一種終端安全防護(hù)模型設(shè)計(jì)方法

裴志江

摘? 要： 針對(duì)當(dāng)前基于虛擬桌面技術(shù)的防護(hù)系統(tǒng)無(wú)法保證數(shù)據(jù)泄露的問題，提出一種基于安全虛擬桌面與分區(qū)加密相結(jié)合的防護(hù)模型。該模型在基于安全虛擬桌面的基礎(chǔ)上，結(jié)合分區(qū)加密技術(shù)，將重要數(shù)據(jù)進(jìn)行加密，存儲(chǔ)在加密分區(qū)中，使得攻擊者即使獲取到數(shù)據(jù)信息，在沒有密鑰的情況下也不能破解數(shù)據(jù)內(nèi)容，從而保證數(shù)據(jù)信息的安全。最后通過實(shí)驗(yàn)驗(yàn)證了模型的可行性。

關(guān)鍵詞： 安全防護(hù)模型; 終端防護(hù)系統(tǒng); 安全虛擬桌面; 分區(qū)加密; 網(wǎng)絡(luò)安全管理; 數(shù)據(jù)加密

中圖分類號(hào)： TN915.08?34? ? ? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼： A? ? ? ? ? ? ? ? ? ? ? ? 文章編號(hào)： 1004?373X（2020）09?0075?04

A design method of terminal security protection model

PEI Zhijiang

（School of Computer Science & Engineering， Nanjing University of Science & Technology， Nanjing 210094， China）

Abstract： Since the current protection system based on the virtual desktop technology fails to prevent the data leaking， a protection model based on the combination of secure virtual desktop and partition encryption is proposed. On the basis of secure virtual desktop， the important data are encrypted and stored in the encrypted partition of the proposed model combining the partition encryption technology， so that even if the attacker obtains the data information， he cannot decode the data without the key， which ensures the security of the data information. In addition， the feasibility of the model was verified by experiments.

Keywords： security protection model; terminal protection system; secure virtual desktop; partition encryption; network security management; data encryption

0? 引? 言

隨著云計(jì)算技術(shù)、大數(shù)據(jù)技術(shù)和互聯(lián)網(wǎng)+技術(shù)的高速發(fā)展，互聯(lián)網(wǎng)的門檻越來越低，互聯(lián)網(wǎng)在豐富人們工作生活的同時(shí)，也存在很大的信息泄露隱患。所以，網(wǎng)絡(luò)安全已經(jīng)成為各國(guó)信息安全領(lǐng)域研究的熱點(diǎn)方向之一，與此同時(shí)，各國(guó)的政府部門、高等院校以及社會(huì)企業(yè)也越來越重視網(wǎng)絡(luò)信息安全。

現(xiàn)如今，各國(guó)的政府部門、社會(huì)企業(yè)為了避免網(wǎng)絡(luò)信息安全隱患帶來的損失，在相關(guān)的服務(wù)器設(shè)備、終端設(shè)備中安裝入侵檢測(cè)系統(tǒng)、防火墻軟件、病毒查殺軟件、網(wǎng)絡(luò)審計(jì)系統(tǒng)及流量回溯分析等防護(hù)系統(tǒng)，但是，往往內(nèi)部人員的安全意識(shí)很薄弱，很容易造成國(guó)家機(jī)關(guān)、政府單位、社會(huì)企業(yè)的內(nèi)部數(shù)據(jù)泄露的現(xiàn)象，給國(guó)家機(jī)關(guān)、政府單位、社會(huì)企業(yè)帶來很大的政治、經(jīng)濟(jì)損失等。所以，在整個(gè)信息安全領(lǐng)域的防護(hù)工作中，防止內(nèi)部失泄密是整個(gè)防護(hù)過程的重中之重，因?yàn)榻K端是內(nèi)部人員最可能接觸的設(shè)備，因此，對(duì)終端合理、合法、合規(guī)的使用是防止失泄密的重要手段。

1? 終端安全防護(hù)機(jī)理

終端安全防護(hù)是指結(jié)合新型的網(wǎng)絡(luò)服務(wù)管理技術(shù)和終端保護(hù)技術(shù)對(duì)所有訪問網(wǎng)絡(luò)的終端進(jìn)行可靠性檢查和安全性防護(hù)。在終端接入網(wǎng)絡(luò)之前，根據(jù)對(duì)應(yīng)終端的安全策略對(duì)該終端的安全狀態(tài)進(jìn)行判斷，根據(jù)評(píng)估結(jié)果進(jìn)行終端準(zhǔn)入控制，從而將蠕蟲、木馬和病毒等屏蔽在網(wǎng)絡(luò)之外，確保只有符合組織安全標(biāo)準(zhǔn)的終端才可以登入網(wǎng)絡(luò)，享受網(wǎng)絡(luò)服務(wù)。

