一種數(shù)據(jù)防擴(kuò)散平臺在企業(yè)多業(yè)務(wù)場景中的應(yīng)用

【 摘 要 】 數(shù)據(jù)擴(kuò)散是企業(yè)面臨的關(guān)鍵信息安全問題之一，必須采用防護(hù)機(jī)制與策略保護(hù)企業(yè)核心數(shù)據(jù)。由于數(shù)據(jù)防擴(kuò)散工作是一項涉及“人”、“計算機(jī)”、“數(shù)據(jù)”等多方面要素的系統(tǒng)性工程，需提出一套整體性的、針對于不同要素的防護(hù)機(jī)制與策略?；趯﹂_展數(shù)據(jù)防擴(kuò)散工作的認(rèn)識，以將“計算機(jī)”設(shè)置為安全邊界、將“人”設(shè)定為可信人員、在安全邊界內(nèi)使用“數(shù)據(jù)”為方法，組織研發(fā)一種數(shù)據(jù)防擴(kuò)散平臺。經(jīng)在四種業(yè)務(wù)場景中的應(yīng)用，該平臺有效保護(hù)了業(yè)務(wù)場景中的數(shù)據(jù)。

【 關(guān)鍵詞 】 計算機(jī)；數(shù)據(jù)防擴(kuò)散；數(shù)據(jù)靜態(tài)存儲；數(shù)據(jù)動態(tài)傳遞

Application of a Data Loss Prevention Platform in Enterprises Multi-Business Scenarios

Wang Jie

（China Petroleum Engineering Co.，Ltd Southwest Company SichuanChengdu 610041）

【 Abstract 】 Data loss is one of the vital information security issues faced by the modern company. Prevention mechanisms and policies are now undoubtedly a necessary to protect companys business-critical data. Since data loss prevention is a systematic engineering project， which normally containing multi-factors （i.e. people， computer and data）， it is important to propose an overviewed but each factor-targeted prevention mechanism with appropriate policies. According to the understanding of data prevention practices， a data loss prevention platform， which defining the computer as the secure boundary and authorizing the staff as the trusted user， proposed and implemented to utilize the data within the secure boundary. By applying the proposed platform in four business scenarios， it is shown that this platform effectively protects the business data.

【 Keywords 】 desktop computer； data loss prevention； data static storing； data dynamic transmission

1 引言

隨著信息化技術(shù)的迅猛發(fā)展，企業(yè)通過開展?jié)M足自身需求的信息化建設(shè)提升辦公手段、提高工作效率，并形成和積累了大量的過程與成果數(shù)據(jù)。這些數(shù)據(jù)被視為企業(yè)重要的無形資產(chǎn)，是企業(yè)的五大核心資源中的一項[1]。若數(shù)據(jù)被擴(kuò)散，不僅導(dǎo)致企業(yè)在激烈的市場競爭中處于不利的地位，還可能對國家政治、經(jīng)濟(jì)、社會和個人造成重大影響[2]。

據(jù)統(tǒng)計，92%的數(shù)據(jù)擴(kuò)散事件可歸入九種基本模式（其中，內(nèi)部失竊約占19%，物理性損失約占16%。）[3]。為保護(hù)數(shù)據(jù)安全，企業(yè)常用技術(shù)手段為“數(shù)據(jù)加密”，但其實質(zhì)是利用密碼技術(shù)對數(shù)據(jù)進(jìn)行加密隱藏。當(dāng)加密數(shù)據(jù)被擴(kuò)散后，雖能延緩數(shù)據(jù)被使用的時間、增大數(shù)據(jù)被使用的成本，但仍存在被破解的風(fēng)險[4]。而用于防止數(shù)據(jù)擴(kuò)散的系統(tǒng)（Data Leakage/Loss Prevention System）往往具備識別、監(jiān)控和保護(hù)敏感數(shù)據(jù)的能力，并可根據(jù)預(yù)先定義的安全策略檢測誤用情況[5]。常見的商用數(shù)據(jù)防擴(kuò)散系統(tǒng)包括：McAfee DLP、Check Point DLP、防水墻等。這些系統(tǒng)或機(jī)制在應(yīng)用過程中必須根據(jù)企業(yè)的業(yè)務(wù)特征和對數(shù)據(jù)安全等級的定義進(jìn)行配置[6]；并以“用戶驅(qū)動”的方式提高用戶的安全意識、告知用戶企業(yè)的安全策略、在關(guān)鍵數(shù)據(jù)上打標(biāo)簽，否則，可能導(dǎo)致較高的錯誤檢測率[7]。

