近年來，隨著棱鏡門的持續(xù)影響，國(guó)內(nèi)對(duì)于國(guó)外IT企業(yè)和IT設(shè)備的使用處于高度警惕狀態(tài)，政府也對(duì)各種牽涉國(guó)外IT企業(yè)的信息安全時(shí)間格外重視。或許也正是由于這種重視和關(guān)注，近幾個(gè)月，關(guān)于國(guó)外IT企業(yè)對(duì)于企業(yè)、政府機(jī)構(gòu)數(shù)據(jù)安全威脅的報(bào)道不斷出現(xiàn)。
政府機(jī)構(gòu)信息安全安全現(xiàn)狀分析
從微軟的win8被政府機(jī)構(gòu)禁止采購(gòu)，到政府或?qū)⑾铝钫畽C(jī)構(gòu)禁止使用Office;從蘋果設(shè)備被爆出存“偷窺”用戶數(shù)據(jù)的后門，到某國(guó)際著名安全廠商由于后門漏洞遭禁用。這一切的一切都把政府機(jī)構(gòu)如何規(guī)避IT設(shè)備尤其是國(guó)外IT設(shè)備對(duì)于數(shù)據(jù)安全的威脅提上日程，是必須盡快、徹底的解決的問題。
雖然很多人會(huì)覺得，禁止采購(gòu)、禁止使用或許就是這一切問題的解決方法，從報(bào)道也可以看出，幾乎所有的行為都和禁止有關(guān)。但如果我們深入分析這些問題的本質(zhì)，我們會(huì)發(fā)現(xiàn)，“禁止”只是治標(biāo)的行為，真正要使得數(shù)據(jù)得到防護(hù)，采用自主可控的信息技術(shù)進(jìn)行系統(tǒng)而又本源的防護(hù)才是終極手段。
“規(guī)避”IT設(shè)備安全隱患的終極手段——數(shù)據(jù)加密
其實(shí)不管是國(guó)外IT企業(yè)和其設(shè)備，還是國(guó)內(nèi)IT企業(yè)和其設(shè)備，只要他們懷有“惡意”，對(duì)政府機(jī)構(gòu)甚至是其他企業(yè)的敏感的數(shù)據(jù)產(chǎn)生的威脅是一樣的——那就是通過設(shè)備和技術(shù)來竊取數(shù)據(jù)或者盜用數(shù)據(jù)，最終達(dá)到監(jiān)控和利用數(shù)據(jù)的目的。所以想要保證這些數(shù)據(jù)的安全，光靠回避始終是“治標(biāo)不治本”的辦法。想要更徹底的防護(hù)文檔和數(shù)據(jù)的安全，采用加密技術(shù)是最好的手段。
數(shù)據(jù)加密直接作用于數(shù)據(jù)本身，使得數(shù)據(jù)在各種情況下都可以得到加密的防護(hù)。再者由于加密防護(hù)特殊性，使得數(shù)據(jù)即使泄露了，加密防護(hù)依然存在，只要算法不被破譯，數(shù)據(jù)和信息仍然可以稱作是安全的。由于這兩點(diǎn)保證，使得加密軟件成為了現(xiàn)代企業(yè)防護(hù)信息安全的最主要和最可靠的手段。同時(shí)由于未來信息安全防護(hù)的多樣需求，在加密軟件或者說加密技術(shù)中，采用走在時(shí)代前沿的多模加密技術(shù)或是最好的選擇。
山麗防水墻獨(dú)創(chuàng)多模加密技術(shù)應(yīng)對(duì)文檔、數(shù)據(jù)多樣危機(jī)
作為山麗防水墻專屬且獨(dú)創(chuàng)的加密技術(shù)，多模加密技術(shù)采用對(duì)稱算法和非對(duì)稱算法相結(jié)合的技術(shù)，在確保加密質(zhì)量的同時(shí)，其多模的特性能讓用戶自主地選擇加密模式從而更靈活地應(yīng)對(duì)各種防護(hù)需求和安全環(huán)境。
