一種基于虛擬應(yīng)用的安全防泄漏系統(tǒng)

引言

    隨著信息化的普及和提高，一方面給單位工作、生產(chǎn)、科研帶來了很多的便利，提高了工作效率；另一方面，隨著一些封閉系統(tǒng)的開放化程度提高，越來越多的信息安全問題也同時浮現(xiàn)出來，其中信息泄露造成的泄密事件會給國家和軍隊(duì)造成不可估量的重大損失，對于金融部門以及其他企業(yè)也會造成巨大的災(zāi)難。從涉密紙質(zhì)文檔的管理上得到啟發(fā)，文中提出數(shù)據(jù)新信息集中存儲，集中計(jì)算，利用遠(yuǎn)程虛擬操作確保數(shù)據(jù)計(jì)算環(huán)境安全隔離，最終達(dá)到在不改變用戶操作習(xí)慣的基礎(chǔ)上防止信息泄露的目的。

1 領(lǐng)域內(nèi)相關(guān)技術(shù)研究

    信息防泄露也就是“信息泄露防御”，通常解釋是：通過一定的技術(shù)或管理手段，防止用戶的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式被有意或意外流出。“信息泄露防御”也稱為“數(shù)據(jù)泄露防護(hù)”(Data Leakage Prevention。DLP)。通俗的說，信息防泄露就是防止對數(shù)據(jù)非授權(quán)的訪問和獲取。當(dāng)前信息泄露防御的技術(shù)主要分為兩類：主動防護(hù)和被動防護(hù)。

    1．1主動防護(hù)

    主動防護(hù)根據(jù)所采用的技術(shù)分為以下兩種：

    ①信息攔截：采用的信息內(nèi)容識別技術(shù)對數(shù)據(jù)進(jìn)行攔截、甄別和過濾，通常方案部署在網(wǎng)絡(luò)出口和主機(jī)上，對進(jìn)出網(wǎng)絡(luò)和主機(jī)的所有數(shù)據(jù)進(jìn)行攔截和輸出控制。發(fā)現(xiàn)違規(guī)數(shù)據(jù)時，進(jìn)行攔截和報(bào)警。信息攔截?zé)o法進(jìn)行細(xì)粒度的權(quán)限驗(yàn)證，同時無法對加密信息內(nèi)容進(jìn)行甄別；

    ②數(shù)據(jù)加密：數(shù)據(jù)加密技術(shù)采用密碼技術(shù)對數(shù)據(jù)單元進(jìn)行加密，通過密鑰管理和密鑰的分發(fā)實(shí)現(xiàn)對數(shù)據(jù)授權(quán)使用。數(shù)據(jù)加密的安全性構(gòu)建在密碼的安全強(qiáng)度上。同時如何保證數(shù)據(jù)解密后的安全使用是這一類技術(shù)必須要解決好的問題。

    1．2被動防護(hù)

    被動防護(hù)是指采用訪問控制和輸出控制技術(shù)，對訪問數(shù)據(jù)的用戶操作行為進(jìn)行限制和防護(hù)。大部分部署的被動防護(hù)系統(tǒng)都是從身份認(rèn)證、權(quán)限管理、輸出控制這幾個方面著手。

    身份認(rèn)證保證用戶的身份真實(shí)性，用戶只有通過合法身份認(rèn)證，才能進(jìn)入內(nèi)部網(wǎng)絡(luò)訪問內(nèi)部文件和核心數(shù)據(jù)。權(quán)限管理是數(shù)據(jù)應(yīng)用權(quán)限的管理過程。權(quán)限管理根據(jù)數(shù)據(jù)使用者的權(quán)限進(jìn)行區(qū)別對待，做到只有經(jīng)過授權(quán)的用戶才可以接收和使用數(shù)據(jù)，將數(shù)據(jù)的應(yīng)用范圍縮小到授權(quán)人群范圍之內(nèi)。

    輸出控制是對主機(jī)和網(wǎng)絡(luò)的硬件輸出設(shè)備進(jìn)行控制，檢查操作用戶是否具有打印、拷貝等輸出操作的權(quán)限，及時阻止非法輸出操作。

    被動防護(hù)通過對使用數(shù)據(jù)的用戶的訪問和操作行為進(jìn)行管理和限制，實(shí)現(xiàn)數(shù)據(jù)的安全保護(hù)，防止信息泄露。基于目前應(yīng)用結(jié)構(gòu)，被動防護(hù)最大的問題是大部分輸出控制和訪問控制都是基于操作系統(tǒng)之上進(jìn)行的防護(hù)，從理論上講都可以被拆卸、篡改和繞過，存在安全隱患。

