李瑾林等

摘 要：長(zhǎng)期以來(lái)，企業(yè)大多通過(guò)封USB口、斷網(wǎng)、拆光驅(qū)等“堵”的方式來(lái)保護(hù)企業(yè)機(jī)密文檔不被泄漏，但實(shí)際上這些方式仍然存在極大的安全隱患，這是因?yàn)槲募旧砣匀皇且悦魑男问酱嬖?，員工通過(guò)紅外藍(lán)牙、外接移動(dòng)設(shè)備（如平板電腦）、安裝轉(zhuǎn)接口設(shè)備、拆硬盤等手段就能輕松將文件帶走！如何更有效地保護(hù)企業(yè)的機(jī)密文件成了公司管理的一大難題，為了讓您更好的認(rèn)識(shí)企業(yè)數(shù)據(jù)保護(hù)的重要性，以及如何保護(hù)企業(yè)核心數(shù)據(jù)，避免數(shù)據(jù)泄漏事件的發(fā)生，該文將對(duì)數(shù)據(jù)防泄密技術(shù)進(jìn)行舉例介紹，希望可以借助該文讓您尋找到適合于您企業(yè)的數(shù)據(jù)保護(hù)方法。

關(guān)鍵詞：數(shù)據(jù)流失防護(hù)DLP 安全審計(jì) 終端監(jiān)控 文件加密權(quán)限 透明加密

中圖分類號(hào)：TM73 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1672-3791（2015）03（c）-0019-02

對(duì)于電力行業(yè)而言，來(lái)自外部的威脅，如病毒、木馬、網(wǎng)絡(luò)攻擊等往往還不是特別重要的，來(lái)自內(nèi)部的數(shù)據(jù)泄露才是我們更應(yīng)該關(guān)注的問(wèn)題。即使再小的公司，也會(huì)存在數(shù)據(jù)泄露的風(fēng)險(xiǎn)和隱患。然而一旦發(fā)生，將會(huì)讓公司面臨安全、財(cái)產(chǎn)、知識(shí)產(chǎn)權(quán)、隱私、法律等諸多方面威脅。據(jù)統(tǒng)計(jì)，大部分的數(shù)據(jù)泄露都是員工無(wú)意識(shí)的行為，但也存在員工有意泄露的情況。

當(dāng)發(fā)生數(shù)據(jù)泄密時(shí)，在安全專家忙于恢復(fù)敏感數(shù)據(jù)和修補(bǔ)泄密漏洞期間，企業(yè)的時(shí)間、資金和聲譽(yù)都會(huì)遭受到嚴(yán)重的威脅。安全專家總處于一場(chǎng)沒(méi)有終點(diǎn)的戰(zhàn)爭(zhēng)中：當(dāng)原來(lái)的泄密漏洞剛剛得到控制，新的數(shù)據(jù)泄密情況卻又伴隨著其他眾多設(shè)備的使用而頻繁出現(xiàn)。

（1）泄密其實(shí)很容易。

每400封郵件中就有1封包含敏感信息。每50份通過(guò)網(wǎng)絡(luò)傳輸?shù)奈募芯陀?份包含敏感數(shù)據(jù)。每2個(gè)USB盤中就有一個(gè)包含敏感信息。

（2）泄密的損失超乎想象。

全球有80%的企業(yè)存在著信息泄漏的風(fēng)險(xiǎn)。在發(fā)達(dá)國(guó)家，泄漏一條客戶信息帶來(lái)的損失高達(dá)200美金。

（3）泄密防護(hù)迫在眉睫。

在所有被調(diào)查的公司中，進(jìn)行常規(guī)性安全檢查的公司不到50%，而采取技術(shù)措施進(jìn)行控制的公司只有30%，國(guó)內(nèi)的比例更低。在泄密事件的調(diào)查統(tǒng)計(jì)中，有96%是因?yàn)榱鞒倘毕莺蛢?nèi)部員工的無(wú)意識(shí)泄密所致。

1 敏感信息主要泄密的途徑

針對(duì)計(jì)算機(jī)敏感信息保護(hù)工作對(duì)于電力行業(yè)依然是嚴(yán)峻挑戰(zhàn)，特別是對(duì)于電子文檔、資料、合同、方案、核心配置信息等容易泄露和被竊取，這些在業(yè)務(wù)經(jīng)營(yíng)過(guò)程中掌握或知悉的內(nèi)幕信息以及尚未公開的信息，他們大都是以電子形式存儲(chǔ)，一擔(dān)泄漏可能對(duì)投資決策產(chǎn)生重大影響。為了更好的防護(hù)電網(wǎng)的敏感信息不被泄露，下面簡(jiǎn)單介紹一下當(dāng)前主要泄密行為和途徑。

