1 引言 2010年“維基解密”橫掃21世紀信息保密的腹地，激起多國“9·11”式外交風暴。2011年5月16日，美國白宮發布《網絡空間國際戰略》，闡述了美國在“日益以網絡相連的世界建立繁榮、增進安全和保護開放”。報告明確樹立了網絡空間安全在經濟、科學、軍事、政治和意識形態中的重要地位，倡導發布新的互聯網安全規定，就日后美國如何應對互聯網安全等事務提出具體方案。 在網絡環境下，秘密信息一旦泄露，瞬間即可擴散至全世界。各國法律均規定涉密內網與國際互聯網物理隔離，但是借助可移動存儲介質，內外網交互時間很短，一旦發生泄密事件，傳播極快。要想信息泄露后在外網進行攔截則難度很大，事倍功半。所以加強內網防護，防止涉密信息流出內網，更加有效可行。 對于中國來說，2011年是國家“十二五”開局之年，也是保密工作承前啟后，努力實現新發展、新跨越的關鍵一年。2010年10月新的《中華人民共和國保守國家秘密法》施行，2011年3月28日起新修訂的《中國人民解放軍保密條例》頒布施行。我國面臨著信息化條件下高技術竊密泄密風險大大增加，境內外敵對勢力對我間諜情報活動日益加劇的嚴峻挑戰。在信息安全保密行業理論研究、技術研究仍是國外占主導地位的條件下，我國在進行涉密信息保護，防止涉密信息泄露領域，必須探索一條中國人自己的信息安全之路———在國外操作系統及軟硬件之上，加一把中國人自己的鎖。 2 涉密信息保護的現狀 涉密信息保護，數據防泄露是信息安全領域的重要內容之一。但長期以來，業界一直用安全理論來解決數據防泄露問題，導致防泄密效果不明顯，泄密事件頻發。 2．1理論研究 ISO／IEC27002：2005中定義信息安全：保證信息的保密性、完整性和可用性。可信計算組織TCG定義的可信平臺模塊TPM，是一種置于計算機中的新的嵌入式安全子系統。假定ERP客戶端軟件在其使用過程中可能會遭到破壞，通過TPM對客戶端提供硬件保護，防止私鑰和對稱密鑰被竊取或被惡意代碼使用。 典型的信息保密性模型Bell－LaPadula模型，簡稱BLP模型，從系統保密性的角度描述不同訪問級別的主體和客體之間的聯系。BLP模型形式化地定義了系統狀態及狀態間的轉換規則，并制定了一組約束系統狀態間轉換規則的安全理論。BLP模型采用“向下讀，向上寫”的機制，保證了低安全級的主體不能讀高安全級的數據，阻止高安全級的主體把秘密泄露到一個較低的安全級上，保證信息不會從高保密級別流向低保密級別。 安全模型的目標是控制或管理主體（例如用戶和進程）對客體（例如數據和程序）的訪問。BLP模型、Biba模型、Lattice模型等，均通過對主體和客體進行分級并添加屬性標簽，并建立主體級別與客體級別之間的映射關系，從而實現信息的機密性或完整性保護。上述模型的共同問題在于，認為主體級別和客體級別之間存在必然聯系，主體的訪問權限不是由需要保密的客體決定。而且，存在標簽被篡改、數據交叉泄露問題。 作者認為，在信息保密領域，要保密的客體應該處于強制性的主導地位，而主體則處于從屬地位。主體能夠訪問哪些客體，對客體進行哪些操作，均應該由客體屬性決定。客體包含多方面的屬性，利用這些屬性對主體的使用進行主動約束，且必須有效做到屬性標簽防篡改等。 2．2技術思路 基于安全理論的數據防泄露技術，主要可概括為四大類：即控制類技術、加密類技術、過濾類技術和虛擬化技術。 控制類技術是通過權限的設置，對計算機輸入輸出進行集中控制和管理，并定期進行檢查和事后審計，實現對關鍵數據的傳輸進行控制，防止未經授權的數據外泄。 加密類技術是傳統的信息安全技術，可分為文件級加密技術、磁盤級加密技術、硬件級加密技術、網絡級加密技術。 過濾類技術通過在內網的出口，即網關處安裝內容過濾設備，用以分析常見網絡協議，并且對協議的內容進行分析及過濾。 虛擬化技術多指計算系統虛擬化及與之相關的虛擬機技術。虛擬可以實現在不同的層面上，包括指令集結構層、硬件抽象層、操作系統層、應用層等。 各種安全產品和解決方案，大都綜合運用了多種技術手段。基于虛擬化技術的安全防護研究，成為近年研究熱點。 2．3信息防泄露產品 國外安全市場上的數據防泄露（DLP）產品，依據防護對象的不同可概括為：終端防護類、網絡防護類、內容安全類。 （1）終端安全產品 終端防護類產品自20世紀80年代計算機病毒出現時起便發展起來，但因安裝復雜、管理繁瑣、維護成本高昂等而飽受詬病。隨著威脅與管理維護成本的增加，單點的安全防護產品已無法滿足安全需求，終端成為安全防線最薄弱的環節。 終端管理技術的局限及用戶的需求要求更好的解決方法。近年來，基于虛擬化和云計算理念的終端管理產品發展迅速，顛覆了傳統意義上的終端管理概念。將ERP系統和服務集中在服務器端，使得網絡管理人員不必再將維護的重點放在分散的個人終端上，只要維護和加固服務器端便可以實現全網絡終端便捷的維護和高安全。并且虛擬化和集中化的應用方式，也可以使用戶終端從根本上避免系統癱瘓、軟件沖突及誤操作等多層面的問題。典型如Invincea公司的全球首個虛擬化瀏覽器Invincea BrowSer Protection。 （2）網絡安全產品 20世紀90年代，學術界稱其為網絡（NETSEC）安全時代，其時代特征是美國80年代末出現的莫里斯蠕蟲事件。網絡安全的思路是使組織內網成為一個安全的環境。UTM、防火墻、入侵檢測和防護系統、漏洞掃描系統、防病毒系統等先后部署在網絡中。但是這些安全產品都只能防范單點或者小范圍的安全威脅，各種安全措施無法形成合力，易產生安全漏洞和安全隱患。動態的、主動安全防護需求日益迫切。網絡安全態勢感知相關研究成為近年來安全領域熱點。TimBaSS指出，網絡態勢感知是指在大規模網絡環境中，對能夠引起網絡態勢發生變化的安全要素進行獲取、理解、實現以及預測未來的發展趨勢。 （3）內容安全和應用安全 內容安全是建立在基礎網絡安全設備之上的，針對應用層和內容層的安全策略，不僅防范外部病毒入侵、黑客攻擊等威脅，對使用者的行為進行有效管理和控制。內容安全的管理依靠三大技術支撐，即電子郵件過濾、網頁過濾、反間諜軟件技術。內容安全是許多企業忽視的安全角落。缺乏有效的對關鍵數據和信息的保護措施，致使所有的人都可以輕而易舉地訪問這些核心數據，從而為企業機密文件的泄露埋下了隱患。在員工利用即時通訊和訪問購物網站的時候，一些惡意軟件就會不知不覺地下載到電腦中，接著在企業內部網絡中進行傳播，進而導致公司信息系統被入侵、機密資料被竊以及公司網絡堵塞等問題。 2．4國內法規政策及相關技術產品問題 我國信息安全及涉密信息保護方面的法規主要包括“信息安全等級保護”和“涉及國家秘密的信息系統分級保護”兩方面規定。國家標準對于涉密電子信息保護方面的規定，存在三個主要問題。一是保密形式和客觀環境發生變化，實踐中產生的矛盾和問題需要解決。二是只定義了加密存儲和加密傳輸，對于數據全生命周期保護沒有有效的防護。三是現行法規以外部攻擊為主要防護對象，而對于內部泄密沒有提供有效防護。另外，對于安全產品的測評要求，則是針對不同的安全技術要求，缺乏全局安全視角及一致性。 我國信息安全產品管理理念和模式落后于形勢的發展。目前的安全技術、產品和解決方案，是將等級保護和分級保護的安全技術要求割裂開來，分別尋找相應的技術方法，再進行簡單的技術堆疊，由于信任鏈斷裂，信任關系無法進行有效的傳遞，彼此孤立的安全手段無法形成合力，無法對信息內容本身進行有效的防護。我國基礎信息網絡和重要信息系統的多數核心軟、硬件設備和高端服務仍嚴重依賴于國外，存在不同程度的安全漏洞和隱患。
3 集中管控是網絡環境下保密管理的最佳實踐
信息化日益深入，人們對網絡的依賴性不斷增加，安全邊界不斷擴大，各種應用層出不窮。傳統安全防護已無法應對新的安全挑戰，應用層和內容層的安全管控成為信息防泄露的有效手段。實踐證明，對于應用和數據的集中管控，成為保密管理的發展趨勢。
3．1集中管控定義
集中管控，是指在網絡環境下，通過對數據及應用的集中管理和控制，達到對涉密電子信息的全生命周期保護，防止涉密信息泄露（見圖1）。
圖1 集中管控
集中管控具有如下幾層含義。
（1）管控目標：涉密電子信息的全生命周期防護，防止泄密。
（2）管控對象：數據和應用。電子信息的數據和應用分離，涉密信息保護不僅要保護數據，還必須保護相關應用。依據ISO／IEC27034應用安全指南，應用指的是應用軟件或應用系統。
（3）管控方式：“集中”相對于“分散”，將原來分散在各處、各個終端、個人手中的秘密集中起來，統一管控。涉密信息使用受控，輸出受控。
