当前企业业务应用深度集成，业务流程全面贯通，数据和基础服务高度共享，并且随着云时代的到来，企业云平台承载着大量的结构化数据和非结构化数据的处理和存储，其中敏感数据的保护和管理对企业的安全、国家的安全都至关重要。近些年国内外发生了多起数据泄漏案件，例如在力拓“间谍案”中，业务负责人泄漏了涉及国际市场原材料购买、知识产权等各个方面机密数据，给国家带来的经济损失额度相当于澳大利亚国内生产总值的10%，达7000亿元人民币；IBM前全球服务部门高管，在从IBM跳槽至HP前2个月，获取了能源企业关产品成本和原材料的绝密信息，并将商业机密发邮件给HP能源企业，从而造成了IBM能源企业重要商业数据的泄密；中国互联网史上最大泄密事件CSDN网站注册用户有超1亿的密码被公开，相关联的多数知名网站的用户称密码也遭网上公开泄露；另外还有法国雷诺泄密商业间谍案，前苹果员工出卖机密信息，IMF数据库遭“黑客”攻击，高盛资料被内部员工窃取等大量的数据泄漏案件层出不穷，给企业乃至国家带来了巨大的损失。在分析数据泄露的各类案例中，一部分是由员工因为某种利益而故意泄露，而大部分情况下都是员工在无意中泄露出去的。员工在使用没有任何安全防护措施的终端和系统，可能有意或者无意地通过网络泄露企业机密信息，同时，各种支持USB连接的移动设备不断涌现，也使得企业的机密信息很方便地被拷进U盘或移动硬盘等设备中带走，导致企业的时间、资金和声誉遭到严重的威胁。
因此数据防泄漏、防破坏、防滥用等信息安全领域的数据保护技术正越来越受到大家的关注，如何保证重要的数据和信息不被泄露已经成了企业最关键的安全工作之一。
1.数据保护现状
企业根据国家对数据保护的要求和自身发展的迫切需要，开展了数据保护工作，例如部分企业采用国内信息安全厂商以文档透明加密和权限管理为核心，结合文档备份、文档外发控制、网络边界控制、终端管理等技术手段防止敏感数据泄露；部分企业采用国外信息安全厂商以信息分类为基础，结合外设及网络协议控制、信息过滤等技术来防止敏感数据泄露。相关技术措施各有特点，面对的对象和解决问题的重点各不相同，有的技术重点关注终端安全，有的技术解决文档保密，有的技术重点在防止泄密等。企业在现有的传统数据保护技术的基础上，仍需要认真思考以下几个问题：
(1)若不考虑数据的敏感程度，粗放式的保护措施不但带来了管理复杂度增加，运作效率低下，且必须花费巨额成本。
(2)若不考虑敏感数据内容管控，人员有意或无意的数据泄漏不仅造成巨大经济损失，还会给企业、国家带来安全风险。
(3)若不考虑数据流向监控，敏感信息通常以报表、网页、文档等结构化和非结构化数据呈现，通过企业ERP、OA、MIS等系统生产以及通过USB、邮件、打印等手段进行传播，企业将无法掌握数据传递过程，不能提供全面的安全审计和法庭举证。
(4)面对企业云环境下的海量数据，如何快速、自动检索出企业的数据内容，将可大幅减少企业数据检索的成本。
因此，企业必须对内部的敏感数据内容进行管控，实现全方位的敏感信息监控、泄漏行为阻止和事件定位回溯，在把对用户的干扰降至最低的同时兼顾安全、成本与效能。
2.数据保护与防泄漏平台架构设计
2.1 总体思路
企业应结合日常办公及各业务系统数据保护需求，从主动发现、自主授权、全面防护、行为跟踪4个方面建立统一数据保护与防泄漏平台，作为企业数据安全防护基础设施，对业务系统和终端提供统一的数据加密、访问授权、身份认证、完整|生保护和水印保护等服务，实现对敏感数据的检测、监控、防护全过程管控。
如图1所示，数据保护与防泄漏平台利用敏感数据模型和搜索引擎，检索和识别出业务系统和终端的敏感数据，并植入文件“指纹”进行定位，实现平台的“主动发现”；通过用户对敏感数据的重要性判定，自行对文件进行阅读、打印、转发等功能授权，实现平台的“自主授权”；采用智能扫描、进程保护、外发控制、水印保护、透明加解密等技术手段，对邮件，打印，拷贝等行为进行防护，实现平台的“全面防护”；利用文件“指纹”与索引，对敏感数据进行监控、审计和全过程回溯，实现平台的“行为跟踪”。
图1 数据保护与防泄漏平台的总体思路
2.2 全生命周期保护
企业应从数据的生成、存储、操作、传输和销毁的全生命周期过程的各个维度出发，通过对业务系统和终端的数据使用行为分析，采用数据保护与防泄漏平台的针对性防护和监控措施，实现数据生命周期各环节的数据安全。
如图2所示，在数据全生命周期保护过程中，数据保护与防泄漏平台通过强制加密措施或选择性加密措施对敏感数据进行加密，达到“防泄密”；采用权限控制措施限制访问次数和时间，采用打印控制措施防止非授权用户打印，采用拷贝控制措施对拷贝行为进行阻断，采用外发控制措施阻断对敏感数据的外发和告警，达到“防扩散”；采用完整性保护措施对数据进行完整性保护，达到“防篡改”；采用水印保护措施，明确标示企业版权，限于企业范围授权使用，达到“防侵权”；通过对产生、使用、传输、拷贝、外发、存储和销毁等关键过程进行审计，达到“可审计”；通过采用监控措施对敏感数据分布状况、终端敏感操作、敏感数据实时状态进行监控，实现对所有操作可追溯，并对数据的全生命周期过程重现，达到“可追踪”。
图2 全生命周期防护
2.3 整体架构