在終端登入網(wǎng)絡(luò)服務(wù)器之后，根據(jù)終端登入者的角色進(jìn)行訪問范圍的限制，軟件使用權(quán)限應(yīng)用限制，網(wǎng)絡(luò)享受服務(wù)范圍限制以及外掛設(shè)備操作權(quán)限控制等，從而控制不同角色的終端享受網(wǎng)絡(luò)服務(wù)范圍、軟件服務(wù)、外掛設(shè)備操作權(quán)限等，確保只有擁有相應(yīng)權(quán)限的登入者可以享受網(wǎng)絡(luò)服務(wù)、軟件服務(wù)、外掛設(shè)備操作服務(wù)等，如圖1所示。

終端安全防護(hù)的核心概念是從終端使用者登錄網(wǎng)絡(luò)、享受網(wǎng)絡(luò)服務(wù)入手，結(jié)合身份認(rèn)證服務(wù)器、安全策略服務(wù)器和網(wǎng)絡(luò)設(shè)備以及第三方軟件系統(tǒng)（殺毒軟件和系統(tǒng)補(bǔ)丁等），完成對(duì)登入終端用戶的強(qiáng)制認(rèn)證和安全策略應(yīng)用，從而達(dá)到保障整個(gè)網(wǎng)絡(luò)安全的目的。網(wǎng)絡(luò)服務(wù)管理系統(tǒng)是終端安全防護(hù)的重要組成部分，其設(shè)計(jì)原則包括以下兩個(gè)方面：

1） 終端登入限制

當(dāng)終端使用者登入網(wǎng)絡(luò)時(shí)，網(wǎng)絡(luò)服務(wù)管理系統(tǒng)要求終端主機(jī)在享受網(wǎng)絡(luò)服務(wù)前達(dá)到一定的安全要求，盡量避免單個(gè)用戶的網(wǎng)絡(luò)安全隱患對(duì)整個(gè)內(nèi)部網(wǎng)絡(luò)造成威脅。

2） 服務(wù)器主動(dòng)控制

當(dāng)終端使用者登入網(wǎng)絡(luò)享受網(wǎng)絡(luò)服務(wù)后，網(wǎng)絡(luò)服務(wù)管理系統(tǒng)主動(dòng)偵測(cè)終端和系統(tǒng)的網(wǎng)絡(luò)安全狀態(tài)，發(fā)現(xiàn)非安全狀態(tài)時(shí)，觸發(fā)控制反饋來調(diào)整終端和系統(tǒng)的狀態(tài)，從而保障整個(gè)網(wǎng)絡(luò)的安全運(yùn)行。

內(nèi)部網(wǎng)絡(luò)的安全隱患在很大程度上取決于終端使用者本身。網(wǎng)絡(luò)服務(wù)器準(zhǔn)入控制系統(tǒng)將自動(dòng)更新、安全轉(zhuǎn)臺(tái)審核、準(zhǔn)入控制等思想集中在一起，為整個(gè)內(nèi)部網(wǎng)安全管理和安全審核應(yīng)用提供了可擴(kuò)展平臺(tái)，實(shí)現(xiàn)了基于網(wǎng)絡(luò)準(zhǔn)入控制的內(nèi)部網(wǎng)絡(luò)安全防御體系。

2? 終端安全防護(hù)模型總體設(shè)計(jì)

終端安全防護(hù)模型包含網(wǎng)絡(luò)服務(wù)管理系統(tǒng)和終端防護(hù)系統(tǒng)兩部分。服務(wù)端管理系統(tǒng)采用B/S架構(gòu)，通過Web管理界面對(duì)終端信息、軟件規(guī)則、傳輸外設(shè)、網(wǎng)絡(luò)規(guī)則、日志進(jìn)行管理。終端防護(hù)系統(tǒng)采用C/S架構(gòu)，通過終端防護(hù)客戶端實(shí)現(xiàn)身份認(rèn)證、全盤加密、客戶端自防護(hù)、網(wǎng)絡(luò)白名單、軟件白名單、外設(shè)白名單、客戶端信息感知和軟件信息采集等功能，終端防護(hù)系統(tǒng)各模塊使用的規(guī)則是通過服務(wù)端管理系統(tǒng)進(jìn)行管理，并使用網(wǎng)絡(luò)傳輸接口從服務(wù)端獲取到相應(yīng)的規(guī)則信息。

