當(dāng)前企業(yè)業(yè)務(wù)應(yīng)用深度集成，業(yè)務(wù)流程全面貫通，數(shù)據(jù)和基礎(chǔ)服務(wù)高度共享，并且隨著云時代的到來，企業(yè)云平臺承載著大量的結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)的處理和存儲，其中敏感數(shù)據(jù)的保護和管理對企業(yè)的安全、國家的安全都至關(guān)重要。近些年國內(nèi)外發(fā)生了多起數(shù)據(jù)泄漏案件，例如在力拓“間諜案”中，業(yè)務(wù)負責(zé)人泄漏了涉及國際市場原材料購買、知識產(chǎn)權(quán)等各個方面機密數(shù)據(jù)，給國家?guī)�來的�?jīng)濟損失額度相當(dāng)于澳大利亞國內(nèi)生產(chǎn)總值的10%，達7000億元人民幣；IBM前全球服務(wù)部門高管，在從IBM跳槽至HP前2個月，獲取了能源企業(yè)關(guān)產(chǎn)品成本和原材料的絕密信息，并將商業(yè)機密發(fā)郵件給HP能源企業(yè)，從而造成了IBM能源企業(yè)重要商業(yè)數(shù)據(jù)的泄密；中國互聯(lián)網(wǎng)史上最大泄密事件CSDN網(wǎng)站注冊用戶有超1億的密碼被公開，相關(guān)聯(lián)的多數(shù)知名網(wǎng)站的用戶稱密碼也遭網(wǎng)上公開泄露；另外還有法國雷諾泄密商業(yè)間諜案，前蘋果員工出賣機密信息，IMF數(shù)據(jù)庫遭“黑客”攻擊，高盛資料被內(nèi)部員工竊取等大量的數(shù)據(jù)泄漏案件層出不窮，給企業(yè)乃至國家?guī)�來了巨大的損失。在分析數(shù)據(jù)泄露的各類案例中，一部分是由員工因為某種利益而故意泄露，而大部分情況下都是員工在無意中泄露出去的。員工在使用沒有任何安全防護措施的終端和系統(tǒng)，可能有意或者無意地通過網(wǎng)絡(luò)泄露企業(yè)機密信息，同時，各種支持USB連接的移動設(shè)備不斷涌現(xiàn)，也使得企業(yè)的機密信息很方便地被拷進U盤或移動硬盤等設(shè)備中帶走，導(dǎo)致企業(yè)的時間、資金和聲譽遭到嚴重的威脅。

　　因此數(shù)據(jù)防泄漏、防破壞、防濫用等信息安全領(lǐng)域的數(shù)據(jù)保護技術(shù)正越來越受到大家的關(guān)注，如何保證重要的數(shù)據(jù)和信息不被泄露已經(jīng)成了企業(yè)最關(guān)鍵的安全工作之一。

　　1.數(shù)據(jù)保護現(xiàn)狀

　　企業(yè)根據(jù)國家對數(shù)據(jù)保護的要求和自身發(fā)展的迫切需要，開展了數(shù)據(jù)保護工作，例如部分企業(yè)采用國內(nèi)信息安全廠商以文檔透明加密和權(quán)限管理為核心，結(jié)合文檔備份、文檔外發(fā)控制、網(wǎng)絡(luò)邊界控制、終端管理等技術(shù)手段防止敏感數(shù)據(jù)泄露；部分企業(yè)采用國外信息安全廠商以信息分類為基礎(chǔ)，結(jié)合外設(shè)及網(wǎng)絡(luò)協(xié)議控制、信息過濾等技術(shù)來防止敏感數(shù)據(jù)泄露。相關(guān)技術(shù)措施各有特點，面對的對象和解決問題的重點各不相同，有的技術(shù)重點關(guān)注終端安全，有的技術(shù)解決文檔保密，有的技術(shù)重點在防止泄密等。企業(yè)在現(xiàn)有的傳統(tǒng)數(shù)據(jù)保護技術(shù)的基礎(chǔ)上，仍需要認真思考以下幾個問題：

    (1)若不考慮數(shù)據(jù)的敏感程度，粗放式的保護措施不但帶來了管理復(fù)雜度增加，運作效率低下，且必須花費巨額成本。

　　(2)若不考慮敏感數(shù)據(jù)內(nèi)容管控，人員有意或無意的數(shù)據(jù)泄漏不僅造成巨大經(jīng)濟損失，還會給企業(yè)、國家?guī)�來安全風(fēng)險。

