內(nèi)網(wǎng)移動存儲介質(zhì)安全管理

引言：使用移動存儲介質(zhì)開展信息數(shù)據(jù)交換容易產(chǎn)生如信息泄露、病毒傳播等諸多信息安全問題。本文針對內(nèi)網(wǎng)移動存儲介質(zhì)管理系統(tǒng)的組成、功能及實現(xiàn)方式進行介紹及分析，并對其使用功效進行了總結(jié)。

近年來，隨著信息化的發(fā)展，U盤、移動硬盤等移動存儲介質(zhì)，因其體積小、存儲量大等特點得到迅速普及。在享受到移動存儲所帶來的方便性的同時，也出現(xiàn)了諸多的信息安全問題，特別是由于公安機關人員眾多、業(yè)務種類繁雜，使用的移動存儲介質(zhì)數(shù)量大、管理無序等，帶來敏感信息泄露、病毒木馬傳播等風險。

系統(tǒng)介紹

內(nèi)網(wǎng)移動存儲介質(zhì)安全管理由移動存儲介質(zhì)管理系統(tǒng)和安全移動存儲介質(zhì)(硬件)組成，而管理系統(tǒng)又由服務端管理系統(tǒng)和客戶端監(jiān)控系統(tǒng)組成，如圖1所示。

管理系統(tǒng)完成對內(nèi)網(wǎng)的安全移動存儲介質(zhì)統(tǒng)一管理，客戶端和服務端采用C/S架構(gòu)。服務端進行統(tǒng)一策略配置管理，下發(fā)策略到客戶端，接收客戶端上報日志數(shù)據(jù)。

圖1 管理系統(tǒng)組成

圖2 服務器端組成

客戶端軟件對接入內(nèi)網(wǎng)終端的USB接口類移動存儲介質(zhì)進行認證、注冊、注銷、更改密碼等操作，完成接收、下發(fā)、執(zhí)行服務端策略，向服務端上報數(shù)據(jù)工作。內(nèi)網(wǎng)終端計算機上的客戶端軟件與安全移動存儲介質(zhì)進行雙向認證。

移動存儲介質(zhì)管理系統(tǒng)對移動存儲介質(zhì)進行接入認證、權限控制、日志審計等安全防護，建立了一套完整的防范體系。移動存儲介質(zhì)管理系統(tǒng)整合底層驅(qū)動、設備識別、進程互控等多種技術，由服務器端和客戶端構(gòu)成，對內(nèi)網(wǎng)安全移動存儲介質(zhì)進行控制。其中管理端系統(tǒng)是管理控制部分（管理層），具體包括終端配置管理平臺、管理信息庫和管理器；客戶端接受并執(zhí)行管理端的策略和指令（執(zhí)行層），包括多個模塊和移動介質(zhì)控制接口；安全U盤在提供公安業(yè)務單位使用前，在密鑰中心初始化數(shù)據(jù)存取密鑰，通過雙向認證進行受控移動存儲管理（受控層）。

服務器端主要由數(shù)據(jù)庫、管理平臺、區(qū)域管理器組成，完成策略制定、數(shù)據(jù)匯總、存儲、查詢等，結(jié)構(gòu)如圖2所示。

管理平臺：系統(tǒng)管理配置中心，Web形式配置系統(tǒng)的各項基本參數(shù)，進行系統(tǒng)維護等配置操作，進行系統(tǒng)應用策略制訂，顯示狀態(tài)信息、報警信息和各種日志記錄等，管理平臺中所有操作的過程和結(jié)果均存儲在管理信息庫中。

數(shù)據(jù)庫：用來存放和管理各種策略、參數(shù)配置、客戶端設備的軟硬件信息、報警信息、審計信息、日志信息等各種信息。

管理器：系統(tǒng)數(shù)據(jù)處理中心。通過實時監(jiān)控數(shù)據(jù)庫獲取控制臺的各種策略和命令，發(fā)送到客戶端軟件執(zhí)行。管理器接收客戶端軟件提供的各類狀態(tài)和報警信息，發(fā)送至管理信息庫，以備管理人員通過管理平臺查閱。

客戶端軟件由通訊模塊、功能控制模塊、標簽認證模塊以及進程保護模塊組成，作為服務器端的響應程序要按照服務器制定的安全策略實現(xiàn)相應的功能，結(jié)構(gòu)如圖3所示。

通訊模塊：完成服務器與客戶端的數(shù)據(jù)（加密）通訊，接收服務器下發(fā)的所有指令，上報客戶端存活信息、客戶端的審計日志，以及其他服務器要求上報的信息；

