淺談印包企業局域網終端涉密信息管理系統

羅龍

（上海煙草包裝印刷有限公司，上海 200137）

1 研究背景

隨著計算機軟件和因特網技術的迅速發展，計算機和網絡技術在生產和辦公中得到了越來越多的運用。在各類組織中，運用電腦網絡技術建立局域網，通過信息化技術處理數據、共享資源、獲得信息，突破物理邊界、提高工作效能。[1]同時，人們對網絡信息安全的重視程度也與日俱增，能夠經濟、簡便、有效地管控網絡中的涉密信息是非常有必要的。印包企業中用于印刷生產的制版文件等圖文制作類文件往往屬于涉密信息，這類文件一旦外流，其他印包企業就可以輕松復制相關印刷產品。在印包企業中，通過在本地網絡中對終端進行快速掃描與解析，配置相應的管控策略，能夠使涉密信息管控更加高效、便捷，有一定實踐價值和推廣意義。

1.1 局域網系統管理理論

為防故障，系統、網絡需要做好業務數據備份。高實時性的數據，應設計實施一套合適的備份制度，以便實現有效備份；非高實時性的數據，可由管理員進行人工備份；此外，存放備份數據物理地址的安全性也比較重要。[2]

每臺存儲和服務器都要面對安全問題，比如用戶和用戶組的安全及數據資料的安全存儲和使用。為解決這些安全問題，常見的方法有設定使用者和使用者群的授權來增加安全度；合理設定使用者的授權，可有效提升使用者安全性。

1.2 涉密信息管理系統的意義

涉密信息管理系統運行有效的關鍵還是在于管好局域網內的各類終端，無論是windows操作系統終端，還是非windows操作系統終端，都需要有效地管控起來。一方面，需要滿足印包企業對于各類終端的基礎管控要求；另一方面，需要滿足印包企業對于在各類終端間傳遞的圖文制作類文件等涉密信息的管控需求。因此，基于《安全生產監管規定》的要求，在系統設計的過程中應遵循國家、行業有關于網絡安全的基礎性規范，同時還要結合印包企業各類終端的硬件結構、操作系統等實際狀況，才能保障印包企業涉密信息得到有力管控。另外，為了保障涉密信息的管控力，一方面，梳理排摸印包企業涉密信息的類型、種類，可以建立正向約束機制；另一方面，根據已知的印包企業涉密信息的類型、種類，還可以建立反向追溯機制。[3]

本系統的設計意義主要包括：1）能夠實現針對終端的集中管理，整合惡意代碼防護、準入控制、桌面安全管理等終端安全防護能力，完善終端運營監測與行為管控，及時發現和快速處置各種類型終端安全事件；能夠實現管理網終端準入和管控，實現印包企業涉密信息的傳輸控制和審計。2）能夠完善終端敏感數據的管控流程，從梳理、發現、監控、保護和追溯等多個環節遏制印包企業潛在的涉密信息泄露風險。[4]3）能夠使終端設備的安全性得到大幅提升，部分敏感的業務數據得到了保護，在一定程度提高了業務系統的安全性，從而確保業務系統可以更好的持續提供 服務。

2 涉密信息管理系統的設計

2.1 系統設計目標

目前，局域網由兩類網絡組成：一是網絡中終端可以向因特網傳遞信息和發布信息，同時在終端上存儲、處理和傳輸相關信息；二是根據BMB22-2007《涉及國家秘密的計算機信息系統分級保護測評指南》的規定，對涉密網絡實施物理隔離，使用者在特定的密碼服務器中存儲相關資料。

因工作人員保密意識和能力的參差不齊，在沒有建設涉密信息管理系統的局域網中，本地終端機無論是否涉密，涉密信息或多或少都有可能泄露；在這種模式下，局域網內部所有終端用戶都不會信任這種模式。局域網內的涉密信息管理系統就是對以上兩種網絡條件進行監測。[5]基于盡可能確保涉密信息管控有效和使各類終端用戶無感的目的，本系統的主要設計思路如下：

1）通過部署網絡準入、終端安全管理統一管理平臺，最終建立一套符合印包企業實際、符合國家、行業網絡安全標準的專業化終端準入安全管理系統，保障企業信息系統穩定、高效、安全運行，通過各種策略和識別機制實現業務終端的統一管理。

