1、移动介质管理项目安全解决方案移动介质管理安全解决方案 1 系统背景分析 41.1 项目背景 41.2 需求分析 51.2.1 应用环境安全需求 51.2.2 终端平台可控 61.2.3 网络安全环境 61.2.4 安全管理平台 61.3 项目总体建设方案 61.3.1 方案设计原则 61.3.2 安全建设总目标 82 系统解决方案 92.1 系统管理构架 92.2 系统详细解决方案 102.2.1 移动介质管理安全系统设计 102.2.2 移动存储设备管理系统功能 172.2.3 移动存储设备管理系统应用 232.2.4 中间机数据交换 252.2.5 移动存储设备管理系统特点 282.3 安
2、全U盘管理 292.3.1 系统功能描述 292.3.2 加密算法 293 方案总结 321系统背景分析1.1项目背景在网络终端安全加固项目建设中，安全加固设备是抵御来自网络的攻击、防止不法分子的入侵，保障网络安全、便捷、畅通无阻运行的基本工具。完备的信息安全解决方案是保障系统安全的基本而又重要的一部分。网络安全解决方案不仅包括安全产品的设计，安全策略制定、安全架构制定、安全策略架构的实施，还包括企业系统风险评估、以及员工的培训、事后的安全审计等。只有将硬件软件结合起来统筹规划，才能发挥最大的效力，保障用户网络系统，杜绝一切安全隐患。信息系统网络的网络安全、服务器安全、用户安全、应用程序和服务
3、安全、数据安全各个环节，均采取了切实有效的管理方法和技术手段，在每个部分都有领先的产品和服务以确保系统的整体安全。随着网络安全的建设，网络和终端安全管理体系都已逐渐完善，包括常规的网络物理隔离保障、操作系统补丁分发管理、终端资产管理、终端行为和网络访问控制等技术基本得到了普及。然而面对信息安全等级保护管理办法，仍然存在很多令网络管理者棘手的问题：在信息安全管理中，既要达到高强度安全管理标准，又要保证基于计算机和网络的业务正常运营，其中必然存在诸多的矛盾。计算机及网络发展中一个永恒不便的规律就是提供的服务越多，带来的安全隐患就越大。面对信息安全相关管理部门和终端用户的双重压力，每个网络管理员都积
4、极努力的探求最优的解决方案，本文主要针对移动存储设备管理这一最棘手的问题展开论述，最终为您提供解决方案。移动存储介质在信息交流中为用户提供极大便利的同时，也为用户和计算机管理员带来了很大的麻烦，80以上的病毒都有利用USB移动存储设备进行传播的特点，众多的泄密事件也都是由USB移动存储设备引起的。然而我们却不能因此就完全禁用USB移动存储设备，尤其在双网（外网）环境中，往往需要将在网撰写的文件通过USB存储设备拷贝到外网中，再通过互联网发布出去。也就是说虽然网是物理隔离的，但网中的一些文件是需要交互处理的。这就对网络管理者提出了一些极高的要求：1、限制移动存储设备在网中的使用，禁止非本单位或本
5、部门的移动存储设备在本单位计算机上使用；2、对网中移动存储设备的读取、拷入、拷出、等行为进行审计记录；3、对网中使用的移动存储设备进行加密或保护，只能由通过身份验证的人或者在规定围的计算机上使用；4、为了方便网中部门间或用户间的信息交换，注册一批移动存储设备，限制该设备只能在网计算机上使用，无法在除网以外的任何网络或计算机上使用；5、对已经注册的移动存储设备，限定其读写、只读或严格禁止其在非授权的计算机上进行使用；6、注册一批信息交互专用存储设备，既要方便网计算机文件与外部的交互，又要保证不会因存储介质被木马或黑客入侵而导致涉密信息泄漏。相信达到了上述的要求，不但可以轻松通过信息安全等级保护评