2 主要泄密行為

（1）無(wú)意泄密。如不知道磁盤或移動(dòng)硬盤上剩磁是可以還原并提取的，將以往存儲(chǔ)過(guò)機(jī)密信息的磁盤流出或報(bào)廢前不作任何技術(shù)處理，因而造成泄密。不知道連接互聯(lián)網(wǎng)的計(jì)算機(jī)，極易造成本地磁盤數(shù)據(jù)和文件被黑客竊取，網(wǎng)絡(luò)管理者并沒(méi)有高安全意識(shí)。違反規(guī)定把用于處理秘密信息的計(jì)算機(jī)，同時(shí)作為上INTERNET的機(jī)器。使用INTERNET傳遞國(guó)家秘密信息等。

（2）故意泄密。情報(bào)機(jī)構(gòu)通常會(huì)采用金錢、社情等手段引誘和收買內(nèi)部人員，竊取內(nèi)部秘密信息并傳遞出去。特別是對(duì)于容易接觸機(jī)密數(shù)據(jù)的程序員、系統(tǒng)管理員，一旦被策反，就可以很容易得到計(jì)算機(jī)系統(tǒng)軟件保密措施，獲得使用計(jì)算機(jī)的口令或密鑰，從而打入計(jì)算機(jī)網(wǎng)絡(luò)，竊取信息系統(tǒng)、數(shù)據(jù)庫(kù)內(nèi)的重要秘密；操作員被收買，就可以把計(jì)算機(jī)保密系統(tǒng)的文件、資料向外提供。維修人員被威脅引誘，就可利用維修計(jì)算機(jī)或接近計(jì)算機(jī)終端的機(jī)會(huì)，更改程序，裝置竊聽器、后門、木馬等。

3 常見數(shù)據(jù)防泄密技術(shù)

目前對(duì)于主流的防泄密技術(shù)，有兩種典型思路。一種是采取強(qiáng)控制，另一種是采取強(qiáng)檢查。而在區(qū)分信息機(jī)密性時(shí)，也有兩種主流方法。一種是基于信息載體上的權(quán)限，另一種是基于信息的內(nèi)容。常見的產(chǎn)品有安全審計(jì)技術(shù)、終端監(jiān)控技術(shù)、文件加密權(quán)限技術(shù)、透明加密技術(shù)。以下我們將分別討論各項(xiàng)防泄密技術(shù)的特點(diǎn)。

3.1 安全審計(jì)和終端監(jiān)控技術(shù)

網(wǎng)絡(luò)終端監(jiān)控通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)對(duì)分布在網(wǎng)絡(luò)上的計(jì)算機(jī)實(shí)現(xiàn)遠(yuǎn)程監(jiān)控管理工作。這種監(jiān)控管理是通過(guò)對(duì)基于網(wǎng)絡(luò)通訊的標(biāo)準(zhǔn)通訊協(xié)議和對(duì)目標(biāo)主機(jī)的準(zhǔn)確控制來(lái)實(shí)現(xiàn)的。網(wǎng)絡(luò)監(jiān)控管理就是建立在現(xiàn)代的計(jì)算機(jī)技術(shù)、通信技術(shù)、控制技術(shù)以及圖形技術(shù)上的一個(gè)新的應(yīng)用。它采用多元的信息傳輸監(jiān)控管理和一體化的集成，實(shí)現(xiàn)了消息、資源和任務(wù)的共享，達(dá)到了監(jiān)控的實(shí)時(shí)、快速和有效，并能夠跟其他的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)互聯(lián)，向用戶提供了一個(gè)更高效更全面更安全更快捷的服務(wù)方式，它改變了傳統(tǒng)的監(jiān)控模式。網(wǎng)絡(luò)終端監(jiān)控軟件可以監(jiān)控到目標(biāo)計(jì)算機(jī)的網(wǎng)絡(luò)通訊、文件操作、屏幕顯示、進(jìn)程活動(dòng)等各種內(nèi)容。

3.2 文檔加密權(quán)限管理技術(shù)

