【51CTO.com 綜合消息】一些含有重要敏感數(shù)據(jù)的單位內(nèi)網(wǎng)，他們的計(jì)算機(jī)終端在安全管理上面臨哪些威脅？如何應(yīng)對(duì)這些威脅，做好信息化管理和數(shù)據(jù)防泄露的具體工作，鼎普科技在這方面做了細(xì)致的研究與分析，提出了一套自己的綜合防護(hù)管理方案。

1 內(nèi)網(wǎng)的安全威脅與防護(hù)分析

一般而言，內(nèi)網(wǎng)安全威脅的主要來(lái)源有：惡意人員、軟硬件故障、惡意代碼和病毒、越權(quán)或?yàn)E用、物理攻擊、網(wǎng)絡(luò)攻擊、篡改、惡意行為、無(wú)意行為等多個(gè)方面；而信息泄露的途徑無(wú)外乎就是一些主要的點(diǎn)，如網(wǎng)絡(luò)途徑，存儲(chǔ)途徑，端口外設(shè)途徑、打印途徑、電磁發(fā)射途徑等。從信息系統(tǒng)安全基本要素的角度看，“網(wǎng)絡(luò)安全、主機(jī)安全、介質(zhì)安全、數(shù)據(jù)與應(yīng)用安全、網(wǎng)絡(luò)安全隔離與信息交換”等5個(gè)方面對(duì)終端的安全管理產(chǎn)生著巨大影響。

實(shí)際上，從另外一個(gè)角度看，計(jì)算機(jī)終端在安全管理和信息防泄漏方面面臨著一些更直接的基本問(wèn)題和挑戰(zhàn)：如領(lǐng)導(dǎo)的意識(shí)，單位重視程度，或者經(jīng)濟(jì)、預(yù)算狀況不是很好，網(wǎng)絡(luò)信息的規(guī)模及其復(fù)雜程度；無(wú)法確保部署的防護(hù)軟件不被隨意卸載或者繞過(guò)，新的泄密途徑層出不窮；還有國(guó)家政策、行業(yè)標(biāo)準(zhǔn)的推出是否得到及時(shí)跟進(jìn)等等。

終端面臨著來(lái)自多個(gè)方面、不同層次的安全威脅，如何做好內(nèi)網(wǎng)終端的安全防護(hù)與防信息泄露管理，這將是內(nèi)網(wǎng)安全研究領(lǐng)域共同關(guān)注的問(wèn)題，圖1為鼎普科技提出的內(nèi)網(wǎng)安全防護(hù)的理念架構(gòu)圖。

 
圖1 基本防護(hù)路線

在這個(gè)架構(gòu)圖中，有國(guó)際上的ISO/IEC 2007等指導(dǎo)性標(biāo)準(zhǔn)，有國(guó)內(nèi)針對(duì)涉密、非涉密系統(tǒng)的分級(jí)保護(hù)和等級(jí)保護(hù)兩大領(lǐng)域的一系列標(biāo)準(zhǔn)，它們都是內(nèi)網(wǎng)安全策略制定的一些依據(jù)或借鑒。有了這些依據(jù)或標(biāo)準(zhǔn)，我們就要采取相應(yīng)的技術(shù)手段進(jìn)行防護(hù)了。然而，并非采取了防護(hù)手段，系統(tǒng)就一定安全，還要看系統(tǒng)采取的防護(hù)是否足夠到位，這就需要一種途徑或者方式來(lái)檢驗(yàn)，我們稱之為自我的檢測(cè)和評(píng)估，這里面就會(huì)有風(fēng)險(xiǎn)評(píng)估的工具、掃描、檢測(cè)和計(jì)算機(jī)安全性檢查等等。另外就是管理的問(wèn)題，一般無(wú)外乎兩種手段，一個(gè)是人的管理，另一個(gè)是技術(shù)的管理。兩種管理都需要相應(yīng)的機(jī)構(gòu)和制度，然后由人員來(lái)制定相關(guān)的策略，并去切實(shí)的執(zhí)行。
#p#

2 鼎普的內(nèi)網(wǎng)安全防護(hù)體系

鼎普科技作為內(nèi)網(wǎng)安全領(lǐng)域的專家，經(jīng)過(guò)多年的產(chǎn)品研發(fā)、市場(chǎng)探索和政策研究，在終端的安全與防泄漏管理上提出了一套完整的防護(hù)體系和理念。圖2、圖3分別列出了鼎普的TIPS安全防護(hù)平臺(tái)和TIPS安全檢查平臺(tái)。
 

