行業(yè)背景

隨著信息技術(shù)的飛速發(fā)展，計(jì)算機(jī)和網(wǎng)絡(luò)已成為日常辦公、通信交流和協(xié)作互動(dòng)的必備工具和途徑。但是，信息系統(tǒng)在提高人們工作效率的同時(shí)，也對(duì)信息的存儲(chǔ)、訪問控制及傳輸關(guān)鍵數(shù)據(jù)，如何有效防止其丟失和泄漏等一系列問題提出了安全需求。目前對(duì)局域網(wǎng)的安全解決方案，還停留在采用防火墻、入侵檢測、網(wǎng)絡(luò)防病毒等保護(hù)網(wǎng)絡(luò)、限制信息訪問或者監(jiān)控行為的被動(dòng)防護(hù)手段上。在過去的一年中，全球98.2％的計(jì)算機(jī)用戶使用殺毒軟件；90.7％設(shè)有防火墻；75.1％使用反間諜程序的軟件。但卻有 83.7％的用戶遭遇過至少一次病毒、蠕蟲或木馬攻擊事件；79.5％遭遇至少一次間諜程序攻擊事件。據(jù)國家計(jì)算機(jī)信息安全測評(píng)中心數(shù)據(jù)顯示：由于內(nèi)部重要機(jī)密通過網(wǎng)絡(luò)泄漏而造成經(jīng)濟(jì)損失的單位中，重要資料被黑客竊取和被內(nèi)部員工泄漏的比例為：1：99。這是來自于國家計(jì)算機(jī)信息安全測評(píng)中心的一個(gè)數(shù)據(jù)，據(jù)調(diào)查顯示，互聯(lián)網(wǎng)接入單位由于內(nèi)部重要機(jī)密通過網(wǎng)絡(luò)泄漏而造成重大損失的事件中，只有 1%是被黑客竊取造成的，而 99%都是由于內(nèi)部員工有意或無意的一些泄密行為所導(dǎo)致的。

行業(yè)需求分析

根據(jù)我們的總結(jié)分析，來自內(nèi)部的安全威脅主要有以下幾類：

1)     竊取者將自己的計(jì)算機(jī)通過內(nèi)網(wǎng)網(wǎng)絡(luò)交換設(shè)備或者直連網(wǎng)線非法就接入內(nèi)網(wǎng)或者計(jì) 算機(jī)終端，竊取內(nèi)網(wǎng)重要數(shù)據(jù)；

2)     竊取者直接利用局域網(wǎng)中的某一臺(tái)主機(jī)，通過網(wǎng)絡(luò)攻擊或欺騙的手段，非法取得其他主機(jī)甚至是某臺(tái)網(wǎng)絡(luò)服務(wù)器的重要數(shù)據(jù)；

3)     內(nèi)部員工將只允許在局域網(wǎng)內(nèi)部使用的數(shù)據(jù)通過磁盤復(fù)制、打印非法撥號(hào)外聯(lián)等 手段泄漏到單位外部；

4)     內(nèi)部人員竊取管理員用戶名和密碼，非法進(jìn)入單位重要的業(yè)務(wù)和應(yīng)用服務(wù)器獲取內(nèi)部重要數(shù)據(jù)。

5)     內(nèi)部員工在工作時(shí)間瀏覽無關(guān)的網(wǎng)站，導(dǎo)致惡意程序在內(nèi)網(wǎng)橫行，阻塞正常網(wǎng)絡(luò)帶寬

6)     應(yīng)用系統(tǒng)（OA，業(yè)務(wù)系統(tǒng)）等未考慮應(yīng)用級(jí)的安全，任何文件都是明文傳輸，明文存貯在應(yīng)用系統(tǒng)的數(shù)據(jù)庫，這樣文件極易被截獲，并且文件容易被人從數(shù)據(jù)庫中提取，發(fā)生泄密事件。

7)     內(nèi)部數(shù)據(jù)存貯在硬盤中，由于未使用數(shù)據(jù)加密技術(shù)，在PC電腦出現(xiàn)故障，需要維修時(shí)，維修人員可以輕易從硬盤中獲得任何數(shù)據(jù)。