筆者參與了所在企業(yè)開展的數(shù)據(jù)防擴(kuò)散研究工作，基于企業(yè)戰(zhàn)略和業(yè)務(wù)需要，梳理了四種業(yè)務(wù)場景的數(shù)據(jù)防擴(kuò)散需求，構(gòu)建了適用的數(shù)據(jù)防擴(kuò)散平臺。本文總結(jié)了在數(shù)據(jù)防擴(kuò)散研究過程中的認(rèn)識，數(shù)據(jù)防擴(kuò)散平臺的構(gòu)建方式，以及數(shù)據(jù)防擴(kuò)散平臺在四個業(yè)務(wù)場景中的適應(yīng)性。

2 對企業(yè)開展數(shù)據(jù)防擴(kuò)散工作的認(rèn)識

數(shù)據(jù)擴(kuò)散的發(fā)生通常由“人”、“計算機(jī)”和“數(shù)據(jù)”三個基本要素構(gòu)成。企業(yè)應(yīng)結(jié)合自身的行業(yè)特征與業(yè)務(wù)特點(diǎn)，對三個基本要素體系化地開展數(shù)據(jù)防擴(kuò)散工作，主要包括：（1）識別可能的數(shù)據(jù)擴(kuò)散途徑；（2）確定合理的數(shù)據(jù)安全級別；（3）規(guī)劃、驗證、實施可行的安全保護(hù)策略。

2.1 關(guān)于識別數(shù)據(jù)擴(kuò)散途徑

圖1展示了常見的數(shù)據(jù)擴(kuò)散途徑樣例。在數(shù)據(jù)的靜態(tài)存儲過程中，數(shù)據(jù)可以通過數(shù)據(jù)存儲介質(zhì)被盜用、復(fù)制的方式（包括但不限于：竊取計算機(jī)硬盤或計算機(jī)主機(jī)）被擴(kuò)散；在數(shù)據(jù)的動態(tài)傳遞過程中，數(shù)據(jù)可以通過網(wǎng)絡(luò)傳輸?shù)姆绞剑òǖ幌抻冢涸诰€聊天工具傳輸、郵件傳輸、網(wǎng)盤上傳）和使用移動存儲介質(zhì)拷貝數(shù)據(jù)的方式[8]被擴(kuò)散；在數(shù)據(jù)的動態(tài)使用過程中，數(shù)據(jù)可以通過被復(fù)制的形式（包括但不限于：相機(jī)拍攝、文件復(fù)印）被擴(kuò)散。

2.2 關(guān)于數(shù)據(jù)安全級別與安全保護(hù)策略

由數(shù)據(jù)的擁有者負(fù)責(zé)確定數(shù)據(jù)的敏感程度并明確是否需要得到保護(hù)，是一種較好的實踐方法[9]。但要全面、準(zhǔn)確、規(guī)范地識別數(shù)據(jù)對企業(yè)生產(chǎn)經(jīng)營管理的重要性與涉密程度，并定義安全級別，是企業(yè)開展基于“數(shù)據(jù)”的數(shù)據(jù)防擴(kuò)散工作的難點(diǎn)。

3 技術(shù)方法

本數(shù)據(jù)防擴(kuò)散平臺的目標(biāo)，不是根據(jù)數(shù)據(jù)的安全等級對數(shù)據(jù)精準(zhǔn)地執(zhí)行防擴(kuò)散措施，而是將“人員”和“計算機(jī)”作為管控的對象，構(gòu)建出一種可控的數(shù)據(jù)使用環(huán)境，以使合法的人員在可控的計算機(jī)上存儲和使用數(shù)據(jù)。

3.1 總體架構(gòu)

數(shù)據(jù)防擴(kuò)散平臺的總體架構(gòu)和主要包含的模塊如圖2所示。

（1）“模版管理模塊”：用于管理每個業(yè)務(wù)場景中使用的操作系統(tǒng)和應(yīng)用軟件鏡像。

（2）“安全策略管理模塊”：用于定制和管理每個業(yè)務(wù)場景中的安全策略。

（3）“計算機(jī)管理模塊”：用于管理每個業(yè)務(wù)場景中使用的終端計算機(jī)。

（4）“用戶管理模塊”：用于管理每個業(yè)務(wù)場景中使用終端計算機(jī)的人員，包括：人員的使用權(quán)限授權(quán)、登陸計算機(jī)的賬號管理。

