張 波
(1.北京全路通信信號研究設(shè)計院集團(tuán)有限公司,北京 100070;2.北京市高速鐵路運(yùn)行控制系統(tǒng)工程技術(shù)研究中心,北京 100070)
信息技術(shù)的快速發(fā)展,讓當(dāng)今的技術(shù)傳遞和交流更加自由和高效。但在方便的同時,也帶來了信息快速泄密的風(fēng)險。傳統(tǒng)的書面技術(shù)文檔、圖紙通過人工方式管理,利用面對面的方式進(jìn)行借閱,易于得到控制。即便泄密,也僅僅是局部,短期內(nèi)很難拿走技術(shù)的全部,當(dāng)然也帶來共享的難度,不利于技術(shù)的進(jìn)步。利用服務(wù)器、集中存儲等技術(shù),信息得到有效的集中和高效的共享,但是當(dāng)發(fā)生泄密時,數(shù)據(jù)丟失也顯得更為容易。利用計算機(jī)和網(wǎng)絡(luò)技術(shù),數(shù)千頁的設(shè)計文檔、上萬行的代碼可以在幾秒內(nèi)被拷貝走;一個企業(yè)幾十年積累的數(shù)據(jù)可以非常方便的裝入一塊硬盤并被帶走。2018 年FaceBook 的3 000 萬用戶賬戶信息泄露、圓通公司10 億用戶數(shù)據(jù)被售出、順豐3 億條用戶信息被外泄[1]。這些電子文件包含的信息量如果轉(zhuǎn)換成紙介質(zhì),其數(shù)量是難以想象的。
傳統(tǒng)的桌面辦公分散并且數(shù)量眾多,技術(shù)文檔、核心代碼從產(chǎn)生之初,就被技術(shù)人員通過桌面計算機(jī)接觸并掌握。為方便工作,部分員工將核心資料放在本地計算機(jī)上,這使得任何一臺計算機(jī)都可能是泄密點(diǎn)。由于員工信息安全保密意識相對薄弱,加上可能因?yàn)橹胁《净蚰抉R,出現(xiàn)信息泄密情況;或者是因?yàn)檎`操作,將信息傳遞給非受信的人員,導(dǎo)致信息泄密。
因此,在無法拒絕數(shù)據(jù)大集中的趨勢下,解決傳統(tǒng)桌面計算機(jī)的安全問題,變革傳統(tǒng)的桌面計算機(jī)管理技術(shù)架構(gòu)是關(guān)鍵。加強(qiáng)桌面計算機(jī)這一信息產(chǎn)生源頭的防護(hù),做到從源頭將數(shù)據(jù)進(jìn)行有效保護(hù),降低信息泄密可能性,有效保護(hù)企業(yè)資產(chǎn)尤為重要。
對于一個技術(shù)型企業(yè)來說,數(shù)據(jù)就是企業(yè)發(fā)展的基石,知識產(chǎn)權(quán)就是企業(yè)競爭的生命。分析信息的全生命周期不難發(fā)現(xiàn):信息的產(chǎn)生,主要集中在員工日常辦公的桌面計算機(jī);信息的傳遞,主要通過網(wǎng)絡(luò)或移動進(jìn)行;信息的保存,主要利用服務(wù)器及存儲設(shè)備支持。
對于集中存儲部分,通常只有一定數(shù)量的設(shè)備,可以重點(diǎn)進(jìn)行防護(hù)和監(jiān)管,通過訪問隔離等手段,保證信息安全。網(wǎng)絡(luò)傳輸部分,可以通過協(xié)議加密等方式,降低被竊取的風(fēng)險。但是桌面計算機(jī)部分,涉及眾多員工,防范的面積大,其難度可想而知。而這些桌面計算機(jī),擔(dān)負(fù)著日常信息的處理,本地硬盤存放了大量數(shù)據(jù)。如果某個員工的安全意識不強(qiáng),就可能因?yàn)閭€人原因出現(xiàn)信息被竊取的情況。雖然可以開展操作系統(tǒng)打補(bǔ)丁、安裝防病毒軟件等防范工作,并且加強(qiáng)員工信息安全教育,但難免出現(xiàn)疏漏。因此,加強(qiáng)桌面計算機(jī)防護(hù)是信息安全的防護(hù)源頭。
防護(hù)桌面計算機(jī),主要從信息的保存地點(diǎn)和信息的傳輸通道兩個方面考慮。如果信息存放在本地,則要考慮本地保護(hù),避免通過硬盤接口直接讀取,例如在筆記本丟失的情況下;如果信息不在本地存儲,則桌面計算機(jī)如筆記本丟失時,硬盤上沒有涉及信息安全的內(nèi)容。當(dāng)日常操作時,涉及信息安全的內(nèi)容可能被傳遞到本地,是否可以通過網(wǎng)絡(luò)、USB 等接口傳遞到其他設(shè)備上。
