裴志江

摘? 要： 針對當前基于虛擬桌面技術(shù)的防護系統(tǒng)無法保證數(shù)據(jù)泄露的問題，提出一種基于安全虛擬桌面與分區(qū)加密相結(jié)合的防護模型。該模型在基于安全虛擬桌面的基礎(chǔ)上，結(jié)合分區(qū)加密技術(shù)，將重要數(shù)據(jù)進行加密，存儲在加密分區(qū)中，使得攻擊者即使獲取到數(shù)據(jù)信息，在沒有密鑰的情況下也不能破解數(shù)據(jù)內(nèi)容，從而保證數(shù)據(jù)信息的安全。最后通過實驗驗證了模型的可行性。

關(guān)鍵詞： 安全防護模型; 終端防護系統(tǒng); 安全虛擬桌面; 分區(qū)加密; 網(wǎng)絡(luò)安全管理; 數(shù)據(jù)加密

中圖分類號： TN915.08?34? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼： A? ? ? ? ? ? ? ? ? ? ? ? 文章編號： 1004?373X（2020）09?0075?04

A design method of terminal security protection model

PEI Zhijiang

（School of Computer Science & Engineering， Nanjing University of Science & Technology， Nanjing 210094， China）

Abstract： Since the current protection system based on the virtual desktop technology fails to prevent the data leaking， a protection model based on the combination of secure virtual desktop and partition encryption is proposed. On the basis of secure virtual desktop， the important data are encrypted and stored in the encrypted partition of the proposed model combining the partition encryption technology， so that even if the attacker obtains the data information， he cannot decode the data without the key， which ensures the security of the data information. In addition， the feasibility of the model was verified by experiments.

Keywords： security protection model; terminal protection system; secure virtual desktop; partition encryption; network security management; data encryption

0? 引? 言

隨著云計算技術(shù)、大數(shù)據(jù)技術(shù)和互聯(lián)網(wǎng)+技術(shù)的高速發(fā)展，互聯(lián)網(wǎng)的門檻越來越低，互聯(lián)網(wǎng)在豐富人們工作生活的同時，也存在很大的信息泄露隱患。所以，網(wǎng)絡(luò)安全已經(jīng)成為各國信息安全領(lǐng)域研究的熱點方向之一，與此同時，各國的政府部門、高等院校以及社會企業(yè)也越來越重視網(wǎng)絡(luò)信息安全。

現(xiàn)如今，各國的政府部門、社會企業(yè)為了避免網(wǎng)絡(luò)信息安全隱患帶來的損失，在相關(guān)的服務(wù)器設(shè)備、終端設(shè)備中安裝入侵檢測系統(tǒng)、防火墻軟件、病毒查殺軟件、網(wǎng)絡(luò)審計系統(tǒng)及流量回溯分析等防護系統(tǒng)，但是，往往內(nèi)部人員的安全意識很薄弱，很容易造成國家機關(guān)、政府單位、社會企業(yè)的內(nèi)部數(shù)據(jù)泄露的現(xiàn)象，給國家機關(guān)、政府單位、社會企業(yè)帶來很大的政治、經(jīng)濟損失等。所以，在整個信息安全領(lǐng)域的防護工作中，防止內(nèi)部失泄密是整個防護過程的重中之重，因為終端是內(nèi)部人員最可能接觸的設(shè)備，因此，對終端合理、合法、合規(guī)的使用是防止失泄密的重要手段。

1? 終端安全防護機理

終端安全防護是指結(jié)合新型的網(wǎng)絡(luò)服務(wù)管理技術(shù)和終端保護技術(shù)對所有訪問網(wǎng)絡(luò)的終端進行可靠性檢查和安全性防護。在終端接入網(wǎng)絡(luò)之前，根據(jù)對應(yīng)終端的安全策略對該終端的安全狀態(tài)進行判斷，根據(jù)評估結(jié)果進行終端準入控制，從而將蠕蟲、木馬和病毒等屏蔽在網(wǎng)絡(luò)之外，確保只有符合組織安全標準的終端才可以登入網(wǎng)絡(luò)，享受網(wǎng)絡(luò)服務(wù)。

