引言
隨著信息化的普及和提高，一方面給單位工作、生產(chǎn)、科研帶來了很多的便利，提高了工作效率；另一方面，隨著一些封閉系統(tǒng)的開放化程度提高，越來越多的信息安全問題也同時浮現(xiàn)出來，其中信息泄露造成的泄密事件會給國家和軍隊造成不可估量的重大損失，對于金融部門以及其他企業(yè)也會造成巨大的災難。從涉密紙質文檔的管理上得到啟發(fā)，文中提出數(shù)據(jù)新信息集中存儲，集中計算，利用遠程虛擬操作確保數(shù)據(jù)計算環(huán)境安全隔離，最終達到在不改變用戶操作習慣的基礎上防止信息泄露的目的。
1 領域內(nèi)相關技術研究
信息防泄露也就是“信息泄露防御”，通常解釋是：通過一定的技術或管理手段，防止用戶的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式被有意或意外流出。“信息泄露防御”也稱為“數(shù)據(jù)泄露防護”(Data Leakage Prevention。DLP)。通俗的說，信息防泄露就是防止對數(shù)據(jù)非授權的訪問和獲取。當前信息泄露防御的技術主要分為兩類：主動防護和被動防護。
1．1主動防護
主動防護根據(jù)所采用的技術分為以下兩種：
①信息攔截：采用的信息內(nèi)容識別技術對數(shù)據(jù)進行攔截、甄別和過濾，通常方案部署在網(wǎng)絡出口和主機上，對進出網(wǎng)絡和主機的所有數(shù)據(jù)進行攔截和輸出控制。發(fā)現(xiàn)違規(guī)數(shù)據(jù)時，進行攔截和報警。信息攔截無法進行細粒度的權限驗證，同時無法對加密信息內(nèi)容進行甄別；
②數(shù)據(jù)加密：數(shù)據(jù)加密技術采用密碼技術對數(shù)據(jù)單元進行加密，通過密鑰管理和密鑰的分發(fā)實現(xiàn)對數(shù)據(jù)授權使用。數(shù)據(jù)加密的安全性構建在密碼的安全強度上。同時如何保證數(shù)據(jù)解密后的安全使用是這一類技術必須要解決好的問題。
1．2被動防護
被動防護是指采用訪問控制和輸出控制技術，對訪問數(shù)據(jù)的用戶操作行為進行限制和防護。大部分部署的被動防護系統(tǒng)都是從身份認證、權限管理、輸出控制這幾個方面著手。
身份認證保證用戶的身份真實性，用戶只有通過合法身份認證，才能進入內(nèi)部網(wǎng)絡訪問內(nèi)部文件和核心數(shù)據(jù)。權限管理是數(shù)據(jù)應用權限的管理過程。權限管理根據(jù)數(shù)據(jù)使用者的權限進行區(qū)別對待，做到只有經(jīng)過授權的用戶才可以接收和使用數(shù)據(jù)，將數(shù)據(jù)的應用范圍縮小到授權人群范圍之內(nèi)。
輸出控制是對主機和網(wǎng)絡的硬件輸出設備進行控制，檢查操作用戶是否具有打印、拷貝等輸出操作的權限，及時阻止非法輸出操作。
被動防護通過對使用數(shù)據(jù)的用戶的訪問和操作行為進行管理和限制，實現(xiàn)數(shù)據(jù)的安全保護，防止信息泄露。基于目前應用結構，被動防護最大的問題是大部分輸出控制和訪問控制都是基于操作系統(tǒng)之上進行的防護，從理論上講都可以被拆卸、篡改和繞過，存在安全隱患。
2 基于虛擬應用安全防泄漏架構系統(tǒng)
2．1系統(tǒng)的部署與使用
文中針對企業(yè)內(nèi)部核心機密數(shù)據(jù)的保護問題，提出一種基于虛擬應用技術構建安全隔離運行環(huán)境的安全防泄漏系統(tǒng)。系統(tǒng)結構如圖1所示。首先，系統(tǒng)內(nèi)所有的數(shù)據(jù)集中存儲在后臺的數(shù)據(jù)服務器上，所有訪問數(shù)據(jù)的軟件安裝在集中計算服務器上。進行統(tǒng)一的管理；用戶開機登錄以后。不能直接訪問到數(shù)據(jù)服務器，必須首先通過PKI身份認證后才能登錄到集中計算服務器上，在專門為這個用戶開辟的安全隔離環(huán)境內(nèi)，運行軟件訪問后面的數(shù)據(jù)服務器，用戶終端通過遠程桌面協(xié)議進行操作。
2．2系統(tǒng)的體系結構
