教你如何進行數(shù)據(jù)安全綜合防護(圖)
隨著計算機應(yīng)用的普及，計算機數(shù)據(jù)安全問題成為了日益突出的問題，特別是在網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)的安全問題不僅涉及到系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)遭到邏輯級別或物理級別的損壞威脅，而且涉及到敏感數(shù)據(jù)通過網(wǎng)絡(luò)泄漏的威脅。如何保護計算機數(shù)據(jù)安全已經(jīng)是重大的戰(zhàn)略問題。
從目前來看，對計算機數(shù)據(jù)安全構(gòu)成威脅的主要來源有：
1. 用戶誤操作引起的數(shù)據(jù)丟失、系統(tǒng)崩潰等。
2. 病毒等惡意程序?qū)?shù)據(jù)的破壞。
3. 敏感數(shù)據(jù)(如財務(wù)報表等)和各種賬號(如郵箱賬號和密碼；網(wǎng)上銀行的賬號和密碼、網(wǎng)上股票交易的賬號和密碼等)的安全。
這些問題的完整解決需要多個部分的配合，是目前單純的殺毒軟件、防火墻或其它數(shù)據(jù)防護產(chǎn)品難以勝任的，因此迫切需要研發(fā)一種具有綜合防護能力的計算機數(shù)據(jù)安全系統(tǒng)。
一、數(shù)據(jù)保護的基本原理
對于數(shù)據(jù)的保護，本質(zhì)上是通過數(shù)據(jù)冗余方式來實現(xiàn)的，但不同的保護算法，產(chǎn)生的數(shù)據(jù)冗余程度會有很大的差別，如基于文件的備份方式，如果不使用壓縮算法，文件的每個備份就會額外需要和原文件相同大小的存儲空間。
在現(xiàn)代操作系統(tǒng)中，數(shù)據(jù)的邏輯存儲方式是以文件形式進行組織和存放的，文件在存儲介質(zhì)上的組織和結(jié)構(gòu)依賴于具體的文件系統(tǒng)，不同的文件系統(tǒng)在存儲介質(zhì)上的組織和結(jié)構(gòu)會有不同的形式。
在計算機中，數(shù)據(jù)的訪問方式主要以文件的形式進行，但也可繞過文件系統(tǒng)直接存取存儲介質(zhì)上的數(shù)據(jù)，其具體結(jié)構(gòu)參見圖1。
 |
| 圖1 |
計算機中數(shù)據(jù)的組織和存放形式?jīng)Q定了在計算機上實現(xiàn)數(shù)據(jù)保護的基本原理和方法，從實現(xiàn)的層次上，大致可以分為兩大類：
1． 基于文件級的數(shù)據(jù)保護
目前市場上主流的加密軟件多數(shù)是文件集的數(shù)據(jù)保護。以北京億賽通文檔安全管理系統(tǒng)CDG為代表。
基于文件級的數(shù)據(jù)保護，其算法的實現(xiàn)主要通過軟件進行實現(xiàn)，具體實現(xiàn)的層次一般位于文件系統(tǒng)的內(nèi)部或外部，一般以文件為單位對數(shù)據(jù)進行備份處理，參見圖2。
 |
| 圖2 |
按照對文件的不同處理方式，可進一步劃分為：
1) 文件同步備份方式
該保護方式是指在寫文件時， 同時寫兩份或以上，達到實時備份的目的，如雙機熱備份就屬于這種方式。
該方式在實現(xiàn)上一般位于文件系統(tǒng)的內(nèi)部，它的主要特點是數(shù)據(jù)的可靠性高，但實現(xiàn)的難度比大。
2) 文件異步備份方式
該保護方式是指在操作系統(tǒng)已經(jīng)完成文件的寫入后，立即或以后將文件拷貝到其它的地方將數(shù)據(jù)保存起來的方式，是最常用的數(shù)據(jù)保護方式，如同常使用的數(shù)據(jù)備份方式就屬于這種方式。