同時(shí)山麗防水墻的多模加密模塊還采用了基于系統(tǒng)內(nèi)核的透明加密技術(shù)，從而進(jìn)一步確保了加密防護(hù)的便利性和完整性(加密與格式無關(guān))。
山麗防水墻在政府機(jī)構(gòu)的實(shí)踐案例
一、需求分析
對(duì)于政府機(jī)構(gòu)來說，可能的泄密途徑，應(yīng)該來講主要包括：
服務(wù)器上泄密、工作站泄密、移動(dòng)設(shè)備泄密、網(wǎng)絡(luò)泄密、輸出設(shè)備泄密、客戶泄密、合作單位員工轉(zhuǎn)發(fā)泄密等
主要的表現(xiàn)形式如下：
【服務(wù)器泄密】
1、網(wǎng)絡(luò)維護(hù)人員在進(jìn)行維護(hù)時(shí)使用移動(dòng)硬盤將服務(wù)器上的資料自備一份。
2、維護(hù)人員知道服務(wù)器密碼，遠(yuǎn)程登陸上，將服務(wù)器上的資料完全的拷到本地或者自己家里的機(jī)器上。
【工作站泄密】
1、乘同事不在，開啟同事電腦，瀏覽，復(fù)制同事電腦里的資料。
2、內(nèi)部人員將資料通過軟盤、U盤或移動(dòng)硬盤從電腦中拷出帶走。
3、將筆記本(或者臺(tái)式機(jī))帶出管控范圍重裝系統(tǒng)或者安裝另外一套系統(tǒng)從而將資料拷走。
4、將筆記本(或者臺(tái)式機(jī))帶出管控范圍利用GHOST程序進(jìn)行資料盜竊。
5、將筆記本(或者臺(tái)式機(jī))的硬盤拆回家盜竊資料，第二天早早來裝上。
6、將辦公用便攜式電腦直接帶回家中。
7、將筆記本(或者臺(tái)式機(jī))帶出管控范圍使用光盤啟動(dòng)的方式，使用磁盤管理工具將資料完全拷走。
8、將筆記本(或者臺(tái)式機(jī))的硬盤或整機(jī)送修，資料被好事者拷走。
9、電腦易手后，硬盤上的資料沒有處理，導(dǎo)致泄密。
10、筆記本(或者臺(tái)式機(jī))遺失或者遭竊，里面的資料被完整的竊取。
【網(wǎng)絡(luò)泄密】
1、內(nèi)部人員通過互聯(lián)網(wǎng)將資料通過電子郵件發(fā)送出去。
2、內(nèi)部人員通過互聯(lián)網(wǎng)將資料通過網(wǎng)頁bbs發(fā)送出去。
3、隨意將文件設(shè)成共享，導(dǎo)致非相關(guān)人員獲取資料。
4、將自己的筆記本帶到公司，連上局域網(wǎng)，使用各種手段如ftp、telnet竊取資料
5、隨意點(diǎn)擊不認(rèn)識(shí)的程序、上不熟悉的網(wǎng)站導(dǎo)致中了木馬產(chǎn)生的泄密。
【輸出設(shè)備(移動(dòng)設(shè)備)泄密】
1、移動(dòng)存儲(chǔ)設(shè)備共用，導(dǎo)致非相關(guān)人員獲取資料。移動(dòng)設(shè)備包括：u盤、移動(dòng)硬盤、藍(lán)牙、紅外、并口、串口、1394等
2、將文件打印后帶出。
【客戶泄密】
1、客戶將公司提供的文件自用或者給了競(jìng)爭(zhēng)對(duì)手。
2、客戶處管理不善產(chǎn)生的泄密。
3、員工收到文件后將文件發(fā)送給其他人員產(chǎn)生的泄密。
二、實(shí)施方案
【對(duì)外防護(hù)】
部署防水墻后，在使用者(用戶)登錄了防水墻的客戶端后，使用防水墻提供的加密功能將重要的或者機(jī)密的非加密文件(明文)在加密環(huán)境中進(jìn)行加密(明轉(zhuǎn)密)，轉(zhuǎn)換為加密文件(密文)，或者將密文轉(zhuǎn)換為明文(密轉(zhuǎn)明)。密文與生成文件的軟件或者工具無關(guān)。密文與文件格式無關(guān)。
【對(duì)內(nèi)防護(hù)】
防水墻提供了允許密文合法離開加密環(huán)境，以及禁止密文非法離開加密環(huán)境的功能。