圖3 管理器結(jié)構(gòu)

進程保護模塊：負責保護進程，以防止客戶端進程被惡意停止，該模塊在安全模式下仍然有效；

功能控制模塊：負責執(zhí)行服務器下發(fā)的安全策略，例如硬件設備控制、非法外聯(lián)監(jiān)控、移動存儲控制等；

移動存儲介質(zhì)控制模塊：通過策略解析對移動存儲介質(zhì)進行認證與控制；

審計模塊：審計移動存儲介質(zhì)的操作信息并上報到服務器；

U盤接口模塊：完成安全U盤的注冊、注銷、數(shù)據(jù)銷毀、接入認證、策略下發(fā)、審計日志收集功能；

標簽模塊：對移動存儲介質(zhì)進行唯一標記設定和清除，包含標簽制作、標簽清除和密碼重置，同時還具備警員證書識別和認證的功能；

其他模塊：主要進行對硬件接口的控制和對設備資產(chǎn)的收集，對非移動存儲類的USB接口設備進行識別和放行。

安全U盤基本功能

1.身份認證:只有通過正確的身份認證才能使用安全U盤存儲數(shù)據(jù)。

通過密鑰初始化過程，使安全U盤不需保存用戶口令，口令認證、修改口令和恢復口令的過程也有所不同。

修改口令:若修改身份認證口令，通過默認口令B將B1進行解密，得出字符串“GA_XXXXX XX”，然后再通過用戶新口令C加密該字符串，生成新密鑰加密塊C1替換B1。

口令認證:通過用戶輸入的認證口令C或者B對加密密鑰C1或者B1進行解密，得出字符串“GA_XXXXXXX”，若解密得到的字符串不是該格式的字符串，則說明輸入密碼錯誤。

恢復口令:用戶忘記口令后，需要通過超級口令進行恢復。首先通過超級口令A將密鑰加密塊A1進行解密得出字符串“GA_XXXXXXX”，然后再通過默認口令B對字符串“GA_XXXXXXX”進行加密得出最初的密鑰加密塊B1，然后將用戶修改口令后得出的C1進行替換，這樣口令就恢復為默認口令B。

2.自定義設備分區(qū)：將設備數(shù)據(jù)區(qū)域分為可見區(qū)與不可見區(qū)。

可見區(qū)用于存放移動存儲設備管理程序的只讀區(qū)，Windows系統(tǒng)能識別并訪問該區(qū)域。

不可見區(qū)為一段無法被任何操作系統(tǒng)識別訪問的數(shù)據(jù)區(qū)域，必須通過移動存儲設備管理程序進行訪問。

3.安全瀏覽器：安全U盤僅以CD驅(qū)動器形式加載，安全瀏覽器為移動存儲設備管理程序的圖形界面操作提供對安全U盤數(shù)據(jù)存儲區(qū)的訪問控制的圖形界面。

4.日志審計：安全U盤將用戶使用行為根據(jù)策略設定情況記錄日志并實時上傳到服務器，不在盤內(nèi)保留日志，通過移動存儲介質(zhì)管理軟件進行日志審計功能。

5.自我保護：安全U盤自帶軟件針對許多反編譯工具內(nèi)嵌防反編譯功能，增加程序被調(diào)試難度；通過加密編譯防止程序被靜態(tài)分析，同時對關鍵的變量采用動態(tài)生成，加大采用內(nèi)存特征碼分析程序的難度。另外，程序一旦運行，在運行期內(nèi)將與設備特征值綁定，一旦運行期發(fā)現(xiàn)設備被替換，則自動退出程序。

6.高強度加密：包括軟件加密、硬件加密、程序代碼加密等技術，軟加密采用國產(chǎn)SMS4加密算法，硬加密算法采用AES（CBC）-256位；程序編譯使用“代碼混淆”、“虛擬機”等技術加密。

7.安全U盤提供供客戶端軟件調(diào)用的文件：Secusb.Dll文件用于認證安全U盤合法性，恢復密碼和粉碎。

數(shù)據(jù)結(jié)構(gòu)定義如下：

char m_lpDiskPath[64];//返回該USB設備的所有邏輯盤符 (如 ：ABC)，不包括lpszDiskRoot中指定的盤符,空值表示沒有需要放行的額外邏輯盤符;最大長度256字節(jié)

Secusbsign.dll文件，用于讀/寫安全U盤電子標簽內(nèi)容。

數(shù)據(jù)結(jié)構(gòu)體定義如下：