2 基于虛擬應(yīng)用安全防泄漏架構(gòu)系統(tǒng)

    2．1系統(tǒng)的部署與使用

    文中針對企業(yè)內(nèi)部核心機(jī)密數(shù)據(jù)的保護(hù)問題，提出一種基于虛擬應(yīng)用技術(shù)構(gòu)建安全隔離運(yùn)行環(huán)境的安全防泄漏系統(tǒng)。系統(tǒng)結(jié)構(gòu)如圖1所示。首先，系統(tǒng)內(nèi)所有的數(shù)據(jù)集中存儲在后臺的數(shù)據(jù)服務(wù)器上，所有訪問數(shù)據(jù)的軟件安裝在集中計(jì)算服務(wù)器上。進(jìn)行統(tǒng)一的管理；用戶開機(jī)登錄以后。不能直接訪問到數(shù)據(jù)服務(wù)器，必須首先通過PKI身份認(rèn)證后才能登錄到集中計(jì)算服務(wù)器上，在專門為這個用戶開辟的安全隔離環(huán)境內(nèi)，運(yùn)行軟件訪問后面的數(shù)據(jù)服務(wù)器，用戶終端通過遠(yuǎn)程桌面協(xié)議進(jìn)行操作。

    2．2系統(tǒng)的體系結(jié)構(gòu)

    如圖2所示，系統(tǒng)劃分為用戶終端和集中計(jì)算服務(wù)器端。用戶端通過客戶端軟件實(shí)現(xiàn)與服務(wù)器的PKI身份認(rèn)證、SSL安全傳輸、RDP遠(yuǎn)程操作。集中計(jì)算服務(wù)器端主要功能包括應(yīng)用代理訪問控制、用戶的認(rèn)證和授權(quán)管理、統(tǒng)一用戶環(huán)境管理、構(gòu)造安全隔離的用戶環(huán)境等。其中，客戶端和集中計(jì)算服務(wù)器采用基于PKI技術(shù)的雙因子身份認(rèn)證技術(shù)，客戶端只有通過身份認(rèn)證才可以建立SSL安全通道訪問集中計(jì)算服務(wù)器，通過SSL信道加密保證用戶接入的通信安全。

圖1體系部署結(jié)構(gòu)

圖2系統(tǒng)體系結(jié)構(gòu)

    集中計(jì)算服務(wù)器采用應(yīng)用代理方式接受用戶訪問請求，隔絕用戶端其他網(wǎng)絡(luò)請求，形成網(wǎng)絡(luò)上的隔離。系統(tǒng)的統(tǒng)一用戶認(rèn)證和授權(quán)管理，通過在用戶環(huán)境內(nèi)發(fā)布應(yīng)用軟件的方法控制用戶對后臺數(shù)據(jù)的訪問。系統(tǒng)的用戶環(huán)境管理，主要是通過對用戶RDP連接的操作環(huán)境進(jìn)行參數(shù)配置，防止用戶非法的上傳和下載，打印服務(wù)器數(shù)據(jù)。集中計(jì)算服務(wù)器接受用戶的請求后為用戶建立一個隔離的操作環(huán)境，彼此相互隔離，不能互相訪問。

    2．3系統(tǒng)關(guān)鍵技術(shù)

    (1)虛擬應(yīng)用技術(shù)

    虛擬應(yīng)用就是將應(yīng)用軟件集中部署在服務(wù)器上，以對最終用戶透明的方式在服務(wù)器端統(tǒng)一計(jì)算和運(yùn)行，并最終讓用戶獲得與本地訪問應(yīng)用同樣的應(yīng)用感受和計(jì)算結(jié)果的技術(shù)。在該系統(tǒng)中，采用在Windows系統(tǒng)的遠(yuǎn)程桌面協(xié)議(RDP)服務(wù)的基礎(chǔ)上，集中在服務(wù)器上部署應(yīng)用軟件，通過對用戶桌面發(fā)布應(yīng)用程序?yàn)槊總�用戶構(gòu)建不同的操作環(huán)境。

    虛擬應(yīng)用軟件在服務(wù)器端運(yùn)行，將運(yùn)行結(jié)果界面信息以圖像差分編碼的方式傳送到客戶端進(jìn)行還原；客戶端看到程序的狀態(tài)后，通過鍵盤鼠標(biāo)進(jìn)行操作，操作命令通過RDP協(xié)議傳送到服務(wù)器端運(yùn)行的應(yīng)用軟件上去執(zhí)行。這樣，在用戶客戶端上沒有服務(wù)器端的數(shù)據(jù)，防止了終端數(shù)據(jù)泄露，而用戶操作服務(wù)器端的虛擬應(yīng)用與本地操作軟件沒有什么不同。