8)     對(duì)于目前辦公內(nèi)網(wǎng)所使用的監(jiān)控和審計(jì)系統(tǒng)，這類系統(tǒng)雖然提供了一定的網(wǎng)絡(luò)控制功能，但其重點(diǎn)是對(duì)網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行記錄和審計(jì)，因此并不能很好地阻止單位信息泄密事件的發(fā)生。一旦泄密事件發(fā)生，對(duì)單位已經(jīng)造成損失，此類產(chǎn)品的安全作用有限

9)     使用文檔加密系統(tǒng)來對(duì)敏感數(shù)據(jù)進(jìn)行保護(hù)的方式，對(duì)于這類系統(tǒng)主要是采用各種加密軟件實(shí)現(xiàn)對(duì)計(jì)算機(jī)數(shù)據(jù)的加密，但是其對(duì)網(wǎng)絡(luò)、計(jì)算機(jī)、用戶的管理不靈活，而且內(nèi)網(wǎng)資源眾多，需要分別進(jìn)行權(quán)限的設(shè)置，管理難度大，尤其當(dāng)用戶權(quán)限發(fā)生頻繁更換的時(shí)候，容易造成漏洞。此類產(chǎn)品并不利于單位內(nèi)部信息的安全管理。

行業(yè)解決方案

從現(xiàn)狀分析而知， 首先需要樹立安全保密的意識(shí)，然后制訂針對(duì)電子信息保密的規(guī)范，并且在日常中貫徹執(zhí)行。我們既要有完整的、可靠的信息安全理論指導(dǎo)我們的方向，也要有經(jīng)過驗(yàn)證的、實(shí)用的方案實(shí)現(xiàn)我們的想法，下面將介紹以：

內(nèi)部拓?fù)鋱D

上圖為數(shù)據(jù)防泄漏系統(tǒng)的系統(tǒng)架構(gòu)示意圖。其中每個(gè)客戶端和應(yīng)用數(shù)據(jù)服務(wù)器中均可存有受控加密文件。

數(shù)據(jù)防泄漏系統(tǒng)由管理中心、控制臺(tái)和客戶端組成：

管理中心用于存儲(chǔ)系統(tǒng)數(shù)據(jù)和提供在線認(rèn)證。

控制臺(tái)是管理員用于對(duì)系統(tǒng)進(jìn)行配置的管理工具，

客戶端從管理中心下載策略并根據(jù)策略完成對(duì)機(jī)密文件的保護(hù)。

整套系統(tǒng)基于C/S模式，其實(shí)施架構(gòu)如圖

1．文檔保護(hù)

文檔加密系統(tǒng)使用微軟Windows標(biāo)準(zhǔn)文件過濾驅(qū)動(dòng)框架實(shí)現(xiàn)的透明加密內(nèi)核，可以在文檔寫入時(shí)進(jìn)行自動(dòng)加密，讀取時(shí)自動(dòng)解密，這樣用戶根本感覺不到該文檔是加密文檔，但實(shí)際在硬盤上該文檔都已被加密。由于加密功能是在內(nèi)核攔截方式實(shí)現(xiàn)，沒有任何臨時(shí)文件，所以可以達(dá)到良好的加密性能，幾乎不會(huì)對(duì)用戶有任何影響。加密的文件密鑰均為一次一密，同時(shí)加密文件內(nèi)部已經(jīng)集成了多用戶級(jí)別的身份認(rèn)證權(quán)限，在內(nèi)部文檔流轉(zhuǎn)時(shí)可以更好地保護(hù)機(jī)密數(shù)據(jù)，可以很方便地對(duì)文檔進(jìn)行默認(rèn)的權(quán)限范圍劃分。文件打開時(shí)會(huì)對(duì)當(dāng)前進(jìn)程進(jìn)行指紋驗(yàn)證以及密文進(jìn)程保護(hù)功能，可以避免木馬病毒或其他程序通過改名或注入到合法進(jìn)程內(nèi)部進(jìn)行竊取密文數(shù)據(jù)的可能，也可以解決網(wǎng)絡(luò)開放和數(shù)據(jù)保密不能互存的現(xiàn)象。

