陸杰

摘 要：隨著信息化技術(shù)的發(fā)展，現(xiàn)代企業(yè)的各項工作都離不開計算機(jī)和信息系統(tǒng)。與此同時，企業(yè)的客戶隱私、公司敏感數(shù)據(jù)、財務(wù)等機(jī)密信息的增加，正驅(qū)使著各個組織對敏感數(shù)據(jù)的安全有著更高的要求。本文對DLP的企業(yè)需求進(jìn)行了詳細(xì)分析，并提出了防護(hù)策略。

關(guān)鍵詞：計算機(jī)安全 數(shù)據(jù)保護(hù) 企業(yè)安全

中圖分類號：F426.6 文獻(xiàn)標(biāo)識碼：A 文章編號：1672-3791（2014）06（a）-0025-01

1 DLP簡介

數(shù)據(jù)泄露防護(hù)（Data leakage prevention，DLP），又稱為“數(shù)據(jù)丟失防護(hù)”也稱為“信息泄漏防護(hù)”。數(shù)據(jù)泄露防護(hù)（DLP）是通過一定的技術(shù)手段，防止企業(yè)的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式流出企業(yè)的一種策略。

2 需求分析

2.1 黑客以及間諜的竊密

國內(nèi)外越來越多的黑客及間諜，通過層出不窮的技術(shù)手段，盜取國內(nèi)企業(yè)各種重要機(jī)密數(shù)據(jù)，已成為中國信息安全的巨大威脅之一。如果置之不理不采取相關(guān)的應(yīng)急和長遠(yuǎn)措施，必將造成無法估量的損失。

2.2 行業(yè)競爭對手的有意竊取

信息技術(shù)的發(fā)展為盜取信息提供了一定的便利，怎么樣做好防護(hù)是不得不采取的必要措施。如果企業(yè)不重視自身重要機(jī)密信息的保護(hù)，不但會造成商業(yè)競爭的被動，直接導(dǎo)致經(jīng)濟(jì)損失，更會導(dǎo)致整個行業(yè)因惡性競爭帶來的衰落與滅亡。

2.3 在職員工無意或者惡意的泄密

目前，企事業(yè)單位人員對于信息安全資產(chǎn)的重要性認(rèn)識不夠，導(dǎo)致部分涉密人員無意泄密，為部分不良分子提供了可乘之機(jī)。另外部分不良的涉密人員，出于對企業(yè)的不滿，肆意將機(jī)密信息公之于眾，帶來巨大的無法挽回的損失和不良影響。

2.4 內(nèi)部文檔權(quán)限失控導(dǎo)致泄密

目前，極大多數(shù)單位涉密信息的權(quán)限劃分是粗放型的，沒有細(xì)分到相應(yīng)的個人。因此，內(nèi)部數(shù)據(jù)和文檔在權(quán)限管控方面的失控，會導(dǎo)致不具備權(quán)限的人員獲得涉密信息，或者是低權(quán)限的人員獲得高涉密信息。從而導(dǎo)致重要機(jī)密數(shù)據(jù)的泄密，無法從根本上杜絕。

2.5 存儲等硬件設(shè)備丟失或維修導(dǎo)致失密或泄密

筆記本電腦、移動硬盤、存儲卡之類的移動存儲設(shè)備，一旦遺失或維修，其存儲的數(shù)據(jù)往往暴露無遺。特別是數(shù)據(jù)一般都有恢復(fù)的特別屬性，所以移動設(shè)備的使用和監(jiān)管是非常重要的一個步驟。

3 防護(hù)方法

3.1 終端數(shù)據(jù)防泄露

在終端數(shù)據(jù)防泄露方面，中國人以獨有的技術(shù)敏感和產(chǎn)品領(lǐng)悟力，推出的文件透明加密、權(quán)限管理、外發(fā)控制等軟件，以文檔透明加密為核心，輔以權(quán)限控制，外發(fā)管理、日志審計等功能，能從源頭上確保數(shù)據(jù)安全。

3.2 磁盤數(shù)據(jù)防泄露

磁盤是存儲數(shù)據(jù)的物理設(shè)備。針對磁盤進(jìn)行管控，就可以防止數(shù)據(jù)泄露。當(dāng)前，防止磁盤數(shù)據(jù)泄露，全球最領(lǐng)先的技術(shù)是全磁盤加密。國家法律規(guī)定，凡涉及到商用密碼的軟件產(chǎn)品，都必須由具備國家商用密碼生產(chǎn)定點單位資格和國家商用密碼銷售許可單位資格的企業(yè)生產(chǎn)和銷售。而且，還必須具備國家保密局、軍隊和公安部的相關(guān)銷售資質(zhì)才可以在國內(nèi)銷售。因此，國外FDE軟件在中國不能得到廣泛應(yīng)用。

3.3 端口數(shù)據(jù)泄露防護(hù)

通過端口管控，來防止數(shù)據(jù)泄露。從技術(shù)上講，不論是物理端口，還是網(wǎng)絡(luò)端口，基本上都能得到保護(hù)。但是，從理論上說，只要數(shù)據(jù)進(jìn)行了加密，就不再需要外圍的端口防護(hù)。既已進(jìn)行了加密，又對端口進(jìn)行防護(hù)，貌似有重復(fù)建設(shè)之疑。但是企業(yè)可以采用多重防護(hù)來保護(hù)數(shù)據(jù)，這是可以采用的辦法。