文檔權(quán)限管理系統(tǒng)一般通過(guò)一個(gè)集中的權(quán)限管理中心，對(duì)每一個(gè)文檔的訪問(wèn)權(quán)限進(jìn)行控制。文檔作者設(shè)置可以訪問(wèn)該文檔的用戶和操作權(quán)限，然后發(fā)布到服務(wù)器。用戶訪問(wèn)文件時(shí)，通過(guò)服務(wù)器獲得相關(guān)的權(quán)限后解密文檔使用。

3.3 透明加密技術(shù)

透明加密系統(tǒng)的核心工作在操作系統(tǒng)的核心態(tài)的文件過(guò)濾驅(qū)動(dòng)層，它實(shí)時(shí)加密寫入文件系統(tǒng)的文件，實(shí)時(shí)解密從文件系統(tǒng)讀出的文件。透明加密系統(tǒng)的工作原理就是修改系統(tǒng)對(duì)文件操作的接口。對(duì)于運(yùn)行在操作系統(tǒng)上的應(yīng)用程序而言，它們的操作都是需要依賴操作系統(tǒng)底層內(nèi)核驅(qū)動(dòng)實(shí)現(xiàn)的。只有內(nèi)核驅(qū)動(dòng)才是真正和底層設(shè)備打交道的。內(nèi)核會(huì)提供給應(yīng)用程序一個(gè)開發(fā)的讀寫操作接口。應(yīng)用程序只需要調(diào)用這個(gè)接口來(lái)完成讀寫操作就可以了。如果修改了這個(gè)讀寫操作的內(nèi)核驅(qū)動(dòng)的實(shí)現(xiàn)，就會(huì)改變所有的應(yīng)用程序的讀寫行為。

4 電網(wǎng)當(dāng)前需要解決的問(wèn)題

對(duì)于敏感信息的安全防護(hù)應(yīng)該分步實(shí)施，先是敏感信息的識(shí)別與使用流程的規(guī)范化；然后是建立敏感信息的隔離墻制度。對(duì)于國(guó)家電網(wǎng)來(lái)說(shuō)不僅需要解決關(guān)鍵業(yè)務(wù)崗位人員和IT運(yùn)維人員的安全意識(shí)培養(yǎng)，更重要的是公司內(nèi)部所有終端使用者的安全意識(shí)教育和關(guān)鍵服務(wù)器的數(shù)據(jù)的安全，避免內(nèi)部非關(guān)鍵崗位員工的越權(quán)訪問(wèn)造成泄密。對(duì)于電力行業(yè)而言，最為首要的任務(wù)是識(shí)別出敏感信息并制定流程，建立全公司的敏感信息隔離制定，要實(shí)現(xiàn)以上任務(wù)需要解決以下面臨的問(wèn)題：目前我們雖然已經(jīng)開始著手敏感信息的防護(hù)工作，但是也依然面臨很多問(wèn)題，特別是歷史和當(dāng)前的敏感信息所在位置及分布范圍還不能全面定位。例如：部署合規(guī)管理系統(tǒng)前的文檔，另外，還有合規(guī)系統(tǒng)最近導(dǎo)出流轉(zhuǎn)的文檔。

目前電網(wǎng)對(duì)于敏感信息的網(wǎng)絡(luò)傳輸行為還沒(méi)有建立完善的隔離制定，特別是如今多樣的網(wǎng)絡(luò)傳輸方式，如：HTTP、FTP、郵件、云技術(shù)、即時(shí)通訊等。合規(guī)管理系統(tǒng)導(dǎo)出的文件是存儲(chǔ)在端點(diǎn)的機(jī)器上，每臺(tái)機(jī)器使用者的打印、傳真、復(fù)制粘貼行為還沒(méi)有任何防護(hù)措施。因某些存儲(chǔ)系統(tǒng)和業(yè)務(wù)應(yīng)用的特殊性還沒(méi)有進(jìn)行有效的安全防護(hù)，例如文件服務(wù)器上的共享文檔、數(shù)據(jù)庫(kù)、協(xié)作平臺(tái)數(shù)據(jù)等。

5 三重防護(hù)思路

對(duì)于數(shù)據(jù)的保護(hù)，我們應(yīng)該從三個(gè)層面分析，既數(shù)據(jù)最容易遭到泄露的途徑，為實(shí)現(xiàn)電網(wǎng)對(duì)敏感信息防護(hù)的嚴(yán)格要求，我們必須采用全方位立體防護(hù)策略，做到從終端到網(wǎng)絡(luò)再到后端存儲(chǔ)提供全面的數(shù)據(jù)防護(hù)技術(shù)。

