基于企业涉密信息检测的数据安全解决方案

基于企业涉密信息检测的数据安全解决方案发表时间：2009-6-29刘扬陈晓鹏苑新玲董开坤来源：万方数据关键字：加密涉密信息数据安全网络安全信息化应用调查我要找茬在线投稿加入收藏发表评论好文推荐打印文本在综合考虑网络安全与内容安全的基础上提出了一种基于企业涉密信息检测的数据安全解决方案，方案从网络拓扑构成，安全体系结构及安全管理控制平台角度讨论了企业数据在Intemet安全传输涉及的物理安全、系统/桌面安全，网络安全、数据安全、应用安全和管理安全等因素，给出了相应的实现方法，并提出了一种加密传输方法，保障了企业数据传输的机密性、完整性和可用性。

0引言

随着国内信息化建设的逐步深入，越来越多的企业逐步意识到企业安全防护的重要性，特别是随着Internet的飞速发展，企业互联网络安全将成为今后网络改造的重点，如何防止企业内部网系统遭到非法入侵、信息未经授权的存取或破坏，保证企业运营机要敏感数据不被窃取、非法复制和使用，将非法入侵拒之门外、同时有效防止计算机病毒、木马陷阱等对网络内部计算机系统的侵害，这些都是企业迫切面临的问题。本文基于企业网络安全现状，采用多种技术手段保证企业数据安全，提出了一种加密传输方法。

1企业网络安全隐患分析

在现代互联网应用中，企业除了组建自己的内网的同时出于业务需求也接入互联网中，企业希望保证内部网络的信息安全，内部机密数据在内网及外网传输不被泄露等问题。但在病毒、木马越来越猖狂的今天，许多企业在不知情的情况下，内部机密数据被盗窃的情况时有发生。在多数企业内网，内部的重要电子文档均以明文保存、而权限控制还处于粗放状态，拥有文件的人对文件具有全部的使用权限，而且是无期限的，造成内部涉密文件可以越级浏览：员工故意/非故意向竞争对手泄露企业机密，通过内网向外采用电子邮件、IM等方式发送任何文件，或者利用剪贴板将文本复制、剪贴出去，而多数企业没有对外发行为和信息进行控制和记录一旦出现问题，无法查找出泄密根源，企业在接入互联网的同时也带来诸如网络窃听、数据截获恶意篡改、内部某些重要的服务器或网络被非法访问，造成信息泄密、恶意攻击等风险。虽然多数企业购买安装了网络安全产品，但多数嘲络安全产品使用被动方式防护，而且是针对内网安全的，很难做到信息绝对保密不被泄露的程度，严重影响了企业的运行效果，工作效率和信息安全。因此企业数据传输需要通过一种全面有效的多种防护手段联合的整体策略方案加以解决。

2企业网络拓扑结构设计

针对在内外网传输数据的安全隐患，结合企业实际现状，根据企业及下属单位分布特点、企业业务特点和安全需求，对企业专用计算机网络拓扑结构设计如图1所示。

图1企业专网拓扑

企业专用网络分为以下3个层次：

骨干网：地区骨干节点采用可靠性高的双环网络互联，广域网。可租用网络运用商专线。

骨干接入网：企业其它下属单位通过地区骨干节点接入骨干网，实现互联瓦通。骨干接入网双专线分为上行线和下行线。

下属单位局域网：通过骨干接入网，接入企业专用网络(已有的单位局域网接入骨干网前，需要进行安全评估，达到安全等级要求后接入)。

3安全体系结构

针对企业的信息安全需求及现有安全隐患，将企业的网络安全体系分为物理安全、系统/桌面安全、网络安全、数据安全、应用安全和管理安全6个层次。

3.1物理安全

保护计算机网络信息系统中的各种设备、设施，使其免于地震、水灾、火灾等环境事故，人为操作失误或错误，电源故障，电磁干扰，电磁辐射，通讯线路遭截获及设备被盗、被毁等原因导致的系统毁灭、系统失效、数据丢失和信息泄漏。重要的网络设备及网络线路采用冗余设计。

