【 摘 要 】 數(shù)據(jù)擴(kuò)散是企業(yè)面臨的關(guān)鍵信息安全問題之一，必須采用防護(hù)機(jī)制與策略保護(hù)企業(yè)核心數(shù)據(jù)。由于數(shù)據(jù)防擴(kuò)散工作是一項(xiàng)涉及“人”、“計(jì)算機(jī)”、“數(shù)據(jù)”等多方面要素的系統(tǒng)性工程，需提出一套整體性的、針對(duì)于不同要素的防護(hù)機(jī)制與策略?；趯?duì)開展數(shù)據(jù)防擴(kuò)散工作的認(rèn)識(shí)，以將“計(jì)算機(jī)”設(shè)置為安全邊界、將“人”設(shè)定為可信人員、在安全邊界內(nèi)使用“數(shù)據(jù)”為方法，組織研發(fā)一種數(shù)據(jù)防擴(kuò)散平臺(tái)。經(jīng)在四種業(yè)務(wù)場(chǎng)景中的應(yīng)用，該平臺(tái)有效保護(hù)了業(yè)務(wù)場(chǎng)景中的數(shù)據(jù)。

【 關(guān)鍵詞 】 計(jì)算機(jī)；數(shù)據(jù)防擴(kuò)散；數(shù)據(jù)靜態(tài)存儲(chǔ)；數(shù)據(jù)動(dòng)態(tài)傳遞

Application of a Data Loss Prevention Platform in Enterprises Multi-Business Scenarios

Wang Jie

（China Petroleum Engineering Co.，Ltd Southwest Company SichuanChengdu 610041）

【 Abstract 】 Data loss is one of the vital information security issues faced by the modern company. Prevention mechanisms and policies are now undoubtedly a necessary to protect companys business-critical data. Since data loss prevention is a systematic engineering project， which normally containing multi-factors （i.e. people， computer and data）， it is important to propose an overviewed but each factor-targeted prevention mechanism with appropriate policies. According to the understanding of data prevention practices， a data loss prevention platform， which defining the computer as the secure boundary and authorizing the staff as the trusted user， proposed and implemented to utilize the data within the secure boundary. By applying the proposed platform in four business scenarios， it is shown that this platform effectively protects the business data.

【 Keywords 】 desktop computer； data loss prevention； data static storing； data dynamic transmission

1 引言

隨著信息化技術(shù)的迅猛發(fā)展，企業(yè)通過開展?jié)M足自身需求的信息化建設(shè)提升辦公手段、提高工作效率，并形成和積累了大量的過程與成果數(shù)據(jù)。這些數(shù)據(jù)被視為企業(yè)重要的無形資產(chǎn)，是企業(yè)的五大核心資源中的一項(xiàng)[1]。若數(shù)據(jù)被擴(kuò)散，不僅導(dǎo)致企業(yè)在激烈的市場(chǎng)競(jìng)爭(zhēng)中處于不利的地位，還可能對(duì)國家政治、經(jīng)濟(jì)、社會(huì)和個(gè)人造成重大影響[2]。

