一. 概述

中國工業(yè)和信息化部今年發(fā)布數(shù)據(jù)稱，截至2013年1月底，中國電話用戶數(shù)達到14.0032億戶，其中手機用戶11.2億戶，固定電話用戶2.8億戶，二者之和已經(jīng)超過了中國大陸的人口數(shù)。

隨著手機用戶量的增加，運營商行業(yè)的客戶數(shù)據(jù)量也隨之增長。個人用戶對于數(shù)據(jù)泄露問題的意識也逐漸增強。比如大家所熟知的 3 月 15 日消費者權(quán)益日的“3.15”事件，據(jù)新聞媒體披露，某地運營商以短信形式泄露了客戶的敏感信息。另外還有第三方代維人員私自下載VIP用戶數(shù)據(jù)進行倒賣獲利。

315晚會后，運營商積極配合公安機關(guān)調(diào)查涉事單位，并且要求所有分公司自查并制定信息安全保護的法規(guī)。某運營商下屬分公司技術(shù)專家表示，“上到我們母公司，下到我們的管理人員和開式員工，我們都會非常認真地對待這一問題，我們已經(jīng)斥巨資進行數(shù)據(jù)泄露防護。”

二. DLP項目的驅(qū)動力

規(guī)避自身法律風險是運營商行業(yè)推進DLP項目最主要的驅(qū)動力。

另外，隨著一些APT攻擊持續(xù)被曝光，如何防范APT攻擊也是運營商的一項長期任務(wù)。從運營商行業(yè)泄密的案例來看，APT攻擊的對象一般是商密信息、客戶資料、VIP信息、通話、短信記錄等較容易被竊取，涉及的人員主要是第三方代維人員和有權(quán)限獲取敏感信息的內(nèi)部員工。因此建立運營商行業(yè)在APT攻擊下的數(shù)據(jù)防泄漏體系方案是緊急且重要的任務(wù)。

三. 用戶所面臨的問題

用戶雖然已有安全管理平臺實現(xiàn)對業(yè)務(wù)操作賬號管理、登陸認證、操作授權(quán)、操作內(nèi)容進行審計和管理，但是敏感信息一旦從安全管控平臺流出后，即無法實現(xiàn)對敏感信息進行有效的安全管控。

3.1 涉及到的敏感信息

1. 內(nèi)部系統(tǒng)的敏感信息主要集中在客戶的話單文件、位置信息、VIP客戶的詳細信息等;

2. 可通過內(nèi)部系統(tǒng)的數(shù)據(jù)庫獲取到相關(guān)信息;

3. 各類含用戶信息、系統(tǒng)信息、帳號口令信息的日志、配置等的導出文件(以excel文件為主)。

3.2 哪些人擁有敏感信息?

1. 訪問OA網(wǎng)絡(luò)網(wǎng)管部門員工;

2. 系統(tǒng)操作維護人員：

a) 主要是各內(nèi)部系統(tǒng)的建設(shè)廠商員工;

b) 對內(nèi)部系統(tǒng)架構(gòu)非常熟悉，對內(nèi)部系統(tǒng)的操作權(quán)限甚至比管理者高;

c) 維護人員清楚系統(tǒng)操作的死角，有能力避開管理人員的監(jiān)控獲取敏感信息或操作。

3. 現(xiàn)場開發(fā)人員;

4. 報表系統(tǒng)前端。

四. 數(shù)據(jù)防泄密需求

4.1 數(shù)據(jù)泄露風險點

1. 維護人員直接操作服務(wù)器：現(xiàn)場維護人員直接進入機房，對服務(wù)器進行訪問與操作，并將數(shù)據(jù)導出后通過U盤帶走;

2. 維護人員通過通過內(nèi)部系統(tǒng)導出數(shù)據(jù)：維護人員接入內(nèi)部系統(tǒng)后，通過客戶端管理工具訪問數(shù)據(jù)庫后，將數(shù)據(jù)導出到維護終端，并通過U盤、FTP、WEB上傳、郵件、QQ等方式將數(shù)據(jù)帶走;

