歐陽菲菲 鎮(zhèn)江市高等?？茖W(xué)校電氣與電競學(xué)院

1 引言

隨著信息化建設(shè)的不斷深入，保障各種敏感業(yè)務(wù)數(shù)據(jù)在生成、傳輸、存儲以及銷毀的整個生命周期中防止泄露，已成為企業(yè)信息化建設(shè)中的迫切需求。哪些數(shù)據(jù)要進(jìn)行防護(hù)，如何防護(hù)，應(yīng)該選用何種技術(shù)、平臺以滿足公司發(fā)展需要？本文基于數(shù)據(jù)分級及防泄漏技術(shù)的特點(diǎn)和實(shí)現(xiàn)原理，提出了規(guī)劃方案及關(guān)鍵技術(shù)實(shí)現(xiàn)。

2 F公司的現(xiàn)狀

F公司哈爾濱分公司為一個設(shè)計與制造型企業(yè)，為了系統(tǒng)和數(shù)據(jù)的安全性，結(jié)合自身對數(shù)據(jù)保護(hù)的要求和發(fā)展的迫切需要，需要對數(shù)據(jù)進(jìn)行安全保護(hù)以及防數(shù)據(jù)泄漏工作。

3 數(shù)據(jù)安全及防數(shù)據(jù)泄漏方案規(guī)劃設(shè)計

3.1 終端安全

F公司使用虛擬化服務(wù)器及桌面，McAfee終端解決方案能夠讓用戶繼續(xù)使用現(xiàn)有的McAfee VSE保護(hù)功能，并針對虛擬化環(huán)境來對其進(jìn)一步優(yōu)化。McAfee MOVE旨在在虛擬化環(huán)境中按訪問掃描和更新，顯著降低部署中對基礎(chǔ)設(shè)施的影響。

3.2 應(yīng)用安全

針對Web應(yīng)用安全，通過MWG Web網(wǎng)關(guān)，基于公司的安全等級需求，制定安全策略，實(shí)現(xiàn)規(guī)范內(nèi)部終端對網(wǎng)絡(luò)合理使用。在DMZ區(qū)部署MEG郵件網(wǎng)關(guān)，通過端口轉(zhuǎn)發(fā)，保證郵件先經(jīng)過MEG掃描，做好病毒掃描和垃圾郵件防護(hù)。在防火墻和DMZ區(qū)串接McAfee IPS,進(jìn)行應(yīng)用層檢測，保證網(wǎng)絡(luò)應(yīng)用和鏈路安全。

3.3 數(shù)據(jù)安全

數(shù)據(jù)泄露造成的根源來自外部黑客攻擊和內(nèi)部數(shù)據(jù)泄漏，據(jù)FBI的統(tǒng)計，70%的數(shù)據(jù)泄漏由于內(nèi)部人員造成，而這些內(nèi)部人員大都是有權(quán)限訪問這些數(shù)據(jù)，然后竊取濫用這些數(shù)據(jù)[1]。

4 數(shù)據(jù)防護(hù)的關(guān)鍵策略

針對產(chǎn)品特性，我們將數(shù)據(jù)保護(hù)實(shí)施分為HDLP(HOST DLP)和 NDLP(network DLP)。

4.1 策略設(shè)定

標(biāo)記規(guī)則：對所需保護(hù)的文件打上相應(yīng)的標(biāo)記；

內(nèi)容規(guī)則：根據(jù)文檔內(nèi)部特征進(jìn)行識別；

保護(hù)規(guī)則：對打上標(biāo)記的文件進(jìn)行保護(hù)；

第三方軟件集成：TITUS

4.2 策略分配

針對于NDLP,需要對設(shè)備初始化、加固，對所有NDLP設(shè)備進(jìn)行集中管理。

策略設(shè)置，針對所提供的關(guān)鍵字、表達(dá)式、文件類型、指紋進(jìn)行相關(guān)的策略設(shè)定與McAfee Email Gateway及Web Gateway做策略聯(lián)動：

5 關(guān)鍵技術(shù)應(yīng)用

5.1 TITUS數(shù)據(jù)分級

TITUS解決方案使企業(yè)進(jìn)行分級，并確定和保護(hù)非結(jié)構(gòu)化數(shù)據(jù)滿足法規(guī)所遵從的要求。在桌面、移動設(shè)備和SharePoint進(jìn)行分級和保護(hù)敏感信息的文檔等增強(qiáng)數(shù)據(jù)防護(hù)。

5.2 McAfee HDLP

McAfee HDLP軟件通過部署由分級規(guī)則、標(biāo)記規(guī)則、保護(hù)規(guī)則、設(shè)備規(guī)則以及用戶和組分配組成的各類策略，保護(hù)企業(yè)敏感信息的安全。McAfee HDLP策略受到監(jiān)視，并在必要時監(jiān)視或阻止用標(biāo)識為敏感信息的內(nèi)容定義的操作。

5.3 McAfee NDLP

McAfee NDLP通過指紋識別技術(shù)、主動掃描技術(shù)，配合TITUS的文檔分級標(biāo)記以及HDLP的關(guān)鍵字內(nèi)容過濾，與企業(yè)的郵件網(wǎng)關(guān)、互聯(lián)網(wǎng)網(wǎng)關(guān)以及IPS聯(lián)動，保護(hù)企業(yè)的敏感信息以及知識產(chǎn)權(quán)流出公司網(wǎng)絡(luò)。

5.4 指紋識別技術(shù)

“指紋識別”是指依據(jù)文檔的內(nèi)容、終端信息、安全級別等等所產(chǎn)生的具有唯一性、保密性和安全性的標(biāo)識以及算法。“指紋算法”被嵌入到目標(biāo)文件以后，對于終端用戶具有不可見性，用戶端無法直接獲取“指紋信息”，終端用戶也無法直接對其進(jìn)行修改或偽造，文件若是被修改后，“指紋”信息依舊保持其具有的完整性。

6 結(jié)論

基于McAfee的數(shù)據(jù)安全防護(hù)體系，保證了公司業(yè)務(wù)系統(tǒng)、各類終端、數(shù)據(jù)庫和網(wǎng)絡(luò)等數(shù)據(jù)在各環(huán)節(jié)中的安全，進(jìn)而大幅降低有意、無意的數(shù)據(jù)泄漏行為。公司數(shù)據(jù)安全防護(hù)與防泄漏平臺可避免組織內(nèi)外數(shù)據(jù)在未經(jīng)授權(quán)的情況下傳輸，從而保護(hù)企業(yè)遠(yuǎn)離風(fēng)險。防數(shù)據(jù)泄漏軟件使用高級發(fā)現(xiàn)技術(shù)、文本模式識別和預(yù)定義字典識別出敏感內(nèi)容，而且合并設(shè)備管理及加密，從而提供多層控制。與TITUS等第三方保護(hù)軟件集成來擴(kuò)展數(shù)據(jù)的安全性?？膳渲迷谄髽I(yè)網(wǎng)絡(luò)內(nèi)部、外部或內(nèi)外部應(yīng)用的策略和規(guī)則，從而全面保護(hù)企業(yè)數(shù)據(jù)安全。

[1]喻欣:基于內(nèi)容的移動存儲設(shè)備信息防泄漏技術(shù)研究，2009.6