6、估，还可以方便用户的使用，更保障了网络信息数据的安全。而某网安全管理系统在移动存储设备的管理上可以完全满足上述要求，为用户和管理员提供便利的工作环境和安全的信息保障体系。1.2需求分析1.2.1应用环境安全需求对于网络系统建设来说，当前面临的一项重点容就是移动存储设备管理的建设。应用环境的安全主要为部网络终端的接入安全、移动存储设备管理的安全。如何保证个人终端计算机正常、稳定的对外提供服务，同时还要保证网终端数据的安全防护，移动介质管理成为应用环境安全需求的重中之重。1.2.2终端平台可控应用环境安全的核心是可控的终端安全管理系统，它是构成计算机信息网络系统基础元素，也是中网络系统安全加固项目
7、承载的主要平台和表现实体，保障其安全可靠至关重要。操作系统是整个用户系统的承载平台，要想提高信息网络系统的整体安全性，实现计算机信息网络高可靠性和信息的完整性、性，必须依赖于操作系统这个承载平台的安全性的提高，任何想象中的、脱离操作系统的应用软件的高安全性，就如同幻想在沙滩上建立坚不可摧的堡垒一样，毫无根基可言。因此，加强各个终端操作系统的安全的工作成为了此次系统安全加固中的一项重要的辅助工作。1.2.3网络安全环境在网络系统中，网络环境安全整体表现为网络链路的通畅和对不同的网络区域实现不同的移动存储管理规则，尤其注意防网中的安全威胁。1.2.4安全管理平台在部网络的信息安全保障工作中，需要从
8、整体的角度出发来考虑问题和解决问题。1.3项目总体建设方案1.3.1方案设计原则建立整体安全体系安全性设计必须从全方位、多层次加以考虑，即通过系统级、网络级、应用级的安全性。安全可靠性方案中使用的安全产品必须具有良好的稳定性，能够持续可靠地在系统中运行，从而彻底的贯彻实施方案中制定的安全策略。技术先进性方案中采用的信息安全产品以及响应的管理手段、安全策略必须有足够的先进性。技术成熟性方案中采用的信息安全产品必须是已经经过实际应用考验的安全技术和产品。开放性系统具有开放性，支持国际标准，能够接受和输出标准格式的数据，提供给各种网络，实现资源共享。主动式安全和被动式安全相结合主动式安全主要是从人的
9、角度考虑，通过安全教育与培训，提高相关技术人员的安全意识，使之主动自觉地根据既定策略利用各种工具去加强安全性；被动式安全则主要是从具体安全措施的角度考虑。只有建立人与信息安全设备完美互动的安全策略，方能切实有效地实现信息安全。切合实际实施安全性必须紧密切合要进行安全防护的实际对象来制定具体的安全策略，并根据策略选择不同规格的安全加固设备，既要避免过于庞大冗杂的安全策略或措施导致性能下降，又要杜绝盲目选用高端设备导致的系统资源浪费以及无谓成本的投入，真正做到有的放矢、行之有效。易于实施、管理与维护整套安全工程设计必须具有良好的可实施性与可管理性，同时还要具有尚佳的易维护性。具有较好的可扩展性安全
10、工程设计、系统安全加固设备具体规格的选型，必须具有良好的可伸缩性及兼容性。整个安全系统必须留有接口，以适应未来工程规模拓展的需要。节约系统投资在实现既定安全策略的前提下，必须充分考虑投资，将用户的利益始终放在第一位。通过认真规划安全性设计，有针对性的选择适当规格的安全加固设备，既要保证安全加固设备系统资源的充分利用，又要尽可能的为用户节约系统投资。此外，本次项目建设中所使用的安全产品、制定的安全策略以及涉及到的工程标准等环节必须符合或满足国家相关法律法规、相关国家标准的规定。1.3.2安全建设总目标信息安全的基本需求就是满足五个基本安全要素：性、完整性、可用性、可控性与可审查性，能够有效地实现
11、以下任务： 使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证系统的网络资源被受控合法的利用。 使用授权机制，实现对用户的权限控制，即不该拿走的“拿不走”，同时结合容审计机制，实现网络资源及信息的可控性。 使用加密机制，确保信息不暴露给未授权的实体或进程，即“看不懂”，从而实现信息的性。 使用数据完整性鉴别机制，保证只有得到允许的合法用户才能修改数据，而其它人“改不了”，从而确保信息的完整性与真实性。使用审计、监控、防抵赖等安全机制，使得攻击者、破坏者、抵赖者“走不脱”，并进一步对网络出现的安全问题提供调查依据和手段，实现信息安全的可审查性。2系统解决方案2.1系统管理构架系统管