圖2  TIPS安全防護(hù)平臺(tái)

圖3  TIPS安全檢查平臺(tái)

由圖2可以看出，TIPS安全防護(hù)平臺(tái)建立了四級(jí)的防護(hù)體系：首先就是以硬件級(jí)防護(hù)為基礎(chǔ)，建立可信可控的信息系統(tǒng)；其次，建立四級(jí)可信認(rèn)證機(jī)制的縱深防御體系；接著是實(shí)現(xiàn)身份鑒別、介質(zhì)管理、數(shù)據(jù)保護(hù)、安全審計(jì)、實(shí)時(shí)監(jiān)控等一系列基本防護(hù)要求；最后，安全性、管理性并重，系統(tǒng)既突出安全性，更注重可管理性。同時(shí)，為實(shí)現(xiàn)對(duì)終端的安全管理，鼎普科技為用戶提供了一系列技術(shù)手段，幫助他們建立一個(gè)自檢平臺(tái)，如圖3所示，從單機(jī)、網(wǎng)絡(luò)行為、網(wǎng)絡(luò)環(huán)境三個(gè)層面進(jìn)行一系列安全性檢查、評(píng)估。尤其重視了當(dāng)前對(duì)計(jì)算機(jī)終端安全威脅極為嚴(yán)重的木馬檢測(cè)——通過(guò)靜態(tài)、動(dòng)態(tài)檢測(cè)方式的密切配合，準(zhǔn)確識(shí)別已知和未知的木馬，監(jiān)測(cè)木馬的行為，并給出一個(gè)關(guān)于木馬的風(fēng)險(xiǎn)等級(jí)評(píng)估。

為構(gòu)建上述“TIPS安全防護(hù)體系”，實(shí)現(xiàn)對(duì)終端的安全和防泄漏管理，鼎普科技以“Information”為出發(fā)點(diǎn)，充分考慮四個(gè)要素——機(jī)密性、可用性、完整性、可審計(jì)性?；旧希@四大屬性的實(shí)現(xiàn)可以覆蓋95%以上的信息系統(tǒng)安全。

進(jìn)一步，以“信息四要素”為核心，以“Information”為主體，從業(yè)務(wù)和管理應(yīng)用角度出發(fā)，若實(shí)現(xiàn)對(duì)終端的安全和防泄漏管理，就必須實(shí)現(xiàn)——啟用硬件資源可信、進(jìn)入操作系統(tǒng)可信、進(jìn)入網(wǎng)絡(luò)可信、系統(tǒng)運(yùn)行環(huán)境健康可信、運(yùn)行程序健康可信、系統(tǒng)運(yùn)行環(huán)境容災(zāi)備份恢復(fù)、強(qiáng)制敏感文件安全存儲(chǔ)并自動(dòng)備份恢復(fù)、文件操作/網(wǎng)絡(luò)連接行為實(shí)時(shí)監(jiān)控、事中/事后的行為追查審計(jì)，同時(shí)所有這些都必須在統(tǒng)一的安全管理平臺(tái)下實(shí)現(xiàn)。
#p#

3 鼎普內(nèi)網(wǎng)安全防護(hù)體系的實(shí)現(xiàn)途徑

回顧現(xiàn)有的安全防護(hù)系統(tǒng)，其安全性基本上完全取決于操作系統(tǒng)本身。而操作系統(tǒng)本身的安全性眾所周知——以歐美為主流，安全性不言而喻。如果把安全建立在他們的基礎(chǔ)之上，這種設(shè)想恐怕不容樂(lè)觀。