2.1? 網(wǎng)絡(luò)服務(wù)管理系統(tǒng)設(shè)計(jì)

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)按照Web應(yīng)用進(jìn)行設(shè)計(jì)，包含資源層、服務(wù)層、應(yīng)用層和用戶層，如圖2所示。

資源層主要包括網(wǎng)絡(luò)服務(wù)管理系統(tǒng)需要管理的所有資源信息，如組織人員信息、軟件信息、外設(shè)信息、設(shè)備信息和網(wǎng)絡(luò)規(guī)則信息等。資源信息通過界面手工錄入或通過軟件采集存儲(chǔ)至數(shù)據(jù)庫(kù)。

服務(wù)層主要包括應(yīng)用中間件、消息中間件、數(shù)據(jù)庫(kù)服務(wù)等，其中，應(yīng)用中間件用于Web服務(wù)的運(yùn)行和管理;消息中間件用于組件間的消息傳遞，以及網(wǎng)絡(luò)服務(wù)端管理系統(tǒng)與終端防護(hù)系統(tǒng)的數(shù)據(jù)交互;數(shù)據(jù)庫(kù)服務(wù)用于信息存儲(chǔ)，如組織人員信息、軟件信息、外設(shè)信息、設(shè)備信息和網(wǎng)絡(luò)規(guī)則信息等。

應(yīng)用層直接面向用戶，通過功能界面與用戶進(jìn)行交互，包括組織人員管理、終端管理、網(wǎng)絡(luò)規(guī)則管理、軟件規(guī)則管理、傳輸外設(shè)管理、日志管理等功能。其中，組織人員管理通過組織人員管理模塊對(duì)組織信息、用戶信息和用戶角色進(jìn)行管理;終端管理通過終端管理模塊對(duì)終端信息和終端使用權(quán)進(jìn)行管理;網(wǎng)絡(luò)規(guī)則管理通過網(wǎng)絡(luò)規(guī)則管理模塊設(shè)置允許訪問的網(wǎng)絡(luò)白名單地址列表;軟件規(guī)則管理通過軟件規(guī)則管理模塊管理終端中所使用的軟件白名單，包括軟件識(shí)別信息管理和軟件白名單設(shè)置功能;傳輸外設(shè)管理通過傳輸外設(shè)管理模塊管理終端USB設(shè)備的使用，包括外設(shè)識(shí)別信息管理和外設(shè)白名單設(shè)置;日志管理通過日志管理模塊可以查詢服務(wù)端管理操作日志、業(yè)務(wù)終端操作日志、終端環(huán)境變更日志和服務(wù)端系統(tǒng)日志。

用戶層包括普通用戶和管理員，可以通過角色管理配置相應(yīng)的功能和數(shù)據(jù)權(quán)限。

2.2? 終端防護(hù)系統(tǒng)設(shè)計(jì)

終端防護(hù)系統(tǒng)采用分層架構(gòu)設(shè)計(jì)，包括資源層、驅(qū)動(dòng)層和應(yīng)用層以及管理對(duì)象，如圖3所示。

終端防護(hù)系統(tǒng)的主要管理對(duì)象為人員、設(shè)備、軟件、外設(shè)和網(wǎng)絡(luò)，具體管理規(guī)則由管理員通過網(wǎng)絡(luò)服務(wù)管理系統(tǒng)進(jìn)行管理策略編輯。

當(dāng)管理規(guī)則有變動(dòng)時(shí)，網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過網(wǎng)絡(luò)介質(zhì)通知相關(guān)終端防護(hù)系統(tǒng)，終端防護(hù)系統(tǒng)進(jìn)行新管理規(guī)則的應(yīng)用。

應(yīng)用層是指終端防護(hù)系統(tǒng)實(shí)現(xiàn)的所有功能，是終端防護(hù)系統(tǒng)的核心，包括身份認(rèn)證、全盤加密、終端客戶端自防護(hù)、終端客戶端信息感知、網(wǎng)絡(luò)白名單、外設(shè)白名單、軟件白名單、軟件信息采集。

驅(qū)動(dòng)層是指所有終端防護(hù)系統(tǒng)所使用的驅(qū)動(dòng)防護(hù)技術(shù)，包括Minifilter文件過濾驅(qū)動(dòng)、Windows虛擬桌面、Windows WFP框架和分區(qū)加密技術(shù)。

資源層是指終端防護(hù)系統(tǒng)主要防護(hù)的系統(tǒng)資源，包括文件系統(tǒng)、注冊(cè)表和網(wǎng)絡(luò)連接。

2.2.1? 終端防護(hù)系統(tǒng)應(yīng)用層設(shè)計(jì)