企业数据保护与防泄漏平台的建立必须先完成以下重要数据梳理工作：
(1)结合自身数据保护管理制度，调研并分析数据保护程度与保护对象的需求，确定数据保护的总体防护策略；
(2)全面梳理敏感数据分布范围、数据敏感特征、数据承载对象和数据所处环境，并根据梳理结果对敏感数据进行有效的分级分类，制定敏感数据模型；
(3)根据制定的敏感数据模型，建立敏感数据检索引擎和非结构化数据的解析引擎，通过引擎建立企业敏感数据的全网索引。
在以上建立的防护策略、敏感数据模型和识别引擎的基础上，企业数据保护与防泄漏平台可以为企业办公终端、业务系统、数据库和网络边界等提供数据保护、管理、监控和分析等全面的防护措施。
整个架构中，终端数据安全模块、数据库安全模块和网络安全模块通过敏感数据识别、加密授权保护、水印保护、进程与内存监控、打印控制、安全审计等技术手段提供统一的接口和服务，解决终端、业务系统和网络边界的数据主泄漏和被动泄漏问题，解决包括终端的u盘、打印、邮件、聊天工具等可能出现的数据泄漏风险，提供OA、ERP、营销、财务管控等业务系统的数据保护服务。数据保护策略管理层主要依据企业数据保护的总体防护策略，灵活制定并监控前端数据保护模块的相关保护策略，用户权限和资产管理，收集前端模块的审计操作信息，对数据保护及泄漏情况进行预分析处理。数据保护监控分析层通过业务数据监视、合规监视和数据流向回溯等手段实现数据保护的全生命周期监控、通过数据分析、泄漏趋势分析和操作时间分析实现数据安全的风险分析，通过内容搜索技术实现企业敏感信息数据挖掘分析以及数据内容的风险评价。平台整体架构如图3所示。
图3 数据保护与防泄漏平台整体架构
3.平台实现的关键技术
3.1“指纹”的设计
“指纹”是指依据文件的内容、安全级别、终端信息等要素所产生的具有唯一性、保密性和安全性的内容标识。“指纹”被嵌入目标文件后，对终端用户不可见，用户无法直接得到“指纹”信息，终端用户无法直接对“指纹”进行修改或伪造，文件被修改后，“指纹”信息依旧能够保持其完整性。
“指纹”信息的结构包含标识头和内容两部分。标识头用于定位标识在文件中的位置，内容包含唯一标识符、扩展信息及远程信息。唯一标识符用于对用户终端文件进行唯一标识，扩展信息包含简单的文件和终端信息；远程信息包含该文件所关联的文件原始内容信息、文件密级、终端信息等综合内容，远程信息存储于远程数据库中，用以对文件标识进行自校验，防止被用户篡改或伪造。
3.2 索引的设计
数据保护索引是通过建立一个反向索引，在数据源排序顺序存储的同时建立关键词列表，用于存储关键词和数据内容的对应关系，利用这样的映射关系索引关键词及出现关键词的文档、出现次数、出现频率、出现位置的起始偏移量和结束偏移量。数据保护索引的建立过程主要包括以下几个步骤，首先将需要进行索引的文件进行文本化和分词处理，以得到文本分词后的词元；其次将得到的词元传送至语言处理组件，并针对得到的词元做同该类语言相关的处理；最后将得到的词传送至索引组件，建立相应的索引文件。
3.3 自我保护功能的实现
终端模块的自我保护功能主要包括程序保护及数据保护两部分。程序保护是指对程序本身、相关进程及服务等进行保护。数据保护是指对程序所关联的数据库、配置文件等进行保护。自我保护功能的目的主要是防止用户对程序进行破坏，保证程序功能的完整性。目前程序及数据保护采用内核级API钩子技术，在系统底层对敏感操作进行拦截，过滤非授权进程产生的危险动作，防止用户直接结束进程、删除程序数据、破坏程序的功能。
3.4 加密策略设计
依据数据敏感性、终端特殊性和用户角色的不同，设计强制性加密策略和选择性加密策略。对重要业务系统输出的文件、精确匹配的敏感数据文件以及特定敏感终端采用强制加密策略进行加密，包括可以对单个文件加密、单个目录加密或全盘加密。对模糊匹配的敏感数据文件采用选择性加密策略进行加密。在对文件进行加密保护时，如果单纯采用非对称加密，效率非常慢，并且每个终端都需要一个密钥对，在密钥的管理上比较复杂。因此平台设计采用“一文一密”的密钥管理与分发模式，在简化密钥管理同时保证加密文件安全性。整个数据密钥的分发与管理的过程无需用户主动干预，对用户数据文件的操作不产生任何影响，文件加密时系统自动读取密钥，并将加密密钥安全的传输到对端，文件解密时系统自动获取密钥。
4.结束语
基于全生命周期的数据保护体系，保证了企业各类终端、业务系统、数据库和网络等数据在各个环节过程中的安全，解决了有意无意的数据泄漏问题。企业数据保护与防泄漏平台通过数据保护与监控措施，一旦发生敏感数据的泄漏行为，可实现敏感数据的无法利用，并可追溯还原泄漏的整个过程，实现企业泄密事件的可审计、可追踪、可取证、可追究，保障企业的敏感数据安全。本文的解决方案充分考虑了企业人员操作和业务应用的需求，为企业数据保护提供了解决思路，具有较高的参考价值和非常重要的现实意义。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：企业数据保护与防泄漏平台的设计与实现
本文网址：http://www.toberp.com/html/consultation/10839513517.html
相关文章