操作系統(tǒng)安全的“硬”保障

鼎普科技從硬件做起，實(shí)現(xiàn)安全防護(hù)中的“硬道理”——基于《PCI局部總線規(guī)范》在最底層實(shí)現(xiàn)對(duì)計(jì)算機(jī)終端進(jìn)行物理安全加固。基于這一思想設(shè)計(jì)的以PCI適配卡為載體的“鼎普計(jì)算機(jī)安全防護(hù)卡”自身安全性不依賴于任何操作系統(tǒng)或軟件，實(shí)現(xiàn)了強(qiáng)制終端從硬盤啟動(dòng)，杜絕從光盤啟動(dòng)，防止隨意重裝操作系統(tǒng)；并且實(shí)現(xiàn)了基于BIOS最底層的硬件級(jí)登錄認(rèn)證；對(duì)包括操作系統(tǒng)在內(nèi)的所有硬盤數(shù)據(jù)實(shí)施芯片級(jí)的全盤數(shù)據(jù)保護(hù)，但保護(hù)對(duì)用戶完全透明，即使硬盤丟失，數(shù)據(jù)也不可能被恢復(fù)。同時(shí)對(duì)終端操作系統(tǒng)上安裝的其他安全防護(hù)軟件也進(jìn)行了安全加固，防止被繞過(guò)、刪除、格式化等一系列操作導(dǎo)致的防護(hù)失效。更為突出的是，由于其獨(dú)特的技術(shù)路線實(shí)現(xiàn)了對(duì)所有硬件平臺(tái)和操作系統(tǒng)的兼容，可以實(shí)現(xiàn)對(duì)除WINDOWS之外的其他操作系統(tǒng)平臺(tái)進(jìn)行同樣的安全保護(hù)。

此后要考慮的事情就是實(shí)現(xiàn)登錄操作系統(tǒng)的可信可控——就是計(jì)算機(jī)硬件啟動(dòng)之后，是否有權(quán)限進(jìn)一步登陸操作系統(tǒng)，以及可以進(jìn)行什么權(quán)限的文件操作，文件如何安全存放。如果計(jì)算機(jī)終端發(fā)生系統(tǒng)災(zāi)難，如何進(jìn)行系統(tǒng)備份和災(zāi)難恢復(fù)。

內(nèi)網(wǎng)接入的健康可控

在確保了終端安全的前提下，就要考慮實(shí)現(xiàn)終端進(jìn)入網(wǎng)絡(luò)的健康、可信、可控——只有經(jīng)過(guò)授權(quán)許可的“可信、可控、健康”計(jì)算機(jī)才允許接入到內(nèi)網(wǎng)，并對(duì)入網(wǎng)計(jì)算機(jī)終端的運(yùn)行、健康狀態(tài)進(jìn)行實(shí)時(shí)監(jiān)控，通過(guò)創(chuàng)新的技術(shù)及理念打造出一個(gè)信得過(guò)、進(jìn)得來(lái)、控得住的健康可信的內(nèi)部網(wǎng)絡(luò)。且這一機(jī)制的實(shí)現(xiàn)所依賴的“唯一識(shí)別標(biāo)識(shí)”是硬件形式，不可偽造或隨意更改。接入內(nèi)網(wǎng)的終端，如果不健康，防護(hù)系統(tǒng)會(huì)采取進(jìn)一步措施，如報(bào)警、斷網(wǎng)或修補(bǔ)漏洞等。

內(nèi)網(wǎng)終端非法外聯(lián)的實(shí)時(shí)阻斷

終端進(jìn)入網(wǎng)絡(luò)后利用網(wǎng)絡(luò)進(jìn)行各種敏感操作進(jìn)而威脅終端安全的空間非常廣闊，如果不加任何限制的話。所以要對(duì)內(nèi)部網(wǎng)路行為進(jìn)行嚴(yán)密監(jiān)視，更要“控制一切非授權(quán)外部連接”——因?yàn)槲唇?jīng)授權(quán)的外部連接必然導(dǎo)致不可控的信息泄露。實(shí)時(shí)阻斷（或過(guò)濾）涉密計(jì)算機(jī)（或非密內(nèi)部終端）連接互聯(lián)網(wǎng)，敏感單機(jī)（如筆記本）與外部網(wǎng)絡(luò)或主機(jī)的連接必須可控，需經(jīng)過(guò)帶智能KEY的身份認(rèn)證或管理部門授權(quán)。

移動(dòng)存儲(chǔ)介質(zhì)的使用管理

近兩年來(lái)，根據(jù)對(duì)終端發(fā)生泄密或安全失控事件的統(tǒng)計(jì)分析，得到一個(gè)極為震撼的現(xiàn)象：不論在涉密信息系統(tǒng)，還是非涉密信息系統(tǒng)，移動(dòng)存儲(chǔ)介質(zhì)的使用管理都是導(dǎo)致信息泄露和安全管理失控的重要源頭。因此，在做終端安全管理防護(hù)架構(gòu)設(shè)計(jì)之初，鼎普科技就對(duì)移動(dòng)存儲(chǔ)介質(zhì)的管理控制做了充分考慮。

