对关键业务系统的数据 每年应至少进行多少次

我《信息保卫战》读书笔记：终端安全终端安全企业信息技术安全体系建设服务象密集风险发部 我面临着面挑战需要釆用同类型同层同级别安全措 施实现终端安全、挑战威胁1. 员工安全意识薄弱企业安全策略难实施网络病毒泛滥病毒、蠕虫间谍软件等网络安全威胁损害客户利益并造量金钱 产率损失与同移设备普及进步加剧威胁移用户能够 家或公共热点连接互联网或办公室网络意轻易染病毒并其 带进企业环境进染网络据2011 csi/fbi安全报告称虽安全技术直发展且安全技 术实施更耗资数百万美元病毒、蠕虫其形式恶意软件仍各 机构现面临主要问题机构每遭遇量安全事故造系统断、收入 损失、数据损坏或毁坏及产率降低等问题给机构带巨经济影响解决些问题企业都制定企业终端安全策略规定终端必 须安装杀毒软件及及更新病毒库；终端必须及安装系统安全补丁；终 端必须设置强口令等由于员工安全意识薄弱企业安全策略难实施 形同虚设网络安全问题依严重2. 非授权用户接入网络重要信息泄露非授权接入包括两部：(1) 自外部非用户利用企业管理漏洞使用pc接入交换机 获网络访问权限；冒用合用户口令合身份登录网站查看 机密信息修改信息内容及破坏应用系统运行(2) 自内部合用户随意访问网络关键资源获取关键信息用 于非目目前企业使用局域网太网基础网络架构要插入网络 能够自由访问整网络非接入非授权访问导致企业业务系统破 坏及关键信息资产泄露已经企业需要解决重要风险3. 网络资源合理使用工作效率降存违反律规风险根据idc新数据报导企事业员工平均每超50%班间用 线聊浏览娱乐、**、**网站或处理事务；员工互联网载 各种信息些用于载信息间62%用于软件载11%用于 载音乐25%用于载与写报告文件相关资料内律规定网站非**内容、与**相关 、与**犯罪相关等使用宽带接入互联网企事业内部网络某种程 度种公共网场所与律相违背行都能发内 部网络些事情难追查给企业带律规面风险二、防护措施目前终端数据管理存问题主要表现：数据管理工作难形制度 化数据丢失现象发；数据散同机器、同应用管理 散安全保障；难实现数据库数据高效线备份；存储媒体管理困 难历史数据保留困难我几面采取措施实现终端安全1. 数据备份随着计算机数据系统建设深入数据变越越举足轻重何效 管理数据系统益保障系统运行关键环节数据系统数 据格式物理位置布广泛应用散数据量造数据难效 管理给工作带诸隐患建立套制度化数据备份系 统着非重要意义数据备份指通数据系统选定台机器作数据备份管理服务 器其机器安装客户端软件整数据系统数据自备份与 备份服务器相连储存设备并备份服务器各备份客户端建立相应 备份数据索引表利用索引表自驱存储介质实现数据自恢复 若意外事件发若系统崩溃、非操作等利用数据备份系统进行恢复 靠性角度考虑备份数量于等于21) 数据备份主要内容(1) 跨**数据备份管理：要支持各种操作系统数据库系统；(2) 备份安全性与靠性：双重备份保护系统确保备份数据万失；(3) 自化排程/智能化报警：通mail/broadcasting/lo**报警；(4) 数据灾难防治与恢复：提供指定目录/单文件数据恢复2) 数据备份案每计算环境规模、体系结构、客户机**支持应用软件都各 相同其存储管理需求所区别所要选择适合自身环境解决案 目前虽没统标准至少要具功能：集客户机代理支持、 广泛存储设备支持、高级介质管理、高级程安排、数据完整性保证机制、 数据库保护比华公司v**数据容灾解决案、hdp数据连续性保护 案hdstruecopy案ibmsvc案等2. 