如圖2所示，系統(tǒng)劃分為用戶終端和集中計算服務器端。用戶端通過客戶端軟件實現(xiàn)與服務器的PKI身份認證、SSL安全傳輸、RDP遠程操作。集中計算服務器端主要功能包括應用代理訪問控制、用戶的認證和授權管理、統(tǒng)一用戶環(huán)境管理、構造安全隔離的用戶環(huán)境等。其中，客戶端和集中計算服務器采用基于PKI技術的雙因子身份認證技術，客戶端只有通過身份認證才可以建立SSL安全通道訪問集中計算服務器，通過SSL信道加密保證用戶接入的通信安全。
圖1體系部署結構
圖2系統(tǒng)體系結構
集中計算服務器采用應用代理方式接受用戶訪問請求，隔絕用戶端其他網(wǎng)絡請求，形成網(wǎng)絡上的隔離。系統(tǒng)的統(tǒng)一用戶認證和授權管理，通過在用戶環(huán)境內(nèi)發(fā)布應用軟件的方法控制用戶對后臺數(shù)據(jù)的訪問。系統(tǒng)的用戶環(huán)境管理，主要是通過對用戶RDP連接的操作環(huán)境進行參數(shù)配置，防止用戶非法的上傳和下載，打印服務器數(shù)據(jù)。集中計算服務器接受用戶的請求后為用戶建立一個隔離的操作環(huán)境，彼此相互隔離，不能互相訪問。
2．3系統(tǒng)關鍵技術
(1)虛擬應用技術
虛擬應用就是將應用軟件集中部署在服務器上，以對最終用戶透明的方式在服務器端統(tǒng)一計算和運行，并最終讓用戶獲得與本地訪問應用同樣的應用感受和計算結果的技術。在該系統(tǒng)中，采用在Windows系統(tǒng)的遠程桌面協(xié)議(RDP)服務的基礎上，集中在服務器上部署應用軟件，通過對用戶桌面發(fā)布應用程序為每個用戶構建不同的操作環(huán)境。
虛擬應用軟件在服務器端運行，將運行結果界面信息以圖像差分編碼的方式傳送到客戶端進行還原；客戶端看到程序的狀態(tài)后，通過鍵盤鼠標進行操作，操作命令通過RDP協(xié)議傳送到服務器端運行的應用軟件上去執(zhí)行。這樣，在用戶客戶端上沒有服務器端的數(shù)據(jù)，防止了終端數(shù)據(jù)泄露，而用戶操作服務器端的虛擬應用與本地操作軟件沒有什么不同。
(2)安全隔離技術
系統(tǒng)在以下3個層面上通過相關技術實現(xiàn)了安全隔離：
①系統(tǒng)的集中計算服務器的用戶接入服務模塊，采用應用代理方式接受用戶的訪問請求，用戶的網(wǎng)絡訪問首先在應用代理處進行過濾處理，然后由代理轉發(fā)到用戶的虛擬應用上。用戶客戶端同服務器在網(wǎng)絡上是隔離的，杜絕了客戶端對服務端虛擬應用的網(wǎng)絡攻擊；
②系統(tǒng)用戶通過安全套接層(SSL)協(xié)議接入服務器端，通過傳輸加密安全通道形成用戶接入的安全隔離；③在集中計算服務器上，通過Windows操作系統(tǒng)，用戶桌面上構建的虛擬應用操作環(huán)境相互隔離，數(shù)據(jù)不能共享．實現(xiàn)了虛擬應用之間的隔離，防止用戶之間的非法攻擊造成數(shù)據(jù)泄露。
(3)虛擬用戶環(huán)境管理
在集中計算服務器上為每一個用戶創(chuàng)建了一個虛擬應用的操作環(huán)境，成為虛擬用戶環(huán)境。對于虛擬用戶環(huán)境，一方面通過對用戶RDP連接的操作環(huán)境進行參數(shù)配置，防止用戶非法的上傳和下載，打印服務器數(shù)據(jù)；另一方面，通過授權控制，為用戶配置專門用于數(shù)據(jù)復制、文件打印的軟件，在集中服務器上進行集中的文件復制和打印，統(tǒng)一管理用戶的數(shù)據(jù)輸出行為。
2．4系統(tǒng)架構的特點
系統(tǒng)采用數(shù)據(jù)集中存儲，集中運算處理，用戶與數(shù)據(jù)和應用之間安全隔離，用戶細粒度授權訪問控制，用戶遠程虛擬操作等一系列技術，防止信息泄露，保障信息的安全。這樣的方案具有以下幾個特點：
①通過數(shù)據(jù)集中存儲，應用集中部署和運行，縮小了數(shù)據(jù)流動范用，將安全邊界縮小到服務器區(qū)域，并在服務器與終端之間部署網(wǎng)絡隔離和訪問控制硬件設備，對用戶進行身份認證、授權訪問控制、用戶傳輸加密保護等措施保護邊界安全，防止信息泄露；
②采用硬件邊界防護設備，結合虛擬應用模式對用戶進行強身份認證，保證用戶身份真實性，二者有機地結合，缺一不可；同時應用授權發(fā)布機制，嚴格限制了用戶對數(shù)據(jù)的操作。形成用戶繞不過的強制性安全防護措施；