2）為實現印包企業涉密信息的防泄露，進行敏感策略的定義，通過技術手段發現敏感數據，對敏感數據進行保護措施的設置，對整個過程進行全程審計。具體來說：

首先，要完成敏感數據的手動定義，定義方式主要有：①敏感關鍵詞：支持關鍵字內容檢測；②正則表達式：對于符合某種規則的內容，可以抽象出正則表達式，然后按正則表達式對文字內容進行檢查；③文件大小或類型：基于文件屬性檢測，比如將圖文制作類文件類型判定為敏感數據；④文件指紋：基于既有的文件固定模板，完成敏感數據的定義；⑤文件MD5：精確匹配不能被篡改的檔案、公文、客戶資料。印包企業圖文制作類文件中所含敏感數據需要進行手動定義，比如：將某公司的商標名作為敏感關鍵詞；將圖文制作類文件的施工單號作為正則表達式，用于檢查涉密文件；將圖文制作類文件的常見后綴名作為需要核驗的文件屬性；將可用于印刷生產的圖文制作類文件的模板設定文件指紋等。

然后，待敏感數據定義完成后，通過終端DLP或網關DLP識別文件中的敏感數據，匹配相應的管控策略。印包企業在完成圖文制作類文件中敏感數據的手動定義后，可根據敏感數據的涉密程度設定合適的管控策略，包括但不限于攔截、警告、僅記錄、使用人確認等。

最后，對文件外發過程中的敏感事件進行完整記錄審計，對終端操作行為進行審計，如：對圖文制作類文件的刻錄、打印、粘貼板等行為進行審計。

總之，涉密信息管理系統對于敏感數據的手動定義、匹配管控策略、開展行為審計等手段，可適用于印包企業對于圖文制作類文件的涉密信息管控需求。

2.2 系統主要功能

2.2.1 對局域網內各類終端文件進行審計

業務端發出指示，并按照設定原則由使用者終端執行檔案檢驗。對文檔進行掃描，發現與監測戰略相符的文檔，并利用不同文檔的讀取和寫入界面對文檔進行掃描，并與相關敏感策略進行比對。完成掃描后，向資料庫中寫入主機IP地址、MAC地址、文件存儲位置等相關資訊。

2.2.2 對整個涉密信息管理系統進行控制

服務器端可以為涉密信息審查設定管控策略，包括要查看的檔案的型別、機密關鍵字、檢驗項設定等，該業務也可以選擇一些用戶的終端裝置進行監測。

2.2.3 提取使用移動存儲介質記錄

從用戶終端登記數據中的關鍵數值，閱讀先前在終端系統中所使用的移動存儲媒體詳細資料，與當前企業合法移動存儲媒體臺賬進行比對，向網上報告沒有記錄的移動存儲媒體記錄。

2.3 涉密信息審計思路

本系統對用戶端所有磁盤的文件系統匹配敏感信息管控策略的設計思路：

2.3.1 敏感信息管控審計流程

對所有使用者端的磁盤文件進行集中式的敏感信息管控審計，整個流程為：

用戶終端：1）登陸域；2）接收并執行檢驗政策；3）返回自動輸入的數據和生成報表。

服務端：1）將審計策略發送到負責監測管理的一端，2）涉密文件的分析和監測，3）返回的數據存儲，4）生成表單。

2.3.2 管理端策略設定與發送

相關管理人員可以根據檢查方式、受檢用戶、受檢硬盤、受檢文檔類型、敏感數據、檢查頻次、檢查時間等有關細節，制定匹配的管控策略并設置，生成的策略信息按照約定的順序執行串行通訊，由域控制器向各個子網絡的受檢用戶終端裝置發送。

2.3.3 用戶終端接收命令與涉密信息偵搜

隨用戶終端的操作系統啟動或登錄域而與服務器連接，完全自動接收和執行涉密信息管控策略，同時在背景中運行敏感信息校驗軟件。根據已知的涉密信息管控策略，分析磁盤上的某一部分或某一類型文檔，提取其有關信息與設定的策略進行匹配，若出現匹配，則將該文檔的相關信息整理并發送給數據庫，直至完成全部搜索。整個檢驗流程均在控制端進行。

2.3.4 涉密信息管理端數據自動入庫

涉密信息管理端的數據庫接收來自各個用戶的可疑文件，以一定的形式存儲所接收的數據，完成對用戶終端的涉密信息管控監測，監測結果將會發送到涉密信息管理端。[5]若因網絡故障等原因無法完成數據庫上傳，可將監測結果記錄保存到用戶終端，生成日志文件。

2.3.5 涉密信息審計和形成報告

涉密信息審計可根據涉密度、登錄名、IP地址等字段名進行單獨分類或排列，并根據敏感信息的涉密等級對涉密信息進行核實，最后生成符合審計需求的相關報表備用備查。

2.4 局域網涉密信息管理系統結構

局域網涉密信息管理系統是由服務器端、用戶端設備數據庫進行的。局域網安全情報檢查體系采用B/S結構建立并運行。該系統具備按照Windows server域響應指令執行，執行機密資料檢查、資料傳送到上端服務器，可通過網頁查詢或生成表單等功能。如圖1所示：

