基于虚拟应用的安全防泄漏系统研究

发布者：admin　日期：2013-5-9　点击次：1359

随着信息化的普及和提高，一方面给单位工作、生产、科研带来了很多的便利，提高了工作效率；另一方面，随着一些封闭系统的开放化程度提高，越来越多的信息安全问题也同时浮现出来，其中信息泄露造成的泄密事件会给国家和军队造成不可估量的重大损失，对于金融部门以及其他企业也会造成巨大的灾难。从涉密纸质文档的管理上得到启发，文中提出数据新信息集中存储，集中计算，利用远程虚拟操作确保数据计算环境安全隔离，最终达到在不改变用户操作习惯的基础上防止信息泄露的目的。


1 领域内相关技术研究


信息防泄露也就是“信息泄露防御”，通常解释是：通过一定的技术或管理手段，防止用户的指定数据或信息资产以违反安全策略规定的形式被有意或意外流出。“信息泄露防御”也称为“数据泄露防护”（Data Leakage Prevention。DLP）。通俗的说，信息防泄露就是防止对数据非授权的访问和获取。当前信息泄露防御的技术主要分为两类：主动防护和被动防护。


1.1主动防护


主动防护根据所采用的技术分为以下两种：


①信息拦截：采用的信息内容识别技术对数据进行拦截、甄别和过滤，通常方案部署在网络出口和主机上，对进出网络和主机的所有数据进行拦截和输出控制。发现违规数据时，进行拦截和报警。信息拦截无法进行细粒度的权限验证，同时无法对加密信息内容进行甄别；


②数据加密：数据加密技术采用密码技术对数据单元进行加密，通过密钥管理和密钥的分发实现对数据授权使用。数据加密的安全性构建在密码的安全强度上。同时如何保证数据解密后的安全使用是这一类技术必须要解决好的问题。


1.2被动防护


被动防护是指采用访问控制和输出控制技术，对访问数据的用户操作行为进行限制和防护。大部分部署的被动防护系统都是从身份认证、权限管理、输出控制这几个方面着手。


身份认证保证用户的身份真实性，用户只有通过合法身份认证，才能进入内部网络访问内部文件和核心数据。权限管理是数据应用权限的管理过程。权限管理根据数据使用者的权限进行区别对待，做到只有经过授权的用户才可以接收和使用数据，将数据的应用范围缩小到授权人群范围之内。


输出控制是对主机和网络的硬件输出设备进行控制，检查操作用户是否具有打印、拷贝等输出操作的权限，及时阻止非法输出操作。


被动防护通过对使用数据的用户的访问和操作行为进行管理和限制，实现数据的安全保护，防止信息泄露。基于目前应用结构，被动防护最大的问题是大部分输出控制和访问控制都是基于操作系统之上进行的防护，从理论上讲都可以被拆卸、篡改和绕过，存在安全隐患。


2 基于虚拟应用安全防泄漏架构系统


2.1系统的部署与使用


文中针对企业内部核心机密数据的保护问题，提出一种基于虚拟应用技术构建安全隔离运行环境的安全防泄漏系统。系统结构如图1所示。首先，系统内所有的数据集中存储在后台的数据服务器上，所有访问数据的软件安装在集中计算服务器上。进行统一的管理；用户开机登录以后。不能直接访问到数据服务器，必须首先通过PKI身份认证后才能登录到集中计算服务器上，在专门为这个用户开辟的安全隔离环境内，运行软件访问后面的数据服务器，用户终端通过远程桌面协议进行操作。