　　(3)若不考慮數(shù)據(jù)流向監(jiān)控，敏感信息通常以報表、網(wǎng)頁、文檔等結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)呈現(xiàn)，通過企業(yè)ERP、OA、MIS等系統(tǒng)生產(chǎn)以及通過USB、郵件、打印等手段進行傳播，企業(yè)將無法掌握數(shù)據(jù)傳遞過程，不能提供全面的安全審計和法庭舉證。

　　(4)面對企業(yè)云環(huán)境下的海量數(shù)據(jù)，如何快速、自動檢索出企業(yè)的數(shù)據(jù)內(nèi)容，將可大幅減少企業(yè)數(shù)據(jù)檢索的成本。

　　因此，企業(yè)必須對內(nèi)部的敏感數(shù)據(jù)內(nèi)容進行管控，實現(xiàn)全方位的敏感信息監(jiān)控、泄漏行為阻止和事件定位回溯，在把對用戶的干擾降至最低的同時兼顧安全、成本與效能。

　　2.數(shù)據(jù)保護與防泄漏平臺架構(gòu)設(shè)計

　　2.1 總體思路

　　企業(yè)應(yīng)結(jié)合日常辦公及各業(yè)務(wù)系統(tǒng)數(shù)據(jù)保護需求，從主動發(fā)現(xiàn)、自主授權(quán)、全面防護、行為跟蹤4個方面建立統(tǒng)一數(shù)據(jù)保護與防泄漏平臺，作為企業(yè)數(shù)據(jù)安全防護基礎(chǔ)設(shè)施，對業(yè)務(wù)系統(tǒng)和終端提供統(tǒng)一的數(shù)據(jù)加密、訪問授權(quán)、身份認證、完整|生保護和水印保護等服務(wù)，實現(xiàn)對敏感數(shù)據(jù)的檢測、監(jiān)控、防護全過程管控。

　　如圖1所示，數(shù)據(jù)保護與防泄漏平臺利用敏感數(shù)據(jù)模型和搜索引擎，檢索和識別出業(yè)務(wù)系統(tǒng)和終端的敏感數(shù)據(jù)，并植入文件“指紋”進行定位，實現(xiàn)平臺的“主動發(fā)現(xiàn)”；通過用戶對敏感數(shù)據(jù)的重要性判定，自行對文件進行閱讀、打印、轉(zhuǎn)發(fā)等功能授權(quán)，實現(xiàn)平臺的“自主授權(quán)”；采用智能掃描、進程保護、外發(fā)控制、水印保護、透明加解密等技術(shù)手段，對郵件，打印，拷貝等行為進行防護，實現(xiàn)平臺的“全面防護”；利用文件“指紋”與索引，對敏感數(shù)據(jù)進行監(jiān)控、審計和全過程回溯，實現(xiàn)平臺的“行為跟蹤”。
　

圖1 數(shù)據(jù)保護與防泄漏平臺的總體思路

　　2.2 全生命周期保護

　　企業(yè)應(yīng)從數(shù)據(jù)的生成、存儲、操作、傳輸和銷毀的全生命周期過程的各個維度出發(fā)，通過對業(yè)務(wù)系統(tǒng)和終端的數(shù)據(jù)使用行為分析，采用數(shù)據(jù)保護與防泄漏平臺的針對性防護和監(jiān)控措施，實現(xiàn)數(shù)據(jù)生命周期各環(huán)節(jié)的數(shù)據(jù)安全。

　　如圖2所示，在數(shù)據(jù)全生命周期保護過程中，數(shù)據(jù)保護與防泄漏平臺通過強制加密措施或選擇性加密措施對敏感數(shù)據(jù)進行加密，達到“防泄密”；采用權(quán)限控制措施限制訪問次數(shù)和時間，采用打印控制措施防止非授權(quán)用戶打印，采用拷貝控制措施對拷貝行為進行阻斷，采用外發(fā)控制措施阻斷對敏感數(shù)據(jù)的外發(fā)和告警，達到“防擴散”；采用完整性保護措施對數(shù)據(jù)進行完整性保護，達到“防篡改”；采用水印保護措施，明確標(biāo)示企業(yè)版權(quán)，限于企業(yè)范圍授權(quán)使用，達到“防侵權(quán)”；通過對產(chǎn)生、使用、傳輸、拷貝、外發(fā)、存儲和銷毀等關(guān)鍵過程進行審計，達到“可審計”；通過采用監(jiān)控措施對敏感數(shù)據(jù)分布狀況、終端敏感操作、敏感數(shù)據(jù)實時狀態(tài)進行監(jiān)控，實現(xiàn)對所有操作可追溯，并對數(shù)據(jù)的全生命周期過程重現(xiàn)，達到“可追蹤”。