在終端登入網(wǎng)絡(luò)服務(wù)器之后，根據(jù)終端登入者的角色進行訪問范圍的限制，軟件使用權(quán)限應(yīng)用限制，網(wǎng)絡(luò)享受服務(wù)范圍限制以及外掛設(shè)備操作權(quán)限控制等，從而控制不同角色的終端享受網(wǎng)絡(luò)服務(wù)范圍、軟件服務(wù)、外掛設(shè)備操作權(quán)限等，確保只有擁有相應(yīng)權(quán)限的登入者可以享受網(wǎng)絡(luò)服務(wù)、軟件服務(wù)、外掛設(shè)備操作服務(wù)等，如圖1所示。

終端安全防護的核心概念是從終端使用者登錄網(wǎng)絡(luò)、享受網(wǎng)絡(luò)服務(wù)入手，結(jié)合身份認證服務(wù)器、安全策略服務(wù)器和網(wǎng)絡(luò)設(shè)備以及第三方軟件系統(tǒng)（殺毒軟件和系統(tǒng)補丁等），完成對登入終端用戶的強制認證和安全策略應(yīng)用，從而達到保障整個網(wǎng)絡(luò)安全的目的。網(wǎng)絡(luò)服務(wù)管理系統(tǒng)是終端安全防護的重要組成部分，其設(shè)計原則包括以下兩個方面：

1） 終端登入限制

當終端使用者登入網(wǎng)絡(luò)時，網(wǎng)絡(luò)服務(wù)管理系統(tǒng)要求終端主機在享受網(wǎng)絡(luò)服務(wù)前達到一定的安全要求，盡量避免單個用戶的網(wǎng)絡(luò)安全隱患對整個內(nèi)部網(wǎng)絡(luò)造成威脅。

2） 服務(wù)器主動控制

當終端使用者登入網(wǎng)絡(luò)享受網(wǎng)絡(luò)服務(wù)后，網(wǎng)絡(luò)服務(wù)管理系統(tǒng)主動偵測終端和系統(tǒng)的網(wǎng)絡(luò)安全狀態(tài)，發(fā)現(xiàn)非安全狀態(tài)時，觸發(fā)控制反饋來調(diào)整終端和系統(tǒng)的狀態(tài)，從而保障整個網(wǎng)絡(luò)的安全運行。

內(nèi)部網(wǎng)絡(luò)的安全隱患在很大程度上取決于終端使用者本身。網(wǎng)絡(luò)服務(wù)器準入控制系統(tǒng)將自動更新、安全轉(zhuǎn)臺審核、準入控制等思想集中在一起，為整個內(nèi)部網(wǎng)安全管理和安全審核應(yīng)用提供了可擴展平臺，實現(xiàn)了基于網(wǎng)絡(luò)準入控制的內(nèi)部網(wǎng)絡(luò)安全防御體系。

2? 終端安全防護模型總體設(shè)計

終端安全防護模型包含網(wǎng)絡(luò)服務(wù)管理系統(tǒng)和終端防護系統(tǒng)兩部分。服務(wù)端管理系統(tǒng)采用B/S架構(gòu)，通過Web管理界面對終端信息、軟件規(guī)則、傳輸外設(shè)、網(wǎng)絡(luò)規(guī)則、日志進行管理。終端防護系統(tǒng)采用C/S架構(gòu)，通過終端防護客戶端實現(xiàn)身份認證、全盤加密、客戶端自防護、網(wǎng)絡(luò)白名單、軟件白名單、外設(shè)白名單、客戶端信息感知和軟件信息采集等功能，終端防護系統(tǒng)各模塊使用的規(guī)則是通過服務(wù)端管理系統(tǒng)進行管理，并使用網(wǎng)絡(luò)傳輸接口從服務(wù)端獲取到相應(yīng)的規(guī)則信息。

