基于“云管端”三位一體終端信息安全管理系統(tǒng)的研究與設(shè)計①

(巢湖學(xué)院經(jīng)濟(jì)與管理學(xué)院，安徽 巢湖 238000)

0 引 言

隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大、終端種類的不斷豐富、網(wǎng)絡(luò)應(yīng)用的不斷增長，企業(yè)面臨來自內(nèi)部和外部關(guān)于信息安全方面的隱患和威脅問題日益凸顯，如何保障企業(yè)信息安全是一個重要研究課題。如何通過參照實際保密評估準(zhǔn)則，提出一種高效合理的安全防護(hù)體系框架，充分考慮系統(tǒng)依賴、交叉、聯(lián)動的關(guān)系模型[1]。終端屬性方面：終端數(shù)量及種類的快速增長，增加了網(wǎng)絡(luò)管理的難度。數(shù)據(jù)安全方面：數(shù)據(jù)存儲的分散性和可復(fù)制性，增加了資料外泄的風(fēng)險。IT支撐方面：IT支撐手段單一、被動支撐、統(tǒng)一性不強(qiáng)、效率低。面臨的主要困境包括如何有效的建立終端資產(chǎn)管理體系，確保終端資產(chǎn)全生命周期的管控；如何建立統(tǒng)一的信息安全數(shù)據(jù)庫，實現(xiàn)對終端的定時巡檢、漏洞掃描、安全診斷、健康評估、安全修復(fù)、數(shù)據(jù)備份等功能；如何提升終端使用者的信息安全提醒和自檢功能。因此必須通過有效的管理方法及手段，建立可持續(xù)的信息安全系統(tǒng)，實現(xiàn)對系統(tǒng)安全信任度的評估。通過抽取企業(yè)樣本實際調(diào)研，了解企業(yè)信息安全管理現(xiàn)狀及需求。以某通信企業(yè)為例，該企業(yè)終端概況：共有195臺終端，其中臺式工作電腦152臺；一體機(jī)32臺；工作便攜電腦11臺。操作系統(tǒng)：Windows 7、XP。應(yīng)用系統(tǒng)：OA、BOSS、互聯(lián)網(wǎng)。工作內(nèi)容：終端入網(wǎng)、資產(chǎn)管理、定期或不定期終端信息安全檢查(季度巡檢、年度組巡)、信息安全問題處理(終端使用者通過故障單、電話、郵件等方式申告)等。主要問題：終端無法有效管控、維護(hù)能力不足、工作效率低、終端使用者缺乏主、被動管控手段。在調(diào)研基礎(chǔ)上設(shè)計一種基于“云管端”三位一體的安全管理系統(tǒng)架構(gòu)，通過采用分布式服務(wù)技術(shù)(Distributed processing)，實現(xiàn)統(tǒng)一的信息安全標(biāo)準(zhǔn)、全網(wǎng)實時監(jiān)控及實時定位漏洞、終端管理自動化和漏洞自動修復(fù)功能。

1 系統(tǒng)結(jié)構(gòu)與設(shè)計

1.1 系統(tǒng)總體結(jié)構(gòu)

系統(tǒng)總體結(jié)構(gòu)如圖1所示，云模塊內(nèi)容分布式部署在企業(yè)全網(wǎng)內(nèi)多臺高性能、全時段終端上，并可根據(jù)終端自動檢測評估結(jié)果(在線時長、性能參數(shù)、資源利用率等)動態(tài)調(diào)整存放位置；管模塊實現(xiàn)賬戶權(quán)限的單獨管理，通過動態(tài)授權(quán)管理模式下放權(quán)限，確保賬號不外泄，對于未授權(quán)的請求不會單獨處理，會按照處理機(jī)制結(jié)束相關(guān)服務(wù)[2]；端模塊采用SNMP消息管理模塊，實現(xiàn)云端與終端的信息交互，通過云端定期發(fā)布的自檢模塊，實現(xiàn)終端信息安全后臺自檢功能，確保全網(wǎng)終端健康度?？紤]到目前終端操作系統(tǒng)大多基于windows系統(tǒng)，信息安全工作基于表單格式的內(nèi)容較多，并且要確保分布式部署方式對系統(tǒng)負(fù)荷(內(nèi)存和CPU)占比較少的特點，系統(tǒng)設(shè)計采用SQL+VC可視化集成編程語言實現(xiàn)。該編程語言主要在系統(tǒng)資源調(diào)用及與SQL接口方面存在響應(yīng)速度快和兼容性好的優(yōu)點。

