一種終端安全防護模型設計方法

裴志江

摘? 要： 針對當前基于虛擬桌面技術的防護系統無法保證數據泄露的問題，提出一種基于安全虛擬桌面與分區加密相結合的防護模型。該模型在基于安全虛擬桌面的基礎上，結合分區加密技術，將重要數據進行加密，存儲在加密分區中，使得攻擊者即使獲取到數據信息，在沒有密鑰的情況下也不能破解數據內容，從而保證數據信息的安全。最后通過實驗驗證了模型的可行性。

關鍵詞： 安全防護模型; 終端防護系統; 安全虛擬桌面; 分區加密; 網絡安全管理; 數據加密

中圖分類號： TN915.08?34? ? ? ? ? ? ? ? ? ? ? ?文獻標識碼： A? ? ? ? ? ? ? ? ? ? ? ? 文章編號： 1004?373X（2020）09?0075?04

A design method of terminal security protection model

PEI Zhijiang

（School of Computer Science & Engineering， Nanjing University of Science & Technology， Nanjing 210094， China）

Abstract： Since the current protection system based on the virtual desktop technology fails to prevent the data leaking， a protection model based on the combination of secure virtual desktop and partition encryption is proposed. On the basis of secure virtual desktop， the important data are encrypted and stored in the encrypted partition of the proposed model combining the partition encryption technology， so that even if the attacker obtains the data information， he cannot decode the data without the key， which ensures the security of the data information. In addition， the feasibility of the model was verified by experiments.

Keywords： security protection model; terminal protection system; secure virtual desktop; partition encryption; network security management; data encryption

0? 引? 言

隨著云計算技術、大數據技術和互聯網+技術的高速發展，互聯網的門檻越來越低，互聯網在豐富人們工作生活的同時，也存在很大的信息泄露隱患。所以，網絡安全已經成為各國信息安全領域研究的熱點方向之一，與此同時，各國的政府部門、高等院校以及社會企業也越來越重視網絡信息安全。

現如今，各國的政府部門、社會企業為了避免網絡信息安全隱患帶來的損失，在相關的服務器設備、終端設備中安裝入侵檢測系統、防火墻軟件、病毒查殺軟件、網絡審計系統及流量回溯分析等防護系統，但是，往往內部人員的安全意識很薄弱，很容易造成國家機關、政府單位、社會企業的內部數據泄露的現象，給國家機關、政府單位、社會企業帶來很大的政治、經濟損失等。所以，在整個信息安全領域的防護工作中，防止內部失泄密是整個防護過程的重中之重，因為終端是內部人員最可能接觸的設備，因此，對終端合理、合法、合規的使用是防止失泄密的重要手段。

1? 終端安全防護機理

終端安全防護是指結合新型的網絡服務管理技術和終端保護技術對所有訪問網絡的終端進行可靠性檢查和安全性防護。在終端接入網絡之前，根據對應終端的安全策略對該終端的安全狀態進行判斷，根據評估結果進行終端準入控制，從而將蠕蟲、木馬和病毒等屏蔽在網絡之外，確保只有符合組織安全標準的終端才可以登入網絡，享受網絡服務。

在終端登入網絡服務器之后，根據終端登入者的角色進行訪問范圍的限制，軟件使用權限應用限制，網絡享受服務范圍限制以及外掛設備操作權限控制等，從而控制不同角色的終端享受網絡服務范圍、軟件服務、外掛設備操作權限等，確保只有擁有相應權限的登入者可以享受網絡服務、軟件服務、外掛設備操作服務等，如圖1所示。

終端安全防護的核心概念是從終端使用者登錄網絡、享受網絡服務入手，結合身份認證服務器、安全策略服務器和網絡設備以及第三方軟件系統（殺毒軟件和系統補丁等），完成對登入終端用戶的強制認證和安全策略應用，從而達到保障整個網絡安全的目的。網絡服務管理系統是終端安全防護的重要組成部分，其設計原則包括以下兩個方面：

1） 終端登入限制

當終端使用者登入網絡時，網絡服務管理系統要求終端主機在享受網絡服務前達到一定的安全要求，盡量避免單個用戶的網絡安全隱患對整個內部網絡造成威脅。

2） 服務器主動控制

當終端使用者登入網絡享受網絡服務后，網絡服務管理系統主動偵測終端和系統的網絡安全狀態，發現非安全狀態時，觸發控制反饋來調整終端和系統的狀態，從而保障整個網絡的安全運行。