③數(shù)據(jù)和應用在安全邊界內(nèi)的服務器上集中部署和運行，數(shù)據(jù)從生成、編輯、閱讀、刪除的全生命周期受到安全邊界的防護，保證數(shù)據(jù)全生命周期的安全；
④數(shù)據(jù)和應用集中部署和運行，終端遠程虛擬操作。數(shù)據(jù)始終在服務器上處理．從來沒有到達過終端，自然不會在終端上留下痕跡。用戶與數(shù)據(jù)和應用之間進行硬件設備隔離、虛擬應用、終端無痕跡，既能有效地防止內(nèi)部人員超越權限，非法下載、打印、復制文件等不法企圖，又能防止終端上病毒對數(shù)據(jù)殘留信息的攻擊，造成信息泄露；
⑤終端無痕跡就是終端沒有數(shù)據(jù)內(nèi)容和殘留信息，因此終端不需要使用涉密密碼設備，在責任明確的基礎上，大大減少了密碼設備的管理工作，免掉大量終端工作人員“密碼保護”責任，解放了生產(chǎn)力，提高了工作效率。
3 安全性分析
3．1信息泄露防御安全準則
要想保護好信息系統(tǒng)的安全，防止信息泄露，需要綜合考慮各種安全因素，在參考了IS027002”1標準的基礎之上制定一個整體的防御準則。信息防泄露主要研究數(shù)據(jù)在整個生命周期中和各種狀態(tài)下的安全屬性，以及在這一過程中用戶和環(huán)境所需的各種安全控制。基于這一點提出如下信息安全防泄露安全準則(見圖3)：
圖3信息防泄露安全立方體
①用戶和數(shù)據(jù)應用環(huán)境的安全控制：事前控制。采用強身份認證和數(shù)據(jù)授權，保證數(shù)據(jù)給有授權的用戶使用；事中控制，保證在數(shù)據(jù)使用過程中的安全，防止數(shù)據(jù)被竊取和復制，防止用戶越權進行拷貝、打印等操作；事后處理。對殘留信息進行處理和保護，防止數(shù)據(jù)處理時產(chǎn)生的l臨時文件、數(shù)據(jù)緩存被惡意獲取并外發(fā)：
②數(shù)據(jù)的生命周期安全：通過安全手段和技術。保護數(shù)據(jù)從“產(chǎn)生——編輯——閱讀——修改——刪除”等階段的全生命周期安全，防止信息泄露；
③數(shù)據(jù)的狀態(tài)安全：考慮數(shù)據(jù)在計算機系統(tǒng)之中處于存儲、傳輸、計算等不同狀態(tài)下的安全屬性和特點，有針對性地實施防護手段，防止信息泄露。
3．2安全性對比分析
根據(jù)上面研究的信息防泄露安全準則，將虛擬應用安全防泄露系統(tǒng)與傳統(tǒng)的信息防泄露手段進行定性對比分析(見表1)。通過對比分析可以發(fā)現(xiàn)，虛擬技術的安全防泄露架構相比傳統(tǒng)的主動和被動的信息泄露防御技術，在安全性上有所提高，改變了傳統(tǒng)網(wǎng)絡信息系統(tǒng)的應用結構，是新—代的信息防泄露技術。
表1虛擬應用安全方泄露系統(tǒng)與傳統(tǒng)信息防泄露的安全對比
4 結語
虛擬應用技術目前已經(jīng)進入了實用化階段。目前國內(nèi)信息防泄露技術領域的主要研究方向是基于密級標識”’的數(shù)據(jù)交換技術和基于內(nèi)容識別的數(shù)據(jù)運動追蹤技術，這些技術還處于研究階段。密級標識和運動追蹤的問題，從法規(guī)遵從和事實安全需求上看，也是基于虛擬應用信息防泄露技術必須要解決的問題，技術上進行結合最終將是一個必然的結果。
文中對信息防泄露問題采取了不同的技術思路，通過集中計算、虛擬應用和統(tǒng)一的訪問控制，從技術上保障了對涉密信息資產(chǎn)的集中管控，能夠有效地控制電子涉密信息的傳播途徑和傳播范圍，達到非法用戶“進不來”，涉密信息“拿不走”，違規(guī)作案“跑不了”的信息資產(chǎn)保護目標。
核心關注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務領域、行業(yè)應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務領域的管理，全面涵蓋了企業(yè)關注ERP管理系統(tǒng)的核心領域，是眾多中小企業(yè)信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網(wǎng)http://www.zudvwvb.cn/
本文網(wǎng)址：http://www.zudvwvb.cn/html/consultation/1083958944.html
相關文章
