防止信息泄露的新方法

申請免費試用、咨詢電話：400-8352-114

傳統(tǒng)技術(shù)面臨挑戰(zhàn)

對信息泄露防御(Data Leakage Prevention，DLP)的通常解釋是: 通過一定的技術(shù)或管理手段，防止用戶的指定數(shù)據(jù)或信息資產(chǎn)以違反安全策略規(guī)定的形式被有意或意外流出。通俗地說，就是防止對數(shù)據(jù)非授權(quán)的訪問和獲取。

當前，信息泄露防御主要分為兩大類: 一類是主動防護，采用數(shù)據(jù)加密、信息攔截過濾技術(shù)對數(shù)據(jù)本身進行防護; 另一類是被動防護，采用訪問控制和輸出控制技術(shù)對訪問數(shù)據(jù)的用戶操作行為進行防護。

主動防護根據(jù)所采用的技術(shù)又可以分為兩種: 信息攔截和數(shù)據(jù)加密。信息攔截過濾部署在網(wǎng)絡(luò)出口和主機上，對進出網(wǎng)絡(luò)主機的數(shù)據(jù)進行過濾，發(fā)現(xiàn)數(shù)據(jù)被違規(guī)轉(zhuǎn)移時，進行攔截和警報。然而，信息攔截在防止數(shù)據(jù)泄露的過程中無法進行細粒度的權(quán)限驗證，這一問題越來越突出—只要數(shù)據(jù)接收者符合輸出規(guī)定就允許數(shù)據(jù)流出，卻不能確定具體的接收者是否擁有數(shù)據(jù)接收的授權(quán)，因此必須結(jié)合其他的信息防泄露技術(shù)加以補充和完善。

數(shù)據(jù)加密技術(shù)采用密碼技術(shù)首先對數(shù)據(jù)進行加密，然后通過密鑰管理和密鑰的分發(fā)實現(xiàn)對數(shù)據(jù)解密的授權(quán)，只有被授權(quán)的人才能解密和使用數(shù)據(jù)。但是，數(shù)據(jù)加密是依托密碼技術(shù)對數(shù)據(jù)進行保護的，對數(shù)據(jù)在明文使用時產(chǎn)生的數(shù)據(jù)泄露無法進行保護; 同時，隨著計算能力的不斷提高，密碼破解的代價越來越低，而且，針對密鑰的攻擊也是破解密碼的有效途徑，因此不可能完全依靠加密來防止信息泄露。

被動防護是指采用訪問控制和輸出控制技術(shù)，對訪問數(shù)據(jù)的用戶操作行為進行限制和防護，大部分被動防護系統(tǒng)都是從身份認證、權(quán)限管理、輸出控制這幾個方面著手的?；谀壳暗膽?yīng)用結(jié)構(gòu)，被動防護面臨很大挑戰(zhàn)—大部分的輸出控制和訪問控制都是基于操作系統(tǒng)之上進行的防護，從理論上講都可以被拆卸、篡改或繞過。

“終端無痕”防止信息泄露

通過對現(xiàn)有信息防泄露技術(shù)的分析，我們發(fā)現(xiàn)兩個問題: 首先，目前信息防泄露技術(shù)沒有將用戶和數(shù)據(jù)結(jié)合起來進行統(tǒng)一考慮，考慮問題的角度也不夠全面; 其次，目前的信息防泄露技術(shù)是基于傳統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)應(yīng)用架構(gòu)之上的，信息數(shù)據(jù)分布在網(wǎng)絡(luò)系統(tǒng)之中的各個角落，安全防護的難度很大。

尤其是在傳統(tǒng)網(wǎng)絡(luò)信息系統(tǒng)架構(gòu)之中，數(shù)據(jù)廣泛分布和流動在整個網(wǎng)絡(luò)空間的終端、服務(wù)器、網(wǎng)絡(luò)設(shè)備之間，數(shù)據(jù)流動空間大、范圍廣、環(huán)境復(fù)雜，因此，防泄露技術(shù)難度很高，風險也很大。必須對傳統(tǒng)網(wǎng)絡(luò)應(yīng)用模式進行改造，將應(yīng)用和數(shù)據(jù)集中存放和部署在服務(wù)器區(qū)域，用戶使用的應(yīng)用軟件也集中在服務(wù)器上運行。

如此一來，數(shù)據(jù)流動的范圍就縮小到后臺的少量服務(wù)器上，將數(shù)據(jù)的應(yīng)用環(huán)境固定化、簡單化，這有益于對數(shù)據(jù)進行安全保護，以全面防止信息泄露。由于數(shù)據(jù)處理過程是在服務(wù)器上進行的，數(shù)據(jù)從來沒有進入過終端，自然就沒有信息痕跡，這就實現(xiàn)了“終端無痕”，用“終端無痕”防止信息泄露的解決方案如左圖。

五大優(yōu)點值得應(yīng)用

采用數(shù)據(jù)集中存儲、集中運算處理、用戶與數(shù)據(jù)和應(yīng)用之間安全隔離、用戶細粒度授權(quán)訪問控制、用戶遠程虛擬操作等一系列技術(shù)的“終端無痕”解決方案具備以下幾大特點。

安全邊界小 通過數(shù)據(jù)集中存儲、應(yīng)用集中部署和運行，縮小了數(shù)據(jù)流動的范圍，將安全邊界縮小到了服務(wù)器區(qū)域，并在服務(wù)器與終端之間部署網(wǎng)絡(luò)隔離，對用戶進行身份認證、授權(quán)訪問控制、傳輸加密保護等以保護邊界安全，防止信息泄露。

繞不過的強制性安全防護措施 采用邊界防護設(shè)備結(jié)合虛擬應(yīng)用模式對用戶進行強身份認證，保證用戶身份的真實性; 同時，應(yīng)用授權(quán)發(fā)布機制限制了用戶對數(shù)據(jù)的操作。

數(shù)據(jù)的全生命周期的安全 數(shù)據(jù)和應(yīng)用集中在安全邊界內(nèi)的服務(wù)器上集中部署和運行，數(shù)據(jù)從生成、編輯、閱讀到刪除的全生命周期受到了安全邊界的防護。

內(nèi)外兼防 用戶與數(shù)據(jù)和應(yīng)用之間進行網(wǎng)絡(luò)隔離、虛擬應(yīng)用、終端無痕跡，既能有效地防止內(nèi)部人員超越權(quán)限非法下載、打印、復(fù)制文件等不法企圖; 又能防止終端上病毒對數(shù)據(jù)殘留信息的攻擊，造成信息泄露。

解放了生產(chǎn)力，提高了工作效率 終端無痕跡就是終端沒有數(shù)據(jù)內(nèi)容和殘留信息，因此終端不需要使用涉密密碼設(shè)備，減少了涉密的管理工作。