12、理结构图系统管理采用B/S构架，管理员可在网络的任何终端通过登录网管理服务器的管理页面进行管理和各种信息查询。根据用户的实际情况需要可以将网安全管理系统部署为多级级联的方式，在用户及下属单位的围建立起网安全管理系统的管理架构；或采用集中部署的方式对所有终端进行统一监控和管理。2.2系统详细解决方案2.2.1移动介质管理安全系统设计2.2.1.1系统设计概述系统管理概述：组织管理：指定专人/部门负责进行USB设备载体的管理。审计管理：安全组织之外，由部门负责USB管理的检查工作。技术控制：采用各种技术支撑设施（方法）对USB设备载体进行管控。制度管理：制定USB设备载体管理制度，进行日常操作约束
13、。应急管理：建立USB设备事故应急处理预案机制。系统技术概述：设备管理 集中注册：专门管理员统一对入网usb设备注册管理。 分别授权：不同人员、不同部门分密级获取相应授权。设备控制 授权访问：非注册授权设备不能在本网络使用。 权限控制：禁止、只读、读写、外来报警等自定义控制。设备审计入网审计：合法、非法USB设备入网记录，合法性校验。 使用审计：日常数据读写、拷贝行为审计，外来设备操作记录。2.2.1.2系统设计原理移动存储介质管理系统是根据网络应用特点而设计的一套移动存储管理方案，目的在于满足网移动存储介质日常安全管理。系统综合应用底层驱动、扇区加密、进程守护等多种安全防护技术，磁盘文件底层
14、驱动技术对普通移动存储设备（主要USB类型）作唯一性标签处理， AES128位高强度算法对磁盘进行数据区划分并作加密处理，标签移动存储介质结合受控客户端主机的安全访问控制策略作匹配授权，确保标签移动存储介质使用的安全性与合法性。系统通过集中的注册管理平台对 USB存储设备作严格的设备介质身份认证、数据信息重构、数据加密等一系列安全防护操作，针对办公网计算机USB存储设备的使用和管理建立了完整的防解决体系，系统采用C/S和B/S混合式架构，由服务器端和客户端构成。客户端主机通过移动存储介质的产品唯一生命特征识别码和硬盘唯一码（其重复概率相当于人类的指纹）二者结合进行识别，当主机数据库和移动存储介
15、质中的认证信息相同时，接受其入网使用；未经注册的移动存储设备将会自动被系统强制卸载，实现单位U盘外出使用需要到单位或网络管理员处登记，否则在外部无法打开。系统在解决安全方面的问题，同时还兼顾工作的实际，力求使用的方便、简洁与高效。具体分析，系统设计主要满足用户以下多个方面的需求：(一)提供对移动存储设备全生命周期的管理移动存储设备管理提供对移动存储设备从购买、使用到销毁整个过程的跟踪与管理。能够随时对移动存储设备的情况进行监管，随时了解某个移动存储设备的在网络中的使用情况和当前联机所处状态。(二)能够区分合法与非法的移动存储设备合法的移动存储设备，指单位部并被准许在部使用的移动存储设备；非法的
16、移动存储设备，指来源不明未被准许在部使用的，或者是外来单位带入的移动存储设备。要求做到“非法的移动存储设备在工作环境中不能使用”和“合法的移动存储设备在工作环境中能够正常使用，但在非工作环境中不能使用”，即“非法的进不来，合法的出不去”。(三)增设移动存储设备的访问机制对于合法的移动存储设备的访问，进一步增强访问控制机制，根据访问者的身份、密级、时间期限等限制仅有“正确”的用户才能访问。(四)移动存储设备中的数据提供加密保护为了防止移动存储设备丢失造成泄密，存储在移动介质中的数据是加密的，而且是磁盘级的透明加密，避免被不法分子躲避或恶意行为留下安全隐患。(五）提供对移动存储设备使用的详细日志审
