端系统 200与存储设备 100的通讯；
S1020, 从存储设备 100上同步映射位图 （Bitmap ) 至当前计算机终端系 统 200,保存在计算机终端系统 200的内存中； 所述映射位图用于表示本地存储 地址的数据是否转储到所述安全存储设备。 中， 除非另有说明， 将计算机终端系统 200上的 Bitmap称为映射位图或第一映 射位图， 将存储设备 100上的 Bitmap称为第二映射位图。
如果从存储设备 100上同步第二映射位图至当前计算机终端系统 200的操 作失败，说明存储设备 100与计算机终端系统 200之间是第一次连接， 或者上次 连接时计算机终端系统 200没有进行存储操作。 初始化过程 S1000还包括： S 1030 , 在存储设备 100与计算机终端系统 200上建立 Bitmap。
具体的， 首先将计算机终端系统中的本地存储空间映射到存储设备 100 上， 具体的映射关系为： 以 1扇区 （或其他存储的基本单位） 为单位的一一映 射， 同时建立映射位图 （ Bitmap )。 在本发明的其他实施例中， 也可以使用其 他基本容量为单位建立本地存储空间到存储设备 100上的 Bitmap。 图 12为本实施例中 Bitmap示意图； 图中包括本地存储设备 (即硬盘 2062 ) 上的存储介质 3000 , 与本地存储设备网络连接的存储设备 100上的存储介质 4000。对存储介质 3000,在存储介质 4000上建立与其大小相同的存储空间 4010, 作为——映射空间。这时存储空间 4010中只保存一张 Bitmap 4020。 Bitmap 4020 为一张位图， 其中 1位代表 1扇区， 每一位的数据 （0或 1 ) 标识存储介质 3000 上对应的扇区是否转储在存储介质 4000上的存储空间 4010中。本实施例 Bitmap 4020中， 转储的扇区标记为 1 , 非转储的扇区标记为 0。 Bitmap 4020建立完成 之后同步到计算机终端系统 200中。 当应用程序或操作系统保存一个数据， 例 如文件时，操作系统内部的文件系统将在本地存储设备的存储介质 3000上开辟 一定量的存储空间， 例如扇区 3040和扇区 3050, 并分配给该文件使用， 并改写 本地的文件分配表。 该文件转储时， Bitmap 4020中记载相应的扇区 3040和扇 区 3050对应的位数据将改写为 1。在存储介质 4000上相同的位置，分配扇区 4040 和 4050用于保存转储数据。
本实施例的初始化过程结束之后， 所述计算机终端系统 200和存储设备 100上将分别保存内容一致的 Bitmap数据。
进一步的， 上述的数据写入过程 S2000包括：
S2010, 应用层 202通过操作系统内核层 203的文件系统发出写文件操作请 求或操作系统内核层 203直接发出写文件操作请求；或应用层 202直接向硬件映 射层 204发出写数据操作请求； 或操作系统内核层 203直接向硬件映射层 204发 出写数据操作请求；
S2020, 操作系统内核层 203将写文件请求解析成硬件端口指令（即硬件 指令）， 下发至硬件映射层 204, 其中端口指令包含需要写存储设备的位置（即 扇区）； 如果是直接向硬件映射层 204发出写数据操作请求， 则该请求已经为硬 件端口指令；
S2030, 安全层 205将端口指令中的写入位置 （即扇区） 改写为在存储设 备 100上的存储地址， 更新第一映射位图， 将所述扇区对应的位数据修改为 1 , 表示该扇区已经转储； 安全层 205将修改后的端口指令发送给硬件层 206。
完成上述操作后， 写入过程 S2000还可以包括：
S2040, 将第一映射位图同步到存储设备 100上， 保存为第二映射位图， 以确保计算机终端系统 200上的第一映射位图与存储设备上的第二映射位图一 致。 在本发明的其他实施例中， 该同步操作也可以在最后进行， 即本地的计算 机终端系统 200关机前进行。