在體系中，對(duì)移動(dòng)存儲(chǔ)介質(zhì)的安全管理的核心目標(biāo)就是——防止內(nèi)外部、不同密級(jí)之間介質(zhì)的交叉使用，同時(shí)使介質(zhì)的管理集中、統(tǒng)一而高效。實(shí)現(xiàn) “一個(gè)全面、兩個(gè)運(yùn)行周期”，即全面掌控介質(zhì)使用狀態(tài)、配置信息；嚴(yán)控介質(zhì)從購(gòu)買后的注冊(cè)發(fā)放、使用、統(tǒng)一臺(tái)帳監(jiān)控、狀態(tài)查詢到收集注銷的運(yùn)行周期；嚴(yán)控介質(zhì)從插入、進(jìn)行各種操作到拔除全程進(jìn)行跟蹤記錄和實(shí)時(shí)報(bào)警的運(yùn)行周期；通過(guò)對(duì)介質(zhì)集中注冊(cè)產(chǎn)生翔實(shí)的臺(tái)帳記錄，提取生成的“介質(zhì)編號(hào)、可信ID號(hào)、硬件ID號(hào)、品牌、責(zé)任人、使用人、聯(lián)系方式、部門、密級(jí)、授權(quán)狀態(tài)、使用狀態(tài)、備注信息”等基礎(chǔ)安全參數(shù)，構(gòu)成了企業(yè)的“介質(zhì)管理查詢數(shù)據(jù)庫(kù)”，方便監(jiān)督管理部門對(duì)介質(zhì)進(jìn)行動(dòng)態(tài)跟蹤、監(jiān)控和快速的狀態(tài)查詢，掌控單位內(nèi)介質(zhì)的使用情況及狀態(tài)。

內(nèi)外部信息交互的物理保障

在移動(dòng)存儲(chǔ)介質(zhì)管理這個(gè)范疇中，內(nèi)外部信息交互的安全可控可能是終端防泄漏管理的一個(gè)重要應(yīng)用焦點(diǎn)。利用光的物理單向傳輸?shù)奶匦裕ζ湛萍奸_(kāi)發(fā)了數(shù)據(jù)單向?qū)牍芾硐到y(tǒng)，在技術(shù)上極大地防范了高安全等級(jí)信息系統(tǒng)中內(nèi)外網(wǎng)信息交互中的風(fēng)險(xiǎn)。同時(shí)使用專有技術(shù)研發(fā)的“安全移動(dòng)傳輸盤”，必要時(shí)結(jié)合介質(zhì)管理系統(tǒng)，很好的解決了介質(zhì)交叉泄密和內(nèi)外部信息安全交互、敏感信息外帶等一系列應(yīng)用型問(wèn)題。

內(nèi)網(wǎng)終端綜合一體化的防護(hù)效果

以終端主機(jī)、桌面安全為出發(fā)點(diǎn)，采用C/S、B/S結(jié)構(gòu)的體系設(shè)計(jì)，通過(guò)運(yùn)用驅(qū)動(dòng)攔截、網(wǎng)絡(luò)協(xié)議驅(qū)動(dòng)過(guò)濾、文件驅(qū)動(dòng)過(guò)濾、加密傳輸、身份認(rèn)證、訪問(wèn)控制技術(shù)等一系列技術(shù)開(kāi)發(fā)的鼎普內(nèi)網(wǎng)綜合管理系統(tǒng)，實(shí)現(xiàn)了終端一體化的安全管理防護(hù)效果，如圖4所示。
 

圖4 一體化安全管理防護(hù)效果

鼎普科技的目標(biāo)是構(gòu)建一個(gè)全面管理的安全平臺(tái)。通過(guò)提供“從終端、網(wǎng)絡(luò)到管理中心三點(diǎn)一線”的操作平臺(tái)，實(shí)現(xiàn)對(duì)主機(jī)各種泄密途徑實(shí)時(shí)控制，提供了網(wǎng)絡(luò)運(yùn)行安全、管理高效的分布式、一體化集中解決方案，如圖5所示：
 

圖5 分布式、一體化集中解決方案

信息安全是一項(xiàng)集管理和技術(shù)為一體的系統(tǒng)工程。它是以計(jì)算機(jī)網(wǎng)絡(luò)安全技術(shù)應(yīng)用為基礎(chǔ)，通過(guò)各種管理平臺(tái)和工具為手段來(lái)達(dá)到系統(tǒng)安全目的。鼎普科技將不斷研究新情況，解決新問(wèn)題，密切關(guān)注信息安全的未來(lái)走向，為業(yè)界提供更安全更可靠更切實(shí)的解決思路。