2．透明加密技術(shù)

文件加密保存是文件安全保護(hù)的首要條件。只要是明文保存文件，無論運(yùn)用任何手段進(jìn)行防范，同樣會(huì)泄密。泄密的方式多種多樣，不法分子獲取商業(yè)機(jī)密的手段更是多種多樣，我們防不勝防。所以治本的方法就是對(duì)情報(bào)信息加密，使得拿到也沒用。

在操作系統(tǒng)中嵌入文檔系統(tǒng)過濾驅(qū)動(dòng)程序，從而可對(duì)所有應(yīng)用程序讀寫的文檔執(zhí)行過濾，當(dāng)機(jī)密文檔被讀出時(shí)，此驅(qū)動(dòng)程序執(zhí)行對(duì)它的解密。當(dāng)機(jī)密文檔被寫入時(shí)，驅(qū)動(dòng)程序執(zhí)行對(duì)它的加密，從而保證機(jī)密文檔所有被保存到永久介質(zhì)上的副本都被加密。

3．基于角色的策略配置

將對(duì)訪問者的控制轉(zhuǎn)換為對(duì)角色的控制，從而使授權(quán)管理更為方便實(shí)用、效率更高。同時(shí)，將系統(tǒng)的一些基礎(chǔ)功能，控制方式和權(quán)限設(shè)置為細(xì)粒度的策略，角色與角色之間可以繼承權(quán)限，使各個(gè)角色的策略劃分更為清晰、明確，降低了策略管理的復(fù)雜性。角色可以對(duì)應(yīng)現(xiàn)實(shí)管理中的行政角色關(guān)系，不同角色的用戶可以訪問不同權(quán)限級(jí)別的資源和對(duì)應(yīng)不同策略。系統(tǒng)實(shí)現(xiàn)對(duì)應(yīng)用系統(tǒng)對(duì)象的訪問控制。其思想為將一類用戶歸結(jié)為一個(gè)角色，角色之間可以繼承和互斥，通過對(duì)角色進(jìn)行策略控制，達(dá)到對(duì)用戶的管理。

4．移動(dòng)存儲(chǔ)介質(zhì)管理

針對(duì)移動(dòng)存儲(chǔ)介質(zhì)的管理我們分為兩種模式：內(nèi)網(wǎng)專用模式和內(nèi)外網(wǎng)混合模式，可以對(duì)任何支持的移動(dòng)介質(zhì)分別進(jìn)行這兩種介質(zhì)的模式設(shè)置。內(nèi)網(wǎng)專用模式的安全級(jí)別最高，使用之前必須對(duì)介質(zhì)安全格式化后才可以在公司內(nèi)網(wǎng)內(nèi)使用，介質(zhì)內(nèi)部數(shù)據(jù)為全加密狀態(tài)，該介質(zhì)脫離公司環(huán)境后為未格式化狀態(tài)；內(nèi)外混合模式一般用在需要內(nèi)外交互的情況下使用，可以把資料通過介質(zhì)拷貝到公司內(nèi)部，也可以把公司內(nèi)部資料通過專人授權(quán)后帶到公司外部，非授權(quán)的情況下強(qiáng)制拷貝到該介質(zhì)的文件全部為加密不可讀取狀態(tài)。

5．外發(fā)管理

對(duì)應(yīng)已加密的文檔，如果需要把文檔向公司外部發(fā)送，可以申請進(jìn)行外發(fā)轉(zhuǎn)換。外發(fā)時(shí)有兩個(gè)選擇方式，一種是完全明文外發(fā)，一種是轉(zhuǎn)換成圖片進(jìn)行外發(fā)。圖片格式外發(fā)安全等級(jí)比較高，用戶只能看到內(nèi)容，但不能進(jìn)行編輯或是復(fù)制。完全明文外發(fā)安全級(jí)別最低，它會(huì)把原始文件的明文以不受控的方式外發(fā)給外部用戶

6．日志管理

日志內(nèi)容主要包括加密文件記錄、文件基本操作記錄、對(duì)加密文件進(jìn)行非法操作的記錄。