[发明专利]一种防止数据泄密的方法、安全网关及系统

权利要求书

1.一种防止数据泄密的方法，其特征在于，包括以下步骤：

S1、接收内网用户发送的数据包；

S2、识别所述数据包是否为包含特征字段的关键数据包；

S3、在所述数据包为包含特征字段的关键数据包时，根据数据包传送协议的不同，篡改数据包的特征字段；

S4、将篡改后的数据包发送出去。

2.根据权利要求1所述的防止数据泄密的方法，其特征在于，步骤S3中，在所述数据包为包含特征字段的关键数据包时，若该关键数据包为MSN传文件数据包，则检测所述MSN传文件数据包中是否含有“INVITE”字段，若是，则将该字段替换为等长度的非特征码字符串。

3.根据权利要求1所述的防止数据泄密的方法，其特征在于，步骤S3中，在所述数据包为包含特征字段的关键数据包时，若该关键数据包为Gtalk加密聊天数据包时，向内网用户发送不支持tls加密传输的协议的信息，以使内网用户改用明文传输；同时检测所述传文件数据数据包中是否含有字段<starttls xmlns=urn:ietf:params:xml:ns:xmpp-tls><required/></starttls>，若是，则将该字段替换为等长度的非特征码字符串。

4.根据权利要求2或3所述的防止数据泄密的方法，其特征在于，在所述MSN传文件数据包中没有“INVITE”字段或所述Gtalk加密聊天数据包中没有<starttls xmlns=urn:ietf:params:xml:ns:xmpp-tls> <required/></starttls>字段时，直接将该数据包发送出去。

5.根据权利要求2所述的防止数据泄密的方法，其特征在于，在所述数据包被识别为MSN传文件数据包时，将其进行标记。

6.一种防止数据泄密的安全网关，其特征在于，所述安全网关具体包括：

收发模块，用于接收内网用户发送的数据包；

应用识别模块，用于识别所述数据包是否为包含特征字段的关键数据包； 

应用服务控制模块，用于在所述数据包为包含特征字段的关键数据包时，根据数据包传送协议的不同，篡改数据包的特征字段，并通过所述收发模块发送出去。

7.根据权利要求6所述的防止数据泄密的安全网关，其特征在于，应用服务控制模块具体用于在所述数据包为包含特征字段的关键数据包时，若该关键数据包为MSN传文件数据包，则检测所述MSN传文件数据包中是否含有“INVITE”字段，若是，则将该字段替换为等长度的非特征码字符串。

8.根据权利要求6所述的防止数据泄密的安全网关，其特征在于，应用服务控制模块具体用于在所述数据包为包含特征字段的关键数据包时，若该关键数据包为Gtalk加密聊天数据包时，向内网用户发送不支持tls加密传输的信息，以使内网用户改用明文传输；同时检测所述传文件数据数据包中是否含有字段<starttls xmlns=urn:ietf:params:xml:ns:xmpp-tls><required/></starttls>，若是，则将该字段替换为等长度的任意字符串。

9.根据权利要求7或8所述的防止数据泄密的安全网关，其特征在于，所述应用识别模块还用于在所述数据包被识别为所述MSN传文件数据包时，将其进行标记。

10.一种防止数据泄密的系统，其特征在于，包括内网发送端、安全网关、外网服务器和外网接收端，其中，

所述内网发送端，用于发起请求并发送数据包；

所述安全网关，用于接收所述内网发送端的数据包，并识别所述数据包是否为包含特征字段的关键数据包，在该数据包为包含特征字段的关键数据包，将该数据包中的特征字段替换为等长的非特征码字符串并发送出去；

所述外网服务器，用于接收所述安全网关发送的数据包，并转发给所述外网接收端；若数据包中的特征字段被非特征码字符串替换，则无法识别和接收该数据包；

所述外网接收端，用于接收所述外网服务器转发的数据包。