據(jù)統(tǒng)計(jì)，92%的數(shù)據(jù)擴(kuò)散事件可歸入九種基本模式（其中，內(nèi)部失竊約占19%，物理性損失約占16%。）[3]。為保護(hù)數(shù)據(jù)安全，企業(yè)常用技術(shù)手段為“數(shù)據(jù)加密”，但其實(shí)質(zhì)是利用密碼技術(shù)對(duì)數(shù)據(jù)進(jìn)行加密隱藏。當(dāng)加密數(shù)據(jù)被擴(kuò)散后，雖能延緩數(shù)據(jù)被使用的時(shí)間、增大數(shù)據(jù)被使用的成本，但仍存在被破解的風(fēng)險(xiǎn)[4]。而用于防止數(shù)據(jù)擴(kuò)散的系統(tǒng)（Data Leakage/Loss Prevention System）往往具備識(shí)別、監(jiān)控和保護(hù)敏感數(shù)據(jù)的能力，并可根據(jù)預(yù)先定義的安全策略檢測(cè)誤用情況[5]。常見的商用數(shù)據(jù)防擴(kuò)散系統(tǒng)包括：McAfee DLP、Check Point DLP、防水墻等。這些系統(tǒng)或機(jī)制在應(yīng)用過程中必須根據(jù)企業(yè)的業(yè)務(wù)特征和對(duì)數(shù)據(jù)安全等級(jí)的定義進(jìn)行配置[6]；并以“用戶驅(qū)動(dòng)”的方式提高用戶的安全意識(shí)、告知用戶企業(yè)的安全策略、在關(guān)鍵數(shù)據(jù)上打標(biāo)簽，否則，可能導(dǎo)致較高的錯(cuò)誤檢測(cè)率[7]。

筆者參與了所在企業(yè)開展的數(shù)據(jù)防擴(kuò)散研究工作，基于企業(yè)戰(zhàn)略和業(yè)務(wù)需要，梳理了四種業(yè)務(wù)場(chǎng)景的數(shù)據(jù)防擴(kuò)散需求，構(gòu)建了適用的數(shù)據(jù)防擴(kuò)散平臺(tái)。本文總結(jié)了在數(shù)據(jù)防擴(kuò)散研究過程中的認(rèn)識(shí)，數(shù)據(jù)防擴(kuò)散平臺(tái)的構(gòu)建方式，以及數(shù)據(jù)防擴(kuò)散平臺(tái)在四個(gè)業(yè)務(wù)場(chǎng)景中的適應(yīng)性。

2 對(duì)企業(yè)開展數(shù)據(jù)防擴(kuò)散工作的認(rèn)識(shí)

數(shù)據(jù)擴(kuò)散的發(fā)生通常由“人”、“計(jì)算機(jī)”和“數(shù)據(jù)”三個(gè)基本要素構(gòu)成。企業(yè)應(yīng)結(jié)合自身的行業(yè)特征與業(yè)務(wù)特點(diǎn)，對(duì)三個(gè)基本要素體系化地開展數(shù)據(jù)防擴(kuò)散工作，主要包括：（1）識(shí)別可能的數(shù)據(jù)擴(kuò)散途徑；（2）確定合理的數(shù)據(jù)安全級(jí)別；（3）規(guī)劃、驗(yàn)證、實(shí)施可行的安全保護(hù)策略。

2.1 關(guān)于識(shí)別數(shù)據(jù)擴(kuò)散途徑

圖1展示了常見的數(shù)據(jù)擴(kuò)散途徑樣例。在數(shù)據(jù)的靜態(tài)存儲(chǔ)過程中，數(shù)據(jù)可以通過數(shù)據(jù)存儲(chǔ)介質(zhì)被盜用、復(fù)制的方式（包括但不限于：竊取計(jì)算機(jī)硬盤或計(jì)算機(jī)主機(jī)）被擴(kuò)散；在數(shù)據(jù)的動(dòng)態(tài)傳遞過程中，數(shù)據(jù)可以通過網(wǎng)絡(luò)傳輸?shù)姆绞剑òǖ幌抻冢涸诰€聊天工具傳輸、郵件傳輸、網(wǎng)盤上傳）和使用移動(dòng)存儲(chǔ)介質(zhì)拷貝數(shù)據(jù)的方式[8]被擴(kuò)散；在數(shù)據(jù)的動(dòng)態(tài)使用過程中，數(shù)據(jù)可以通過被復(fù)制的形式（包括但不限于：相機(jī)拍攝、文件復(fù)?。┍粩U(kuò)散。

