公安內網移動存儲介質安全管理系統的設計與研究

◆顧 濤 楊 健

?

公安內網移動存儲介質安全管理系統的設計與研究

◆顧 濤1楊 健2

（1.嘉興市秀洲區公安分局 浙江 314000；2.嘉興市公安局 浙江 314000）

隨著信息化建設的飛速發展，網絡技術得到深層次應用，日常辦公已越來越依賴于網絡。移動存儲因其獨特的便利性在日常工作中發揮著重要作用，但它為工作提供便利的同時，也為網絡信息安全帶來了極大威脅。本文根據對公安內網特點設計移動存儲介質管理策略，通過動態授權、介質注冊管理等手段實現對移動存儲介質的有序管理，維護內網的安全。

內網；移動存儲介質；動態授權；注冊管理

0 引言

隨著我國信息化建設的飛速發展，網絡技術得到深層次應用，日常辦公已越來越依賴于網絡。移動存儲介質因其體積小、容量大、價格低、攜帶方便、傳輸速率高的特性，也在日常工作中發揮著重要作用，但它為工作提供便利的同時，也為信息安全帶來了極大隱患，甚至已經造成了非常嚴重的后果。我們要加強移動存儲介質的安全保密管理，監測移動存儲介質的使用過程，降低使用移動存儲介質導致的數據泄露風險，強調全程安全保密管理，使其在保證安全的前提下，滿足各項工作的要求。

1 存在的安全問題

移動存儲具有體積小、容量大、價格低、攜帶方便、傳輸速率高的優點，導致其在日常工作中使用率非常高，卻也導致許多管理問題，造成內部信息丟失、攜帶木馬病毒導致的其他損失。移動存儲介質數量多、體積小、攜帶方便等優點，每個用戶可能擁有多個移動存儲介質，最后這些介質用途不明、去向不明、底數不清，存在很大的安全盲點。

用戶往往將辦公文件拷貝到移動存儲介質隨身攜帶并在不同的環境下使用，導致保密文件被帶出辦公場地造成泄密；當該移動存儲介質被借用時，也存在泄露的風險。

現在針對移動存儲介質的病毒和木馬程序十分普遍，通過共用的網絡終端，對接入的移動存儲介質進行感染，感染到內部網絡，使內網和應用系統存在網絡癱瘓、系統崩潰和數據丟失的安全隱患。

2 系統設計原則及目標

（1）高標準、高安全系數

根據中華人民共和國公共安全行業標準（GA/T 987-2012），USB移動存儲介質管理系統安全技術要求劃分成三個等級，其中三級最高。該系統參照該技術標準，按照三級標準設計。

（2）兼容性強、安全系數高

系統布置之后，由于加解密及策略在后臺自動控制，受控移動存儲介質在內網信息網使用過程與方式不變，無需其他操作，對于用戶是透明狀態。移動存儲設備在使用前，只需經過授權中心統一注冊授權，采用實名認證，人與設備互綁，并根據授權信息產生移動存儲介質管理編碼。只有系統授權后的移動存儲介質才能在內網中使用，杜絕外來存儲介質非法入網。

（3）支持多種介質類型

該系統支持目前市場上存在多種移動存儲介質，如USB接口外設，也支持Wi-Fi、藍牙、1394、HDMI等形式鏈接的外接設備。

（4）靈活的使用權限控制

使用動態授權機制，實時更新用戶權限和介質權限。在介質注冊時，將介質存儲區域劃分為文件區和保密區，將生成的ID編碼保存在保密區，并且通過終端策略設置，實現對注冊介質使用權限的控制與監管，提供給用戶方便靈活的使用方式。

通過系統的部署和使用，系統切實達到了如下使用效果：內部信息帶不走、外部信息進不來，并提供內外網交互介質，在監管過程中不干擾正常的業務信息交換。

3 系統設計方案

3.1 系統結構

該系統采用B/S與C/S結合的架構模式。系統核心組成部件主要包括：終端監測代理程序、管理控制中心服務、分析服務和Web服務。

3.2 核心功能

根據系統具體功能設計系統功能模型，將系統具體功能劃分四大模塊：注冊管理（認證管理）、控制管理、信息檢索、配置。

（1）介質注冊管理

實現移動存儲介質注冊管理功能，注冊完成后，按照是否經過注冊及注冊后的類別，分為未經注冊的即外網介質和注冊過的內網介質。注冊的內網移動介質可分為四種介質類型：內部介質、內部加密介質、加密交互介質、開放交互介質和卡類介質。