2.1? 網(wǎng)絡(luò)服務(wù)管理系統(tǒng)設(shè)計

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)按照Web應(yīng)用進行設(shè)計，包含資源層、服務(wù)層、應(yīng)用層和用戶層，如圖2所示。

資源層主要包括網(wǎng)絡(luò)服務(wù)管理系統(tǒng)需要管理的所有資源信息，如組織人員信息、軟件信息、外設(shè)信息、設(shè)備信息和網(wǎng)絡(luò)規(guī)則信息等。資源信息通過界面手工錄入或通過軟件采集存儲至數(shù)據(jù)庫。

服務(wù)層主要包括應(yīng)用中間件、消息中間件、數(shù)據(jù)庫服務(wù)等，其中，應(yīng)用中間件用于Web服務(wù)的運行和管理;消息中間件用于組件間的消息傳遞，以及網(wǎng)絡(luò)服務(wù)端管理系統(tǒng)與終端防護系統(tǒng)的數(shù)據(jù)交互;數(shù)據(jù)庫服務(wù)用于信息存儲，如組織人員信息、軟件信息、外設(shè)信息、設(shè)備信息和網(wǎng)絡(luò)規(guī)則信息等。

應(yīng)用層直接面向用戶，通過功能界面與用戶進行交互，包括組織人員管理、終端管理、網(wǎng)絡(luò)規(guī)則管理、軟件規(guī)則管理、傳輸外設(shè)管理、日志管理等功能。其中，組織人員管理通過組織人員管理模塊對組織信息、用戶信息和用戶角色進行管理;終端管理通過終端管理模塊對終端信息和終端使用權(quán)進行管理;網(wǎng)絡(luò)規(guī)則管理通過網(wǎng)絡(luò)規(guī)則管理模塊設(shè)置允許訪問的網(wǎng)絡(luò)白名單地址列表;軟件規(guī)則管理通過軟件規(guī)則管理模塊管理終端中所使用的軟件白名單，包括軟件識別信息管理和軟件白名單設(shè)置功能;傳輸外設(shè)管理通過傳輸外設(shè)管理模塊管理終端USB設(shè)備的使用，包括外設(shè)識別信息管理和外設(shè)白名單設(shè)置;日志管理通過日志管理模塊可以查詢服務(wù)端管理操作日志、業(yè)務(wù)終端操作日志、終端環(huán)境變更日志和服務(wù)端系統(tǒng)日志。

用戶層包括普通用戶和管理員，可以通過角色管理配置相應(yīng)的功能和數(shù)據(jù)權(quán)限。

2.2? 終端防護系統(tǒng)設(shè)計

終端防護系統(tǒng)采用分層架構(gòu)設(shè)計，包括資源層、驅(qū)動層和應(yīng)用層以及管理對象，如圖3所示。

終端防護系統(tǒng)的主要管理對象為人員、設(shè)備、軟件、外設(shè)和網(wǎng)絡(luò)，具體管理規(guī)則由管理員通過網(wǎng)絡(luò)服務(wù)管理系統(tǒng)進行管理策略編輯。

當管理規(guī)則有變動時，網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過網(wǎng)絡(luò)介質(zhì)通知相關(guān)終端防護系統(tǒng)，終端防護系統(tǒng)進行新管理規(guī)則的應(yīng)用。

應(yīng)用層是指終端防護系統(tǒng)實現(xiàn)的所有功能，是終端防護系統(tǒng)的核心，包括身份認證、全盤加密、終端客戶端自防護、終端客戶端信息感知、網(wǎng)絡(luò)白名單、外設(shè)白名單、軟件白名單、軟件信息采集。

驅(qū)動層是指所有終端防護系統(tǒng)所使用的驅(qū)動防護技術(shù)，包括Minifilter文件過濾驅(qū)動、Windows虛擬桌面、Windows WFP框架和分區(qū)加密技術(shù)。