全面靠防病毒体系计算机病毒防治要防毒、查毒、解毒三面进行系统于计算机病 毒实际防治能力效要防毒能力、查毒能力解毒能力三面评判由于企业数据系统环境非复杂拥同系统应用于 整企业数据系统病毒防治要兼顾各环节否则某些环节存问题 则能造整体防治失败于反病毒软件说需要技术做 面面俱才能实现全面防毒由于数据系统病毒与单机病毒本质相同都编制计算机 程序反病毒原理由于数据系统具特殊复杂性使 数据系统反病毒要求仅防毒、查毒、杀毒且要求做与系统 缝链接项技术影响软件运行效率、全面查杀病毒关键所 要做缝链接必须充掌握系统底层协议接口规范随着代病毒技术发展病毒已经能够紧密嵌入操作系统深层甚 至内核种深层嵌入彻底杀除病毒造极困难 能确保病毒杀除同破坏操作系统本身使用种反病毒软 件许现事与愿违严重缝链接技术保证反病毒模块底层 内核与各种操作系统、数据系统、硬件、应用环境密切协调确保病毒入侵 反病毒操作伤及操作系统内核同能确保犯病毒防杀vxd微软专门windows制定设备驱程序接口规范简言 vxd程序点类似于dos设备驱程序专门用于管理系统所加载 各种设备vxd仅适用于硬件设备且由于具比其类型应用程序 更高优先级更靠近系统底层资源windows操作系统反病毒 技术需要利用vxd机制才能全面、彻底控制系统资源并病毒入侵 及报警且vxd技术与tsr技术同占用极少内存 系统性能影响极由于病毒具备隐蔽性知觉潜入机器能抵 御种隐蔽性反病毒软件谈防毒功能实反病毒软件作 任务进计算机系统数据进行监控能够保证系统受病毒侵害同 用户其应用程序作其任务系统并行运行与实反病毒任 务毫冲突windows环境能实现实反病毒 病毒入侵埋隐患针特性需要采取实反病毒技术保证计 算机系统整工作程能够随防止病毒外界入侵系统全面提 高计算机系统整体防护水平前数光盘存放文件数据系统传输文件都压缩形式 存放且情况复杂现行通用压缩格式较压缩工具压缩 文件打包扩展名.exe自解压执行文件种自解压文件 脱离压缩工具直接运行于些压缩文件存复杂情况反病毒软 件能准确判断或判断片面避免留查杀病毒死角 病毒防治造隐患通全面掌握通用压缩算软件产厂商自定义压 缩算深入析压缩文件数据内容非采用简单检查扩展文件名 实现所压缩文件查毒杀毒功能于数据系统病毒防治说反病毒软件要能够做全位防护才 能病毒做密漏查杀于数据系统病毒除软盘、光盘等病毒 染普遍媒介具备保护功能外于更隐性企业数据系统传播途径 更应该关口前公司间及与间电通信式应用更广泛随 着种数据交换增越越病毒隐藏邮件附件数据库文件进行传播扩散反病毒软件应该病毒传播通道具备效控制功能伴随数据系统发展载文件染病毒机率呈指数级增 传播更广泛病毒源需要载文件病毒染机器前自检测并给予清除压缩文件同效简言要综合采用数字免疫系统、监控病毒源技术、主内核技术、 布式处理技术、安全**技术等措施提高系统抗病毒能力3. 安全措施防火墙及数据加密所谓防火墙互联网与内部网隔屏障防火墙两类即标 准防火墙双家m关随着防火墙技术进步双家n关基础演化 两种防火墙配置种隐蔽主机**另种隐蔽智能**（隐蔽网） 隐蔽主机**前种见防火墙配置顾名思义种配置面路 由器进行隐蔽另面互联n内部n间安装堡垒主机堡垒主机装 内部网通路由器配置使该堡垒主机内部网与互联网进行通信唯 系统u前技术复杂且安全级别高防火墙隐蔽智能** h关隐藏公共系统使其免遭直接攻击隐蔽智能**提供互联网服 务进行几乎透明访问同阻止外部未授权访问者专用数据系统非 访问般说种防火墙容易破坏与防火墙配合使用安全技术数据加密技术提高信息系统及数 据安全性保密性防止秘密数据外部破析所采用主要技术手段 随着信息技术发展数据系统安全与信息保密益引起关注目前各 除律、管理加强数据安全保护外技术别软件硬件 两面采取措施推着数据加密技术物理防范技术断发展按作用 n,数据加密技术主要数据传输、数据存储、数据完整性鉴别及密钥 管理技术四种4. 