圖2 全生命周期防護

　　2.3 整體架構(gòu)

　　企業(yè)數(shù)據(jù)保護與防泄漏平臺的建立必須先完成以下重要數(shù)據(jù)梳理工作：

　　(1)結(jié)合自身數(shù)據(jù)保護管理制度，調(diào)研并分析數(shù)據(jù)保護程度與保護對象的需求，確定數(shù)據(jù)保護的總體防護策略；

　　(2)全面梳理敏感數(shù)據(jù)分布范圍、數(shù)據(jù)敏感特征、數(shù)據(jù)承載對象和數(shù)據(jù)所處環(huán)境，并根據(jù)梳理結(jié)果對敏感數(shù)據(jù)進行有效的分級分類，制定敏感數(shù)據(jù)模型；

　　(3)根據(jù)制定的敏感數(shù)據(jù)模型，建立敏感數(shù)據(jù)檢索引擎和非結(jié)構(gòu)化數(shù)據(jù)的解析引擎，通過引擎建立企業(yè)敏感數(shù)據(jù)的全網(wǎng)索引。

　　在以上建立的防護策略、敏感數(shù)據(jù)模型和識別引擎的基礎(chǔ)上，企業(yè)數(shù)據(jù)保護與防泄漏平臺可以為企業(yè)辦公終端、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫和網(wǎng)絡(luò)邊界等提供數(shù)據(jù)保護、管理、監(jiān)控和分析等全面的防護措施。

　　整個架構(gòu)中，終端數(shù)據(jù)安全模塊、數(shù)據(jù)庫安全模塊和網(wǎng)絡(luò)安全模塊通過敏感數(shù)據(jù)識別、加密授權(quán)保護、水印保護、進程與內(nèi)存監(jiān)控、打印控制、安全審計等技術(shù)手段提供統(tǒng)一的接口和服務(wù)，解決終端、業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)邊界的數(shù)據(jù)主泄漏和被動泄漏問題，解決包括終端的u盤、打印、郵件、聊天工具等可能出現(xiàn)的數(shù)據(jù)泄漏風(fēng)險，提供OA、ERP、營銷、財務(wù)管控等業(yè)務(wù)系統(tǒng)的數(shù)據(jù)保護服務(wù)。數(shù)據(jù)保護策略管理層主要依據(jù)企業(yè)數(shù)據(jù)保護的總體防護策略，靈活制定并監(jiān)控前端數(shù)據(jù)保護模塊的相關(guān)保護策略，用戶權(quán)限和資產(chǎn)管理，收集前端模塊的審計操作信息，對數(shù)據(jù)保護及泄漏情況進行預(yù)分析處理。數(shù)據(jù)保護監(jiān)控分析層通過業(yè)務(wù)數(shù)據(jù)監(jiān)視、合規(guī)監(jiān)視和數(shù)據(jù)流向回溯等手段實現(xiàn)數(shù)據(jù)保護的全生命周期監(jiān)控、通過數(shù)據(jù)分析、泄漏趨勢分析和操作時間分析實現(xiàn)數(shù)據(jù)安全的風(fēng)險分析，通過內(nèi)容搜索技術(shù)實現(xiàn)企業(yè)敏感信息數(shù)據(jù)挖掘分析以及數(shù)據(jù)內(nèi)容的風(fēng)險評價。平臺整體架構(gòu)如圖3所示。

圖3 數(shù)據(jù)保護與防泄漏平臺整體架構(gòu)

　　3.平臺實現(xiàn)的關(guān)鍵技術(shù)

　　3.1“指紋”的設(shè)計

　　“指紋”是指依據(jù)文件的內(nèi)容、安全級別、終端信息等要素所產(chǎn)生的具有唯一性、保密性和安全性的內(nèi)容標(biāo)識。“指紋”被嵌入目標(biāo)文件后，對終端用戶不可見，用戶無法直接得到“指紋”信息，終端用戶無法直接對“指紋”進行修改或偽造，文件被修改后，“指紋”信息依舊能夠保持其完整性。

　　“指紋”信息的結(jié)構(gòu)包含標(biāo)識頭和內(nèi)容兩部分。標(biāo)識頭用于定位標(biāo)識在文件中的位置，內(nèi)容包含唯一標(biāo)識符、擴展信息及遠程信息。唯一標(biāo)識符用于對用戶終端文件進行唯一標(biāo)識，擴展信息包含簡單的文件和終端信息；遠程信息包含該文件所關(guān)聯(lián)的文件原始內(nèi)容信息、文件密級、終端信息等綜合內(nèi)容，遠程信息存儲于遠程數(shù)據(jù)庫中，用以對文件標(biāo)識進行自校驗，防止被用戶篡改或偽造。