資源層是指終端防護系統(tǒng)主要防護的系統(tǒng)資源，包括文件系統(tǒng)、注冊表和網(wǎng)絡(luò)連接。

2.2.1? 終端防護系統(tǒng)應(yīng)用層設(shè)計

終端防護系統(tǒng)應(yīng)用層包括身份認證模塊、加密分區(qū)模塊、終端客戶端自防護模塊、終端客戶端信息感知模塊、網(wǎng)絡(luò)白名單模塊、外設(shè)白名單模塊、軟件白名單模塊、軟件信息采集模塊等八部分。

1） 身份認證模塊

終端登入者登錄終端防護系統(tǒng)時需要進行身份認證，用戶插入UKey、輸入用戶名和登錄密碼，向網(wǎng)絡(luò)服務(wù)管理系統(tǒng)提交身份認證請求，認證通過才能進入終端客戶端工作區(qū)。

2） 加密分區(qū)模塊

加密分區(qū)模塊采用Minifilter文件過濾驅(qū)動和沙箱技術(shù)實現(xiàn)，通過使用國密SM4加密算法對文件進行透明加解密。

3） 終端客戶端自防護模塊

為了防止終端防護系統(tǒng)遭惡意破壞，導(dǎo)致終端客戶端脫離該系統(tǒng)的保護，終端防護系統(tǒng)具備自防護能力。

4） 終端客戶端信息感知模塊

終端防護子系統(tǒng)提供對終端信息的感知和收集功能，便于追蹤和追溯終端狀態(tài)，具有相應(yīng)權(quán)限的人員能夠在服務(wù)端查看終端的感知信息。

5） 網(wǎng)絡(luò)白名單模塊

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過網(wǎng)絡(luò)規(guī)則管理功能模塊進行網(wǎng)絡(luò)規(guī)則管理，終端防護系統(tǒng)通過通信接口與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通信，獲取網(wǎng)絡(luò)規(guī)則，通過網(wǎng)絡(luò)白名單功能對網(wǎng)絡(luò)進行控制。

6） 外設(shè)白名單模塊

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過傳輸外設(shè)管理功能模塊進行傳輸外設(shè)規(guī)則管理，終端防護系統(tǒng)通過通信接口與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通信，獲取傳輸外設(shè)管理規(guī)則，通過外設(shè)白名單功能對傳輸外設(shè)進行控制。

7） 軟件白名單模塊

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通過軟件規(guī)則管理功能模塊進行軟件規(guī)則管理，終端防護系統(tǒng)通過通信接口與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)通信，獲取軟件管理規(guī)則，通過軟件白名單功能對終端運行軟件進行控制。

8） 軟件信息采集模塊

軟件信息采集模塊是終端防護系統(tǒng)為方便進行軟件信息采集提供的獨立工具，完成軟件信息采集能夠通過與網(wǎng)絡(luò)服務(wù)管理系統(tǒng)的通信接口傳輸至網(wǎng)絡(luò)服務(wù)管理系統(tǒng)，具備相關(guān)權(quán)限的終端登入者可在軟件規(guī)則功能模塊中對相關(guān)軟件信息進行管理。

2.2.2? 終端防護系統(tǒng)驅(qū)動層設(shè)計

1） Minifilter文件過濾

Minifilter文件過濾驅(qū)動負責(zé)對資源層文件系統(tǒng)進行過濾，實現(xiàn)文件系統(tǒng)安全防護與隔離功能。

2） Windows虛擬桌面

Windows虛擬桌面負責(zé)提供創(chuàng)建、切換、刪除桌面的功能。

3） Windows WFP框架

Windows WFP框架是Windows提供的一種網(wǎng)絡(luò)數(shù)據(jù)包過濾框架，提供了對資源層網(wǎng)絡(luò)連接的過濾控制功能。

4） 分區(qū)加密技術(shù)

分區(qū)加密技術(shù)提供了保護磁盤文件數(shù)據(jù)存儲安全的功能。

2.3? 終端安全防護模型流程設(shè)計

終端安全防護模型的流程設(shè)計分為三部分，分別為作為客戶端的終端防護子系統(tǒng)、作為服務(wù)端的網(wǎng)絡(luò)服務(wù)管理系統(tǒng)和負責(zé)客戶端與服務(wù)端進行通信的網(wǎng)絡(luò)通信層。