圖1 局域網涉密信息管理系統運行架構

局域網涉密信息管理系統的主要功能是存儲在服務器上的程序運行和本地數據庫的查找，兩者協同工作，使局域網涉密信息管理系統的功能得到充分發揮。

2.5 局域網涉密信息管理系統功能

局域網涉密信息管理系統功能結構如圖2所示：

圖2 局域網涉密信息管理系統功能結構

局域網涉密信息管理系統的用戶需求將根據各功能特點，按照“高內聚、低耦合”原則，將各個相對獨立的功能模塊組合成一個有機整體。

3 涉密信息管理系統的應用場景

企業若有涉密信息的管控需求，涉密信息管理系統的應用架構設計如圖3。

圖3 局域網涉密信息管理系統應用架構設計

上述涉密信息管理系統的主體功能可以通過引入專業化的終端管控系統予以實現，但目前市場上主流的網絡安全廠商提供的終端管控系統基本都是基于windows系統，沒有基于蘋果mac系統的?？紤]到局域網內的各類終端既有windows系統，也有非windows系統，其中蘋果mac系統較為典型，尤其是印包企業，很多印包企業會將蘋果mac電腦作為圖文制作類文件編輯的主要終端設備。在現行主流基于windows系統的終端管控系統前提下，純靠技術手段一攬子解決涉密信息管理是不現實的，要全面實現windows系統終端和非windows系統終端的涉密信息管控，必須同步配套相關管理措施，以蘋果mac電腦舉例：

1）所有蘋果mac電腦需要聯成一個局域網，集中在一個獨立辦公空間內，要進入辦公需要將手機等能拍攝、傳輸的工具留在辦公空間之外。印包企業可以將用于圖文設計的蘋果mac電腦集中在一個物理相對隔絕的空間內，按前述要求部署。

2）所有蘋果mac電腦的外聯設備信息傳輸接口，比如USB接口等，用硅膠封死，并貼上封條，禁止直接用U盤、移動硬盤等外聯設備導入導出文件信息。

通過項1和項2這兩項管理手段，可以保障不受終端管控系統制約的蘋果mac電腦所編輯的圖文制作類文件被約束在物理相對隔絕的空間內，達到印包企業圖文制作類文件涉密管控的目的。

3）該局域網不能直連聯結企業管理網、互聯網，至少做到邏輯隔離，該局域網通過兩臺windows系統電腦作為擺渡機聯接企業管理網，用于實現蘋果mac電腦與企業管理網的文件信息交互；[5]兩臺windows系統電腦作為擺渡機的配置主要是為了實現用一備一的目的，防止單點故障影響正常辦公。

通過項3，印包企業在物理相對隔絕空間內編輯的圖文制作類文件可以通過兩臺擺渡機進入企業管理網，從而接受終端管控系統的管制。

4）涉密信息歸口部門需要對涉密信息進行辨識、歸類和管理，設置專人管理兩臺windows系統電腦擺渡機，做好開機密碼管理等網絡安全管理工作以及涉密信息的確認和標識等工作。

5）聯接企業管理網的兩臺windows系統電腦擺渡機接受終端管控系統的管理，通過源頭管控型或溯源追責型涉密控制功能管理涉密信息的傳遞，需要涉密信息歸口部門設置專人負責涉密信息外發至非可控區域的審核和權限分發，確保涉密信息外發受控和可追溯。

通過項4和項5，可以實現印包企業對圖文制作類文件敏感數據的手動定義、管控策略的匹配、操作行為的審計，即實現了對涉密信息的事前管控和事后追溯。

相關管控策略如圖4。

圖4 非windows系統終端涉密信息管控策略

對于印包企業來說，無論是windows系統終端，還是蘋果mac系統等非windows系統終端，可以通過引入專業化的終端管控系統，輔以配套的管理手段，通過本文述及的信息化技術，實現數據安全防護與涉密防泄露，將企業從傳統的涉密信息人工管控模式中解脫出來，提高了企業涉密信息管控的有效性。

4 結論

本文嘗試從信息化技術應用角度解決印包企業圖文制作類文件等涉密信息管理方面的問題，推動印包企業涉密信息管理向信息化、數字化方向發展，提高涉密信息管理效率。同時結合企業實際，對具體實施、現場部署的可行性開展了相應思考、策劃和探索，包括系統結構、功能結構、管控策略等。由于系統的設計、開發和部署仍受現有技術和管理基礎制約，仍存不足之處，需持續動態審視和完善。