該系統(tǒng)架構(gòu)主要特點包括：系統(tǒng)完整性，涵蓋了信息安全管理領(lǐng)域的各個環(huán)節(jié)及信息安全PDCA各個過程；系統(tǒng)層次性，涵蓋基礎(chǔ)層、控制層、應(yīng)用層，實現(xiàn)基礎(chǔ)資料庫、控制授權(quán)、安全策略定制等功能；系統(tǒng)健壯性，給實現(xiàn)和推廣帶來可能，即一方面柔性系統(tǒng)架構(gòu)可針對不同的場景實現(xiàn)終端信息安全管理功能,另一方面系統(tǒng)對終端資源的占用率(CPU、內(nèi)存)較低，不會給終端使用者帶來額外開銷，體現(xiàn)技術(shù)層面推廣的可行性。通過云平臺采用分布式工作模式，把終端管理者與終端使用者結(jié)合、政策制度制定者與終端管理者結(jié)合、終端使用者與管理系統(tǒng)平臺結(jié)合，使該系統(tǒng)最終在實際推廣過程中無需額外資源投入，無需單獨建設(shè)，系統(tǒng)操作簡便無需專門培訓(xùn)。設(shè)計前需要對單位終端所處的網(wǎng)絡(luò)結(jié)果有清晰的認(rèn)識，確保每臺終端可達(dá)，另外，對單位特殊類設(shè)備如高性能防火墻、服務(wù)器等需要區(qū)別對待。

1.2 系統(tǒng)設(shè)計與實現(xiàn)

終端資產(chǎn)管理模塊設(shè)計：現(xiàn)有的為某通信運(yùn)營商手動工作表單(如表1所示)，存在的主要問題包括：靜態(tài)數(shù)據(jù)(數(shù)據(jù)無法實時更新)、資產(chǎn)明細(xì)缺失(因為操作人員的工作能力和勞動態(tài)度等因素都可能會帶來資料準(zhǔn)確性問題)、資產(chǎn)確認(rèn)存在誤差(操作人員與資產(chǎn)原有使用者和接替者之間的銜接工作不緊密，無法有效執(zhí)行且執(zhí)行結(jié)果因人而異)等。

表1 某通信運(yùn)營商工作表單

圖1 系統(tǒng)總體結(jié)構(gòu)圖

通過SQL server數(shù)據(jù)庫技術(shù)，實現(xiàn)終端使用、變更、報廢等全生命周期管控(數(shù)據(jù)庫應(yīng)用模型如圖2所示)。實現(xiàn)數(shù)據(jù)治理、數(shù)據(jù)處理、數(shù)據(jù)體檢、數(shù)據(jù)安全和數(shù)據(jù)運(yùn)營全周期[3]。

圖2 數(shù)據(jù)庫應(yīng)用模型

數(shù)據(jù)庫模型的設(shè)計考慮信息安全系統(tǒng)的特點：健壯性(能滿足數(shù)據(jù)頻繁調(diào)度的穩(wěn)定可靠)；實時性(能夠?qū)?shù)據(jù)信息實時刷新，保證所有變更都可記錄到數(shù)據(jù)庫中)；安全性(由于系統(tǒng)涉及信息安全，需要配置包括軟、硬件兩方面的安全策略)。主要包含三個關(guān)系數(shù)據(jù)庫表：終端入網(wǎng)數(shù)據(jù)庫表Client_Innet()；終端資產(chǎn)管理數(shù)據(jù)庫表Client_Manage()；終端退網(wǎng)數(shù)據(jù)庫表Client_Outnet()。三張表關(guān)聯(lián)變量為：資產(chǎn)編號Fixedasset_num；員工編號Em_ID；員工姓名EM_name。通過建立信息安全標(biāo)準(zhǔn)庫(通過實時庫Real_time()、中轉(zhuǎn)庫Transfer()、歷史庫History())全面展示終端信息安全記錄信息)，如表2所示。

表2 信息安全標(biāo)準(zhǔn)庫

管模塊(實現(xiàn)對云、端的管控)對操作賬戶進(jìn)行分權(quán)分域管理，設(shè)計了四個功能模塊：操作賬戶管理模塊、安全檢測算法模塊、操作功能管理模塊和云端、終端功能模塊，涵蓋了所有功能點如圖3所示。設(shè)置了三個角色：信息安全管理員、信息安全責(zé)任人、終端使用者。按照管理辦法賦予三個角色不同的權(quán)限，對信息安全管理員角色賦予全部權(quán)限，對信息安全負(fù)總責(zé)；對信息安全責(zé)任人賦予所轄范圍內(nèi)的全部權(quán)限，對其所負(fù)責(zé)的信息安全域負(fù)責(zé)；終端使用者僅分配該終端的相關(guān)權(quán)限，對其使用的終端信息安全負(fù)責(zé)，可確保系統(tǒng)的穩(wěn)定。將信息安全要求(基本要求、發(fā)文、領(lǐng)導(dǎo)等)轉(zhuǎn)化為可執(zhí)行的安全檢測算法，對規(guī)則檢測及非規(guī)則檢測部分均能實現(xiàn)有效控制，最終可實現(xiàn)信息安全系統(tǒng)功能管理，提升系統(tǒng)使用體驗，增強(qiáng)使用者使用頻次和滿意度。