終端防護(hù)系統(tǒng)應(yīng)用層包括身份認(rèn)證模塊、加密分區(qū)模塊、終端客戶端自防護(hù)模塊、終端客戶端信息感知模塊、網(wǎng)絡(luò)白名單模塊、外設(shè)白名單模塊、軟件白名單模塊、軟件信息采集模塊等八部分。

1） 身份認(rèn)證模塊

終端登入者登錄終端防護(hù)系統(tǒng)時(shí)需要進(jìn)行身份認(rèn)證，用戶插入U(xiǎn)Key、輸入用戶名和登錄密碼，向網(wǎng)絡(luò)服務(wù)管理系統(tǒng)提交身份認(rèn)證請(qǐng)求，認(rèn)證通過才能進(jìn)入終端客戶端工作區(qū)。

2） 加密分區(qū)模塊

加密分區(qū)模塊采用Minifilter文件過濾驅(qū)動(dòng)和沙箱技術(shù)實(shí)現(xiàn)，通過使用國(guó)密SM4加密算法對(duì)文件進(jìn)行透明加解密。

3） 終端客戶端自防護(hù)模塊

為了防止終端防護(hù)系統(tǒng)遭惡意破壞，導(dǎo)致終端客戶端脫離該系統(tǒng)的保護(hù)，終端防護(hù)系統(tǒng)具備自防護(hù)能力。

4） 終端客戶端信息感知模塊

終端防護(hù)子系統(tǒng)提供對(duì)終端信息的感知和收集功能，便于追蹤和追溯終端狀態(tài)，具有相應(yīng)權(quán)限的人員能夠在服務(wù)端查看終端的感知信息。

5） 網(wǎng)絡(luò)白名單模塊

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過網(wǎng)絡(luò)規(guī)則管理功能模塊進(jìn)行網(wǎng)絡(luò)規(guī)則管理，終端防護(hù)系統(tǒng)通過通信接口與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通信，獲取網(wǎng)絡(luò)規(guī)則，通過網(wǎng)絡(luò)白名單功能對(duì)網(wǎng)絡(luò)進(jìn)行控制。

6） 外設(shè)白名單模塊

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過傳輸外設(shè)管理功能模塊進(jìn)行傳輸外設(shè)規(guī)則管理，終端防護(hù)系統(tǒng)通過通信接口與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通信，獲取傳輸外設(shè)管理規(guī)則，通過外設(shè)白名單功能對(duì)傳輸外設(shè)進(jìn)行控制。

7） 軟件白名單模塊

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過軟件規(guī)則管理功能模塊進(jìn)行軟件規(guī)則管理，終端防護(hù)系統(tǒng)通過通信接口與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通信，獲取軟件管理規(guī)則，通過軟件白名單功能對(duì)終端運(yùn)行軟件進(jìn)行控制。

8） 軟件信息采集模塊

軟件信息采集模塊是終端防護(hù)系統(tǒng)為方便進(jìn)行軟件信息采集提供的獨(dú)立工具，完成軟件信息采集能夠通過與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)的通信接口傳輸至網(wǎng)絡(luò)服務(wù)管理系統(tǒng)，具備相關(guān)權(quán)限的終端登入者可在軟件規(guī)則功能模塊中對(duì)相關(guān)軟件信息進(jìn)行管理。

2.2.2? 終端防護(hù)系統(tǒng)驅(qū)動(dòng)層設(shè)計(jì)

1） Minifilter文件過濾

Minifilter文件過濾驅(qū)動(dòng)負(fù)責(zé)對(duì)資源層文件系統(tǒng)進(jìn)行過濾，實(shí)現(xiàn)文件系統(tǒng)安全防護(hù)與隔離功能。

2） Windows虛擬桌面

Windows虛擬桌面負(fù)責(zé)提供創(chuàng)建、切換、刪除桌面的功能。

3） Windows WFP框架

Windows WFP框架是Windows提供的一種網(wǎng)絡(luò)數(shù)據(jù)包過濾框架，提供了對(duì)資源層網(wǎng)絡(luò)連接的過濾控制功能。

4） 分區(qū)加密技術(shù)

分區(qū)加密技術(shù)提供了保護(hù)磁盤文件數(shù)據(jù)存儲(chǔ)安全的功能。

2.3? 終端安全防護(hù)模型流程設(shè)計(jì)