写入过程执行完成之后， 计算机终端系统 200并没有存储写入的数据， 相 应的数据已经转存在存储设备 100上。
进一步的， 上述的数据读取过程 S3000包括：
S3010, 将存储设备 100上的第二映射位图同步到计算机终端系统 200上， 保存为第一映射位图；
S3020 , 应用层 202通过操作系统内核层 203的文件系统发出读文件操作请 求，或操作系统内核层 203直接发出读文件操作请求； 或应用层 202直接向硬件 映射层 204发出读数据操作请求； 或操作系统内核层 203直接向硬件映射层 204 发出读数据操作请求；
S3030, 安全层 205接收来自硬件映射层 204的数据读取指令， 获取其中的 读取地址（源地址）， 如果该地址不是存储设备 100上的地址， 查找第一映射位 图， 如果第一映射位图中的位数据表示所述读取地址为转储地址， 安全层 205 修改端口指令的读取地址为存储设备 100上的读取地址；安全层 205将修改后的 端口指令发送给硬件层 206。
在步骤 S3010中， 从存储设备 100同步第二映射位图到本地的过程是为了 在计算机终端系统 200重新启动了以后， 保持本地数据与安全存储设备上的数 据的一致性。
上述读取过程没有影响用户既有的操作模式， 并且实现了对于安全存储 设备， 即存储设备 100上已经转储的数据的读取。
进一步的， 基于上述数据写入过程， 参考图 13 , 本实施例提供的数据安 全存储方法包括如下步骤：
S4010, 接收硬件指令；
S4020, 分析所述硬件指令；
S4030, 判断该硬件指令是否为存储指令；
S4040, 如果该硬件指令是存储指令， 修改存储指令中的目标地址为对应 的存储设备 100 (即安全存储设备）上的存储地址；
S4050, 将修改后的存储指令发送到硬件层。
具体的， 本实施例中， 计算机终端系统运行的是 Windows操作系统， Windows系统中的硬件抽象层 HAL为硬件映射层。 在其他实施例中， 计算机终 端也可以运行其他操作系统， 例如 Linux, Unix或嵌入式操作系统等， 硬件映 射层为 Linux或 Unix或嵌入式操作系统对应的硬件映射层。
在步骤 S4010中， 所述硬件指令是来自硬件映射层的硬件指令。 接收来自 硬件映射层的硬件指令可以 100%的筛查所有发送到 CPU等处理器的硬件指令 (接口指令）， 进一步提高数据安全性。 在本发明的其他实施中， 所述硬件指 令也可以来自操作系统内核层或其他计算机层次对应的单元。
另外， 结合上述运行时指令重组的方法， 接收硬件指令的过程可以包括： 采用运行时指令重组的方法获取硬件指令。
这步骤 S4020中，安全层 205中内置了多种指令分析机制，包括对 X86指令、 ARM指令、 MIPS指令等指令集的分析机制， 以处理不同类型的 CPU指令。
在步骤 S4040中， 修改存储指令中的目标地址为对应的存储设备 100中的 存储地址之后， 还包括： 更新第一映射位图， 将目标地址（扇区）在第一映射 位图中对应的 "位" 设置为 1。
进一步的， 步骤 S4040中， 还可以包括将已经更新的映射位图同步到所述 安全存储设备， 保存为第二映射位图。
在步骤 S4050中， 安全层 205转发已经修改过的， 或者没有修改过的硬件 指令到硬件层 206。本实施例中， 安全层 205的转储工作对于上层应用以及用户 完全透明， 不影响现有计算机操作、 应用系统的工作流程。
本实施例提供的上述方法不仅可以在计算机终端系统中使用， 还可以应 用在任何包含应用层、 操作系统内核层、硬件层的计算设备和智能终端上， 在 硬件层执行指令前， 实现指令级转移存储（即基于硬件存储指令的转移存储）。