2.2 關(guān)于數(shù)據(jù)安全級(jí)別與安全保護(hù)策略

由數(shù)據(jù)的擁有者負(fù)責(zé)確定數(shù)據(jù)的敏感程度并明確是否需要得到保護(hù)，是一種較好的實(shí)踐方法[9]。但要全面、準(zhǔn)確、規(guī)范地識(shí)別數(shù)據(jù)對(duì)企業(yè)生產(chǎn)經(jīng)營管理的重要性與涉密程度，并定義安全級(jí)別，是企業(yè)開展基于“數(shù)據(jù)”的數(shù)據(jù)防擴(kuò)散工作的難點(diǎn)。

3 技術(shù)方法

本數(shù)據(jù)防擴(kuò)散平臺(tái)的目標(biāo)，不是根據(jù)數(shù)據(jù)的安全等級(jí)對(duì)數(shù)據(jù)精準(zhǔn)地執(zhí)行防擴(kuò)散措施，而是將“人員”和“計(jì)算機(jī)”作為管控的對(duì)象，構(gòu)建出一種可控的數(shù)據(jù)使用環(huán)境，以使合法的人員在可控的計(jì)算機(jī)上存儲(chǔ)和使用數(shù)據(jù)。

3.1 總體架構(gòu)

數(shù)據(jù)防擴(kuò)散平臺(tái)的總體架構(gòu)和主要包含的模塊如圖2所示。

（1）“模版管理模塊”：用于管理每個(gè)業(yè)務(wù)場(chǎng)景中使用的操作系統(tǒng)和應(yīng)用軟件鏡像。

（2）“安全策略管理模塊”：用于定制和管理每個(gè)業(yè)務(wù)場(chǎng)景中的安全策略。

（3）“計(jì)算機(jī)管理模塊”：用于管理每個(gè)業(yè)務(wù)場(chǎng)景中使用的終端計(jì)算機(jī)。

（4）“用戶管理模塊”：用于管理每個(gè)業(yè)務(wù)場(chǎng)景中使用終端計(jì)算機(jī)的人員，包括：人員的使用權(quán)限授權(quán)、登陸計(jì)算機(jī)的賬號(hào)管理。

（5）“管理員管理模塊”：用于超級(jí)管理員對(duì)每個(gè)業(yè)務(wù)場(chǎng)景的二級(jí)管理員進(jìn)行管理。

3.2 部署邏輯

數(shù)據(jù)防擴(kuò)散平臺(tái)是將計(jì)算機(jī)需要部署的操作系統(tǒng)和應(yīng)用軟件集中到后臺(tái)服務(wù)器，形成統(tǒng)一管理的鏡像模板。根據(jù)不同業(yè)務(wù)場(chǎng)景的數(shù)據(jù)防擴(kuò)散管控需要，在服務(wù)器中針對(duì)“人員”和“計(jì)算機(jī)”配置各業(yè)務(wù)場(chǎng)景的安全策略（主要包括：計(jì)算機(jī)的物理層安全策略、計(jì)算機(jī)的操作系統(tǒng)層安全策略、計(jì)算機(jī)的部署環(huán)境安全策略、人員安全策略）。最后將鏡像模板和配套安全策略統(tǒng)一下發(fā)至業(yè)務(wù)場(chǎng)景下的計(jì)算機(jī)。

下發(fā)到計(jì)算機(jī)的操作系統(tǒng)和應(yīng)用軟件充分利用計(jì)算機(jī)自身硬件的計(jì)算資源實(shí)現(xiàn)本地化運(yùn)算。與此同時(shí)，數(shù)據(jù)防擴(kuò)散平臺(tái)與計(jì)算機(jī)實(shí)時(shí)進(jìn)行數(shù)據(jù)引導(dǎo)，確保計(jì)算機(jī)在后臺(tái)服務(wù)器的實(shí)時(shí)檢測(cè)和統(tǒng)一管理，以保持各項(xiàng)數(shù)據(jù)防擴(kuò)散策略的有效性。

