防止信息泄露的新方法

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

傳統(tǒng)技術(shù)面臨挑戰(zhàn)

對(duì)信息泄露防御(Data Leakage Prevention，DLP)的通常解釋是: 通過一定的技術(shù)或管理手段，防止用戶的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式被有意或意外流出。通俗地說，就是防止對(duì)數(shù)據(jù)非授權(quán)的訪問和獲取。

當(dāng)前，信息泄露防御主要分為兩大類: 一類是主動(dòng)防護(hù)，采用數(shù)據(jù)加密、信息攔截過濾技術(shù)對(duì)數(shù)據(jù)本身進(jìn)行防護(hù); 另一類是被動(dòng)防護(hù)，采用訪問控制和輸出控制技術(shù)對(duì)訪問數(shù)據(jù)的用戶操作行為進(jìn)行防護(hù)。

主動(dòng)防護(hù)根據(jù)所采用的技術(shù)又可以分為兩種: 信息攔截和數(shù)據(jù)加密。信息攔截過濾部署在網(wǎng)絡(luò)出口和主機(jī)上，對(duì)進(jìn)出網(wǎng)絡(luò)主機(jī)的數(shù)據(jù)進(jìn)行過濾，發(fā)現(xiàn)數(shù)據(jù)被違規(guī)轉(zhuǎn)移時(shí)，進(jìn)行攔截和警報(bào)。然而，信息攔截在防止數(shù)據(jù)泄露的過程中無法進(jìn)行細(xì)粒度的權(quán)限驗(yàn)證，這一問題越來越突出—只要數(shù)據(jù)接收者符合輸出規(guī)定就允許數(shù)據(jù)流出，卻不能確定具體的接收者是否擁有數(shù)據(jù)接收的授權(quán)，因此必須結(jié)合其他的信息防泄露技術(shù)加以補(bǔ)充和完善。

數(shù)據(jù)加密技術(shù)采用密碼技術(shù)首先對(duì)數(shù)據(jù)進(jìn)行加密，然后通過密鑰管理和密鑰的分發(fā)實(shí)現(xiàn)對(duì)數(shù)據(jù)解密的授權(quán)，只有被授權(quán)的人才能解密和使用數(shù)據(jù)。但是，數(shù)據(jù)加密是依托密碼技術(shù)對(duì)數(shù)據(jù)進(jìn)行保護(hù)的，對(duì)數(shù)據(jù)在明文使用時(shí)產(chǎn)生的數(shù)據(jù)泄露無法進(jìn)行保護(hù); 同時(shí)，隨著計(jì)算能力的不斷提高，密碼破解的代價(jià)越來越低，而且，針對(duì)密鑰的攻擊也是破解密碼的有效途徑，因此不可能完全依靠加密來防止信息泄露。

被動(dòng)防護(hù)是指采用訪問控制和輸出控制技術(shù)，對(duì)訪問數(shù)據(jù)的用戶操作行為進(jìn)行限制和防護(hù)，大部分被動(dòng)防護(hù)系統(tǒng)都是從身份認(rèn)證、權(quán)限管理、輸出控制這幾個(gè)方面著手的?；谀壳暗膽?yīng)用結(jié)構(gòu)，被動(dòng)防護(hù)面臨很大挑戰(zhàn)—大部分的輸出控制和訪問控制都是基于操作系統(tǒng)之上進(jìn)行的防護(hù)，從理論上講都可以被拆卸、篡改或繞過。

“終端無痕”防止信息泄露

通過對(duì)現(xiàn)有信息防泄露技術(shù)的分析，我們發(fā)現(xiàn)兩個(gè)問題: 首先，目前信息防泄露技術(shù)沒有將用戶和數(shù)據(jù)結(jié)合起來進(jìn)行統(tǒng)一考慮，考慮問題的角度也不夠全面; 其次，目前的信息防泄露技術(shù)是基于傳統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)應(yīng)用架構(gòu)之上的，信息數(shù)據(jù)分布在網(wǎng)絡(luò)系統(tǒng)之中的各個(gè)角落，安全防護(hù)的難度很大。