根据上述数据读取过程， 参考图 14, 本实施例中提供了一种数据安全读 取方法。 该方法包括：
S5010, 接收硬件指令；
S5020, 分析所述硬件指令；
S5030, 判断该硬件指令是否为读取指令；
S5040, 如果是读取指令， 获取读取指令中的源地址， 判断所述源地址是 否为存储设备 100上的地址；
S5050, 如果所述源地址不是存储设备 100上的地址， 查找第一映射位图， 并根据映射位图的数据修改读取指令中的读取地址；
S5060, 将修改后的硬件指令发送到硬件层。
步骤 S5010之前， 该方法还可以包括 S5000: 将存储设备 100上的第二映射 位图同步到计算机终端系统 200上， 保存为第一映射位图。 步骤 S5010中， 本实 施例中， 所述的硬件指令来自硬件映射层。
另外， 结合上述运行时指令重组的方法， 接收硬件指令的过程可以包括： 采用运行时指令重组的方法获取硬件指令。
步骤 S5030中， 如果该硬件指令不是读取指令， 则安全层 205直接将硬件 指令发送给硬件层去执行。
步骤 S5040中， 如果该读取指令的源地址已经为存储设备 100上的地址， 则安全层 205不用再次查找第一映射位图中的数据， 直接将硬件指令发送给硬 件层去执行。
进一步的， 为了节约网络资源， 在本发明的一些实施例中， 存储设备 100 可以作为多个终端系统的共享资源。
进一步的， 基于上述的数据安全存储和数据安全读取方法， 本发明第十 一个实施例中提供了一种数据安全传输方法， 如图 15所示， 包括如下步骤： S7010, 接收来自硬件映射层的硬件指令；
S7020, 分析所述硬件指令；
S7030, 判断该硬件指令是否为网络传输指令；
S7040, 如果该硬件指令是传输指令， 读取目标地址；
S7050, 判断目标地址是否为安全地址；
S7060,如果是安全地址，将硬件指令发送到硬件层； 如果不是安全地址， 结束；
S7070, 硬件层发送传输指令和数据到目标地址的终端系统；
S7080, 目标地址的终端系统接收并利用数据安全存储方法保存数据。 步骤 S7060中， 如果判断目标地址不是安全地址， 即目标地址的计算终端 没有应用本发明中提供的数据安全存储和数据安全读取方法，那么不允许其作 为目标地址进行网络传输操作。
步骤 S7050中，判断目标地址是否为安全地址，本实施例中采用如下方法。 如图 16所示，安全月良务器 820通过网络与终端系统 800、 810连接，终端系统 800、 810在部署本发明上述实施例中提供的数据安全传输方法时， 都自动向安全服 务器 820进行了注册操作， 安全服务器 820内部维护一个安全地址表，记录了已 经注册的所有终端系统。 当安全地址表有更改的时候， 安全服务器 820自动将 更新的安全地址表发送给各个终端， 终端系统 800的架构包括应用层 801 ,操作 系统内核层 802,安全层 803以及硬件层 804,安全层 803负责维护该安全地址表。 安全层 803将根据目标地址是否在安全地址表中， 判断目标地址是否为安全地 址。 即在步骤 S7050中， 如果目标地址列入了安全地址表， 则目标地址为安全 地址。
上述安全传输方法的实施， 使木马或恶意工具即使取得了涉密信息也无 法传输所取得的信息。
虽然本发明上述实施例中以计算机终端系统作为应用本发明提供的方法 的主体， 但是， 任何手持设备、 智能终端等能够提供文件或数据编辑、 保存或 传输的电子设备，统称为计算终端系统，都可以成为应用本发明提供的数据安 全保存及传输方法的终端系统。
另外， 本领域的技术人员可以知道上述的数据安全存储方法、 读取方法 及传输方法也可使用软件或硬件的方法实现，如果以软件实现， 则上述方法对 应的步骤以计算机代码的形式存储在计算机可读介质上， 成为软件产品。