3.2系统/桌面安全

企业内部的服务器或者其它计算机都有可能遭到来自于互联网的入侵、攻击，入侵的町能是各种病毒、木马，潜伏在计算机里，等待合适时机将一些其需要窃取的文件通过互联网发送出去，一旦发送成功，这些需要保密的电子文件就会直接泄密。黑客通过端口扫描可以探知系统的安全漏洞，进而对系统进行攻击，黑客通过嗅探器可以对网络传输的涉密信息进行窃听，造成涉密信息的泄密。

在CA体系的支持下，依据用户权限保护专网内个人主机、服务器和网络设备的安全。主要包括：网络(端口)管理、USB口管理、串/并口管理、软驱、光驱以及屏幕拷贝管理等输入、输出管理；防/反病毒、蠕虫、木马、后门程序等恶意代码的侵害；保护主机、服务器和网络设备的硬件资源、数据、信息免遭非授权访问。具体防护措施如下：(1)主机的端口管理：采用接入认证方式，实现计算机MAC地址与交换机端U的绑定，没有经过认证的计算机接入立即阻断(防止陌生的计算机接入)。一旦MAC地址与端口绑定，内部计算机从绑定端口任意插入到另一个端口，该计算机将被阻断，但是计算机接回原来的绑定端口时，可继续使用。避免了人为随意调换交换机端口，达到防止内网数据非法拷贝的目的。

(2)USB管理：由于USB设备的文件拷贝已成为企业内部、外部交换文件最常用的方式之一。但是拷贝的过程是不可控的，拷贝后存在泄密可能性。需要设定每台计算机对各种移动设备的权限，分为可以向外拷贝、不可向外拷贝。可以向外拷贝文件，采用对称加密策略，保证拷贝出去的保密文件是安全的，非法用户无法打开。

(3)对于串/并口管理：对存有机密资料的计算机进行非授权数据拷贝时，主机能自动检测并阻断。

(4)软驱、光驱及硬盘管理：由于相关人员可以直接将计算机的硬盘(包括台式机和笔记本电脑)直接拔出，带到其它的计算机上进行读取，从而获得硬盘上的各种电子文件，这种途径泄密的数据量最为巨大。采用的方法是对内网用户及资源进行权限管理，保护主机、服务器和网络设备的硬件资源、数据、信息免遭非授权访问，授权使用软驱、可写光驱拷贝，对硬盘采取结合系统及物理环境进行绑定加密的方式保证当硬盘被拔出后，硬盘上的保密文件在企业内部可以打开，而在企业外部无法打开，保证即使是恶意的盗取硬盘也无法获得硬盘上的保密文件信息。

(5)非法屏幕拷贝：通过API拦截键盘输入技术可以管理或禁止客户端对设计图纸或文档进行复制/粘贴或屏幕拷贝等操作。

(6)安装防病毒软件、防火墙、木马枪测软件、IDS以及反窃听软件：通过反病毒软件可以有效的清除病毒，防止内网数据泄密；通过安装防火墙软件可以防止非法的对计算机进行访问，保证对主机和应用安全访问；通过木马检测软件可以有效保护个人信息及文件安全，防止主机为他人控制，保障主机安全；通过反扫描技术防止对系统的恶意扫描：通过IDS对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性；通过MAC检测、DNS检测及负载检测等多种手段相结合的反监听技术检测网络中的监听，保障雕络安全。

3.3网络安全

网络安全是整个专网信息安全的关键，可采用的安全机制包括：

(1)网络隔离与访问控制：根据用户安全级别和安全需求的不同，将网络划分为级别不同的安全域，在不同的网络安全域之间实施网络隔离与访问控制。主要通过配置防火墙、网络隔离系统及在局域网内划分子网(或虚拟子网)等方式实现。

(2)入侵检测：对网络行为进行检查，发现外部入侵行为和内部用户的未授权活动，并做相虑反应。

(3)网络安全扫描系统：对网络中所有重要部件(应用服务器、管理服务器、网络主机、防火墙、路由器、交换机、TCP/[P及相关协议服务)进行扫描、分析和评估，发现并报告系统存在的弱点和漏洞，评估安全风险，产生报表，建议补救措施。