17、计记录对移动存储设备的访问，便于以后进行跟踪审计。(六)分权限管理 系统管理权限和使用权限分开，具有安全性高、可靠性强，适合集中授权、多角色参与监控的管理模式。普通用户权限在没有管理员许可的情况下，为被限制对象，对自身的数据日志等均无管理权限。(七)通信及日志文件加密服务器端与客户端使用TCP协议通信，端口可以自行灵活修改，同时客户端数据上报和服务器端指令、策略下发采用加密算法，防止他人旁路刺探信息。客户端日志文件加密存储，防止用户修改或删除，服务器端自动接收客户端日志数据。(八)客户端保护机制系统的客户端系统具有自我防护机制，防止用户随意停止、卸载。系统具备很强的自我保护功能，在正常模式和安
18、全模式下均提供主机安全代理自身防护功能，并可防止用户停止代理进程、破坏代理运行目录和相关文件、停止代理等相关服务。若管理人员要求强制卸载客户端时，需要输入管理员的密码方可执行卸载操作。2.2.1.3系统设计流程系统模块工作流程：（1）客户端报警信息上报，控制台指令接收（2）USB设备注册信息上报，密码还原信息获取（3）综合数据入库、出库（4）系统数据综合分析处理（5）系统设备扫描自动发现（主机设备）（6）报警及系统数据呈现，系统策略数据存储网络设备信息采集模块：负责采集计算机中相关报警、病毒状况等信息。包含二个子模块：客户端模块、网络设备信息自动发现模块。客户端管理模块：通过安装在计算机上的客
19、户端程序，对本机移动存储接口进行管理，并对接入各种移动存储设备进行行为审计，处理后提交给后台数据库。)数据存储与分析模块：将采集完毕的数据和数据库已有的数据进行比对、整理，并进行分析，然后根据情况进行数据更新或报警。 中央控制管理、报警模块：该模块为本系统的核心模块，作用在于统一调度其他模块工作，包括各模块参数配置、网络通讯管理配置、模块连接、信息汇总显示、报警显示等。USB设备注册管理模块：专用移动存储设备授权工具模块，将普通U盘作特殊格式化处理，并作标签标记。 系统报警处置工作流程:（1）合法设备：经管理员认证授权设备。（2）非法设备：外来设备，无授权设备。（3）新入网设备：未注册移动存储
20、设备，新入网未注册计算机。基于定时扫描机制，自动扫描检测管理网段的计算机是否已经安装移动存储管理客户端软件情况，将设备信息数据同数据库中原始数据进行比较，如发现异常则报警，并阻断非法设备的入网。基于实时检测机制，由客户端代理程序自动发现接入主机的移动存储设备，对其进行合法性验证，并作行为记录和审计。2.2.1.4系统关键技术标签认证技术 通过专用工具程序为USB移动存储设备作唯一性认证标记，该程序从服务器中读取本系统的唯一性属性信息数据，经过二次处理，将处理后的信息会同预定义属性标签写入磁盘。 专用工具程序把数据写到系统分区时，采用特定算法对写入的数据进行加密，普通的format方式无法删除这
21、些数据。该程序对移动存储设备所打标签拥有特殊信息（移动存储设备硬件属性信息、服务器系统唯一性标签号），经过随钥加密后，具有唯一性标识（防止将标签信息复制到其它客户端设备上，进行伪装接入使用）。 USB移动存储设备置标签，同客户端代理程序的策略对应， USB标签符合策略许可才可以使用。虚拟磁盘技术 将文件虚拟成磁盘，把所有直接对磁盘访问定向到文件，采用创建文件方式对磁盘进行扇区分割，分区大小可以自由划分。虚拟磁盘技术涉及对总线驱动、物理磁盘驱动、磁盘过滤驱动等操作。 虚拟加密磁盘技术主要由磁盘应用程序、虚拟加密磁盘驱动程序、加密驱动程序等软件模块实现，对文件信息的安全保护、加密存储。 在虚拟磁盘
