當前企業業務應用深度集成，業務流程全面貫通，數據和基礎服務高度共享，并且隨著云時代的到來，企業云平臺承載著大量的結構化數據和非結構化數據的處理和存儲，其中敏感數據的保護和管理對企業的安全、國家的安全都至關重要。近些年國內外發生了多起數據泄漏案件，例如在力拓“間諜案”中，業務負責人泄漏了涉及國際市場原材料購買、知識產權等各個方面機密數據，給國家帶來的經濟損失額度相當于澳大利亞國內生產總值的10%，達7000億元人民幣；IBM前全球服務部門高管，在從IBM跳槽至HP前2個月，獲取了能源企業關產品成本和原材料的絕密信息，并將商業機密發郵件給HP能源企業，從而造成了IBM能源企業重要商業數據的泄密；中國互聯網史上最大泄密事件CSDN網站注冊用戶有超1億的密碼被公開，相關聯的多數知名網站的用戶稱密碼也遭網上公開泄露；另外還有法國雷諾泄密商業間諜案，前蘋果員工出賣機密信息，IMF數據庫遭“黑客”攻擊，高盛資料被內部員工竊取等大量的數據泄漏案件層出不窮，給企業乃至國家帶來了巨大的損失。在分析數據泄露的各類案例中，一部分是由員工因為某種利益而故意泄露，而大部分情況下都是員工在無意中泄露出去的。員工在使用沒有任何安全防護措施的終端和系統，可能有意或者無意地通過網絡泄露企業機密信息，同時，各種支持USB連接的移動設備不斷涌現，也使得企業的機密信息很方便地被拷進U盤或移動硬盤等設備中帶走，導致企業的時間、資金和聲譽遭到嚴重的威脅。
因此數據防泄漏、防破壞、防濫用等信息安全領域的數據保護技術正越來越受到大家的關注，如何保證重要的數據和信息不被泄露已經成了企業最關鍵的安全工作之一。
1.數據保護現狀
企業根據國家對數據保護的要求和自身發展的迫切需要，開展了數據保護工作，例如部分企業采用國內信息安全廠商以文檔透明加密和權限管理為核心，結合文檔備份、文檔外發控制、網絡邊界控制、終端管理等技術手段防止敏感數據泄露；部分企業采用國外信息安全廠商以信息分類為基礎，結合外設及網絡協議控制、信息過濾等技術來防止敏感數據泄露。相關技術措施各有特點，面對的對象和解決問題的重點各不相同，有的技術重點關注終端安全，有的技術解決文檔保密，有的技術重點在防止泄密等。企業在現有的傳統數據保護技術的基礎上，仍需要認真思考以下幾個問題：
(1)若不考慮數據的敏感程度，粗放式的保護措施不但帶來了管理復雜度增加，運作效率低下，且必須花費巨額成本。
(2)若不考慮敏感數據內容管控，人員有意或無意的數據泄漏不僅造成巨大經濟損失，還會給企業、國家帶來安全風險。
(3)若不考慮數據流向監控，敏感信息通常以報表、網頁、文檔等結構化和非結構化數據呈現，通過企業ERP、OA、MIS等系統生產以及通過USB、郵件、打印等手段進行傳播，企業將無法掌握數據傳遞過程，不能提供全面的安全審計和法庭舉證。
(4)面對企業云環境下的海量數據，如何快速、自動檢索出企業的數據內容，將可大幅減少企業數據檢索的成本。
因此，企業必須對內部的敏感數據內容進行管控，實現全方位的敏感信息監控、泄漏行為阻止和事件定位回溯，在把對用戶的干擾降至最低的同時兼顧安全、成本與效能。
2.數據保護與防泄漏平臺架構設計
2.1 總體思路
企業應結合日常辦公及各業務系統數據保護需求，從主動發現、自主授權、全面防護、行為跟蹤4個方面建立統一數據保護與防泄漏平臺，作為企業數據安全防護基礎設施，對業務系統和終端提供統一的數據加密、訪問授權、身份認證、完整|生保護和水印保護等服務，實現對敏感數據的檢測、監控、防護全過程管控。