与上述的数据安全存储方法相对应， 本发明第十二个实施例中， 提供一 种数据安全存储装置。 参考图 17, 数据安全存储装置 7100包括接收单元 7110, 指令分析单元 7120, 指令修改单元 7130和发送单元 7140。 其中， 接收单元 7110 与指令分析单元 7120耦接，指令分析单元 7120分别与指令修改单元 7130以及发 送单元 7140耦接， 发送单元 7140分别与指令修改单元 7130以及硬件层 7200耦 接。
接收单元 7110适于接收硬件指令，本实施例中，所述硬件指令来自硬件映 射层；指令分析单元 7120适于分析所述硬件指令并判断所述硬件指令是否为存 储指令； 如果是存储指令，指令修改单元 7130修改所述存储指令中的目标地址 为对应的在安全存储设备上的存储地址，然后将修改后的存储指令发送给发送 单元 7140; 如果不是存储指令，指令分析单元 7120直接将硬件指令发送给发送 单元 7140; 发送单元 7150适于将接收到的指令发送给硬件层 7200。
进一步的， 该数据安全存储装置还可以包括更新单元 7150和同步单元 7160。 其中， 更新单元 7150与指令修改单元 7130耦接； 同步单元 7160与更新单 元 7150耦接。
所述更新单元 7150适于在指令修改单元 7130修改所述存储指令之后， 更 新映射位图中所述目标地址对应的位。本实施例中，将存储指令目标地址包含 的扇区， 在第一映射位图中对应的 "位" 数据置 "Γ , 表示已经转储。 所述同步单元 7160适于建立计算终端系统与所述安全存储设备的通讯， 并将映射位图在所述计算终端系统和所述安全存储设备之间进行同步。 具体 的，在计算终端系统启动时， 同步单元 7160建立计算终端系统与所述安全存储 设备的通讯，并将所述安全存储设备上的第二映射位图同步到所述计算终端系 统， 保存为第一映射位图。
如果将所述安全存储设备上的第二映射位图同步到所述计算终端系统失 败，表示计算终端系统与安全存储设备是第一次通讯， 同步单元 7160将计算机 终端系统中的本地存储空间映射到所述安全存储设备上，并建立映射位图和第 二映射位图。 本实施例中， 先在安全存储装置上建立第二映射位图， 然后同步 到本地， 成为第一映射位图。
当更新单元 7150更新了第一映射位图 （即映射位图） 中所述目标地址对 应的位， 同步单元 7160将把更新后的第一映射位图发送给安全存储设备， 并在 安全存储设备上保存为第二映射位图。
本实施例中， 所述安全存储设备为远程存储设备， 所述远程存储设备被 多个计算终端系统共享。 所述硬件指令为硬件端口 I/O指令。
进一步的， 与上述的数据安全读取方法相对应， 本发明的第十三个实施 例中提供了一种数据安全读取装置。 参考图 18, 数据安全读取装置 8100包括： 接收单元 8110, 指令分析单元 8120, 指令修改单元 8130以及发送单元 8140。 其 中，接收单元 8110与指令分析单元 8120耦接， 指令分析单元 8120分别与指令修 改单元 8130以及发送单元 8140耦接， 指令修改单元 8130还与发送单元 8140耦 接。 发送单元 8140与硬件层 8200耦接。
所述接收单元 8110适于接收硬件指令，本实施例中，所述硬件指令来自硬 件映射层。所述指令分析单元 8120适于分析所述硬件指令并判断所述硬件指令 是否为读取指令，如果所述硬件指令是读取指令， 获取读取指令的源地址并判 断所述源地址是否为安全存储设备上的地址。 如果所述硬件指令不是读取指 令， 或者所述源地址是安全存储设备上的地址，指令分析单元 8120将所述硬件 指令发送到发送单元 8140。如果所述源地址不是安全存储设备上的地址，指令 修改单元 8130查找映射位图，并根据映射位图的数据修改所述读取指令中的读 取地址。与上述映射位图相同， 本实施例中所述映射位图用于表示本地存储地 址的数据是否转储到所述安全存储设备。具体的，指令修改单元 8130查找源地 址包含的扇区在第一映射位图中对应的位。 如果 "位" 数据显示为 1 , 表示已 经发生转储， 如果 "位" 数据显示为 0, 表示没有发生转储。 如果已经发生转 储， 指令修改单元 8130将所述源地址（读取地址）改为对应的转储地址， 并将 修改后的硬件指令发送给发送单元 8140。