4 多業(yè)務(wù)場(chǎng)景應(yīng)用

4.1 應(yīng)用的業(yè)務(wù)場(chǎng)景

數(shù)據(jù)防擴(kuò)散平臺(tái)在筆者所在企業(yè)應(yīng)用的業(yè)務(wù)場(chǎng)景如下。

（1）工程設(shè)計(jì)場(chǎng)景。該業(yè)務(wù)場(chǎng)景主要采用了AVEVA工程設(shè)計(jì)軟件開展工程設(shè)計(jì)工作[10]。由于AVEVA工程設(shè)計(jì)軟件是C/S架構(gòu)模式，其設(shè)計(jì)數(shù)據(jù)往往存放于項(xiàng)目專用服務(wù)器。但由于AVEVA數(shù)據(jù)文件存放形式的特殊性，其數(shù)據(jù)文件可拷貝至計(jì)算機(jī)本地。另外，為了滿足項(xiàng)目設(shè)計(jì)質(zhì)量與進(jìn)度要求，常聘用臨時(shí)設(shè)計(jì)團(tuán)隊(duì)開展設(shè)計(jì)工作。該場(chǎng)景需授權(quán)臨時(shí)設(shè)計(jì)團(tuán)隊(duì)使用指定計(jì)算機(jī)，并在整個(gè)設(shè)計(jì)過程中防止設(shè)計(jì)數(shù)據(jù)和設(shè)計(jì)成果被惡意拷貝或?qū)⒂脖P移植至其它計(jì)算機(jī)中使用。

（2）軟件外包研發(fā)場(chǎng)景。在多個(gè)軟件外包研發(fā)過程中，研發(fā)團(tuán)隊(duì)所使用的輸入?yún)⒖假Y料為多年累積形成的關(guān)鍵業(yè)務(wù)知識(shí)；而研發(fā)獲得的設(shè)計(jì)文檔、軟件源代碼、軟件安裝包，也是重要的信息資產(chǎn)。該場(chǎng)景需為軟件外包研發(fā)團(tuán)隊(duì)提供專門的駐場(chǎng)研發(fā)環(huán)境。

（3）電子圖檔存檔場(chǎng)景。電子圖檔主要包括歷年工程設(shè)計(jì)項(xiàng)目和科研項(xiàng)目的電子化成果文件，是重要的數(shù)據(jù)資產(chǎn)和知識(shí)積累，具有復(fù)用、挖掘的重要價(jià)值。在該業(yè)務(wù)場(chǎng)景中，電子圖檔存檔需由指定工作人員在指定計(jì)算機(jī)上通過端口導(dǎo)入，并上傳至圖檔系統(tǒng)。該場(chǎng)景需授權(quán)唯一的電子圖檔存檔管理人員使用指定的計(jì)算機(jī)，并對(duì)計(jì)算機(jī)端口使用進(jìn)行管控。

（4）采購評(píng)標(biāo)場(chǎng)景。采購評(píng)標(biāo)場(chǎng)景中采用了電子化的采購評(píng)標(biāo)方式，評(píng)標(biāo)專家通過專用的計(jì)算機(jī)評(píng)判投標(biāo)方提交的投標(biāo)電子文檔，并在指定的評(píng)標(biāo)系統(tǒng)中做出投標(biāo)評(píng)判。該場(chǎng)景需嚴(yán)防電子版的投標(biāo)文檔和評(píng)標(biāo)報(bào)告在評(píng)標(biāo)結(jié)果公布前被擴(kuò)散。

4.2 策略應(yīng)用

當(dāng)數(shù)據(jù)防擴(kuò)散平臺(tái)向業(yè)務(wù)場(chǎng)景中的計(jì)算機(jī)推送鏡像模板時(shí)，應(yīng)用以下配套安全策略。

（1）802.1x認(rèn)證配置。阻止用戶將未部署數(shù)據(jù)防擴(kuò)散平臺(tái)的計(jì)算機(jī)接入指定網(wǎng)絡(luò)環(huán)境，避免訪問存放有數(shù)據(jù)的服務(wù)器或共享文件夾。