3.4 服務(wù)器（數(shù)據(jù)庫）數(shù)據(jù)防泄露

大中型企業(yè)的數(shù)據(jù)安全最重要的地方，應(yīng)該是保護(hù)服務(wù)器和數(shù)據(jù)庫。針對文件服務(wù)器數(shù)據(jù)，目前主要還是通過身份認(rèn)證和權(quán)限控制這兩種訪問控制手段來確保安全。而針對應(yīng)用服務(wù)器數(shù)據(jù)安全，相應(yīng)的技術(shù)手段是相當(dāng)孱弱的。

數(shù)據(jù)庫的數(shù)據(jù)安全保護(hù)則更為復(fù)雜，有三種主要的手段：（1）基于文件的數(shù)據(jù)庫加密技術(shù)；（2）基于記錄的數(shù)據(jù)庫加密技術(shù)；（3）子密鑰數(shù)據(jù)庫加密。但是這三種手段都會給數(shù)據(jù)庫的性能帶來極大的影響。針對數(shù)據(jù)庫防泄露，必須采用更為先進(jìn)的技術(shù)手段。

3.5 移動存儲設(shè)備防泄密

移動存儲設(shè)備主要指移動硬盤、U盤、PC儲存卡、MP3、MP4、數(shù)碼照相機(jī)、數(shù)碼攝像機(jī)、手機(jī)、光盤和軟盤等。隨著移動存儲設(shè)備的廣泛使用，移動存儲設(shè)備導(dǎo)致泄密的現(xiàn)象越來越普遍。目前針對移動設(shè)備泄密的解決辦法主要有兩方面：一是對計算機(jī)及內(nèi)部網(wǎng)絡(luò)各種端口進(jìn)行管控，對接入端口的移動設(shè)備進(jìn)行統(tǒng)一認(rèn)證，硬件綁定等方式，限制移動存儲設(shè)備的使用；二是對移動存儲設(shè)備本身設(shè)置口令/密碼進(jìn)行身份識別，并且對移動存儲設(shè)備內(nèi)的數(shù)據(jù)進(jìn)行加密。通常所謂的介質(zhì)管理，就是指移動存儲設(shè)備管理。

4 具體設(shè)計

完整的數(shù)據(jù)安全解決方案應(yīng)包括從身份認(rèn)證、授權(quán)管理、終端管理、數(shù)據(jù)加密、傳輸安全等一系列的內(nèi)容，需要結(jié)合前期數(shù)據(jù)安全項目咨詢、中期數(shù)據(jù)安全防護(hù)產(chǎn)品實現(xiàn)以及后期遵循PDCA思想的循環(huán)改進(jìn)及服務(wù)的多種方式進(jìn)行設(shè)計企業(yè)數(shù)據(jù)防泄密解決方案，沒有前期的安全咨詢和評估作為基礎(chǔ)，中期的數(shù)據(jù)安全產(chǎn)品很難有針對性的部署和實施，數(shù)據(jù)安全產(chǎn)品沒有部署完善，對整個數(shù)據(jù)安全項目的有效性及后續(xù)有針對性的項目改進(jìn)都會造成非常大的影響。數(shù)據(jù)安全防護(hù)項目需要結(jié)合安全評估咨詢、數(shù)據(jù)安全產(chǎn)品實現(xiàn)以及后期的數(shù)據(jù)安全服務(wù)的多種方式進(jìn)行建設(shè)。

企業(yè)數(shù)據(jù)防泄密主要從DLP安全策略和數(shù)據(jù)安全防護(hù)技術(shù)兩方面來考慮。

DLP安全策略包括基本的安全管理制度和安全管理流程。其中安全管理標(biāo)準(zhǔn)包括：數(shù)據(jù)資產(chǎn)管理標(biāo)準(zhǔn)，賬戶安全管理標(biāo)準(zhǔn)，授權(quán)管理標(biāo)準(zhǔn)，公司保密制度，安全事件管理標(biāo)準(zhǔn)，應(yīng)用開發(fā)安全標(biāo)準(zhǔn)，備份與恢復(fù)管理制度，用戶遠(yuǎn)程接入安全標(biāo)準(zhǔn)等。安全流程包括：新系統(tǒng)上線安全檢查流程，數(shù)據(jù)防泄密授權(quán)管理流程，第三方安全管理流程，安全事件監(jiān)控匯報和處理流程，日志安全維護(hù)流程等一系列安全流程。

數(shù)據(jù)安全防護(hù)技術(shù)包括：用戶身份與信任憑證管理，訪問控制，信息流控制，數(shù)據(jù)完整性保護(hù)，安全監(jiān)控與審計等。用戶身份與信任憑證管理包括：企業(yè)的集中用戶管理，用戶權(quán)限分配，用戶目錄管理等。訪問控制包括：網(wǎng)絡(luò)安全域劃分，安全策略控制，會話管理，單點登錄等。信息流控制包括：數(shù)據(jù)流加密，數(shù)據(jù)流內(nèi)容檢測，邊界信息流控制，信息傳輸控制，遠(yuǎn)程安全接入等。數(shù)據(jù)完整性保護(hù)包括：數(shù)據(jù)及文件信息加密保護(hù)，終端安全管理，惡意代碼防護(hù)，補(bǔ)丁管理，策略符合性管理，時間同步管理，備份管理和業(yè)務(wù)持續(xù)性管理。數(shù)據(jù)安全監(jiān)控和審計包括：數(shù)據(jù)泄密事件監(jiān)控，告警，操作審計，數(shù)據(jù)庫審計等。

參考文獻(xiàn)

[1] 深圳虹安公司.DLP—— 信息安全發(fā)展的先鋒[J].信息安全與通信保密，2010，9（2）：43-44.

[2] 吳澤君.利用數(shù)據(jù)泄漏防護(hù)保護(hù)企業(yè)數(shù)據(jù)安全[J].計算機(jī)安全，2010，12（1）：32-33.endprint