表1 桌面計算機(jī)防護(hù)點(diǎn)組合風(fēng)險評估Tab.1 Portfolio risk assessment of desktop computer protection point
針對上述內(nèi)容,通常的桌面計算機(jī)防護(hù)主要關(guān)注如下幾點(diǎn)。
1)移動辦公要求。
2)數(shù)據(jù)本地存儲要求。
3)接口開放要求,是否允許支持網(wǎng)絡(luò)及USB等接口傳遞數(shù)據(jù)。
通過表1 不難發(fā)現(xiàn),開放接口的風(fēng)險最大,在沒有監(jiān)管的情況下,很容易將數(shù)據(jù)轉(zhuǎn)移到其他地方。而桌面計算機(jī)眾多的情況下,監(jiān)管是相對比較困難的事情。數(shù)據(jù)本地存儲也是一個風(fēng)險源,特別是在移動辦公下風(fēng)險比較大。
現(xiàn)實(shí)工作中,移動辦公的場景非常普遍。在該條件下,加強(qiáng)數(shù)據(jù)存儲管理及接口的監(jiān)管,才能有效地保護(hù)企業(yè)信息資產(chǎn)。利用桌面云技術(shù),強(qiáng)化數(shù)據(jù)集中存儲,加強(qiáng)網(wǎng)絡(luò)通信控制,支持在移動辦公下終端與信息的分離,同時加強(qiáng)相關(guān)接口控制,能有效地滿足企業(yè)需求[2]。
以某一軌道交通領(lǐng)域技術(shù)型公司(簡稱“公司”)為例,因?yàn)閷?shí)際工作的需要,該公司的技術(shù)人員會接觸設(shè)計文檔、程序代碼等企業(yè)核心機(jī)密。此前采用傳統(tǒng)桌面管理模式,技術(shù)人員的筆記本電腦中保存了相當(dāng)一部分核心技術(shù)資料。加上技術(shù)人員要參與現(xiàn)場調(diào)試和問題分析診斷工作,存在異地辦公的情況,增大了企業(yè)數(shù)據(jù)泄露風(fēng)險。因此,需要通過一定的技術(shù)手段,在保證信息安全的前提下,滿足技術(shù)人員移動辦公的實(shí)際需要,盡可能支持員工易用性的要求。
通過綜合比較,公司選用Fusion Cloud 桌面云解決方案。該解決方案是基于華為云平臺的一種虛擬桌面應(yīng)用,通過在云平臺上部署華為桌面云軟件,使終端用戶通過瘦客戶端或者其他任何與網(wǎng)絡(luò)相連的設(shè)備來訪問跨平臺的應(yīng)用程序,以及整個客戶桌面。系統(tǒng)的整體結(jié)構(gòu)如圖1 所示。
圖1 系統(tǒng)整體結(jié)構(gòu)圖Fig.1 System structure diagram
Fusion Cloud 桌面云解決方案具有安全可靠、卓越體驗(yàn)及敏捷高效等特點(diǎn),華為公司自身研發(fā)體系近8 萬用戶也正使用該桌面云,這讓用戶使用該系統(tǒng)的信心倍增。在桌面終端高安全性方面,主要體現(xiàn)在兩個方面。
1)終端安全
采用瘦客戶端(TC)接入認(rèn)證,防止非法接入,并能夠管理USB、串口、并口等接口。允許禁止使用某些端口,從而對接口進(jìn)行有效控制。瘦客戶端采用無硬盤設(shè)計,本地計算機(jī)不保存數(shù)據(jù),數(shù)據(jù)集中在數(shù)據(jù)中心保存,防止本地數(shù)據(jù)泄露。如果采用其他終端接入如筆記本電腦,終端也不保存數(shù)據(jù),并能進(jìn)行接口控制。
2)用戶接入安全
支持指紋登錄認(rèn)證,以及USB Key 登錄認(rèn)證、動態(tài)口令登錄認(rèn)證等。支持TC 與用戶賬號綁定。此用戶只能在固定地點(diǎn)登錄虛擬桌面。