內部網絡的安全隱患在很大程度上取決于終端使用者本身。網絡服務器準入控制系統將自動更新、安全轉臺審核、準入控制等思想集中在一起，為整個內部網安全管理和安全審核應用提供了可擴展平臺，實現了基于網絡準入控制的內部網絡安全防御體系。

2? 終端安全防護模型總體設計

終端安全防護模型包含網絡服務管理系統和終端防護系統兩部分。服務端管理系統采用B/S架構，通過Web管理界面對終端信息、軟件規則、傳輸外設、網絡規則、日志進行管理。終端防護系統采用C/S架構，通過終端防護客戶端實現身份認證、全盤加密、客戶端自防護、網絡白名單、軟件白名單、外設白名單、客戶端信息感知和軟件信息采集等功能，終端防護系統各模塊使用的規則是通過服務端管理系統進行管理，并使用網絡傳輸接口從服務端獲取到相應的規則信息。

2.1? 網絡服務管理系統設計

網絡服務管理系統按照Web應用進行設計，包含資源層、服務層、應用層和用戶層，如圖2所示。

資源層主要包括網絡服務管理系統需要管理的所有資源信息，如組織人員信息、軟件信息、外設信息、設備信息和網絡規則信息等。資源信息通過界面手工錄入或通過軟件采集存儲至數據庫。

服務層主要包括應用中間件、消息中間件、數據庫服務等，其中，應用中間件用于Web服務的運行和管理;消息中間件用于組件間的消息傳遞，以及網絡服務端管理系統與終端防護系統的數據交互;數據庫服務用于信息存儲，如組織人員信息、軟件信息、外設信息、設備信息和網絡規則信息等。

應用層直接面向用戶，通過功能界面與用戶進行交互，包括組織人員管理、終端管理、網絡規則管理、軟件規則管理、傳輸外設管理、日志管理等功能。其中，組織人員管理通過組織人員管理模塊對組織信息、用戶信息和用戶角色進行管理;終端管理通過終端管理模塊對終端信息和終端使用權進行管理;網絡規則管理通過網絡規則管理模塊設置允許訪問的網絡白名單地址列表;軟件規則管理通過軟件規則管理模塊管理終端中所使用的軟件白名單，包括軟件識別信息管理和軟件白名單設置功能;傳輸外設管理通過傳輸外設管理模塊管理終端USB設備的使用，包括外設識別信息管理和外設白名單設置;日志管理通過日志管理模塊可以查詢服務端管理操作日志、業務終端操作日志、終端環境變更日志和服務端系統日志。

用戶層包括普通用戶和管理員，可以通過角色管理配置相應的功能和數據權限。

2.2? 終端防護系統設計

終端防護系統采用分層架構設計，包括資源層、驅動層和應用層以及管理對象，如圖3所示。

終端防護系統的主要管理對象為人員、設備、軟件、外設和網絡，具體管理規則由管理員通過網絡服務管理系統進行管理策略編輯。

當管理規則有變動時，網絡服務管理系統通過網絡介質通知相關終端防護系統，終端防護系統進行新管理規則的應用。

應用層是指終端防護系統實現的所有功能，是終端防護系統的核心，包括身份認證、全盤加密、終端客戶端自防護、終端客戶端信息感知、網絡白名單、外設白名單、軟件白名單、軟件信息采集。

驅動層是指所有終端防護系統所使用的驅動防護技術，包括Minifilter文件過濾驅動、Windows虛擬桌面、Windows WFP框架和分區加密技術。

資源層是指終端防護系統主要防護的系統資源，包括文件系統、注冊表和網絡連接。

2.2.1? 終端防護系統應用層設計

終端防護系統應用層包括身份認證模塊、加密分區模塊、終端客戶端自防護模塊、終端客戶端信息感知模塊、網絡白名單模塊、外設白名單模塊、軟件白名單模塊、軟件信息采集模塊等八部分。

1） 身份認證模塊

終端登入者登錄終端防護系統時需要進行身份認證，用戶插入UKey、輸入用戶名和登錄密碼，向網絡服務管理系統提交身份認證請求，認證通過才能進入終端客戶端工作區。

2） 加密分區模塊

加密分區模塊采用Minifilter文件過濾驅動和沙箱技術實現，通過使用國密SM4加密算法對文件進行透明加解密。

3） 終端客戶端自防護模塊

為了防止終端防護系統遭惡意破壞，導致終端客戶端脫離該系統的保護，終端防護系統具備自防護能力。

4） 終端客戶端信息感知模塊

終端防護子系統提供對終端信息的感知和收集功能，便于追蹤和追溯終端狀態，具有相應權限的人員能夠在服務端查看終端的感知信息。

5） 網絡白名單模塊

網絡服務管理系統通過網絡規則管理功能模塊進行網絡規則管理，終端防護系統通過通信接口與網絡服務管理系統通信，獲取網絡規則，通過網絡白名單功能對網絡進行控制。

6） 外設白名單模塊

網絡服務管理系統通過傳輸外設管理功能模塊進行傳輸外設規則管理，終端防護系統通過通信接口與網絡服務管理系統通信，獲取傳輸外設管理規則，通過外設白名單功能對傳輸外設進行控制。