（4）管控效果：全生命周期防護，涉密信息產生、編輯、保存、傳輸、交換、使用、銷毀等整個過程。
3．2集中管控的實現
傳統的組織信息系統的部署情況是，各終端圍繞著中心服務器分散部署，終端及服務器上均部署資源（資源是指各種業務應用及數據）。個人終端上部署各種業務應用，保存個人文件，并可設置共享文件夾，通過網絡共享給全部或部分組織成員。終端包括臺式機、便攜電腦、PDA等。終端上存在各種涉密信息，終端成為組織安全邊界。如圖2所示。
集中管控，是為了保護涉密信息，其仍然服務于組織整體業務發展。從分散管理到集中管控，首先通過“平移”，將原來在終端上進行的各種業務操作平移到后臺服務器端，其次通過安全策略的配置，實現安全操作。
集中管控將原來分散在各個終端上的涉密信息，以及處理涉密信息的應用，集中到后臺服務器上統一管理，涉密邊界從終端收縮至服務器，有效降低終端防護壓力。將網絡劃分為資源區、用戶區、中間區，通過專用網絡隔離與接入設備進行隔離。資源區（服務器端）集中部署數據和應用，數據的存儲和計算均在服務器端集中進行；終端遠程虛擬訪問服務器，實現人機交互，終端上沒有涉密信息保存；數據輸出（輸入）嚴格受控，打印、刻錄、U盤、掃描等受限可控。通過對涉密部位重點防護，并嚴格控制涉密信息向外流向，有效管控涉密信息，并降低總體防護成本。如圖3所示。
圖3 集中管控示意圖
3．3集中管控與基于大型主機的集中計算的區別
計算機系統是由集中計算發展到分布計算，再由分布計算上升到集中計算和管理，這是一種否定之否定的辨證過程。集中管控由集中存儲、集中計算、集中管理三個層次組成，不同于20世紀六七十年代的基于大型主機的集中式計算。
上世紀的集中式計算及主機模式，由大型機和多個與之相連的啞終端組成。當時的計算模式為主機／終端模式（即集中計算模式），運行在主機系統上的Unix操作系統是一個多用戶、多任務和多進程的操作系統，用戶終端僅僅是一個輸入／輸出接口。由于物理設備的限制，采用這種計算模式的所有計算數據和程序都只能位于主機系統上，從而形成典型的“集中存儲、集中計算”模式。
集中管控下的集中計算，是在傳統的客戶機／服務器模式中插入中間層服務器。客戶機只完成基本的顯示、輸入和輸出，或者一些簡單的事務處理；中間層服務器完成原來由客戶機所進行的數據前后處理工作，并負責為其前臺的客戶機提供顯示服務，同時與后臺的一個或多個數據庫服務器（應用服務器）進行大量的數據傳遞。由此，客戶機將不再涉密，將其從安全防護壓力與運維壓力下解脫出來。徹底改變“臺臺都是涉密機，人人都是機要員”的狀況。
隨著信息技術及計算設備的快速發展，在螺旋式的上升中集中計算技術日趨走向成熟。目前，集中計算技術已經廣泛應用到虛擬計算領域以及云服務領域。基于集中計算的集中管控模式，必將成為保密管理的必然趨勢。
3．4集中管控的好處
通過集中存儲、集中計算、加密保護、授權使用、精確控制、全程審計等技術手段，實現涉密信息集中管控，具有如下優點。
（1）涉密信息集中管控，可對組織內涉密情況全局把握，涉密信息有多少、在哪里、誰看過、誰帶出過等均可控可查，從而保證秘密信息使用的合規性和受控性。
（2）終端不存密，個人不留密，切實做到秘密知悉范圍最小。極大縮小涉密范圍，減少泄密路徑，達到并超越“紙質密”保護效果。
（3）主動防護。事前控制，事中預警，事后審計。對涉密信息進行全生命周期防護，一旦發生泄密事件，責任可追溯。
（4）降低管理成本。由分散管理到集中管理，管理目標明確，維護、管理成本降低。
（5）與云安全一脈相承，具有良好的擴展性。
3．5集中管控面臨的問題
基于集中計算的集中管控，本質上是一種“私有云”架構，顛覆了傳統終端管理、網絡管理等保密管理思想，改變了人們長期以來個人擁有、終端計算的思維及使用習慣。同時面臨如下問題：
（1）數據批量失泄密問題；
（2）對于現實管理架構的遵從問題；
（3）集中的數據有效使用、共享、檢索等問題；
（4）單點故障、性能瓶頸等問題。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：集中管控是ERP保密管理的最佳實踐
相關文章