    (2)安全隔離技術(shù)

    系統(tǒng)在以下3個層面上通過相關(guān)技術(shù)實(shí)現(xiàn)了安全隔離：

    ①系統(tǒng)的集中計(jì)算服務(wù)器的用戶接入服務(wù)模塊，采用應(yīng)用代理方式接受用戶的訪問請求，用戶的網(wǎng)絡(luò)訪問首先在應(yīng)用代理處進(jìn)行過濾處理，然后由代理轉(zhuǎn)發(fā)到用戶的虛擬應(yīng)用上。用戶客戶端同服務(wù)器在網(wǎng)絡(luò)上是隔離的，杜絕了客戶端對服務(wù)端虛擬應(yīng)用的網(wǎng)絡(luò)攻擊；

    ②系統(tǒng)用戶通過安全套接層(SSL)協(xié)議接入服務(wù)器端，通過傳輸加密安全通道形成用戶接入的安全隔離；③在集中計(jì)算服務(wù)器上，通過Windows操作系統(tǒng)，用戶桌面上構(gòu)建的虛擬應(yīng)用操作環(huán)境相互隔離，數(shù)據(jù)不能共享．實(shí)現(xiàn)了虛擬應(yīng)用之間的隔離，防止用戶之間的非法攻擊造成數(shù)據(jù)泄露。

    (3)虛擬用戶環(huán)境管理

    在集中計(jì)算服務(wù)器上為每一個用戶創(chuàng)建了一個虛擬應(yīng)用的操作環(huán)境，成為虛擬用戶環(huán)境。對于虛擬用戶環(huán)境，一方面通過對用戶RDP連接的操作環(huán)境進(jìn)行參數(shù)配置，防止用戶非法的上傳和下載，打印服務(wù)器數(shù)據(jù)；另一方面，通過授權(quán)控制，為用戶配置專門用于數(shù)據(jù)復(fù)制、文件打印的軟件，在集中服務(wù)器上進(jìn)行集中的文件復(fù)制和打印，統(tǒng)一管理用戶的數(shù)據(jù)輸出行為。

    2．4系統(tǒng)架構(gòu)的特點(diǎn)

    系統(tǒng)采用數(shù)據(jù)集中存儲，集中運(yùn)算處理，用戶與數(shù)據(jù)和應(yīng)用之間安全隔離，用戶細(xì)粒度授權(quán)訪問控制，用戶遠(yuǎn)程虛擬操作等一系列技術(shù)，防止信息泄露，保障信息的安全。這樣的方案具有以下幾個特點(diǎn)：

    ①通過數(shù)據(jù)集中存儲，應(yīng)用集中部署和運(yùn)行，縮小了數(shù)據(jù)流動范用，將安全邊界縮小到服務(wù)器區(qū)域，并在服務(wù)器與終端之間部署網(wǎng)絡(luò)隔離和訪問控制硬件設(shè)備，對用戶進(jìn)行身份認(rèn)證、授權(quán)訪問控制、用戶傳輸加密保護(hù)等措施保護(hù)邊界安全，防止信息泄露；

    ②采用硬件邊界防護(hù)設(shè)備，結(jié)合虛擬應(yīng)用模式對用戶進(jìn)行強(qiáng)身份認(rèn)證，保證用戶身份真實(shí)性，二者有機(jī)地結(jié)合，缺一不可；同時應(yīng)用授權(quán)發(fā)布機(jī)制，嚴(yán)格限制了用戶對數(shù)據(jù)的操作。形成用戶繞不過的強(qiáng)制性安全防護(hù)措施；

    ③數(shù)據(jù)和應(yīng)用在安全邊界內(nèi)的服務(wù)器上集中部署和運(yùn)行，數(shù)據(jù)從生成、編輯、閱讀、刪除的全生命周期受到安全邊界的防護(hù)，保證數(shù)據(jù)全生命周期的安全；

    ④數(shù)據(jù)和應(yīng)用集中部署和運(yùn)行，終端遠(yuǎn)程虛擬操作。數(shù)據(jù)始終在服務(wù)器上處理．從來沒有到達(dá)過終端，自然不會在終端上留下痕跡。用戶與數(shù)據(jù)和應(yīng)用之間進(jìn)行硬件設(shè)備隔離、虛擬應(yīng)用、終端無痕跡，既能有效地防止內(nèi)部人員超越權(quán)限，非法下載、打印、復(fù)制文件等不法企圖，又能防止終端上病毒對數(shù)據(jù)殘留信息的攻擊，造成信息泄露；