（5）“管理員管理模塊”：用于超級管理員對每個業(yè)務(wù)場景的二級管理員進(jìn)行管理。

3.2 部署邏輯

數(shù)據(jù)防擴(kuò)散平臺是將計算機(jī)需要部署的操作系統(tǒng)和應(yīng)用軟件集中到后臺服務(wù)器，形成統(tǒng)一管理的鏡像模板。根據(jù)不同業(yè)務(wù)場景的數(shù)據(jù)防擴(kuò)散管控需要，在服務(wù)器中針對“人員”和“計算機(jī)”配置各業(yè)務(wù)場景的安全策略（主要包括：計算機(jī)的物理層安全策略、計算機(jī)的操作系統(tǒng)層安全策略、計算機(jī)的部署環(huán)境安全策略、人員安全策略）。最后將鏡像模板和配套安全策略統(tǒng)一下發(fā)至業(yè)務(wù)場景下的計算機(jī)。

下發(fā)到計算機(jī)的操作系統(tǒng)和應(yīng)用軟件充分利用計算機(jī)自身硬件的計算資源實現(xiàn)本地化運(yùn)算。與此同時，數(shù)據(jù)防擴(kuò)散平臺與計算機(jī)實時進(jìn)行數(shù)據(jù)引導(dǎo)，確保計算機(jī)在后臺服務(wù)器的實時檢測和統(tǒng)一管理，以保持各項數(shù)據(jù)防擴(kuò)散策略的有效性。

4 多業(yè)務(wù)場景應(yīng)用

4.1 應(yīng)用的業(yè)務(wù)場景

數(shù)據(jù)防擴(kuò)散平臺在筆者所在企業(yè)應(yīng)用的業(yè)務(wù)場景如下。

（1）工程設(shè)計場景。該業(yè)務(wù)場景主要采用了AVEVA工程設(shè)計軟件開展工程設(shè)計工作[10]。由于AVEVA工程設(shè)計軟件是C/S架構(gòu)模式，其設(shè)計數(shù)據(jù)往往存放于項目專用服務(wù)器。但由于AVEVA數(shù)據(jù)文件存放形式的特殊性，其數(shù)據(jù)文件可拷貝至計算機(jī)本地。另外，為了滿足項目設(shè)計質(zhì)量與進(jìn)度要求，常聘用臨時設(shè)計團(tuán)隊開展設(shè)計工作。該場景需授權(quán)臨時設(shè)計團(tuán)隊使用指定計算機(jī)，并在整個設(shè)計過程中防止設(shè)計數(shù)據(jù)和設(shè)計成果被惡意拷貝或?qū)⒂脖P移植至其它計算機(jī)中使用。

（2）軟件外包研發(fā)場景。在多個軟件外包研發(fā)過程中，研發(fā)團(tuán)隊所使用的輸入?yún)⒖假Y料為多年累積形成的關(guān)鍵業(yè)務(wù)知識；而研發(fā)獲得的設(shè)計文檔、軟件源代碼、軟件安裝包，也是重要的信息資產(chǎn)。該場景需為軟件外包研發(fā)團(tuán)隊提供專門的駐場研發(fā)環(huán)境。

（3）電子圖檔存檔場景。電子圖檔主要包括歷年工程設(shè)計項目和科研項目的電子化成果文件，是重要的數(shù)據(jù)資產(chǎn)和知識積累，具有復(fù)用、挖掘的重要價值。在該業(yè)務(wù)場景中，電子圖檔存檔需由指定工作人員在指定計算機(jī)上通過端口導(dǎo)入，并上傳至圖檔系統(tǒng)。該場景需授權(quán)唯一的電子圖檔存檔管理人員使用指定的計算機(jī)，并對計算機(jī)端口使用進(jìn)行管控。