終端安全防護(hù)模型的流程設(shè)計(jì)分為三部分，分別為作為客戶端的終端防護(hù)子系統(tǒng)、作為服務(wù)端的網(wǎng)絡(luò)服務(wù)管理系統(tǒng)和負(fù)責(zé)客戶端與服務(wù)端進(jìn)行通信的網(wǎng)絡(luò)通信層。

終端安全防護(hù)模型流程設(shè)計(jì)如圖4所示。

終端防護(hù)系統(tǒng)基于Windows驅(qū)動(dòng)層進(jìn)行設(shè)計(jì)，在驅(qū)動(dòng)層之上為應(yīng)用層的后臺(tái)服務(wù)程序和daemon服務(wù)程序（守護(hù)服務(wù)程序），其中，后臺(tái)服務(wù)程序?yàn)橛脩艚缑嫣峁┗灸K功能，daemon服務(wù)程序通過ShellExt（Windows動(dòng)態(tài)鏈接庫(kù)）為用戶界面提供服務(wù)，在應(yīng)用層之上提供加密分區(qū)和安全桌面功能。

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)是基于Web應(yīng)用服務(wù)進(jìn)行設(shè)計(jì)的，數(shù)據(jù)持久層采用數(shù)據(jù)庫(kù)進(jìn)行數(shù)據(jù)存儲(chǔ)，在數(shù)據(jù)持久層之上，通過服務(wù)中間件和消息中間件為用戶界面功能提供相應(yīng)服務(wù)。

終端防護(hù)系統(tǒng)和網(wǎng)絡(luò)服務(wù)管理系統(tǒng)之間的通信是通過網(wǎng)絡(luò)通信層實(shí)現(xiàn)，包括身份認(rèn)證接口、網(wǎng)絡(luò)白名單傳輸接口、軟件白名單傳輸接口、外設(shè)白名單傳輸接口、終端客戶端感知信息傳輸接口和軟件采集信息傳輸接口。

3? 結(jié)? 語(yǔ)

隨著網(wǎng)絡(luò)技術(shù)日新月異的發(fā)展，網(wǎng)絡(luò)信息安全的思想也時(shí)時(shí)刻刻的改變。深入研究終端防護(hù)模型的機(jī)理，根據(jù)傳統(tǒng)防護(hù)模型提出一種新型終端安全防護(hù)模型，新防護(hù)模型結(jié)合虛擬安全桌面與分區(qū)加密技術(shù)，較好地解決了終端使用人員失泄密的各種安全問題，具有很重要的現(xiàn)實(shí)意義。

參考文獻(xiàn)

[1] 楊國(guó)利，代祥，毛捍東.內(nèi)網(wǎng)終端安全檢查與接入控制的設(shè)計(jì)與實(shí)現(xiàn)[J].計(jì)算機(jī)工程與應(yīng)用，2013，49（6）：109?113.

[2] 張學(xué)媛，胡益浩，王曦，等.一種高效移動(dòng)景物終端安全管控平臺(tái)[J].現(xiàn)代電子技術(shù)，2014，37（6）：39?40.

[3] 黃勤龍，楊義先.云計(jì)算數(shù)據(jù)安全[M].北京：北京郵電大學(xué)出版社，2018.

[4] 石少敏，石少煒.基于云計(jì)算虛擬化桌面管理模塊設(shè)計(jì)[J].計(jì)算機(jī)應(yīng)用，2017，36（8）：47?49.

[5] 楊慶明，杜保東.桌面終端安全防護(hù)技術(shù)企業(yè)網(wǎng)管理中的應(yīng)用研究[J].計(jì)算機(jī)安全，2010（10）：77?79.

[6] 張晗，譚箐，劉洪源.實(shí)驗(yàn)室內(nèi)部網(wǎng)絡(luò)終端安全管理[J].現(xiàn)代電子技術(shù)，2012，35（17）：86?88.

[7] 龐雄昌，王喆.一種改進(jìn)的內(nèi)網(wǎng)安全防護(hù)策略[J].計(jì)算機(jī)安全，2012（12）：9?12.

[8] 聶大成，陳英，曾夢(mèng)岐.車聯(lián)網(wǎng)終端安全防護(hù)技術(shù)研究[J].通信技術(shù)，2017，50（8）：1794?1799.

[9] 周文，劉曉毅，龍愷.基于安全終端的虛擬桌面系統(tǒng)[J].通信技術(shù)，2014，47（6）：662?667.

[10] 張敬倫，張永生，高麗琴.基于內(nèi)網(wǎng)數(shù)據(jù)安全防護(hù)引擎的安全架構(gòu)設(shè)計(jì)[J].通信技術(shù)，2017，50（1）：158?161.