引言

    隨著信息化的普及和提高，一方面給單位工作、生產、科研帶來了很多的便利，提高了工作效率；另一方面，隨著一些封閉系統的開放化程度提高，越來越多的信息安全問題也同時浮現出來，其中信息泄露造成的泄密事件會給國家和軍隊造成不可估量的重大損失，對于金融部門以及其他企業也會造成巨大的災難。從涉密紙質文檔的管理上得到啟發，文中提出數據新信息集中存儲，集中計算，利用遠程虛擬操作確保數據計算環境安全隔離，最終達到在不改變用戶操作習慣的基礎上防止信息泄露的目的。

1 領域內相關技術研究

    信息防泄露也就是“信息泄露防御”，通常解釋是：通過一定的技術或管理手段，防止用戶的指定數據或信息資產以違反安全策略規定的形式被有意或意外流出。“信息泄露防御”也稱為“數據泄露防護”(Data Leakage Prevention。DLP)。通俗的說，信息防泄露就是防止對數據非授權的訪問和獲取。當前信息泄露防御的技術主要分為兩類：主動防護和被動防護。

    1．1主動防護

    主動防護根據所采用的技術分為以下兩種：

    ①信息攔截：采用的信息內容識別技術對數據進行攔截、甄別和過濾，通常方案部署在網絡出口和主機上，對進出網絡和主機的所有數據進行攔截和輸出控制。發現違規數據時，進行攔截和報警。信息攔截無法進行細粒度的權限驗證，同時無法對加密信息內容進行甄別；

    ②數據加密：數據加密技術采用密碼技術對數據單元進行加密，通過密鑰管理和密鑰的分發實現對數據授權使用。數據加密的安全性構建在密碼的安全強度上。同時如何保證數據解密后的安全使用是這一類技術必須要解決好的問題。

    1．2被動防護

    被動防護是指采用訪問控制和輸出控制技術，對訪問數據的用戶操作行為進行限制和防護。大部分部署的被動防護系統都是從身份認證、權限管理、輸出控制這幾個方面著手。

    身份認證保證用戶的身份真實性，用戶只有通過合法身份認證，才能進入內部網絡訪問內部文件和核心數據。權限管理是數據應用權限的管理過程。權限管理根據數據使用者的權限進行區別對待，做到只有經過授權的用戶才可以接收和使用數據，將數據的應用范圍縮小到授權人群范圍之內。

    輸出控制是對主機和網絡的硬件輸出設備進行控制，檢查操作用戶是否具有打印、拷貝等輸出操作的權限，及時阻止非法輸出操作。

    被動防護通過對使用數據的用戶的訪問和操作行為進行管理和限制，實現數據的安全保護，防止信息泄露。基于目前應用結構，被動防護最大的問題是大部分輸出控制和訪問控制都是基于操作系統之上進行的防護，從理論上講都可以被拆卸、篡改和繞過，存在安全隱患。

2 基于虛擬應用安全防泄漏架構系統

    2．1系統的部署與使用

    文中針對企業內部核心機密數據的保護問題，提出一種基于虛擬應用技術構建安全隔離運行環境的安全防泄漏系統。系統結構如圖1所示。首先，系統內所有的數據集中存儲在后臺的數據服務器上，所有訪問數據的軟件安裝在集中計算服務器上。進行統一的管理；用戶開機登錄以后。不能直接訪問到數據服務器，必須首先通過PKI身份認證后才能登錄到集中計算服務器上，在專門為這個用戶開辟的安全隔離環境內，運行軟件訪問后面的數據服務器，用戶終端通過遠程桌面協議進行操作。

    2．2系統的體系結構

    如圖2所示，系統劃分為用戶終端和集中計算服務器端。用戶端通過客戶端軟件實現與服務器的PKI身份認證、SSL安全傳輸、RDP遠程操作。集中計算服務器端主要功能包括應用代理訪問控制、用戶的認證和授權管理、統一用戶環境管理、構造安全隔離的用戶環境等。其中，客戶端和集中計算服務器采用基于PKI技術的雙因子身份認證技術，客戶端只有通過身份認證才可以建立SSL安全通道訪問集中計算服務器，通過SSL信道加密保證用戶接入的通信安全。

圖1體系部署結構

圖2系統體系結構

    集中計算服務器采用應用代理方式接受用戶訪問請求，隔絕用戶端其他網絡請求，形成網絡上的隔離。系統的統一用戶認證和授權管理，通過在用戶環境內發布應用軟件的方法控制用戶對后臺數據的訪問。系統的用戶環境管理，主要是通過對用戶RDP連接的操作環境進行參數配置，防止用戶非法的上傳和下載，打印服務器數據。集中計算服務器接受用戶的請求后為用戶建立一個隔離的操作環境，彼此相互隔離，不能互相訪問。

    2．3系統關鍵技術

    (1)虛擬應用技術

    虛擬應用就是將應用軟件集中部署在服務器上，以對最終用戶透明的方式在服務器端統一計算和運行，并最終讓用戶獲得與本地訪問應用同樣的應用感受和計算結果的技術。在該系統中，采用在Windows系統的遠程桌面協議(RDP)服務的基礎上，集中在服務器上部署應用軟件，通過對用戶桌面發布應用程序為每個用戶構建不同的操作環境。

    虛擬應用軟件在服務器端運行，將運行結果界面信息以圖像差分編碼的方式傳送到客戶端進行還原；客戶端看到程序的狀態后，通過鍵盤鼠標進行操作，操作命令通過RDP協議傳送到服務器端運行的應用軟件上去執行。這樣，在用戶客戶端上沒有服務器端的數據，防止了終端數據泄露，而用戶操作服務器端的虛擬應用與本地操作軟件沒有什么不同。