尤其是在傳統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)架構(gòu)之中，數(shù)據(jù)廣泛分布和流動(dòng)在整個(gè)網(wǎng)絡(luò)空間的終端、服務(wù)器、網(wǎng)絡(luò)設(shè)備之間，數(shù)據(jù)流動(dòng)空間大、范圍廣、環(huán)境復(fù)雜，因此，防泄露技術(shù)難度很高，風(fēng)險(xiǎn)也很大。必須對(duì)傳統(tǒng)網(wǎng)絡(luò)應(yīng)用模式進(jìn)行改造，將應(yīng)用和數(shù)據(jù)集中存放和部署在服務(wù)器區(qū)域，用戶使用的應(yīng)用軟件也集中在服務(wù)器上運(yùn)行。

如此一來，數(shù)據(jù)流動(dòng)的范圍就縮小到后臺(tái)的少量服務(wù)器上，將數(shù)據(jù)的應(yīng)用環(huán)境固定化、簡(jiǎn)單化，這有益于對(duì)數(shù)據(jù)進(jìn)行安全保護(hù)，以全面防止信息泄露。由于數(shù)據(jù)處理過程是在服務(wù)器上進(jìn)行的，數(shù)據(jù)從來沒有進(jìn)入過終端，自然就沒有信息痕跡，這就實(shí)現(xiàn)了“終端無痕”，用“終端無痕”防止信息泄露的解決方案如左圖。

五大優(yōu)點(diǎn)值得應(yīng)用

采用數(shù)據(jù)集中存儲(chǔ)、集中運(yùn)算處理、用戶與數(shù)據(jù)和應(yīng)用之間安全隔離、用戶細(xì)粒度授權(quán)訪問控制、用戶遠(yuǎn)程虛擬操作等一系列技術(shù)的“終端無痕”解決方案具備以下幾大特點(diǎn)。

安全邊界小 通過數(shù)據(jù)集中存儲(chǔ)、應(yīng)用集中部署和運(yùn)行，縮小了數(shù)據(jù)流動(dòng)的范圍，將安全邊界縮小到了服務(wù)器區(qū)域，并在服務(wù)器與終端之間部署網(wǎng)絡(luò)隔離，對(duì)用戶進(jìn)行身份認(rèn)證、授權(quán)訪問控制、傳輸加密保護(hù)等以保護(hù)邊界安全，防止信息泄露。

繞不過的強(qiáng)制性安全防護(hù)措施 采用邊界防護(hù)設(shè)備結(jié)合虛擬應(yīng)用模式對(duì)用戶進(jìn)行強(qiáng)身份認(rèn)證，保證用戶身份的真實(shí)性; 同時(shí)，應(yīng)用授權(quán)發(fā)布機(jī)制限制了用戶對(duì)數(shù)據(jù)的操作。

數(shù)據(jù)的全生命周期的安全 數(shù)據(jù)和應(yīng)用集中在安全邊界內(nèi)的服務(wù)器上集中部署和運(yùn)行，數(shù)據(jù)從生成、編輯、閱讀到刪除的全生命周期受到了安全邊界的防護(hù)。

內(nèi)外兼防 用戶與數(shù)據(jù)和應(yīng)用之間進(jìn)行網(wǎng)絡(luò)隔離、虛擬應(yīng)用、終端無痕跡，既能有效地防止內(nèi)部人員超越權(quán)限非法下載、打印、復(fù)制文件等不法企圖; 又能防止終端上病毒對(duì)數(shù)據(jù)殘留信息的攻擊，造成信息泄露。

解放了生產(chǎn)力，提高了工作效率 終端無痕跡就是終端沒有數(shù)據(jù)內(nèi)容和殘留信息，因此終端不需要使用涉密密碼設(shè)備，減少了涉密的管理工作。