（2）加域及域控配置。僅允許具有合法賬號(hào)的指定用戶登錄、使用計(jì)算機(jī)；且可配套應(yīng)用其它域控管理策略。

（3）端口配置。管理計(jì)算機(jī)端口，禁止通過USB、光驅(qū)、藍(lán)牙等端口將數(shù)據(jù)拷貝。

（4）硬盤加密配置。對(duì)計(jì)算機(jī)物理硬盤加密，阻止硬盤移除后在其它計(jì)算機(jī)中直接讀取數(shù)據(jù)。

（5）快速恢復(fù)策略。在計(jì)算機(jī)出現(xiàn)中病毒、軟件遭到破壞等故障后，通過操作系統(tǒng)推送快速將計(jì)算機(jī)恢復(fù)到正常狀態(tài)。

5 結(jié)束語

筆者所在企業(yè)基于已有的私有云架構(gòu)部署數(shù)據(jù)防擴(kuò)散平臺(tái)，有效地保護(hù)了多業(yè)務(wù)場(chǎng)景下業(yè)務(wù)數(shù)據(jù)及知識(shí)資產(chǎn)的安全，達(dá)到了對(duì)計(jì)算機(jī)終端的數(shù)據(jù)防擴(kuò)散目的。本平臺(tái)適應(yīng)于廣泛的數(shù)據(jù)防擴(kuò)散場(chǎng)景，對(duì)其它業(yè)務(wù)場(chǎng)景的實(shí)用性及配套安全策略尚待探索。

參考文獻(xiàn)

[1] 郭成華. 工程公司企業(yè)信息化建設(shè)的規(guī)劃方法 [J]. 天然氣與石油， 2016.34（2）：78-81.

[2] 吳世忠. 扼住數(shù)據(jù)擴(kuò)散高發(fā)的勢(shì)頭[J].中國信息安全，2012（2）：2.

[3] 郭瑞. 數(shù)據(jù)擴(kuò)散風(fēng)險(xiǎn)的趨勢(shì)分析[J].信息安全與技術(shù)， 2014，5（10）：18-21.

[4] 史殿娟. 淺談數(shù)據(jù)防擴(kuò)散系統(tǒng)在鐵路產(chǎn)品安全設(shè)計(jì)中的應(yīng)用[J].鐵路采購與物流，2015（4）：41-42.

[5] Sultan Alneyadi， Elankayer Sithirasenan， Vallipuram Muthukkumarasamy. A Survey on Data Leakage Prevention Systems [J]. Journal of Network and Computer Applications，2016.

[6] Lior Arbel. Data loss prevention： the business case [J].Computer Fraud & Security， 2015.2015（5）：13-16.

[7] Stephane Charbonneau. The role of user-driven security in data loss prevention [J].Computer Fraud & Security， 2011.2011（11）：5-8.

[8] 何思思，吳一冰，劉新永，等. 淺談三種移動(dòng)存儲(chǔ)介質(zhì)中數(shù)據(jù)交換的防泄密方案[J].中國科技縱橫，2014（6）：32-33.

[9] Chen Keke， Liu Ling. Privacy Preserving Data Classification with Rotation Perturbation [C]. 5th IEEE International Conference on Data Mining， 2005.

[10] 宋光紅、劉家洪、彭磊、董君. PDMS三維軟件在天然氣處理廠設(shè)計(jì)中的應(yīng)用[J].天然氣與石油， 2014.32（6）：68-71.

作者簡(jiǎn)介：

王頡（1985-），男，四川成都人，畢業(yè)于英國拉夫堡大學(xué)，博士，從事計(jì)算機(jī)應(yīng)用與信息安全管理工作；主要研究方向與關(guān)注領(lǐng)域：計(jì)算機(jī)應(yīng)用技術(shù)、信息安全、云計(jì)算等。