    (2)安全隔離技術

    系統在以下3個層面上通過相關技術實現了安全隔離：

    ①系統的集中計算服務器的用戶接入服務模塊，采用應用代理方式接受用戶的訪問請求，用戶的網絡訪問首先在應用代理處進行過濾處理，然后由代理轉發到用戶的虛擬應用上。用戶客戶端同服務器在網絡上是隔離的，杜絕了客戶端對服務端虛擬應用的網絡攻擊；

    ②系統用戶通過安全套接層(SSL)協議接入服務器端，通過傳輸加密安全通道形成用戶接入的安全隔離；③在集中計算服務器上，通過Windows操作系統，用戶桌面上構建的虛擬應用操作環境相互隔離，數據不能共享．實現了虛擬應用之間的隔離，防止用戶之間的非法攻擊造成數據泄露。

    (3)虛擬用戶環境管理

    在集中計算服務器上為每一個用戶創建了一個虛擬應用的操作環境，成為虛擬用戶環境。對于虛擬用戶環境，一方面通過對用戶RDP連接的操作環境進行參數配置，防止用戶非法的上傳和下載，打印服務器數據；另一方面，通過授權控制，為用戶配置專門用于數據復制、文件打印的軟件，在集中服務器上進行集中的文件復制和打印，統一管理用戶的數據輸出行為。

    2．4系統架構的特點

    系統采用數據集中存儲，集中運算處理，用戶與數據和應用之間安全隔離，用戶細粒度授權訪問控制，用戶遠程虛擬操作等一系列技術，防止信息泄露，保障信息的安全。這樣的方案具有以下幾個特點：

    ①通過數據集中存儲，應用集中部署和運行，縮小了數據流動范用，將安全邊界縮小到服務器區域，并在服務器與終端之間部署網絡隔離和訪問控制硬件設備，對用戶進行身份認證、授權訪問控制、用戶傳輸加密保護等措施保護邊界安全，防止信息泄露；

    ②采用硬件邊界防護設備，結合虛擬應用模式對用戶進行強身份認證，保證用戶身份真實性，二者有機地結合，缺一不可；同時應用授權發布機制，嚴格限制了用戶對數據的操作。形成用戶繞不過的強制性安全防護措施；

    ③數據和應用在安全邊界內的服務器上集中部署和運行，數據從生成、編輯、閱讀、刪除的全生命周期受到安全邊界的防護，保證數據全生命周期的安全；

    ④數據和應用集中部署和運行，終端遠程虛擬操作。數據始終在服務器上處理．從來沒有到達過終端，自然不會在終端上留下痕跡。用戶與數據和應用之間進行硬件設備隔離、虛擬應用、終端無痕跡，既能有效地防止內部人員超越權限，非法下載、打印、復制文件等不法企圖，又能防止終端上病毒對數據殘留信息的攻擊，造成信息泄露；

    ⑤終端無痕跡就是終端沒有數據內容和殘留信息，因此終端不需要使用涉密密碼設備，在責任明確的基礎上，大大減少了密碼設備的管理工作，免掉大量終端工作人員“密碼保護”責任，解放了生產力，提高了工作效率。

3 安全性分析

    3．1信息泄露防御安全準則

    要想保護好信息系統的安全，防止信息泄露，需要綜合考慮各種安全因素，在參考了IS027002”1標準的基礎之上制定一個整體的防御準則。信息防泄露主要研究數據在整個生命周期中和各種狀態下的安全屬性，以及在這一過程中用戶和環境所需的各種安全控制。基于這一點提出如下信息安全防泄露安全準則(見圖3)：

圖3信息防泄露安全立方體

    ①用戶和數據應用環境的安全控制：事前控制。采用強身份認證和數據授權，保證數據給有授權的用戶使用；事中控制，保證在數據使用過程中的安全，防止數據被竊取和復制，防止用戶越權進行拷貝、打印等操作；事后處理。對殘留信息進行處理和保護，防止數據處理時產生的l臨時文件、數據緩存被惡意獲取并外發：

    ②數據的生命周期安全：通過安全手段和技術。保護數據從“產生——編輯——閱讀——修改——刪除”等階段的全生命周期安全，防止信息泄露；

    ③數據的狀態安全：考慮數據在計算機系統之中處于存儲、傳輸、計算等不同狀態下的安全屬性和特點，有針對性地實施防護手段，防止信息泄露。

    3．2安全性對比分析

    根據上面研究的信息防泄露安全準則，將虛擬應用安全防泄露系統與傳統的信息防泄露手段進行定性對比分析(見表1)。通過對比分析可以發現，虛擬技術的安全防泄露架構相比傳統的主動和被動的信息泄露防御技術，在安全性上有所提高，改變了傳統網絡信息系統的應用結構，是新—代的信息防泄露技術。

表1虛擬應用安全方泄露系統與傳統信息防泄露的安全對比

4 結語

    虛擬應用技術目前已經進入了實用化階段。目前國內信息防泄露技術領域的主要研究方向是基于密級標識”’的數據交換技術和基于內容識別的數據運動追蹤技術，這些技術還處于研究階段。密級標識和運動追蹤的問題，從法規遵從和事實安全需求上看，也是基于虛擬應用信息防泄露技術必須要解決的問題，技術上進行結合最終將是一個必然的結果。

    文中對信息防泄露問題采取了不同的技術思路，通過集中計算、虛擬應用和統一的訪問控制，從技術上保障了對涉密信息資產的集中管控，能夠有效地控制電子涉密信息的傳播途徑和傳播范圍，達到非法用戶“進不來”，涉密信息“拿不走”，違規作案“跑不了”的信息資產保護目標。

核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。

轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/

本文標題：一種基于虛擬應用的安全防泄漏系統

本文網址：http://www.guhuozai8.cn/html/consultation/1083958944.html