隨著國(guó)家信創(chuàng)產(chǎn)業(yè)的蓬勃發(fā)展，越來(lái)越多的信創(chuàng)終端已經(jīng)應(yīng)用在政府、軍隊(duì)、金融、電力等各行各業(yè)中。主流的信創(chuàng)操作系統(tǒng)類型包括：銀河麒麟、統(tǒng)信UOS、普華、中科方德等。隨著信創(chuàng)終端的廣泛使用，信創(chuàng)終端在用戶正常生產(chǎn)辦公過(guò)程中產(chǎn)生的數(shù)據(jù)安全風(fēng)險(xiǎn)也逐漸成為各單位企業(yè)CTO/信息系統(tǒng)管理人員重點(diǎn)關(guān)注的問(wèn)題。
與傳統(tǒng)的Windows+Intel平臺(tái)終端相比，信創(chuàng)終端在使用過(guò)程中面臨的數(shù)據(jù)安全風(fēng)險(xiǎn)更加嚴(yán)重。一方面硬件平臺(tái)和操作系統(tǒng)的自主可控并不等于安全，同樣面臨系統(tǒng)漏洞和缺陷等安全威脅；另一方面信創(chuàng)終端的廣泛使用必然帶來(lái)短時(shí)間內(nèi)有一大批的業(yè)務(wù)辦公軟件需要適配，適配過(guò)程中必然帶來(lái)一定的軟件工程安全漏洞風(fēng)險(xiǎn)，需要時(shí)間去發(fā)現(xiàn)并修復(fù)。
鑒于上述安全風(fēng)險(xiǎn)現(xiàn)狀，明朝萬(wàn)達(dá)提出了一套安全可靠的管控方案來(lái)保障當(dāng)前信創(chuàng)終端平臺(tái)的數(shù)據(jù)安全。
明朝萬(wàn)達(dá)信創(chuàng)終端數(shù)據(jù)安全管控基本方案
明朝萬(wàn)達(dá)信創(chuàng)終端數(shù)據(jù)安全管控基本方案的整體框架是基于內(nèi)核驅(qū)動(dòng)層、基礎(chǔ)支撐層、業(yè)務(wù)應(yīng)用層的三層架構(gòu)，如下圖所示：
方案功能
驅(qū)動(dòng)技術(shù)向來(lái)以穩(wěn)定高效的特性被廣泛應(yīng)用在操作系統(tǒng)和硬件交互的場(chǎng)景，方案最底層采用文件過(guò)濾驅(qū)動(dòng)組件和網(wǎng)絡(luò)過(guò)濾驅(qū)動(dòng)組件，實(shí)現(xiàn)核心文件數(shù)據(jù)的透明加解密與網(wǎng)絡(luò)協(xié)議傳輸數(shù)據(jù)過(guò)濾識(shí)別功能；
信創(chuàng)操作系統(tǒng)與Windows系統(tǒng)相比，在用戶權(quán)限管理方面區(qū)別較大，客戶端軟件設(shè)計(jì)中考慮最小權(quán)限原則，將軟件的基礎(chǔ)支撐功能，如安裝、卸載、升級(jí)、進(jìn)程通信、進(jìn)程與安裝文件守護(hù)等放在基礎(chǔ)支撐層實(shí)現(xiàn)；
方案在業(yè)務(wù)層主要實(shí)現(xiàn)的功能分為兩部分：
1、實(shí)現(xiàn)了一套高效的文件數(shù)據(jù)內(nèi)容識(shí)別與分類分級(jí)引擎，用來(lái)為后續(xù)的動(dòng)態(tài)管控提供決策依據(jù)；
2、利用信創(chuàng)系統(tǒng)內(nèi)置的技術(shù)組件等實(shí)現(xiàn)了對(duì)進(jìn)程、外設(shè)以及網(wǎng)絡(luò)訪問(wèn)連接的管控：