根據(jù)終端類型配置統(tǒng)一安全策略(如圖4所示)，該安全策略即要針對全局隱患也要考慮到針對終端形態(tài)、操作系統(tǒng)、企業(yè)規(guī)定等因素個性化配置。通過終端上安裝的桌面客戶端插件對終端進(jìn)行安全策略掃描，該掃描工作即在確保信息安全和系統(tǒng)運(yùn)行穩(wěn)定的前提下通過讀取系統(tǒng)注冊表單信息獲取信息安全變量值。并將掃描結(jié)果返回至云端形成掃描報告，當(dāng)終端不符合預(yù)設(shè)值時，云端會根據(jù)評估結(jié)果進(jìn)行信息安全干預(yù)，根據(jù)信息安全的影響程度采取相應(yīng)的干預(yù)措施，干預(yù)內(nèi)容主要包括：提醒、重復(fù)、隔離、強(qiáng)制修改等。提醒功能主要是對影響范圍小的問題通過消息機(jī)制推送至終端側(cè)；重復(fù)功能主要是針對未及時修復(fù)的漏洞進(jìn)行定時推送至終端側(cè)；隔離功能主要是針對嚴(yán)重信息安全漏洞或前期終端未能有效解決的問題進(jìn)行隔離，確保系統(tǒng)安全和業(yè)務(wù)可用，防止擴(kuò)散；強(qiáng)制修改主要是針對最危險漏洞進(jìn)行強(qiáng)制修復(fù)，無需使用者干預(yù)即可自動完成。

圖3 管端流程圖

圖4 統(tǒng)一安全策略圖

圖5 消息機(jī)制及算法模型

端模塊(實現(xiàn)終端側(cè)的自檢和被檢功能)主要包括信息接收功能(message信使)通過終端與云端服務(wù)器的網(wǎng)絡(luò)連通性，采用SNMP管理模塊，即利用SNMPv3安全模型滿足：身份鑒別、合時性檢查、重復(fù)性檢查、報文加密功能[4]。

通過開放系統(tǒng)161、162端口實現(xiàn)服務(wù)器端信息接收功能message receiver ，確保服務(wù)器端推送的信息及時受理message accept，并對處理結(jié)果及時反饋message feedback。自檢軟件插件功能可實現(xiàn)同步云平臺數(shù)據(jù)cloud synchronize platform ；更新管模塊信息安全算法，服務(wù)端定期向桌面探測點發(fā)出探測信息，檢測探測響應(yīng)時間，由云端監(jiān)控進(jìn)行統(tǒng)計和展現(xiàn)，從而判斷網(wǎng)絡(luò)的狀態(tài)情況，

算法公式為：MTTF=探測周期*成功次數(shù)

MTTR=探測周期*失敗次數(shù)

Availability=MTTF/ (MTTF+MTTR)*100%

可用性=探測成功次數(shù)/探測總次數(shù)

終端使用者自檢、上報及修復(fù)功能。終端級信息安全操作模塊(提供服務(wù)進(jìn)程，確保自檢軟件功能可靠運(yùn)行)?；诎惭b的桌面客戶端插件，利用云監(jiān)控技術(shù)[5]實現(xiàn)對全網(wǎng)絡(luò)的監(jiān)控，包括OA、BOSS網(wǎng)絡(luò)的可用性、響應(yīng)時間、服務(wù)器資源等指標(biāo)，安全策略[6]合規(guī)性，提供智能多樣的告警方式、信息統(tǒng)計，及時發(fā)現(xiàn)問題所在，協(xié)助問題分析等，如圖5所示。

2 結(jié) 語

通過該管理系統(tǒng)，一方面通過系統(tǒng)整合終端管理的工作內(nèi)容和外延，將離散型管控模式轉(zhuǎn)變?yōu)楦采w終端全生命周期的管控模式，使得工作效率提升明顯、管控流程更加清晰、管理方法更加精細(xì)。另一方面提出的“云管端”三位一體的信息安全管理模式，實現(xiàn)了以“端”為目標(biāo)、“管”為手段、“云”為核心，實現(xiàn)信息安全的全方位管理，以管理用戶終端為基本目標(biāo)，實現(xiàn)全網(wǎng)設(shè)備的風(fēng)險監(jiān)控和預(yù)警。全方位降低信息安全風(fēng)險，為企業(yè)生產(chǎn)經(jīng)營保駕護(hù)航。

參考文獻(xiàn)：

[1] 王越，楊平利,李衛(wèi)軍，等.涉密計算機(jī)信息安全管理體系的設(shè)計與實現(xiàn)[J].計算機(jī)工程與設(shè)計,2010，31(18):3964-3967.

[2] 劉自成.計算機(jī)網(wǎng)絡(luò)信息安全管理存在問題及對策分析[J].通訊世界,2017(2):41-42.

[3] 張磊,馬春光,楊松濤,等.關(guān)聯(lián)概率不可區(qū)分的位置隱私保護(hù)方法[J].通信學(xué)報，2017,38(8):44-45.

[4] 祝旭.SNMP協(xié)議在網(wǎng)絡(luò)管理中的應(yīng)用[J].中國新通信,2016, 18(18):120-121.

[5] 張磊,馬春光,楊松濤,等.基于屬性基加密的用戶協(xié)作連續(xù)查詢隱私保護(hù)策略[J].通信學(xué)報，2017,38(9):77-78.

[6] 楊凱.試論計算機(jī)網(wǎng)絡(luò)工程的安全威脅及應(yīng)對策略[J].通訊世界, 2017(4).96-96.