（2）用戶身份驗證

所有移動存儲介質在使用前均要經過授權中心統一授權，并根據授權信息產生移動存儲介質管理臺賬。經過系統授權后的移動存儲據介質才能在內網中使用，未經授權的移動存儲介質將被嚴格控制使用，杜絕外來存儲介質非法進入內網使用。

（3）日志記錄

移動存儲介質使用過程中，系統會實時記錄下用戶對移動存儲介質的所有操作并寫入設備日志區；系統通過記錄操作設備的相關信息以及登錄的用戶名、訪問開始時間、訪問結束時間等信息確認使用者及主機的唯一性，為事件查處提供依據。

（4）安全審計

對移存儲介質數據交換行為進行安全審計。提供詳細的文件操作審計記錄：包括文件創建、復制、刪除、修改等；提供詳細的移動存儲介質插入和拔出的動作記錄，具體包括事件類型、介質名稱、用戶、計算機IP地址和插拔時間。

（5）違規行為自動預警和通報

對于違規使用移動存儲介質，通過移動存儲介質拷貝涉密信息的行為，系統會自動產生報警，通知管理員及時處理違規事件。

（6）注冊與認證

本系統把用戶ID與移動存儲介質注冊ID綁定，可以一對多，但不允許多對一。每個用戶可以注冊多個不同的移動存儲介質，并且給這些介質分別授予不同的權限。用戶注冊移動存儲介質是須填寫介質信息及授權權限，管理中心讀取介質信息、用戶信息及用戶風險評估報告生成介質ID，并對寫入移動存儲介質的注冊移動存儲介質ID信息進行加密，實現用戶和移動存儲介質身份雙重認證，并在認證和注冊的通訊過程中使用加密形成安全通道完成認證和注冊，避免用戶的移動存儲介質被他人盜用或者用戶惡意偽造移動存儲介質。

（7）動態授權

與傳統的固定用戶授權模式不同，本系統采用基于風險分析模型的動態用戶授權模式。該模式改進CAS授權框架，采用實時風險評估，由監管服務器對接入內網的用戶進行實時查詢，提取接入終端的移動存儲介質信息、現實內網環境安全狀態及用戶狀態等相關數據，并發送到分析服務群服務器，該服務器根據內置的風險分析模式對用戶進行分析評估，生產評估報告并返回管理服務器。

2.1 文稿應具有科學性、實用性，論點明確，資料可靠，文字精煉，層次清晰，數據準確，用詞用語規范，必要時應進行統計學處理。護理研究、綜述不超過4 000字，一般欄目稿件勿超過2 500字，小經驗類稿件不超過1 000字。

（8）文件加密

在用戶使用的移動存儲介質上加裝具有口令保護的安全flash芯片來保存加密密鑰，并設計對應固件保障密鑰，與windows NT內核操作系統的文件系統過濾驅動相結合，可以實現移動存儲介質中的數據進行加密，防止移動存儲介質丟失或者用戶通過移動存儲介質拷貝造成文件泄密。

（9）日記審計

日志記錄一般存儲在管理服務器日志區及介質日志區，管理服務器存儲內網所有用戶使用介質的日志信息，介質日志區只存儲該介質近幾次的日志信息。當介質接入終端時，進入注冊或認證流程，日志信息將被讀出發送到管理服務器進行行為核對。行為核對無誤的用戶將可繼續使用介質，如發生核對錯誤，用戶將無法使用介質并觸發警報，系統管理員將介入處理。

在用戶使用介質出發警報時，該用戶的使用該介質的所有日志將會被調出并進行審計，檢查問題發生原因及危害等級，根據相應流程進行對應處理。

4 系統部署

系統部署部件包括：系統數據庫、管理控制中心服務、分析服務、Web服務器和監測客戶端程序。在服務器性能允許的情況下，管控中心服務、分析服務、Web服務可部署在同一臺服務器上；監測客戶端程序提供統一下載地址，由用戶自動下載安裝到終端計算機上，部署結構如圖1所示。

圖1 系統部署示意圖

5 結束語

本文系統在機構內網中對移動存儲介質進行統一注冊、統一認證、使用時監控和事后審計，做到了移動存儲介質的事前注冊、事中監管、事后審計，防范由于移動存儲介質所引發的使用風險和安全威脅。同時，該系統充分考慮到用戶使用移動存儲介質的習慣，除了必要的移動存儲介質注冊外，普通用戶無須增加其他操作，讓系統處于透明狀態，且采用組件化設計以滿足用戶日后功能上的擴展，具有較廣泛的實用工程前景。

[1]劉軍，簡茶生.應用移動存儲設備識別措施的必要性.青春歲月，2010.

[2]郁濱，尹文浩.移動存儲設備多密級安全交互方案.計算機工程與設計，2011.