Fusion Cloud 桌面云解決方案相關(guān)部件獲得中國信息安全測評中心EAL 3+認(rèn)證、公安部銷售許可證。此外,該系統(tǒng)在傳輸安全使用Portal over HTTPS,用戶通過portal 界面的訪問傳輸通道都是加密的。支持ICA over SSL,管理信任域與非信任域之間的數(shù)據(jù)通過SSL 加密傳輸;在網(wǎng)絡(luò)安全方面,支持內(nèi)外網(wǎng)完全物理隔離,確保內(nèi)網(wǎng)的絕對安全。SSL-VPN 保證遠(yuǎn)程接入安全,保證出差員工安全訪問本企業(yè)的數(shù)據(jù)和應(yīng)用云平臺安全。此外,云平臺進(jìn)行了系統(tǒng)加固和防護(hù),對集中存儲的數(shù)據(jù)進(jìn)行加密,提供數(shù)據(jù)無痕處理,虛擬機(jī)回收后,磁盤信息徹底刪除,防止被惡意用戶利用數(shù)據(jù)恢復(fù)軟件讀出磁盤數(shù)據(jù),導(dǎo)致前用戶數(shù)據(jù)泄漏。同時,提供管理安全和智能審計功能。
公司編制信息化規(guī)劃,針對信息安全形成專項(xiàng)規(guī)劃,如圖2 所示,對信息的保密性、完整性、可用性提出要求,按照I S O27001 構(gòu)建信息安全管理體系[3],實(shí)現(xiàn)“進(jìn)不來、拿不到、看不見”的分層次目標(biāo),明確“以研發(fā)為試點(diǎn)建立桌面云,數(shù)據(jù)集中管理,取消本地存儲,保護(hù)核心代碼及文檔”。
圖2 信息安全規(guī)劃Fig.2 Information security planning
按照規(guī)劃,公司于2013 年下半年試點(diǎn)實(shí)施桌面云系統(tǒng),部署了350 個用戶??紤]用戶實(shí)際需要,為每個用戶虛擬終端設(shè)計規(guī)格為4 顆虛擬CPU,4 G內(nèi)存,提供100 G 系統(tǒng)盤和500 G 用戶盤,其中系統(tǒng)盤采用固態(tài)硬盤(Solid State Drive),以提升系統(tǒng)響應(yīng)速度。按照上述規(guī)模,桌面云平臺采用E6000一體化機(jī)箱,配置10 臺BH622 刀片計算機(jī)。10 臺刀片計算機(jī)采用9+1 模式,9 臺用于支撐業(yè)務(wù),1 臺為熱冗余。每臺刀片計算機(jī)配兩顆Xeon E5-2640 CPU,配13 條16 G DDR3 內(nèi)存。2014 年末,隨著公司進(jìn)入軌道交通產(chǎn)業(yè)園區(qū),系統(tǒng)進(jìn)行了擴(kuò)容,新增1 500 用戶,形成以事務(wù)處理為主的普通辦公桌面云和以系統(tǒng)研發(fā)為主的核心安全桌面云。2016 年總用戶數(shù)進(jìn)一步擴(kuò)容到2 400,同時針對三維建模等增加圖形處理器(GPU)資源池。
在終端層面,為每個納入桌面云統(tǒng)一管理的用戶分配訪問賬戶,提供一個或多個虛擬桌面。考慮到既有計算機(jī)資產(chǎn)未到報廢年限問題,采用既有計算機(jī)安裝訪問軟件和新增瘦客戶端并存模式。用戶可以通過既有計算機(jī)安裝的插件訪問桌面云統(tǒng)一入口地址,或者通過瘦客戶端內(nèi)嵌軟件直接訪問桌面云地址、輸入相應(yīng)的賬戶后,就可以訪問到桌面云上的個人虛擬桌面。每個用戶的虛擬桌面限制訪問互聯(lián)網(wǎng),能訪問桌面云范圍內(nèi)的資源和企業(yè)特定的服務(wù)如OA 等。同時,通過桌面云的控制策略,普通用戶終端的USB 接口進(jìn)行限定,只允許連接鍵盤、鼠標(biāo)、打印機(jī)等非存儲設(shè)備;項(xiàng)目經(jīng)理和特定人員可以連接只讀型存儲設(shè)備;極少數(shù)人員可以通過安全可信的USB 設(shè)備進(jìn)行數(shù)據(jù)讀寫。對核心安全桌面終端采用物理隔離、禁用USB 端口等策略,避免資料外泄。部分人員可以訪問USB 接口,但是設(shè)備輸出的文件自動進(jìn)行加密并且系統(tǒng)自動進(jìn)行日志記錄以便審計。為了進(jìn)一步從源頭控制,2017 年調(diào)整安全管理策略,所有從核心安全桌面云拷貝資料,必須經(jīng)過審批后才能拷貝。
