◆顧 濤 楊 健

?

公安內網(wǎng)移動存儲介質安全管理系統(tǒng)的設計與研究

◆顧 濤1楊 健2

（1.嘉興市秀洲區(qū)公安分局 浙江 314000；2.嘉興市公安局 浙江 314000）

隨著信息化建設的飛速發(fā)展，網(wǎng)絡技術得到深層次應用，日常辦公已越來越依賴于網(wǎng)絡。移動存儲因其獨特的便利性在日常工作中發(fā)揮著重要作用，但它為工作提供便利的同時，也為網(wǎng)絡信息安全帶來了極大威脅。本文根據(jù)對公安內網(wǎng)特點設計移動存儲介質管理策略，通過動態(tài)授權、介質注冊管理等手段實現(xiàn)對移動存儲介質的有序管理，維護內網(wǎng)的安全。

內網(wǎng)；移動存儲介質；動態(tài)授權；注冊管理

0 引言

隨著我國信息化建設的飛速發(fā)展，網(wǎng)絡技術得到深層次應用，日常辦公已越來越依賴于網(wǎng)絡。移動存儲介質因其體積小、容量大、價格低、攜帶方便、傳輸速率高的特性，也在日常工作中發(fā)揮著重要作用，但它為工作提供便利的同時，也為信息安全帶來了極大隱患，甚至已經(jīng)造成了非常嚴重的后果。我們要加強移動存儲介質的安全保密管理，監(jiān)測移動存儲介質的使用過程，降低使用移動存儲介質導致的數(shù)據(jù)泄露風險，強調全程安全保密管理，使其在保證安全的前提下，滿足各項工作的要求。

1 存在的安全問題

移動存儲具有體積小、容量大、價格低、攜帶方便、傳輸速率高的優(yōu)點，導致其在日常工作中使用率非常高，卻也導致許多管理問題，造成內部信息丟失、攜帶木馬病毒導致的其他損失。移動存儲介質數(shù)量多、體積小、攜帶方便等優(yōu)點，每個用戶可能擁有多個移動存儲介質，最后這些介質用途不明、去向不明、底數(shù)不清，存在很大的安全盲點。

用戶往往將辦公文件拷貝到移動存儲介質隨身攜帶并在不同的環(huán)境下使用，導致保密文件被帶出辦公場地造成泄密；當該移動存儲介質被借用時，也存在泄露的風險。

現(xiàn)在針對移動存儲介質的病毒和木馬程序十分普遍，通過共用的網(wǎng)絡終端，對接入的移動存儲介質進行感染，感染到內部網(wǎng)絡，使內網(wǎng)和應用系統(tǒng)存在網(wǎng)絡癱瘓、系統(tǒng)崩潰和數(shù)據(jù)丟失的安全隱患。

2 系統(tǒng)設計原則及目標

（1）高標準、高安全系數(shù)

根據(jù)中華人民共和國公共安全行業(yè)標準（GA/T 987-2012），USB移動存儲介質管理系統(tǒng)安全技術要求劃分成三個等級，其中三級最高。該系統(tǒng)參照該技術標準，按照三級標準設計。

（2）兼容性強、安全系數(shù)高

系統(tǒng)布置之后，由于加解密及策略在后臺自動控制，受控移動存儲介質在內網(wǎng)信息網(wǎng)使用過程與方式不變，無需其他操作，對于用戶是透明狀態(tài)。移動存儲設備在使用前，只需經(jīng)過授權中心統(tǒng)一注冊授權，采用實名認證，人與設備互綁，并根據(jù)授權信息產(chǎn)生移動存儲介質管理編碼。只有系統(tǒng)授權后的移動存儲介質才能在內網(wǎng)中使用，杜絕外來存儲介質非法入網(wǎng)。

（3）支持多種介質類型

該系統(tǒng)支持目前市場上存在多種移動存儲介質，如USB接口外設，也支持Wi-Fi、藍牙、1394、HDMI等形式鏈接的外接設備。

（4）靈活的使用權限控制

使用動態(tài)授權機制，實時更新用戶權限和介質權限。在介質注冊時，將介質存儲區(qū)域劃分為文件區(qū)和保密區(qū)，將生成的ID編碼保存在保密區(qū)，并且通過終端策略設置，實現(xiàn)對注冊介質使用權限的控制與監(jiān)管，提供給用戶方便靈活的使用方式。

通過系統(tǒng)的部署和使用，系統(tǒng)切實達到了如下使用效果：內部信息帶不走、外部信息進不來，并提供內外網(wǎng)交互介質，在監(jiān)管過程中不干擾正常的業(yè)務信息交換。

3 系統(tǒng)設計方案

3.1 系統(tǒng)結構

該系統(tǒng)采用B/S與C/S結合的架構模式。系統(tǒng)核心組成部件主要包括：終端監(jiān)測代理程序、管理控制中心服務、分析服務和Web服務。

3.2 核心功能

根據(jù)系統(tǒng)具體功能設計系統(tǒng)功能模型，將系統(tǒng)具體功能劃分四大模塊：注冊管理（認證管理）、控制管理、信息檢索、配置。

（1）介質注冊管理

實現(xiàn)移動存儲介質注冊管理功能，注冊完成后，按照是否經(jīng)過注冊及注冊后的類別，分為未經(jīng)注冊的即外網(wǎng)介質和注冊過的內網(wǎng)介質。注冊的內網(wǎng)移動介質可分為四種介質類型：內部介質、內部加密介質、加密交互介質、開放交互介質和卡類介質。