3. OA人員有意或無意泄露數(shù)據(jù)：移動內(nèi)部辦公人員從運維人員處獲取數(shù)據(jù)后，通過U盤、FTP、WEB上傳、郵件、QQ等方式將數(shù)據(jù)帶走;

4. 報表系統(tǒng)前臺查詢?nèi)藛T：通過報表系統(tǒng)訪問后端數(shù)據(jù)庫，并導出查詢數(shù)據(jù)帶走;

5. 維護人員/系統(tǒng)開發(fā)人員通過前端服務(wù)器訪問后端數(shù)據(jù)：維護人員通過前端服務(wù)器(如WEB、中間件等服務(wù)器)連接數(shù)據(jù)庫服務(wù)器，將導出的數(shù)據(jù)存儲在前端服務(wù)器上，然后通過U盤、網(wǎng)絡(luò)等方式將數(shù)據(jù)帶走。系統(tǒng)開發(fā)人員對系統(tǒng)非常了解與熟悉，可能會不通過前臺直接連接后臺服務(wù)器，并導出數(shù)據(jù)帶走。

4.2 加密需求

1. 信息加解密必須是強制的;

2. 不改變用戶的使用習慣;

3. 文件的解密工作可由用戶提出，并按照內(nèi)部的工作習慣進行流程審批;

4. 轉(zhuǎn)換授權(quán)后的文檔具有使用時限、瀏覽次數(shù)等控制;

5. 在特殊情況下，計算機能夠脫離網(wǎng)絡(luò)環(huán)境使用，同時保證信息安全性;

6. 計算機離線能夠由用戶提出申請，按照內(nèi)部的工作習慣進行流程審批;

4.3 審計需求

1. 能夠?qū)λ腥藛T通過U盤、郵件、QQ、FTP、WEB上傳、WEBMAIL等方式向外部傳遞敏感信息做記錄與報警;

2. 支持對文件打印、刻錄等行為進行監(jiān)控;

3. 支持Office、純文本、PDF、html、xml等格式文件;

4. 審計記錄信息需足夠詳細可信，誤報率低，只記錄所定義的敏感文件的操作信息;

5. 支持客戶端軟件利用空閑時間掃描;

6. 終端離開網(wǎng)絡(luò)后進行的文件操作記錄，在連回網(wǎng)絡(luò)后，可將斷網(wǎng)期間的文件導入導出行為記錄傳回審計服務(wù)器，即終端離開網(wǎng)絡(luò)也不會影響操作的審計;

五. 解決方案

在4A網(wǎng)絡(luò)(以下以4A平臺為例，不同客戶可能會有不同的系統(tǒng))中天榕數(shù)據(jù)加密與審計服務(wù)器部署在4A平臺的核心交換區(qū)，通過4A平臺的網(wǎng)絡(luò)系統(tǒng)同其它各個系統(tǒng)進行連接。系統(tǒng)連接圖如下：

圖示1-系統(tǒng)連接圖

兩臺服務(wù)器分別安裝天榕數(shù)據(jù)加密模塊和天榕數(shù)據(jù)審計模塊，天榕數(shù)據(jù)加密服務(wù)器負責天榕數(shù)據(jù)加密模塊的策略的制定、數(shù)據(jù)庫、報告呈現(xiàn)等主控功能。

天榕數(shù)據(jù)審計模塊服務(wù)器負責天榕數(shù)據(jù)審計模塊的策略的制定、數(shù)據(jù)庫、報告呈現(xiàn)等主控功能，天榕數(shù)據(jù)加密與審計終端

天榕數(shù)據(jù)加密與審計終端主要實現(xiàn)對終端的加密、審計管控工作，需要在每臺終端上安裝部署。

天榕數(shù)據(jù)加密與審計終端納入4A的管理，其前臺和后臺都通過4A統(tǒng)一進行管理和登陸。

針對網(wǎng)管系統(tǒng)特殊情況，在OA網(wǎng)絡(luò)中部署一臺數(shù)據(jù)審計服務(wù)器，對所有網(wǎng)管系統(tǒng)的OA 終端進行敏感信息管控。