(4)病毒防护：通过反病毒软件可以有效的清除病毒，防止内网数据泄密。

(5)反窃听软件：在线监测各种网络侦听、流量镜像行为，保护网络流量免遭侦听窃取。

(6)安全审计：对网络中的各种设备、系统、用户、行为、服务和应用进行集中、可视的综合审计，及时发现安全隐患，提高安全系统成效；记录甘志，便于安全事件追踪、取证。

(7)事件响应：对于发生的网络安全事件具有快速响应能力，根据系统预先定义的安全策略，可以分为自动响应和人工(干预)响应两种方式。

(8)灾难恢复：灾难事件发生时，迅速启动灾备系统，提供持续可靠的应用与服务。

3.4数据安全

数据安全是专网信息安全的核心，采用的安全机制包括：访问控制、加密技术、行为记录、保密通信和数据备份。具体数据安全架构如图2所示。

图2数据安全架构(1)访问控制：在CA体系的支持下，对重要数据的建屯、读取、添加、修改、复制、传输和删除实施严格的访问控制与审计。

(2)密级标识：涉及企业部门敏感信息的各类电子文档(如Office、TxT、PDF等)按照文档内容在客户端进行文档新建或保存时提示用户对文档进行密级标识，当客户端将电子文档通过网络传输时，当电子文档通过应用网关时，提取电子文档的密级标识，对信息来源及目的地等信息进行登记，对符合策略规则的文档引导信息通过网关安全通道转发，对不符合的或未标识密级标识的电子文档予利用文本分析方式进行内容过滤。

图3文件安全传输过程

(3)加密技术：重要数据在系统中采用自定义的格式加密存储，缺少身份认证信息或离开预先指定的系统，即使数据被非授权复制甚至存储介质丢失，也不会造成信息泄露。针对内网用户通过互联网传输信息存在高风险，为保障信息传输安全并做到有效实时监控和阻断非经授权的涉密信息泄密，

(4)文本分析：对文本内容利用基准特征库的关键字采用多模式精确匹配最优算法进行高速内容匹配，检查文档是否含有涉密信息。

(5)行为记录：对通过检测的信息进行登记，记录信源和信宿相关信息及涉及文件的具体信息，以便在出现泄密事件时确定泄密源头及防抵赖。

(6)保密通信：重要数据经网络传输时，采用专用协议、加密传输。

(7)数据备份：对重要数据进行实时或在线的远程异地备份。

3．5应用安全

对系统中重要的服务和应用进行监控和完整性检查，建立远程异地灾备系统。

3．6管理安全

制定健全的安全管理体制(政策、制度、规范和策略)，增强人员的信息保密和安全防范意识，构建统一的安全管理控制平台，实现全网的安全管理。

4安全管控平台的体系结构

专用计算机网络安全管理控制平台的体系结构如图4所示。

图4网络安全管理控制平台体系结构

授权的管理人员通过用户界面对全网的安全进行监查、管理和控制，其下达的控制管理策略和配置经界面进入安全管控数据库，安全管控服务器在线察看安全管控数据库，当有新的策略和配置下达时，立即提取并在前端设备、系统中实施。安全管控服务器实时监查系统中各种设备、系统、设施、用户、行为、服务和应用的状态(系统运行状态信息)，将状态信息整理、分析、汇总后定时提交给安全管控数据库，供授权的管理人员通过用户界面察看、浏览。当有安全事件发生时，安全管控服务器将启动安全事件响应机制，采取报警等响应措施。系统运行状态信息的获取分为主动获取和被动获取两种方式。专用计算机网络安全管理控制平台的界面服务器、数据库服务器和安全管控服务器在不同地区互备，平时分担负载，必要时可以无缝接管异地服务器的任务。

5结束语

针对企业内网及外网信息传输的安全现状，本文从企业信息安全需求出发，设计了企业网络拓扑结构，建立了安全体系结构及安全控制平台，从物理安全、系统/桌面安全、网络安全、数据安全、应用安全和管理安全多角度保障企业信息安全，采用多重加密方式实现了企业安全信息传输，提高了企业的安全监控和防御能力。577100180309001209557903682285963308257710018030900123865761373997357606965771001803090013594578077579902515512577100180309001238757716498260181805157710018030900121385721311921589183265771001803090012359579036822361076053577100180309001235657613528614379174257710018030900123555750878697046932791708810034335527410122994432583337917088100343355275101866732938832008170881003433561071015811525015005221708810034335610810100018005987173217088100343354295101074194142687017170881