您现在的位置：首页>专题案例
企业内网移动存储管理的研究和实践
作者：顾仲熙， 张宁 浏览量：267
1 现状和需求分析
移动存储介质在给我们带来极大方便的同时，也带来了不少的安全隐患。马钢第一钢轧总厂（简称一钢轧）的计算机网络分为内、外两个物理隔离的网络，外网为办公网，内网为业务支撑网络，运行生产运营系统。重要的业务数据，都在内网运行，内网电脑不允许接入互联网，也不允许同时连接内外两张网络。
但是内网仍然会有一些移动存储的应用场景，会带来以下安全问题：
（1）外来移动存储介质可随意接入内网电脑与网络。
（2）数据明文存放，很容易将重要机密数据拷贝到移动存储后传播到互联网。
（3）移动存储介质丢失会导致信息泄漏。
（4）移动存储介质的使用情况无法追踪审计。
（5）给内网带来潜在的安全风险：病毒、木马甚至恶意攻击。
针对移动存储介质的无序使用给信息安全带来的潜在隐患，对移动存储介质管理进行较深入的研究，开发并建立内网移动存储介质管理系统，实现并建立内网移动存储介质的事先管理、事中监控、事后追溯的机制。
2 移动存储介质管理体系架构设计
2.1整体设计
系统设计的整体目标是保证内网的涉密信息不能通过移动存储介质泄露到外部环境中。当前，计算机系统之间的信息交换普遍采用移动存储介质和网络传输这2种渠道进行。因此，系统的设计思想即为梳理出合理的流程，制定符合使用流程的管控策略，以管控策略为指导，设计并部署相应的管理系统，对信息传输的2种主要渠道进行控制，达到信息防泄露的目标。根据现有使用流程，制定的管控策略如下：
（1）外来的移动存储介质不允许在内网使用，所有在内网使用的移动存储介质都需要先进行注册。
（2）用户只能在系统授权范围内使用终端和移动存储介质，权限到期时被系统自动回收。
（3）内部移动存储介质中的数据自动加密，脱离其工作环境后，其中的数据不能被使用。
（4）对移动存储介质的插拔、读、写、删、改、添加、拷贝等操作能进行控制和审计。
（5）移动存储介质的管理软件具备自我保护功能，不能因为破坏而失效。
（6）内网电脑不能接入互联网，一旦接入互联网，需要自动发现、自动告警，并自动阻断。
（7）移动存储介质的管理需要从技术和管理方向双重入手，以技术为主导，以管理为辅助。
基于以上思路，设计针对内网环境的移动存储介质管理系统。
2.2体系架构设计和网络拓扑
在系统架构方面，采用层次化、模块化的设计思路。系统在体系结构上划分3层：用户界面层，用于处理终端用户发出的相关控制指令并将审计结果返回给终端用户；数据逻辑处理层，负责对移动存储介质的使用进行控制，对存储在移动存储介质上的数据进行加解密处理；数据访问层， 用于完成对数据库、外联服务器的网络访问需求。
系统在内部网络环境中部署管理服务器，对所有客户端使用移动介质的状况进行实时监控与管理；在互联网出口位置搭建防外联服务器，对内网终端非法连接互联网的操作进行记录和阻断，并以手机短信息的方式通知管理员，由管理员上报管理部门，对违规人员和违规操作进行处理。系统的网络拓扑结构如图1所示。
图1 系统网络拓扑结构
客户机是执行整个系统管控策略和实施监控行为的主体，客户机从内网管理服务器接收到管控策略后，会按照管控策略的要求，对移动存储介质的使用进行管控、加解密和行为审计；内网管理服务器在内网实施监控，并负责保存用户、移动存储介质和客户端计算机的注册信息以及分发安全策略；防外联服务器则部署在外网，与互联网连接，负责在外联出口对非法连接互联网的客户端实施监控，防止内网电脑接入互联网的行为发生。
2.3系统功能结构
移动存储介质管理系统的功能结构如图2所示。
图2 系统功能结构
防外联服务器、管理服务器分别通过互联网和内网网络与客户端相连。
客户端是整个系统安全策略和防护机制的执行单元。安装客户端的终端一经启动，即向部门服务器开机注册，此后便会从部门服务器接受管控策略，并将审计信息上传到内网管理服务器。当终端接入移动存储介质时，USB 识别模块即可检测到设备的接入，然后获取该设备的标记号。
内网管理服务器是系统内各种信息的管理中心，包括用户注册信息、设备注册信息、终端注册信息、部门信息、权限信息以及日志信息。用户注册需记录用户ID；移动存储介质注册的是其软、硬ID，以及PID、VID等信息；计算机终端则使用计算机名来唯一标识。内网管理服务器利用保存在数据库中的这些信息，与客户端进行一系列的信息交换，从而能够在方便用户使用计算机和移动存储介质的前提下，保证用户计算机和移动介质中信息的安全。当客户端接入移动介质时，内网管理服务器通过对比数据库中保存的标记号、权限控制判断移动介质的合法性，从而可以拒绝或接受移动介质的接入。在移动介质使用过程中，内网管理服务器会将从客户端发来的日志信息保存在数据库中以便日后查看，对安全事故进行追踪。