　　3.2 索引的設(shè)計

　　數(shù)據(jù)保護索引是通過建立一個反向索引，在數(shù)據(jù)源排序順序存儲的同時建立關(guān)鍵詞列表，用于存儲關(guān)鍵詞和數(shù)據(jù)內(nèi)容的對應(yīng)關(guān)系，利用這樣的映射關(guān)系索引關(guān)鍵詞及出現(xiàn)關(guān)鍵詞的文檔、出現(xiàn)次數(shù)、出現(xiàn)頻率、出現(xiàn)位置的起始偏移量和結(jié)束偏移量。數(shù)據(jù)保護索引的建立過程主要包括以下幾個步驟，首先將需要進行索引的文件進行文本化和分詞處理，以得到文本分詞后的詞元；其次將得到的詞元傳送至語言處理組件，并針對得到的詞元做同該類語言相關(guān)的處理；最后將得到的詞傳送至索引組件，建立相應(yīng)的索引文件。

　　3.3 自我保護功能的實現(xiàn)

　　終端模塊的自我保護功能主要包括程序保護及數(shù)據(jù)保護兩部分。程序保護是指對程序本身、相關(guān)進程及服務(wù)等進行保護。數(shù)據(jù)保護是指對程序所關(guān)聯(lián)的數(shù)據(jù)庫、配置文件等進行保護。自我保護功能的目的主要是防止用戶對程序進行破壞，保證程序功能的完整性。目前程序及數(shù)據(jù)保護采用內(nèi)核級API鉤子技術(shù)，在系統(tǒng)底層對敏感操作進行攔截，過濾非授權(quán)進程產(chǎn)生的危險動作，防止用戶直接結(jié)束進程、刪除程序數(shù)據(jù)、破壞程序的功能。

　　3.4 加密策略設(shè)計

　　依據(jù)數(shù)據(jù)敏感性、終端特殊性和用戶角色的不同，設(shè)計強制性加密策略和選擇性加密策略。對重要業(yè)務(wù)系統(tǒng)輸出的文件、精確匹配的敏感數(shù)據(jù)文件以及特定敏感終端采用強制加密策略進行加密，包括可以對單個文件加密、單個目錄加密或全盤加密。對模糊匹配的敏感數(shù)據(jù)文件采用選擇性加密策略進行加密。在對文件進行加密保護時，如果單純采用非對稱加密，效率非常慢，并且每個終端都需要一個密鑰對，在密鑰的管理上比較復(fù)雜。因此平臺設(shè)計采用“一文一密”的密鑰管理與分發(fā)模式，在簡化密鑰管理同時保證加密文件安全性。整個數(shù)據(jù)密鑰的分發(fā)與管理的過程無需用戶主動干預(yù)，對用戶數(shù)據(jù)文件的操作不產(chǎn)生任何影響，文件加密時系統(tǒng)自動讀取密鑰，并將加密密鑰安全的傳輸?shù)綄Χ�，文件解密時系統(tǒng)自動獲取密鑰。

　　4.結(jié)束語

　　基于全生命周期的數(shù)據(jù)保護體系，保證了企業(yè)各類終端、業(yè)務(wù)系統(tǒng)、數(shù)據(jù)庫和網(wǎng)絡(luò)等數(shù)據(jù)在各個環(huán)節(jié)過程中的安全，解決了有意無意的數(shù)據(jù)泄漏問題。企業(yè)數(shù)據(jù)保護與防泄漏平臺通過數(shù)據(jù)保護與監(jiān)控措施，一旦發(fā)生敏感數(shù)據(jù)的泄漏行為，可實現(xiàn)敏感數(shù)據(jù)的無法利用，并可追溯還原泄漏的整個過程，實現(xiàn)企業(yè)泄密事件的可審計、可追蹤、可取證、可追究，保障企業(yè)的敏感數(shù)據(jù)安全。本文的解決方案充分考慮了企業(yè)人員操作和業(yè)務(wù)應(yīng)用的需求，為企業(yè)數(shù)據(jù)保護提供了解決思路，具有較高的參考價值和非常重要的現(xiàn)實意義。

轉(zhuǎn)載請注明出處：拓步ERP資訊網(wǎng)http://www.ezxoed.cn/

本文標(biāo)題：企業(yè)數(shù)據(jù)保護與防泄漏平臺的設(shè)計與實現(xiàn)

本文網(wǎng)址：http://www.ezxoed.cn/html/consultation/10839513517.html