(1)密文合法離開加密環(huán)境是指：用戶在外出期間被授權(quán)采用離線方式讀取密文，從而可以獲得離線授權(quán)將密文轉(zhuǎn)換為明文。防水墻提供指定讀取密文的次數(shù)或者讀取密文的時(shí)限(可以按小時(shí)、天、周或者月計(jì)算)。
(2)密文非法離開加密環(huán)境是指：用戶在沒有被授權(quán)的情況下將密文非法攜帶離開并且將其強(qiáng)行轉(zhuǎn)換為明文。防水墻提供的防范密文非法離境的途徑包括：通過電子郵件(email)和QQ、MSN等IM網(wǎng)絡(luò)軟件工具，使用USB、MP3、數(shù)碼照相機(jī)、手機(jī)和各種存儲(chǔ)卡等移動(dòng)存儲(chǔ)設(shè)備，通過可刻錄的硬存儲(chǔ)設(shè)備(RWCD、RWDVD等)，以及通過FTP等網(wǎng)絡(luò)軟件或者網(wǎng)絡(luò)工具非法傳輸軟件等。系統(tǒng)提供的防范管理策略是指在用戶沒有獲得授權(quán)的情況通過以上非法途徑攜帶離境的密文將在防水墻的防范下無法用明文的方式讀取密文、或者即使讀取的密文也只是以亂碼的形式顯示。
【權(quán)限控制】
(1)防水墻提供了對(duì)所有用戶設(shè)置訪問密文(以下簡(jiǎn)稱讀取密文)權(quán)限的功能。訪問權(quán)限包括查看密文、編輯密文、粘貼密文、復(fù)制密文、刪除密文、重命名密文、打印密文以及下載密文等操作的權(quán)限。
(2)防水墻提供了對(duì)所有用戶設(shè)置密轉(zhuǎn)明權(quán)限的功能。密轉(zhuǎn)明權(quán)限包括審批密轉(zhuǎn)明的權(quán)限和執(zhí)行密轉(zhuǎn)明的權(quán)限。
(3)按照在加密環(huán)境中所屬課題組的不同，防水墻將所有用戶分為項(xiàng)目負(fù)責(zé)人(包括實(shí)驗(yàn)室領(lǐng)導(dǎo)和項(xiàng)目領(lǐng)導(dǎo))、安全管理員、項(xiàng)目組長(zhǎng)和普通用戶等各類用戶。用戶的級(jí)別和等級(jí)數(shù)量可以由買方?jīng)Q定。例如：
A. 項(xiàng)目負(fù)責(zé)人具有最高的設(shè)置權(quán)限的級(jí)別，他們可以控制安全管理員、項(xiàng)目組長(zhǎng)和普通用戶的權(quán)限，項(xiàng)目組長(zhǎng)可以控制普通用戶的權(quán)限。
B. 項(xiàng)目負(fù)責(zé)人可以授權(quán)給安全管理員，由安全管理員代為控制項(xiàng)目組長(zhǎng)和普通用戶的權(quán)限。
(4)對(duì)于不同的密文，一個(gè)用戶可能具有不同的用戶權(quán)限。對(duì)于同一個(gè)密文，一個(gè)用戶可以擁有部分或者全部權(quán)限。
(5)沒有被設(shè)置某種權(quán)限的用戶，將被禁止使用與之對(duì)應(yīng)的權(quán)限訪問密文。如果強(qiáng)行讀取密文，將獲得以亂碼形式顯示的密文。
山麗結(jié)語：
山麗網(wǎng)安作為國(guó)產(chǎn)的老牌數(shù)據(jù)安全防護(hù)廠商，一直致力為企業(yè)、政府機(jī)構(gòu)提供自主可控的信息安全防護(hù)技術(shù)、文檔、數(shù)據(jù)安全軟件和全方位的數(shù)據(jù)、信息安全解決方案。因?yàn)樯禁愊嘈胖挥邪研畔?、?shù)據(jù)、文檔安全防護(hù)的主動(dòng)權(quán)交給服務(wù)對(duì)象本身，才能達(dá)到真正的“安全”!