防外联服务器作为外联信息的管理中心，同样在数据库中保存了用户信息、部门信息和计算机终端信息。它在互联网出口对客户端实施远程监控，当各单位内部的计算机非法连接互联网时，防外联服务器可以实时检测到联网状况，并将联网计算机的外联信息保存在外联信息表中，并可以通过邮件、短信息的形式向指定的管理人员报告非法外联情况，由管理部门进行处理。
2.4系统建设要求
移动存储介质管理系统采用分层式功能架构，分模块进行建设。建设的模块包括客户端、内网管理服务器和外联服务器。客户端负责完成移动存储介质识别，移动存储介质访问控制，移动介质的插、拔、读、写、删、改等操作管理、控制，审计信息上传。内网管理服务器负责提供人机界面，让管理员可以注册移动介质、制定管控策略，负责将管控策略下发到客户端，负责将客户端上传的数据进行分析、处理、存储，并通过用户界面向用户进行形象、直观的展示。而外联服务器则负责及时发现和记录连接外网的终端，并及时提供报警和审计。
移动介质管理系统要求做到集中管理，所有的终端都需要连接到内网管理服务器进行集中管理，由管理服务器对移动介质进行集中的注册、策略的定制和下发。
移动介质管理系统要求做到实时监控并记录，监控内容包括非法外联、违规操作、移动介质的操作使用等，并实时上报违规操作内容。
移动存储介质管理系统的建设内容包括：内网管理服务器建立、外联服务器建立、管控策略设置、移动介质集中注册和授权、加密移动介质制作、非法外联监控、移动介质使用审计等。
3 移动存储介质管理体系建设
移动存储介质管理体系建设按照先建立相关安全管理制度和流程，然后完成移动存储介质管理技术平台建设的思路，依托技术手段，持续地对移动存储介质的安全风险、安全事件进行监测评估和管理。
3.1移动介质安全管理策略
要实现移动存储管理介质集中、实时的监控管理，管理策略的制定是非常关键的部分，主要的管理策略要求有：管理的范围，对象；终端的涉密级别；风险和泄密的途径；控制手段；审计和评估移动存储介质管理系统对风险控制的作用和有效性。
3.2管理制度和流程
移动存储介质管理系统从技术上实现了对移动介质的风险管控，除了管控策略，还必须有严格的安全管理制度和切实可行的保障流程。在移动存储介质管理体系建设的过程中，需要从以下几个方面进行规范：
移动存储介质管理的组织机构、人员分工、权限职责；移动存储介质集中注册、授权的实施工作流程；移动存储介质管理系统的管理和技术规范；移动介质控制的安全审计、奖惩制度；管理制度更新等。
3.3移动介质技术平台
通过引入和建设技术平台，依据终端涉密级别的不同，对不同终端接入的移动介质部署不同的管控方式：禁用、注册使用、规定区域使用、加密、专用安全U盘。
3.4安全审计
3.3.1安全事件审计
客户端将终端上移动存储介质的使用信息通过安全事件记录的形式提交到内网管理服务器，由内网管理服务器进行采集、存储、分析后集中展示。通过查看和分析这些审计信息，能够及时发现当前的各种违规行为，并且系统在发生安全事故后提供证据和记录，用于事故调查。
3.3.2系统审计
定期审计移动介质控制的有效性，配置的变更情况，及时发现技术和管理上的漏洞，并加以修补，持续保证管控策略的有效性和移动介质管控的可靠性，保障内网数据的安全。
3.5安全意识培训
除管理和技术防范措施外，还需要加强对计算机操作人员进行制度的宣传和保密知识的教育工作，定期开展安全意识的培训，增强日常防范措施，使相关的人员了解移动存储介质保密管理的相关知识，加强安全意识，消除可能的泄密隐患。
4结语
移动存储介质管理系统经过约１２周的需求调研与分析，４周的分析设计，约１７周的开发与测试，现已在一钢轧内网上线使用。系统整体运行效果良好，有效控制了内网中移动存储的使用，从技术上及用户的安全意识上，均大幅提高了内网移动存储管理的水平。
参考文献
【1】廉士国.多媒体快速加密算法研究[D].南京：南京理工大学，2005
【2】冯登国. 计算机通信网络安全[M]. 北京：清华大学出版社, 2001
收稿日期：2014-07-08