◇ 進(jìn)程管控，主要是利用信創(chuàng)系統(tǒng)進(jìn)程事件鏈接器技術(shù)組件監(jiān)控進(jìn)程的啟動(dòng)與信息，根據(jù)管控策略實(shí)現(xiàn)對(duì)應(yīng)進(jìn)程的啟停和權(quán)限控制；
◇ 外設(shè)管控，主要是利用信創(chuàng)系統(tǒng)設(shè)備管理器技術(shù)組件來(lái)監(jiān)控識(shí)別當(dāng)前系統(tǒng)連接的外設(shè)，根據(jù)策略實(shí)現(xiàn)對(duì)應(yīng)類型外設(shè)的啟停和權(quán)限控制；
◇ 網(wǎng)絡(luò)管控，主要是利用網(wǎng)絡(luò)重定向驅(qū)動(dòng)技術(shù)組件來(lái)實(shí)現(xiàn)對(duì)通過(guò)標(biāo)準(zhǔn)協(xié)議如HTTP/S、FTP、SMB、SMTP/POP3/IMAP收發(fā)的數(shù)據(jù)進(jìn)行監(jiān)測(cè)與動(dòng)態(tài)管控。
實(shí)現(xiàn)效果
通過(guò)以上終端數(shù)據(jù)安全管控技術(shù)與業(yè)務(wù)框架搭建起一套完整的適用于信創(chuàng)終端的數(shù)據(jù)安全管控方案。在其部署后，可實(shí)現(xiàn)以下管控效果。
◆ 以終端數(shù)據(jù)內(nèi)容的識(shí)別與分類分級(jí)為前提，實(shí)現(xiàn)了對(duì)終端存儲(chǔ)的非結(jié)構(gòu)化數(shù)據(jù)文件的內(nèi)容識(shí)別，并根據(jù)預(yù)先設(shè)置或者動(dòng)態(tài)學(xué)習(xí)的分類分級(jí)元數(shù)據(jù)標(biāo)準(zhǔn)對(duì)終端存量/增量的數(shù)據(jù)文件進(jìn)行分類分級(jí)預(yù)處理。
◆ 以終端全方位的數(shù)據(jù)外發(fā)通道管控為基礎(chǔ)，實(shí)現(xiàn)針對(duì)終端各種類型外設(shè)如移動(dòng)存儲(chǔ)設(shè)備、打印機(jī)、刻錄機(jī)、藍(lán)牙等設(shè)備外發(fā)數(shù)據(jù)的管控；同時(shí)還支持針對(duì)終端網(wǎng)絡(luò)通道各種標(biāo)準(zhǔn)協(xié)議如HTTP/S、FTP、SMB、SMTP、SSL加密等外發(fā)數(shù)據(jù)的管控。針對(duì)第三方私有協(xié)議的即時(shí)通訊軟件外發(fā)途徑支持采用進(jìn)程禁止啟動(dòng)的方式進(jìn)行管控。支持添加屏幕水印等輔助措施實(shí)現(xiàn)對(duì)數(shù)據(jù)通過(guò)屏幕泄漏的途徑管控。
◆ 以動(dòng)態(tài)的審計(jì)、加密、審批放行甚至阻斷控制管理手段為核心，支持根據(jù)文件數(shù)據(jù)內(nèi)容的分類分級(jí)結(jié)果進(jìn)行區(qū)分動(dòng)態(tài)管控；
◆ 配合單獨(dú)明文外發(fā)業(yè)務(wù)設(shè)計(jì)提升用戶操作使用的便利性，做到安全與使用便捷的統(tǒng)一，實(shí)現(xiàn)一次明文外發(fā)登記，全通道明文外發(fā)的管控效果。
◆ 結(jié)合服務(wù)器系統(tǒng)、管理控制臺(tái)系統(tǒng)實(shí)現(xiàn)了基于C/S架構(gòu)的部署、基于B/S運(yùn)維統(tǒng)一管理的系統(tǒng)，為信創(chuàng)終端系統(tǒng)的數(shù)據(jù)安全管控提供一套完整的數(shù)據(jù)安全審計(jì)管控解決方案。