智能卡实施与数据加密技术紧密相关另项技术则智能卡技术所谓智能卡 密钥种媒体般像**由授权用户所持并由该用户赋予 口令或密码字该密码与内部数据系统服务器注册密码致口令 与身份特征共同使用智能卡保密性能相效数据系统安全 数据保护些防范措施都-定限度并越安全越靠 看内部网杏安全仅要考察其手段更重要该数据系统所采 取各种措施其光物理防范员素质等其软素进 行综合评估否安全结论另外其具体安全措施包括数字认证、严谨效管理制度高度警 惕安全意识及级**等措施另外考虑数据系统业务连续需要 我设计部署必要bcp计划?三、解决案解决终端安全问题效结合端点安全状况信息新型网络准入 控制技术(1) 部署实施网络准入控制通准入控制设备能够效防范自 非终端网络业务资源访问效防范信息泄密(2) 通准入控制设备实现授权访问控制使同身份角色 员工能访问特定授权业务系统保护财务系统企业关键业务资源(3) 端点安全状态与网络准入控制技术相结合阻止安全终端及 满足企业安全策略终端接入网络通技术手段强制实施企业安全策略 减少网络安全事件增强企业安全制度遵加强事审计记录控制终端网络访问控制m络应用程序使用 敦促员工专注工作减少企业互联网访问律规面风险并且提供 责任溯手段1. 集式组网案终端安全管理（terminal security management, tsm)系统支持集式组网所控制服务器集起网络终端提供接入控制安全管 理功能集式组网案图9-3所示2. 布式组网案 遇面情况能需要采用布式组网案图9-4所示?(1)终端相集几区域且区域间带宽比较由于代理与 服务器间存定流量采用集式部署占用区域间带宽, 影响业务提供(2)终端规模相考虑使用布式组网避免量终端访问tsm 服务器占用量网络带宽布式部署候tsm安全代理选择近控制服务器获身份认证 准入控制等各项业务3. 级式组网案网络规模超选择采用级式组网案图9-5所示种部署案每tsm结点都独立管理单元承担独立 用户管理、准入控制及安全策略管理业务管理负责制定总体安全策 略发给各tsm管理结点并且tsm管理结点实施情况进行监控tsm系统于关键用户认证数据库提供镜像备份机制主数据库发 故障镜像数据库提供备份认证源能够保证基本业务提供防止 单数据源失效导致接入控制网络故障tsm系统发严重故障或者tsm系统所网络发严重故障 用户根据业务情况进行选择：业务优先/安全优先选择业务优先准入控制设备（802.1x交换机除外）设计逃通 道能够检测tsm系统严重故障启用逃通道防止重要业务断tsm终端安全管理系统提供服务器状态监控工具通该工具监控服 务器运行状态数据库链接、sacg链接故障及cpu/内存异等 检查服务器状态异通邮件、短信等式通知管理员及处理四、终端虚拟化技术1.传统终端数据安全保护技术1) dlp(1) 工作式：dlp (data loss prevention,数据丢失防护）技术侧重于信 息泄密途径防护能够通深度内容析态数据、静态数据使用 数据进行鉴定、检测保护产品pc终端、网络、邮件服务器等 系统针信息内容层面检测防护能够发现敏数据存储位置 进行定处理式些漏洞(2) 使用场景与限制：虽dlp案灵性、安全性、管理性都满足 数据安全需求同功部署dlp案需要前提其数据内 容匹配算误报率要足够低由于数据内容表达式千差万别 定义数据内容匹配规则候漏审率误判率非难平衡论哪厂商 dlp产品实际测试程误报率普遍都偏高dlp案防护效体验 并2) drm(1) 工作式：drm (digital right management数字权限管理）加密及元数据结合用于说明获准访问数据用户及或数 据运行进行某些操作drm决定数据访问及使用式相于随数据 起移贴身保镖权限包括读取、更改、剪切/粘贴、提交电邮件、复制、 移、保存便携式保存设备及打印等操作虽drm功能非强 难规模实施(2) 使用场景与限制：drm极其依赖手运行难规模实施用 户必须解哪些权限适用于哪种内容用户复杂程度使员工忽略 drm,并导致未能改善安全性失败项冃同加密企业应用权限 必须依赖判断drm丄具具备解内容功能功drm 