如圖1所示，數據保護與防泄漏平臺利用敏感數據模型和搜索引擎，檢索和識別出業務系統和終端的敏感數據，并植入文件“指紋”進行定位，實現平臺的“主動發現”；通過用戶對敏感數據的重要性判定，自行對文件進行閱讀、打印、轉發等功能授權，實現平臺的“自主授權”；采用智能掃描、進程保護、外發控制、水印保護、透明加解密等技術手段，對郵件，打印，拷貝等行為進行防護，實現平臺的“全面防護”；利用文件“指紋”與索引，對敏感數據進行監控、審計和全過程回溯，實現平臺的“行為跟蹤”。
圖1 數據保護與防泄漏平臺的總體思路
2.2 全生命周期保護
企業應從數據的生成、存儲、操作、傳輸和銷毀的全生命周期過程的各個維度出發，通過對業務系統和終端的數據使用行為分析，采用數據保護與防泄漏平臺的針對性防護和監控措施，實現數據生命周期各環節的數據安全。
如圖2所示，在數據全生命周期保護過程中，數據保護與防泄漏平臺通過強制加密措施或選擇性加密措施對敏感數據進行加密，達到“防泄密”；采用權限控制措施限制訪問次數和時間，采用打印控制措施防止非授權用戶打印，采用拷貝控制措施對拷貝行為進行阻斷，采用外發控制措施阻斷對敏感數據的外發和告警，達到“防擴散”；采用完整性保護措施對數據進行完整性保護，達到“防篡改”；采用水印保護措施，明確標示企業版權，限于企業范圍授權使用，達到“防侵權”；通過對產生、使用、傳輸、拷貝、外發、存儲和銷毀等關鍵過程進行審計，達到“可審計”；通過采用監控措施對敏感數據分布狀況、終端敏感操作、敏感數據實時狀態進行監控，實現對所有操作可追溯，并對數據的全生命周期過程重現，達到“可追蹤”。
圖2 全生命周期防護
2.3 整體架構
企業數據保護與防泄漏平臺的建立必須先完成以下重要數據梳理工作：
(1)結合自身數據保護管理制度，調研并分析數據保護程度與保護對象的需求，確定數據保護的總體防護策略；
(2)全面梳理敏感數據分布范圍、數據敏感特征、數據承載對象和數據所處環境，并根據梳理結果對敏感數據進行有效的分級分類，制定敏感數據模型；
(3)根據制定的敏感數據模型，建立敏感數據檢索引擎和非結構化數據的解析引擎，通過引擎建立企業敏感數據的全網索引。
在以上建立的防護策略、敏感數據模型和識別引擎的基礎上，企業數據保護與防泄漏平臺可以為企業辦公終端、業務系統、數據庫和網絡邊界等提供數據保護、管理、監控和分析等全面的防護措施。
整個架構中，終端數據安全模塊、數據庫安全模塊和網絡安全模塊通過敏感數據識別、加密授權保護、水印保護、進程與內存監控、打印控制、安全審計等技術手段提供統一的接口和服務，解決終端、業務系統和網絡邊界的數據主泄漏和被動泄漏問題，解決包括終端的u盤、打印、郵件、聊天工具等可能出現的數據泄漏風險，提供OA、ERP、營銷、財務管控等業務系統的數據保護服務。數據保護策略管理層主要依據企業數據保護的總體防護策略，靈活制定并監控前端數據保護模塊的相關保護策略，用戶權限和資產管理，收集前端模塊的審計操作信息，對數據保護及泄漏情況進行預分析處理。數據保護監控分析層通過業務數據監視、合規監視和數據流向回溯等手段實現數據保護的全生命周期監控、通過數據分析、泄漏趨勢分析和操作時間分析實現數據安全的風險分析，通過內容搜索技術實現企業敏感信息數據挖掘分析以及數據內容的風險評價。平臺整體架構如圖3所示。
圖3 數據保護與防泄漏平臺整體架構
3.平臺實現的關鍵技術
3.1“指紋”的設計