該方式在實現(xiàn)上一般位于文件系統(tǒng)的外部，它的主要特點是方便靈活，實現(xiàn)簡單。
2． 基于存儲介質(zhì)的數(shù)據(jù)保護
市場上磁盤級加密軟件，以北京億賽通磁盤全盤加密系統(tǒng)DiskSec為代表。
基于存儲介質(zhì)的數(shù)據(jù)保護，其算法的實現(xiàn)可通過純軟件或硬件實現(xiàn)，也可軟硬件結(jié)合進行實現(xiàn)，如常用的磁盤冗余陣列磁盤RAID，其實現(xiàn)方式有基于硬件的RAID卡，也有軟件實現(xiàn)的軟RAID。具體實現(xiàn)的層次一般位于存儲介質(zhì)控制器或存儲介質(zhì)驅(qū)動程序?qū)又校?nbsp; 由于在這一級別難以獲得文件的有關(guān)概念，因此其實現(xiàn)基本上均以存儲介質(zhì)的基本單位為單位進行數(shù)據(jù)備份，參見圖3。
 |
| 圖3 |
基于這一級別現(xiàn)實的算法主要有以容錯為主的RAID0－RAID5，以系統(tǒng)保護為主的磁盤雙工等。
3． 基于文件級和存儲介質(zhì)級的數(shù)據(jù)保護的主要特點
雖然不同的保護算法，會有各自不同的特點，但其實現(xiàn)的層次在很大程度上決定了其主要特點。
1) 基于文件級的數(shù)據(jù)保護
主要優(yōu)點：
方便靈活，針對性強，既可以備份特定的文件，也可以備份整個文件系統(tǒng)，數(shù)據(jù)的可靠性比較高。
主要缺點：
對于系統(tǒng)的保護較弱，在系統(tǒng)遭到透過文件系統(tǒng)的破壞操作時，難以直接恢復(fù)系統(tǒng)，占用的磁盤空間一般比較多(和具體實現(xiàn)算法有關(guān))，而且難以實現(xiàn)系統(tǒng)的快速還原。
2) 基于存儲介質(zhì)的數(shù)據(jù)保護
主要優(yōu)點：
對系統(tǒng)的保護較強，占用的磁盤空間一般比較小(和具體實現(xiàn)算法有關(guān))，容易實現(xiàn)系統(tǒng)的快速還原。
主要缺點：
數(shù)據(jù)的可靠性一般不如基于文件級的數(shù)據(jù)保護高，難以解決由于文件系統(tǒng)的邏輯損壞造成的數(shù)據(jù)丟失問題。
#p#
三、已經(jīng)實現(xiàn)的硬盤數(shù)據(jù)保護的實現(xiàn)方式和特點
1、 實現(xiàn)方式
采用基于文件和基于存儲介質(zhì)的數(shù)據(jù)保護進行綜合實現(xiàn)，充分利用各自的特點，相互取長補短，從而實現(xiàn)既能有效抵御高強度的數(shù)據(jù)破壞，并能有效地保護用戶數(shù)據(jù)的安全。
其中基于存儲介質(zhì)的數(shù)據(jù)保護算法采用數(shù)據(jù)映射方式進行實現(xiàn)，主要作用是抵御病毒、惡意程序、誤操作等引起的系統(tǒng)的損壞，在系統(tǒng)遭到嚴(yán)重破壞的情況下，保證能夠快速還原系統(tǒng)。
該算法充分利用基于存儲介質(zhì)數(shù)據(jù)保護所能實現(xiàn)的功能，其突出特點是占用磁盤空間小，保護強度高，系統(tǒng)還原速度快，對系統(tǒng)的性能影響比較小。但獲得這些性能是以犧牲用戶數(shù)據(jù)安全性為代價的，因此也決定了這種算法的致命弱點：在還原系統(tǒng)數(shù)據(jù)的同時，將用戶產(chǎn)生的有用數(shù)據(jù)也同時還原掉，從而造成用戶數(shù)據(jù)的丟失。