    ⑤終端無痕跡就是終端沒有數(shù)據(jù)內(nèi)容和殘留信息，因此終端不需要使用涉密密碼設(shè)備，在責(zé)任明確的基礎(chǔ)上，大大減少了密碼設(shè)備的管理工作，免掉大量終端工作人員“密碼保護(hù)”責(zé)任，解放了生產(chǎn)力，提高了工作效率。

3 安全性分析

    3．1信息泄露防御安全準(zhǔn)則

    要想保護(hù)好信息系統(tǒng)的安全，防止信息泄露，需要綜合考慮各種安全因素，在參考了IS027002”1標(biāo)準(zhǔn)的基礎(chǔ)之上制定一個整體的防御準(zhǔn)則。信息防泄露主要研究數(shù)據(jù)在整個生命周期中和各種狀態(tài)下的安全屬性，以及在這一過程中用戶和環(huán)境所需的各種安全控制。基于這一點(diǎn)提出如下信息安全防泄露安全準(zhǔn)則(見圖3)：

圖3信息防泄露安全立方體

    ①用戶和數(shù)據(jù)應(yīng)用環(huán)境的安全控制：事前控制。采用強(qiáng)身份認(rèn)證和數(shù)據(jù)授權(quán)，保證數(shù)據(jù)給有授權(quán)的用戶使用；事中控制，保證在數(shù)據(jù)使用過程中的安全，防止數(shù)據(jù)被竊取和復(fù)制，防止用戶越權(quán)進(jìn)行拷貝、打印等操作；事后處理。對殘留信息進(jìn)行處理和保護(hù)，防止數(shù)據(jù)處理時產(chǎn)生的l臨時文件、數(shù)據(jù)緩存被惡意獲取并外發(fā)：

    ②數(shù)據(jù)的生命周期安全：通過安全手段和技術(shù)。保護(hù)數(shù)據(jù)從“產(chǎn)生——編輯——閱讀——修改——刪除”等階段的全生命周期安全，防止信息泄露；

    ③數(shù)據(jù)的狀態(tài)安全：考慮數(shù)據(jù)在計(jì)算機(jī)系統(tǒng)之中處于存儲、傳輸、計(jì)算等不同狀態(tài)下的安全屬性和特點(diǎn)，有針對性地實(shí)施防護(hù)手段，防止信息泄露。

    3．2安全性對比分析

    根據(jù)上面研究的信息防泄露安全準(zhǔn)則，將虛擬應(yīng)用安全防泄露系統(tǒng)與傳統(tǒng)的信息防泄露手段進(jìn)行定性對比分析(見表1)。通過對比分析可以發(fā)現(xiàn)，虛擬技術(shù)的安全防泄露架構(gòu)相比傳統(tǒng)的主動和被動的信息泄露防御技術(shù)，在安全性上有所提高，改變了傳統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)的應(yīng)用結(jié)構(gòu)，是新—代的信息防泄露技術(shù)。

表1虛擬應(yīng)用安全方泄露系統(tǒng)與傳統(tǒng)信息防泄露的安全對比

4 結(jié)語

    虛擬應(yīng)用技術(shù)目前已經(jīng)進(jìn)入了實(shí)用化階段。目前國內(nèi)信息防泄露技術(shù)領(lǐng)域的主要研究方向是基于密級標(biāo)識”’的數(shù)據(jù)交換技術(shù)和基于內(nèi)容識別的數(shù)據(jù)運(yùn)動追蹤技術(shù)，這些技術(shù)還處于研究階段。密級標(biāo)識和運(yùn)動追蹤的問題，從法規(guī)遵從和事實(shí)安全需求上看，也是基于虛擬應(yīng)用信息防泄露技術(shù)必須要解決的問題，技術(shù)上進(jìn)行結(jié)合最終將是一個必然的結(jié)果。

    文中對信息防泄露問題采取了不同的技術(shù)思路，通過集中計(jì)算、虛擬應(yīng)用和統(tǒng)一的訪問控制，從技術(shù)上保障了對涉密信息資產(chǎn)的集中管控，能夠有效地控制電子涉密信息的傳播途徑和傳播范圍，達(dá)到非法用戶“進(jìn)不來”，涉密信息“拿不走”，違規(guī)作案“跑不了”的信息資產(chǎn)保護(hù)目標(biāo)。

核心關(guān)注：拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://m.hanmeixuan.com/

本文標(biāo)題：一種基于虛擬應(yīng)用的安全防泄漏系統(tǒng)

本文網(wǎng)址：http://m.hanmeixuan.com/html/consultation/1083958944.html