“指紋”是指依據文件的內容、安全級別、終端信息等要素所產生的具有唯一性、保密性和安全性的內容標識。“指紋”被嵌入目標文件后，對終端用戶不可見，用戶無法直接得到“指紋”信息，終端用戶無法直接對“指紋”進行修改或偽造，文件被修改后，“指紋”信息依舊能夠保持其完整性。
“指紋”信息的結構包含標識頭和內容兩部分。標識頭用于定位標識在文件中的位置，內容包含唯一標識符、擴展信息及遠程信息。唯一標識符用于對用戶終端文件進行唯一標識，擴展信息包含簡單的文件和終端信息；遠程信息包含該文件所關聯的文件原始內容信息、文件密級、終端信息等綜合內容，遠程信息存儲于遠程數據庫中，用以對文件標識進行自校驗，防止被用戶篡改或偽造。
3.2 索引的設計
數據保護索引是通過建立一個反向索引，在數據源排序順序存儲的同時建立關鍵詞列表，用于存儲關鍵詞和數據內容的對應關系，利用這樣的映射關系索引關鍵詞及出現關鍵詞的文檔、出現次數、出現頻率、出現位置的起始偏移量和結束偏移量。數據保護索引的建立過程主要包括以下幾個步驟，首先將需要進行索引的文件進行文本化和分詞處理，以得到文本分詞后的詞元；其次將得到的詞元傳送至語言處理組件，并針對得到的詞元做同該類語言相關的處理；最后將得到的詞傳送至索引組件，建立相應的索引文件。
3.3 自我保護功能的實現
終端模塊的自我保護功能主要包括程序保護及數據保護兩部分。程序保護是指對程序本身、相關進程及服務等進行保護。數據保護是指對程序所關聯的數據庫、配置文件等進行保護。自我保護功能的目的主要是防止用戶對程序進行破壞，保證程序功能的完整性。目前程序及數據保護采用內核級API鉤子技術，在系統底層對敏感操作進行攔截，過濾非授權進程產生的危險動作，防止用戶直接結束進程、刪除程序數據、破壞程序的功能。
3.4 加密策略設計
依據數據敏感性、終端特殊性和用戶角色的不同，設計強制性加密策略和選擇性加密策略。對重要業務系統輸出的文件、精確匹配的敏感數據文件以及特定敏感終端采用強制加密策略進行加密，包括可以對單個文件加密、單個目錄加密或全盤加密。對模糊匹配的敏感數據文件采用選擇性加密策略進行加密。在對文件進行加密保護時，如果單純采用非對稱加密，效率非常慢，并且每個終端都需要一個密鑰對，在密鑰的管理上比較復雜。因此平臺設計采用“一文一密”的密鑰管理與分發模式，在簡化密鑰管理同時保證加密文件安全性。整個數據密鑰的分發與管理的過程無需用戶主動干預，對用戶數據文件的操作不產生任何影響，文件加密時系統自動讀取密鑰，并將加密密鑰安全的傳輸到對端，文件解密時系統自動獲取密鑰。
4.結束語
基于全生命周期的數據保護體系，保證了企業各類終端、業務系統、數據庫和網絡等數據在各個環節過程中的安全，解決了有意無意的數據泄漏問題。企業數據保護與防泄漏平臺通過數據保護與監控措施，一旦發生敏感數據的泄漏行為，可實現敏感數據的無法利用，并可追溯還原泄漏的整個過程，實現企業泄密事件的可審計、可追蹤、可取證、可追究，保障企業的敏感數據安全。本文的解決方案充分考慮了企業人員操作和業務應用的需求，為企業數據保護提供了解決思路，具有較高的參考價值和非常重要的現實意義。
轉載請注明出處：拓步ERP資訊網http://m.hanmeixuan.com/
本文標題：企業數據保護與防泄漏平臺的設計與實現
本文網址：http://m.hanmeixuan.com/html/consultation/10839513517.html
相關文章