部署通限于用户训练素型工作组由于存种复杂性型企业 通并适合部署drm同加密使用dlp专注于drm 并减少某些阻碍广泛部署手进程3) 全盘加密(1) 工作式：所谓全盘加密技术般采用磁盘级态加解密技术 通拦截操作系统或应用软件磁盘数据读/写请求实现全盘数据实 加解密保护磁盘所文件存储使用安全避免便携终端或移 设备丢失、存储设备报废维修所带数据泄密风险(2) 使用场景与限制：与防水墙技术类似全盘加密技术同 涉密系统数据进行区别待管涉密文件普通文件都进行加密存 储支持内外部文件交流另外全盘加密案虽能够数据源 保障数据内容安全性保障其自身安全性靠性旦软件 系统损坏所数据都访问业务数据用性言反 种潜威胁述传统安全技术目前银行业都部署基础安全系统些安全系统 能够某点起防护作用尽管数据泄密事件依屡禁 止见银行业网络整体安全目前威胁源于终端安全且部署 系统案用户体验佳容易推广并未达预期效 要彻底改变企业内网安全现状必须部署更效涉密系统数据防泄密案2.数据保护创新——终端虚拟化技术能够确保数据安全前提提升用户易用性部署快速性冃 前已经部企业始使用终端虚拟化技术实现数据安全保护其 桌面/应用虚拟化技术及基于安全沙盒技术虚拟安全桌面两种比较 见式1)桌面/应用虚拟化桌面/应用虚拟化技术基于服务器计算模型所桌面虚拟机数 据进行托管并统管理通采购量服务器cpu、存储器等硬件资 源进行集建设构建终端服务层桌面、应用图像式发布 给终端用户作云计算种式由于所计算都放服务器终 端设备要求降低需要传统台式计算机、笔记本式计算机用户 通客户端或者远程访问等式获与传统pc —致用户体验图9-6 所示虽基于计算集化模式桌面虚拟化技术能够简化终端管 理维护工作能够解决终端数据安全问题**端部署 本管理本提高等新问题(1) 所客户端程序进程都运行终端服务器需要配置高性能终 端服务器集群均衡服务器负载压力(2) 由于网络延迟、服务器性能、并发拥塞等客观素影响桌面虚拟 化案终端用户使用体验低于物理计算机本应用程序使用体验(3) 计算集化容易带终端服务器单点故障问题需要通终端服务 器冗余备份强化系统稳定性(4) 桌面虚拟化案部署量终端服务器及集化数据存储间 备份、恢复、迁移、维护、隔离等问题(5) 由于数据集化管理员权限管理需要列入考虑毕竟让网络管 理员能够接触银行业务部门业务数据违背数据安全需求(6) 桌面集化案提高网络稳定性要求满足离线办公需求种案规模部署使用遇本高、体验差问题图9-7所示2)防泄密安全桌面解决桌面/应用虚拟化存问题种新终端虚拟化技术——基r 沙盒安全桌面应用防泄密领域图9-8所示改变前it架构情况充利用本pc软、硬件资源本 直接通安全沙盒技术虚拟化安全桌面桌面理解原默 认桌面备份镜像安全桌面环境运行应用、数据、网络权限等 完全与默认桌面隔离并且安全沙盒针同桌面间进行细粒度安全 控制比安全桌面能访问敏业务系统安全桌面内数据外发、复 制、打印、截屏安全桌面内保存文件加密存储等等通安全桌面+安全控制**联通配合确保用户 防泄密安全桌面内进行认证才能访问核敏系统实现终端 业务风险隔离确保终端安全性安全桌面虚拟化案用户提供 虚拟安全桌面通同虚拟安全桌面相互隔离文件资源、网络资源、系统 资源等让用户通同桌面访问同业务资源比用户访问涉密业务系统提供具数据防泄露防护防泄密安 全桌面尽能减少用户使用习惯影响解决物理隔离案易用性问 题图9-9所示基于沙盒安全桌面案价值于实现终端敏业务数据防泄密 前提改变用户使用习惯增强易用性保护用户现投资目 前防泄密安全桌面已经金融、**、企业等单位始广泛应用主要部署crm、erp、设计图等系统前端防止内部销售、供应链、财务等 员主泄密行安全桌面技术定局限性比适用于j**a、c语言代 码发环境存定兼容性问题总言两种终端虚拟化技术各优劣别适用于同业务场景具体参照图9-10 20210311