為保證信息安全,原有的用于存放文檔、代碼的版本管理服務(wù)器、文件交換服務(wù)器等,統(tǒng)一搬遷至企業(yè)機(jī)房管理,并且通過三層交換上的訪問控制列表,限定只允許桌面云上的虛擬終端訪問。
通過桌面云的實(shí)施,用戶訪問的所有資源都在桌面云系統(tǒng)所限定的安全范圍內(nèi),數(shù)據(jù)不在本地,數(shù)據(jù)的存儲和計算都在服務(wù)器端進(jìn)行,用戶訪問到的只是在服務(wù)器處理結(jié)果的界面展現(xiàn),不用擔(dān)心客戶端竊取資料。即便是移動辦公的人員,可以通過各種終端在接入企業(yè)VPN 后訪問桌面云進(jìn)行工作處理,相關(guān)的信息也是處于安全區(qū)域內(nèi),不會泄密。其次,由于限制了互聯(lián)網(wǎng)訪問和終端接口信息輸出,僅能訪問技術(shù)研發(fā)所需要的內(nèi)部服務(wù)器,既保證了工作的方便性、易用性,又避免了數(shù)據(jù)外泄。所有的核心資料限定在一個安全的可控區(qū)域內(nèi),用戶無法主動或者被動將核心資料傳遞出去。特定用戶的終端接口數(shù)據(jù)傳輸有日志記錄,后續(xù)可以進(jìn)行IT 審計。非桌面云范圍內(nèi)的終端無法訪問上述資源,達(dá)到信息保密的目標(biāo)。此外,由于桌面終端服務(wù)的集中化管理,IT 部門可以及時根據(jù)安全挑戰(zhàn)制作出新規(guī)則,這些新規(guī)則可以快速作用于每個桌面。因此,企業(yè)的信息安全程度得到極大提升,核心數(shù)據(jù)處于受控狀態(tài)。
同時,用戶使用桌面云,減少了對終端PC 或筆記本的需求,增大服務(wù)器資源的復(fù)用共享,IT 維護(hù)人員不再面對形形色色的終端問題,將重心轉(zhuǎn)移到服務(wù)器端的維護(hù)。這樣降低了企業(yè)的終端硬件購置成本和維護(hù)成本[4]。
桌面云已實(shí)施多年,增強(qiáng)了企業(yè)核心信息的安全防護(hù)程度,有效的保護(hù)企業(yè)數(shù)據(jù),對信息安全發(fā)揮了重要作用。但隨著桌面云在公司的持續(xù)使用和應(yīng)用范圍不斷擴(kuò)大,不斷有新的需求提出和問題暴露,例如訪問桌面云的用戶是否是受信的,特定用戶開放本地USB 接口成為泄密點(diǎn),限定了互聯(lián)網(wǎng)訪問,不利于技術(shù)研究工作等。
針對上述問題,公司的信息化部門進(jìn)行研究和分析,確定多系統(tǒng)齊抓共管、相互配合的原則,以桌面云為基礎(chǔ),實(shí)施配套系統(tǒng),達(dá)到薄弱點(diǎn)增強(qiáng)和關(guān)鍵點(diǎn)防護(hù)的目標(biāo)。具體措施包括如下。
1)實(shí)施準(zhǔn)入系統(tǒng),對終端接入進(jìn)行檢查,進(jìn)一步凈化終端環(huán)境,減少惡意設(shè)備訪問核心信息系統(tǒng)。
2)增強(qiáng)身份認(rèn)證,建立桌面云客戶端登錄雙因子認(rèn)證模式,提供除用戶名加密碼之外的多種認(rèn)證方式,如動態(tài)短信密碼、指紋、證書等,提高認(rèn)證可靠性。
3)完善接口開放管理規(guī)則,建立網(wǎng)絡(luò)訪問白名單和黑名單,實(shí)施基于網(wǎng)頁P(yáng)OST 數(shù)據(jù)過濾甚至禁用模式;對本地USB 等接口數(shù)據(jù)傳輸提供動態(tài)分析,對瞬間大數(shù)據(jù)量和累計總流量進(jìn)行智能分析判斷、告警甚至鎖定。
信息安全防護(hù)是一個永恒的話題,特別是對技術(shù)型企業(yè),要在不斷發(fā)展的信息竊取技術(shù)面前,結(jié)合企業(yè)的自身現(xiàn)狀和需要,尋找更好、更有效的防護(hù)方法。公司也意識到這個工作的重要性與艱巨性,將依托桌面云構(gòu)建的基礎(chǔ)平臺,積極的尋找行之有效的方法,切實(shí)保護(hù)企業(yè)的核心資產(chǎn)并促進(jìn)企業(yè)的技術(shù)發(fā)展。