（2）用戶身份驗證

所有移動存儲介質在使用前均要經(jīng)過授權中心統(tǒng)一授權，并根據(jù)授權信息產(chǎn)生移動存儲介質管理臺賬。經(jīng)過系統(tǒng)授權后的移動存儲據(jù)介質才能在內網(wǎng)中使用，未經(jīng)授權的移動存儲介質將被嚴格控制使用，杜絕外來存儲介質非法進入內網(wǎng)使用。

（3）日志記錄

移動存儲介質使用過程中，系統(tǒng)會實時記錄下用戶對移動存儲介質的所有操作并寫入設備日志區(qū)；系統(tǒng)通過記錄操作設備的相關信息以及登錄的用戶名、訪問開始時間、訪問結束時間等信息確認使用者及主機的唯一性，為事件查處提供依據(jù)。

（4）安全審計

對移存儲介質數(shù)據(jù)交換行為進行安全審計。提供詳細的文件操作審計記錄：包括文件創(chuàng)建、復制、刪除、修改等；提供詳細的移動存儲介質插入和拔出的動作記錄，具體包括事件類型、介質名稱、用戶、計算機IP地址和插拔時間。

（5）違規(guī)行為自動預警和通報

對于違規(guī)使用移動存儲介質，通過移動存儲介質拷貝涉密信息的行為，系統(tǒng)會自動產(chǎn)生報警，通知管理員及時處理違規(guī)事件。

（6）注冊與認證

本系統(tǒng)把用戶ID與移動存儲介質注冊ID綁定，可以一對多，但不允許多對一。每個用戶可以注冊多個不同的移動存儲介質，并且給這些介質分別授予不同的權限。用戶注冊移動存儲介質是須填寫介質信息及授權權限，管理中心讀取介質信息、用戶信息及用戶風險評估報告生成介質ID，并對寫入移動存儲介質的注冊移動存儲介質ID信息進行加密，實現(xiàn)用戶和移動存儲介質身份雙重認證，并在認證和注冊的通訊過程中使用加密形成安全通道完成認證和注冊，避免用戶的移動存儲介質被他人盜用或者用戶惡意偽造移動存儲介質。

（7）動態(tài)授權

與傳統(tǒng)的固定用戶授權模式不同，本系統(tǒng)采用基于風險分析模型的動態(tài)用戶授權模式。該模式改進CAS授權框架，采用實時風險評估，由監(jiān)管服務器對接入內網(wǎng)的用戶進行實時查詢，提取接入終端的移動存儲介質信息、現(xiàn)實內網(wǎng)環(huán)境安全狀態(tài)及用戶狀態(tài)等相關數(shù)據(jù)，并發(fā)送到分析服務群服務器，該服務器根據(jù)內置的風險分析模式對用戶進行分析評估，生產(chǎn)評估報告并返回管理服務器。

2.1 文稿應具有科學性、實用性，論點明確，資料可靠，文字精煉，層次清晰，數(shù)據(jù)準確，用詞用語規(guī)范，必要時應進行統(tǒng)計學處理。護理研究、綜述不超過4 000字，一般欄目稿件勿超過2 500字，小經(jīng)驗類稿件不超過1 000字。

（8）文件加密

在用戶使用的移動存儲介質上加裝具有口令保護的安全flash芯片來保存加密密鑰，并設計對應固件保障密鑰，與windows NT內核操作系統(tǒng)的文件系統(tǒng)過濾驅動相結合，可以實現(xiàn)移動存儲介質中的數(shù)據(jù)進行加密，防止移動存儲介質丟失或者用戶通過移動存儲介質拷貝造成文件泄密。

（9）日記審計

日志記錄一般存儲在管理服務器日志區(qū)及介質日志區(qū)，管理服務器存儲內網(wǎng)所有用戶使用介質的日志信息，介質日志區(qū)只存儲該介質近幾次的日志信息。當介質接入終端時，進入注冊或認證流程，日志信息將被讀出發(fā)送到管理服務器進行行為核對。行為核對無誤的用戶將可繼續(xù)使用介質，如發(fā)生核對錯誤，用戶將無法使用介質并觸發(fā)警報，系統(tǒng)管理員將介入處理。

在用戶使用介質出發(fā)警報時，該用戶的使用該介質的所有日志將會被調出并進行審計，檢查問題發(fā)生原因及危害等級，根據(jù)相應流程進行對應處理。

4 系統(tǒng)部署

系統(tǒng)部署部件包括：系統(tǒng)數(shù)據(jù)庫、管理控制中心服務、分析服務、Web服務器和監(jiān)測客戶端程序。在服務器性能允許的情況下，管控中心服務、分析服務、Web服務可部署在同一臺服務器上；監(jiān)測客戶端程序提供統(tǒng)一下載地址，由用戶自動下載安裝到終端計算機上，部署結構如圖1所示。

圖1 系統(tǒng)部署示意圖

5 結束語

本文系統(tǒng)在機構內網(wǎng)中對移動存儲介質進行統(tǒng)一注冊、統(tǒng)一認證、使用時監(jiān)控和事后審計，做到了移動存儲介質的事前注冊、事中監(jiān)管、事后審計，防范由于移動存儲介質所引發(fā)的使用風險和安全威脅。同時，該系統(tǒng)充分考慮到用戶使用移動存儲介質的習慣，除了必要的移動存儲介質注冊外，普通用戶無須增加其他操作，讓系統(tǒng)處于透明狀態(tài)，且采用組件化設計以滿足用戶日后功能上的擴展，具有較廣泛的實用工程前景。

[1]劉軍，簡茶生.應用移動存儲設備識別措施的必要性.青春歲月，2010.

[2]郁濱，尹文浩.移動存儲設備多密級安全交互方案.計算機工程與設計，2011.