終端安全防護模型流程設(shè)計如圖4所示。

終端防護系統(tǒng)基于Windows驅(qū)動層進行設(shè)計，在驅(qū)動層之上為應(yīng)用層的后臺服務(wù)程序和daemon服務(wù)程序（守護服務(wù)程序），其中，后臺服務(wù)程序為用戶界面提供基本模塊功能，daemon服務(wù)程序通過ShellExt（Windows動態(tài)鏈接庫）為用戶界面提供服務(wù)，在應(yīng)用層之上提供加密分區(qū)和安全桌面功能。

網(wǎng)絡(luò)服務(wù)管理系統(tǒng)是基于Web應(yīng)用服務(wù)進行設(shè)計的，數(shù)據(jù)持久層采用數(shù)據(jù)庫進行數(shù)據(jù)存儲，在數(shù)據(jù)持久層之上，通過服務(wù)中間件和消息中間件為用戶界面功能提供相應(yīng)服務(wù)。

終端防護系統(tǒng)和網(wǎng)絡(luò)服務(wù)管理系統(tǒng)之間的通信是通過網(wǎng)絡(luò)通信層實現(xiàn)，包括身份認證接口、網(wǎng)絡(luò)白名單傳輸接口、軟件白名單傳輸接口、外設(shè)白名單傳輸接口、終端客戶端感知信息傳輸接口和軟件采集信息傳輸接口。

3? 結(jié)? 語

隨著網(wǎng)絡(luò)技術(shù)日新月異的發(fā)展，網(wǎng)絡(luò)信息安全的思想也時時刻刻的改變。深入研究終端防護模型的機理，根據(jù)傳統(tǒng)防護模型提出一種新型終端安全防護模型，新防護模型結(jié)合虛擬安全桌面與分區(qū)加密技術(shù)，較好地解決了終端使用人員失泄密的各種安全問題，具有很重要的現(xiàn)實意義。

參考文獻

[1] 楊國利，代祥，毛捍東.內(nèi)網(wǎng)終端安全檢查與接入控制的設(shè)計與實現(xiàn)[J].計算機工程與應(yīng)用，2013，49（6）：109?113.

[2] 張學(xué)媛，胡益浩，王曦，等.一種高效移動景物終端安全管控平臺[J].現(xiàn)代電子技術(shù)，2014，37（6）：39?40.

[3] 黃勤龍，楊義先.云計算數(shù)據(jù)安全[M].北京：北京郵電大學(xué)出版社，2018.

[4] 石少敏，石少煒.基于云計算虛擬化桌面管理模塊設(shè)計[J].計算機應(yīng)用，2017，36（8）：47?49.

[5] 楊慶明，杜保東.桌面終端安全防護技術(shù)企業(yè)網(wǎng)管理中的應(yīng)用研究[J].計算機安全，2010（10）：77?79.

[6] 張晗，譚箐，劉洪源.實驗室內(nèi)部網(wǎng)絡(luò)終端安全管理[J].現(xiàn)代電子技術(shù)，2012，35（17）：86?88.

[7] 龐雄昌，王喆.一種改進的內(nèi)網(wǎng)安全防護策略[J].計算機安全，2012（12）：9?12.

[8] 聶大成，陳英，曾夢岐.車聯(lián)網(wǎng)終端安全防護技術(shù)研究[J].通信技術(shù)，2017，50（8）：1794?1799.

[9] 周文，劉曉毅，龍愷.基于安全終端的虛擬桌面系統(tǒng)[J].通信技術(shù)，2014，47（6）：662?667.

[10] 張敬倫，張永生，高麗琴.基于內(nèi)網(wǎng)數(shù)據(jù)安全防護引擎的安全架構(gòu)設(shè)計[J].通信技術(shù)，2017，50（1）：158?161.