（4）采購評標(biāo)場景。采購評標(biāo)場景中采用了電子化的采購評標(biāo)方式，評標(biāo)專家通過專用的計算機(jī)評判投標(biāo)方提交的投標(biāo)電子文檔，并在指定的評標(biāo)系統(tǒng)中做出投標(biāo)評判。該場景需嚴(yán)防電子版的投標(biāo)文檔和評標(biāo)報告在評標(biāo)結(jié)果公布前被擴(kuò)散。

4.2 策略應(yīng)用

當(dāng)數(shù)據(jù)防擴(kuò)散平臺向業(yè)務(wù)場景中的計算機(jī)推送鏡像模板時，應(yīng)用以下配套安全策略。

（1）802.1x認(rèn)證配置。阻止用戶將未部署數(shù)據(jù)防擴(kuò)散平臺的計算機(jī)接入指定網(wǎng)絡(luò)環(huán)境，避免訪問存放有數(shù)據(jù)的服務(wù)器或共享文件夾。

（2）加域及域控配置。僅允許具有合法賬號的指定用戶登錄、使用計算機(jī)；且可配套應(yīng)用其它域控管理策略。

（3）端口配置。管理計算機(jī)端口，禁止通過USB、光驅(qū)、藍(lán)牙等端口將數(shù)據(jù)拷貝。

（4）硬盤加密配置。對計算機(jī)物理硬盤加密，阻止硬盤移除后在其它計算機(jī)中直接讀取數(shù)據(jù)。

（5）快速恢復(fù)策略。在計算機(jī)出現(xiàn)中病毒、軟件遭到破壞等故障后，通過操作系統(tǒng)推送快速將計算機(jī)恢復(fù)到正常狀態(tài)。

5 結(jié)束語

筆者所在企業(yè)基于已有的私有云架構(gòu)部署數(shù)據(jù)防擴(kuò)散平臺，有效地保護(hù)了多業(yè)務(wù)場景下業(yè)務(wù)數(shù)據(jù)及知識資產(chǎn)的安全，達(dá)到了對計算機(jī)終端的數(shù)據(jù)防擴(kuò)散目的。本平臺適應(yīng)于廣泛的數(shù)據(jù)防擴(kuò)散場景，對其它業(yè)務(wù)場景的實用性及配套安全策略尚待探索。

參考文獻(xiàn)

[1] 郭成華. 工程公司企業(yè)信息化建設(shè)的規(guī)劃方法 [J]. 天然氣與石油， 2016.34（2）：78-81.

[2] 吳世忠. 扼住數(shù)據(jù)擴(kuò)散高發(fā)的勢頭[J].中國信息安全，2012（2）：2.

[3] 郭瑞. 數(shù)據(jù)擴(kuò)散風(fēng)險的趨勢分析[J].信息安全與技術(shù)， 2014，5（10）：18-21.

[4] 史殿娟. 淺談數(shù)據(jù)防擴(kuò)散系統(tǒng)在鐵路產(chǎn)品安全設(shè)計中的應(yīng)用[J].鐵路采購與物流，2015（4）：41-42.

[5] Sultan Alneyadi， Elankayer Sithirasenan， Vallipuram Muthukkumarasamy. A Survey on Data Leakage Prevention Systems [J]. Journal of Network and Computer Applications，2016.

[6] Lior Arbel. Data loss prevention： the business case [J].Computer Fraud & Security， 2015.2015（5）：13-16.

[7] Stephane Charbonneau. The role of user-driven security in data loss prevention [J].Computer Fraud & Security， 2011.2011（11）：5-8.

[8] 何思思，吳一冰，劉新永，等. 淺談三種移動存儲介質(zhì)中數(shù)據(jù)交換的防泄密方案[J].中國科技縱橫，2014（6）：32-33.

[9] Chen Keke， Liu Ling. Privacy Preserving Data Classification with Rotation Perturbation [C]. 5th IEEE International Conference on Data Mining， 2005.

[10] 宋光紅、劉家洪、彭磊、董君. PDMS三維軟件在天然氣處理廠設(shè)計中的應(yīng)用[J].天然氣與石油， 2014.32（6）：68-71.

作者簡介：

王頡（1985-），男，四川成都人，畢業(yè)于英國拉夫堡大學(xué)，博士，從事計算機(jī)應(yīng)用與信息安全管理工作；主要研究方向與關(guān)注領(lǐng)域：計算機(jī)應(yīng)用技術(shù)、信息安全、云計算等。