22、技术基础上，采用AES-128位加密算法，对磁盘扇区进行加密，磁盘的安全性，并附带口令二次加密密钥，对虚拟磁盘的数据进行双重加密，确保无法破解。 AES加解密技术 1）密钥生成：在利用专用工具对介质分区时即生成 文件加密密钥，然后用处理后的初始密码口令xxxxyyyy对文件加密密钥进行加密。此后加密原始口令，连同加密后的文件密钥及其它hash信息作二次加密存放在磁盘。 2）用户登录：验证用户口令，通过后用处理的口令解密文件密钥，然后监测对磁盘的文件读写操作，进行文件加解密（对称算法）。 3）修改密码：验证密码口令，通过后，用处理后的密码口令解密文件密钥，然后用新的用户口令加密文件密钥，生成密钥
23、。4）128位加密算法：在虚拟磁盘技术基础上，采用AES-128位加密算法，对扇区进行加密，同时加带一个随机加密密钥，使得虚拟磁盘的数据获得双重加密，确保无法破解。利用磁盘驱动技术对介质分区时即对磁盘进行加密，同时生成随机的128位加密密钥防护磁盘访问。5）二次加密技术：密钥随机产生，同登录口令进行CRC32校验，生成校验码，系统将密钥随机值同校验码一同加密，保存在U盘中，加密程序在操作系统对扇区格式化时进行加密，并对对数据文件的读写进行加解密，算法是经过变化处理（密钥+偏移位）的AES128位算法。多进程互控技术多进程监控守护技术，防止用户非法自行关闭客户端主程序的运行；系统使用中，可能会出
24、现个别用户故意关闭中间件的情况，也可能出现由于操作系统错误导致中间件进程关闭的情况，因此需要系统守护模块，保证中间件在使用时不会被意外关闭，即使在中间件在系统发生意外错误关闭时，守护模块也可重新启动中间件，以保证系统的有效性和可靠性。双因子认证技术系统采用的任何硬件识别，均采用对唯一标识经过特殊算法得出的唯一赋值对照后作出判断，防止客户端计算机设备变更而引起的安全隐患。U盘信息重构技术采用扇区映射方式进行二级抽象，完全打乱文件的存储位置，防止结构性破解。2.2.2移动存储设备管理系统功能(一) 移动存储设备集中注册与授权移动存储设备管理系统应用拓扑系统支持对所有移动存储设备使用前必须经过授权中
25、心统一注册与授权，只有经过授权的移动存储设备才能正常使用。授权容至少应包括：安全级别标签、硬件管理ID号、使用人、使用部门、保护口令等。唯有授权后的移动存储设备才能发放给个人使用，注册与授权通过系统专用认证工具实现，不同的网络环境具有不同的唯一性标志符。系统支持对非USB存储设备（USB键盘、鼠标、打印机、硬件key等）的自动识别，支持对特定USB存储介质（如数据交换中间机）设置不同的访问权限。针对实际工作的特点，还考虑到分权分级管理、设备兼容性等。移动存储设备管理系统与硬件接口、磁盘类型无关，可管理所有硬件接口、磁盘类型的移动存储设备，即现有的移动存储设备都可以纳入管理，最大限度地减少重复投
26、入。(二) 移动存储设备分区管理移动存储介质按需求可以划分为交换区和区，分区容量可由管理员灵活定义。同样，系统对于移动存储介质还可以按照需求只进行区的划分。并将全盘指定为区域。区在本单位已安装客户端并具有访问权限的计算机上可以读写，在未安装客户端的计算机上或者外单位安装客户端计算机将不被识别。交换区凭密码认证可在所有计算机上使用，交换密码可以灵活修改。(三) 移动存储设备访问控制系统支持对移动存储设备的访问控制，通过系统置的策略库以及管理分组功能，实现终端访问的灵活控制，最大限度地防止数据被滥用，保证数据的可用性。具体功能通过标签认证方式实现：未统一授权的移动存储设备，可设置为“不允许使用”