為解決數(shù)據(jù)通過(guò)網(wǎng)絡(luò)傳輸方式泄密，我們提出網(wǎng)絡(luò)DLP（數(shù)據(jù)流失防護(hù)）技術(shù)，它作用于網(wǎng)絡(luò)的核心出口處，對(duì)所有離開網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行掃描，檢查其中是否含有敏感信息。網(wǎng)絡(luò)DLP技術(shù)能夠做到對(duì)HTTP/FTP通信、即時(shí)通信工具、郵件等作為傳輸協(xié)議的數(shù)據(jù)文件進(jìn)行識(shí)別和攔截，防止敏感信息流出，對(duì)應(yīng)如圖1所示。

終端是最為容易產(chǎn)生數(shù)據(jù)泄密的節(jié)點(diǎn)，我們采用端點(diǎn)DLP技術(shù)能夠保證數(shù)據(jù)安全在端點(diǎn)（特別是筆記本和臺(tái)式機(jī)）上對(duì)敏感數(shù)據(jù)安全提供全方位的控制能力。通過(guò)掃描端點(diǎn)上已保存的保密數(shù)據(jù)，監(jiān)視和攔截離開終端的保密數(shù)據(jù)。我們還可以通過(guò)預(yù)定義策略，一旦終端即將發(fā)生泄密行為，立即在屏幕上顯示彈出通知，告知最終用戶所做操作違反公司策略，對(duì)應(yīng)如圖2所示。

企業(yè)存儲(chǔ)、備份、數(shù)據(jù)庫(kù)系統(tǒng)作為數(shù)據(jù)存儲(chǔ)的后端，保存有大量敏感信息，存儲(chǔ)DLP技術(shù)能夠識(shí)別文件服務(wù)器、數(shù)據(jù)庫(kù)、協(xié)作平臺(tái)、web站點(diǎn)、臺(tái)式機(jī)、筆記本和其它數(shù)據(jù)存儲(chǔ)庫(kù)中泄露或駐留的敏感數(shù)據(jù)。然后可以將泄露的敏感數(shù)據(jù)自動(dòng)重新定位或復(fù)制到一個(gè)安全位置。解決當(dāng)今企業(yè)在存儲(chǔ)數(shù)據(jù)時(shí)面臨的一些重大挑戰(zhàn)，包括法規(guī)遵從性、風(fēng)險(xiǎn)降低、數(shù)據(jù)分類、數(shù)據(jù)保留和電子發(fā)現(xiàn)集等，對(duì)應(yīng)如圖3所示。

6 結(jié)語(yǔ)

通過(guò)該方案對(duì)敏感數(shù)據(jù)及業(yè)務(wù)系統(tǒng)現(xiàn)有的數(shù)據(jù)泄漏風(fēng)險(xiǎn)進(jìn)行管控，加強(qiáng)數(shù)據(jù)產(chǎn)生源頭、使用過(guò)程、對(duì)外發(fā)布整體的防護(hù)，為企業(yè)核心數(shù)據(jù)的安全提供保障，圍繞數(shù)據(jù)全生命周期安全，縱深防御強(qiáng)化敏感數(shù)據(jù)安全防護(hù)，基于敏感數(shù)據(jù)流向分析，方案實(shí)現(xiàn)數(shù)據(jù)流到哪里，保護(hù)就執(zhí)行到哪里，為企業(yè)關(guān)鍵應(yīng)用系統(tǒng)的數(shù)據(jù)安全提供平臺(tái)化保障，數(shù)據(jù)保護(hù)實(shí)現(xiàn)從網(wǎng)絡(luò)、終端電腦到存儲(chǔ)的三重保護(hù)。

參考文獻(xiàn)

[1] DL/Z981-2005/IECTR6210.2003電力系統(tǒng)控制及其通信數(shù)據(jù)和通信安全[S].

[2] 李碩.電子文檔防泄密軟件的設(shè)計(jì)與實(shí)現(xiàn)[D].上海：上海交通大學(xué)，2008.

[3] 劉功堅(jiān).基于文檔保護(hù)的數(shù)字權(quán)限管理系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)[D].濟(jì)南：山東大學(xué)，2008.