為了彌補這一算法的缺點并保留該算法的優(yōu)點，開發(fā)了基于文件級的數(shù)據(jù)保護算法作為該算法的姊妹算法。
基于文件級的數(shù)據(jù)保護算法采用文件同步備份算法，可根據(jù)用戶設(shè)置的數(shù)據(jù)備份策略，實時自動備份用戶保存的關(guān)鍵數(shù)據(jù)文件，提供按文件類型或目錄等多種策略設(shè)置方式。該算法的主要特點是對文件進行同步備份，對系統(tǒng)性能的影響比較小，由于用戶產(chǎn)生的數(shù)據(jù)量一般比較少，因此其額外占用磁盤空間比較少。
2、 主要特點
由于采用文件級和磁盤級相互配合的實現(xiàn)方式，因此該數(shù)據(jù)保護方法兼有文件級和磁盤級數(shù)據(jù)保護的優(yōu)點，并且克服了兩種保護方式中的缺點。
1) 能有效地保護系統(tǒng)文件和用戶數(shù)據(jù)文件。
2) 可防止各種方式對硬盤數(shù)據(jù)的破壞，對于格式化硬盤和各種病毒的攻擊以及人為的破壞等均能有效防范。
3) 保護方式多樣，可隨意設(shè)置保護任何一個或數(shù)個希望保護的邏輯盤。
4) 可以將分區(qū)設(shè)置成只讀、隱藏等屬性，有效保護重要數(shù)據(jù)不被改寫。
5) 目前支持Windows 95/98/ME/NT/2000等常用的操作系統(tǒng)，支持FAT12/FAT16/BigDOS/FAT32/NTFS等常用的文件系統(tǒng)。
6) 額外占用硬盤空間小，數(shù)據(jù)還原速度快
7) 支持容量高達2000GB的大硬盤。
8) 支持CMOS數(shù)據(jù)的保護及還原
9) 適用于各種臺式機和筆記本電腦
四、計算機數(shù)據(jù)安全綜合防護系統(tǒng)的組成
從實現(xiàn)的角度來看，計算機數(shù)據(jù)安全綜合防護系統(tǒng)主要由圖4所示的模塊組成。其中網(wǎng)絡(luò)控制模塊和文件進程控制模塊編寫為驅(qū)動程序方式，這樣可以實現(xiàn)對系統(tǒng)的完全控制，這兩個模塊均具有行為識別和控制器雙重功能,是整個系統(tǒng)的關(guān)鍵組成部分。網(wǎng)絡(luò)的監(jiān)控過濾和程序行為的監(jiān)控過濾均在這兩個模塊中進行。其中文件進程控制模塊還承擔(dān)文件訪問控制，動態(tài)加解密、關(guān)鍵數(shù)據(jù)實時自動備份等功能。程序靜態(tài)還原模塊和程序動態(tài)還原模塊是用來消除有害程序的兩個模塊。程序結(jié)構(gòu)靜態(tài)分析模塊和程序動態(tài)分析模塊是用來掃描有害程序的兩個模塊，其中程序動態(tài)分析模塊還擔(dān)負(fù)程序的自學(xué)習(xí)功能。程序動態(tài)分析模塊和程序動態(tài)還原模塊在運行時均需要網(wǎng)絡(luò)監(jiān)控模塊和文件、進程監(jiān)控模塊的配合，這樣在萬一被分析的程序是有害程序時，其破壞行為會得到控制，不會對系統(tǒng)造成破壞。知識庫主要用來存放各種已知文件的存儲格式等靜態(tài)知識，規(guī)則庫主要存放通過人工輸入或程序自學(xué)習(xí)產(chǎn)生的各種控制規(guī)則、行為規(guī)則等，綜合庫用來存放程序用到的各種參數(shù)等。其中黑體部分是已經(jīng)實現(xiàn)完成的模塊。
 |
| 圖4 計算機數(shù)據(jù)安全綜合防護系統(tǒng)的組成模塊 |
【編輯推薦】