27、、“允许只读方式使用” 、“允许读写方式”使用等安全标识。经授权的移动存储设备，在系统依据其授权信息进行多层次的访问控制，具体包括：基于用户身份的访问控制、基于密级的访问控制、基于口令的保护及对使用次数的限制。(四) 移动存储设备磁盘级的数据加密加密是移动存储设备数据保护的重要技术手段，数据加密功能要兼顾安全性和易用性，系统支持对交换区和区的自动加解密：磁盘级的透明加解密：加解密过程对用户透明，用户感觉不到加解密的存在，但是数据始终以密文形式存储在移动存储设备上。非授权用户无法解密：即使载有数据的移动存储设备丢失也不会造成泄密事故。(五) 移动存储设备数据安全擦除如移动存储设备中的数据删除不彻
28、底，通过一些技术手段将能够恢复其中的数据。这些未被彻底删除的数据，残留在已报废的移动存储设备中或者在移动存储设备的交叉使用过程中，都存在泄密的风险。数据安全擦除：通过对数据进行逐扇区的多次重写，实现磁盘数据的彻底粉碎、擦除，通过任何技术手段均无法恢复数据。系统对已注册移动存储介质的格式化不影响移动存储介质原有的注册信息。(六)分组管理与策略定义一般的网络都作相应的功能区划分，如办公系统、业务系统、管理决策系统等，便于信息交流与。为使网络管理具有一定的条理性，系统支持按不同部门划分工作组，这样管理员可以直接对不同性质工作组进行策略分发。系统置策略中心，管理员可以根据不同的管理需求和网络环境，灵活
29、制订不同的移动存储设备策略进行应用。分组功能给移动存储设备网络化管理带来一定的简洁性，尤其是对于庞大的网络来说则可以减少错综复杂的局面，为管理员进行程序化策略管理提供高效手段。(七) 移动存储设备操作日志审计与报表对移动存储设备从购买、使用到销毁整个生命周期进行审计。借助审计功能，可以如实地看到磁盘的整个使用过程，同时可通过报表直观、方便的得到统计数据， 审计功能具体如下：对于移动存储设备的资产入库登记（使用人、权限等）、授权使用（插入、拔出、文件读写、IP地址）、各种违规操作（人员、事件容）等，提供详细的日志记录。基于以上数据，具备强大的日志审计功能。支持对数据交换进行指定格式的文件审计过滤
30、。系统报表能够导出为.txt/.htm/.xls等格式文件，必要时产生包括饼图、线图和表等各种形式的定制报告，可根据用户需要定制报告模板和容。(八)违规保护与报警处置针对可能受到的违规操作行为，系统提供违规保护与报警处置功能。具体如下：系统可按照要求设定违规操作，并在这些违规操作达到阀值时启动自我防护功能。违规尝试保护功能提供的保护方式包括：磁盘只读、磁盘锁定。支持集中的报警和报告，在综合报警平台上能够全面及时查看不同区域围的报警和报告，包括注册计算机的主机名、IP地址、权限控制、违规信息等。报警方式支持声音、图形、手机短信等多种手段，未注册存储介质接入受控网络时将在客户端产生嗡鸣器报警并弹出
31、消息框提醒，服务器端并有响应的报警，服务器端报警支持向第三方平台进行报警转发（SNMPTRAP/SYSLOG方式）。2.2.2.1移动存储设备管理方法支持对移动存储介质进行分级安全注册认证，支持远程注册授权,通过打标签的方式对移动存储介质进行管理,从而保证部的移动存储介质XX，无法在外部使用,外部的移动存储介质未经许可，无法在部使用。同时具备灵活的策略分发模式, 可以指定某个（或某组）存储介质只能在某台（或某组）计算机上使用，并设定使用方式。系统具备在操作系统安全模式下和离开局域网时同样具有对移动存储介质的监管控制能力；具备自身安全能力，无法卸载、修改、破解等，并具有自身修复能力。1、公司专有移动存储设备集中标签化管理通过对移动存储设备写入两种不同权限及功能的标签，来实现分级权限的控制。并以策略的形式分发给不同的域，实现对指定围的终端授权，并对写入标签移动存储设备的访问进行控制。另外，对移动存储设备格式化无法去除标签。普通标签：写入普通标签后，在管理区域根据策略的设置，来限制移动存储设备的读、写功能；如果在管理区域外使用移动存储设备认证，则不限制移动存储设备认证读、写功能。加密标签：写入加密标