进一步的， 所述数据安全读取装置还可以包括同步单元 8150。 所述同步 单元 8150与指令修改单元 8130耦接。所述同步单元 8150适于建立计算终端系统 与所述安全存储设备的通讯，并将映射位图在所述计算终端系统和所述安全存 储设备之间进行同步。 具体的， 同步单元 8150在计算终端系统启动时， 建立计 算终端系统与所述安全存储设备的通讯，并将所述安全存储设备上的第二映射 位图同步到所述计算终端系统，保存为第一映射位图，提供指令修改单元 8130 使用。
本实施例中， 所述安全存储设备为远程存储设备， 所述远程存储设备被 多个计算终端系统共享。在本发明的其他实施例中， 所述的安全存储设备也可 以为本地存储设备。
本领域技术人员可以知道， 安全层的实现方法也可以在操作系统内核层 至硬件层中的各个层内完成。具体功能的实现位置并不脱离本发明的精神和范 围。
上述实施例中详细的介绍了本发明提供的安全存储方法和装置， 与现有 技术相比， 具有如下优点： 1、 数据安全存储方法实现了指令级数据转储即数 据全转储，以此为基础，实现了计算终端系统全运行周期的数据安全存储方法， 一方面，使木马或恶意工具即使取得了涉密信息也无法保存所取得的信息，使 数据始终存在于可控的安全范围内； 另一方面， 本地将不再保存在涉密状态下 的任何数据， 因此防止了涉密人员的主动泄密和被动泄密； 2、 接收来自硬件 映射层的硬件指令可以 100%的筛查所有指令， 进一步提高数据安全性。
上述实施例中还详细的介绍了本发明提供的安全读取方法和装置，， 与现 有技术相比， 具有如下优点： 1、 数据安全读取方法配合数据安全存储方法使 数据始终存在于可控的安全范围内， 并且保证在安全存储数据（转储）之后， 可以将转储数据读出； 由于本地将不再保存在涉密状态下的任何数据， 因此防 止了涉密人员的主动泄密和被动泄密； 2、 安全存储设备为远程存储设备时， 可以为多个终端共享， 提高安全存储设备的空间使用效率。
在本发明的其他实施例中， 安全层的实现方法也可以在操作系统内部的 最底层至硬件层的最上层中的各个层内完成。本领域技术人员可以知道， 具体 功能的实现位置并不脱离本发明的精神和范围。
本发明虽然已以较佳实施例公开如上， 但其并不是用来限定本发明， 任 何本领域技术人员在不脱离本发明的精神和范围内，都可以利用上述揭示的方 法和技术内容对本发明技术方案做出可能的变动和修改， 因此， 凡是未脱离本 改、 等同变化及修饰， 均属于本发明技术方案的保护范围。
高效检索全球专利专利汇是专利免费检索,专利查询,专利分析-国家发明专利查询检索分析平台，是提供专利分析，专利查询，专利检索等数据服务功能的知识产权数据服务商。
我们的产品包含105个国家的1.26亿组数据，免费查、免费专利分析。
分析报告
专利汇分析报告产品可以对行业情报数据进行梳理分析，涉及维度包括行业专利基本状况分析、地域分析、技术分析、发明人分析、申请人分析、专利权人分析、失效分析、核心专利分析、法律分析、研发重点分析、企业专利处境分析、技术处境分析、专利寿命分析、企业定位分析、引证分析等超过60个分析角度，系统通过AI智能系统对图表进行解读，只需1分钟，一键生成行业专利分析报告。
修改热门专利
QQ群二维码
意见反馈
意见反馈