7） 軟件白名單模塊

網絡服務管理系統通過軟件規則管理功能模塊進行軟件規則管理，終端防護系統通過通信接口與網絡服務管理系統通信，獲取軟件管理規則，通過軟件白名單功能對終端運行軟件進行控制。

8） 軟件信息采集模塊

軟件信息采集模塊是終端防護系統為方便進行軟件信息采集提供的獨立工具，完成軟件信息采集能夠通過與網絡服務管理系統的通信接口傳輸至網絡服務管理系統，具備相關權限的終端登入者可在軟件規則功能模塊中對相關軟件信息進行管理。

2.2.2? 終端防護系統驅動層設計

1） Minifilter文件過濾

Minifilter文件過濾驅動負責對資源層文件系統進行過濾，實現文件系統安全防護與隔離功能。

2） Windows虛擬桌面

Windows虛擬桌面負責提供創建、切換、刪除桌面的功能。

3） Windows WFP框架

Windows WFP框架是Windows提供的一種網絡數據包過濾框架，提供了對資源層網絡連接的過濾控制功能。

4） 分區加密技術

分區加密技術提供了保護磁盤文件數據存儲安全的功能。

2.3? 終端安全防護模型流程設計

終端安全防護模型的流程設計分為三部分，分別為作為客戶端的終端防護子系統、作為服務端的網絡服務管理系統和負責客戶端與服務端進行通信的網絡通信層。

終端安全防護模型流程設計如圖4所示。

終端防護系統基于Windows驅動層進行設計，在驅動層之上為應用層的后臺服務程序和daemon服務程序（守護服務程序），其中，后臺服務程序為用戶界面提供基本模塊功能，daemon服務程序通過ShellExt（Windows動態鏈接庫）為用戶界面提供服務，在應用層之上提供加密分區和安全桌面功能。

網絡服務管理系統是基于Web應用服務進行設計的，數據持久層采用數據庫進行數據存儲，在數據持久層之上，通過服務中間件和消息中間件為用戶界面功能提供相應服務。

終端防護系統和網絡服務管理系統之間的通信是通過網絡通信層實現，包括身份認證接口、網絡白名單傳輸接口、軟件白名單傳輸接口、外設白名單傳輸接口、終端客戶端感知信息傳輸接口和軟件采集信息傳輸接口。

3? 結? 語

隨著網絡技術日新月異的發展，網絡信息安全的思想也時時刻刻的改變。深入研究終端防護模型的機理，根據傳統防護模型提出一種新型終端安全防護模型，新防護模型結合虛擬安全桌面與分區加密技術，較好地解決了終端使用人員失泄密的各種安全問題，具有很重要的現實意義。

參考文獻

[1] 楊國利，代祥，毛捍東.內網終端安全檢查與接入控制的設計與實現[J].計算機工程與應用，2013，49（6）：109?113.

[2] 張學媛，胡益浩，王曦，等.一種高效移動景物終端安全管控平臺[J].現代電子技術，2014，37（6）：39?40.

[3] 黃勤龍，楊義先.云計算數據安全[M].北京：北京郵電大學出版社，2018.

[4] 石少敏，石少煒.基于云計算虛擬化桌面管理模塊設計[J].計算機應用，2017，36（8）：47?49.

[5] 楊慶明，杜保東.桌面終端安全防護技術企業網管理中的應用研究[J].計算機安全，2010（10）：77?79.

[6] 張晗，譚箐，劉洪源.實驗室內部網絡終端安全管理[J].現代電子技術，2012，35（17）：86?88.

[7] 龐雄昌，王喆.一種改進的內網安全防護策略[J].計算機安全，2012（12）：9?12.

[8] 聶大成，陳英，曾夢岐.車聯網終端安全防護技術研究[J].通信技術，2017，50（8）：1794?1799.

[9] 周文，劉曉毅，龍愷.基于安全終端的虛擬桌面系統[J].通信技術，2014，47（6）：662?667.

[10] 張敬倫，張永生，高麗琴.基于內網數據安全防護引擎的安全架構設計[J].通信技術，2017，50（1）：158?161.