《信息资产综合安全管控平台研究.ppt》由会员分享，可在线阅读，更多相关《信息资产综合安全管控平台研究.ppt（31页珍藏版）》请在三一办公上搜索。
1、中国移动集团级重点研发项目结题汇报报告,2011年12月29日,项目名称：信息资产综合安全管控平台研究,一.课题目标实现情况,目 录,二、主要研究成果（整合后）,1.1 研究背景及目标（开题报告）,应用背景：湖南移动已经建立起包括终端安全、内容安全在内的敏感信息防泄漏系统，这些系统在保障信息资产安全方面已经发挥了重要作用。但使用中发现分散建设的模式与切实保障信息资产安全的要求相距很远，也不符合集中化、标准化的建设思路。这种局面同样也存在于兄弟省公司，各个省公司在敏感信息保护方面都已经取得相当的成绩。但是对比后发现，在信息资产保护方面省公司各有所长，同时也存在很多不足。,现有系统都侧重解决某一领
2、域的问题，要全面解决信息资产面临的所有问题必须综合所有系统才能实现。全面解决敏感信息防泄密问题就需要建设部署数量众多的防护系统。这些系统给给用户使用带来巨大困难，对管理维护工作也会形成巨大压力。多种防护系统并存的局面也极大的影响了用户体验，造成系统难以推广。湖南移动的IT系统建设已经走在国内甚至国际的先进行列，但IT系统的先进和丰富带来了若干安全问题，湖南移动在信息资产安全管控方面尚没有专门的系统来保障。随着通信行业竞争的加剧，信息资产面临的各种威胁也日趋严重。国资委、集团公司已经多次要求强化企业信息安全管理。,1.2 主要研究内容（开题报告）,对现有的防护手段进行调研梳理：近年来总部、省公司
3、陆续建立了很多具备敏感信息防泄密功能的系统，本项目进行过程中对这些系统以及业界新出现的防护技术进行调研梳理，确定构建信息资产综合管控平台的防护手段。制定信息资产防护手段的接入规范：在前期对防护手段梳理的基础上我们制定了防护手段的接入规范，接入规范包括：终端接入、服务接入两部分，分别实现用户终端层面、管理维护层面的集中化、标准化。制定信息资产综合管控平台的解决方案：通过信息资产综合管控平台解决方案对现有的防护系统进行融合。综合各种技术手段保护企业信息资产安全。提出对运维人员管控的解决方案：在研究过程中发现现有系统对运维人员可能造成的泄密风险估计不足，直接导致运维人员可以通过各种手段窃取系统保存的
4、敏感信息，为此信息资产综合管控平台解决方案中也包含了对运维人员管控的内容。,1.3 目标完成情况总结,项目进度执行情况表可作为附件,1.3 目标完成情况总结-续(方案部分),通过研究实现如下目标：通过整合各种防护技术为用户提供敏感信息防泄密的全面技术手段。通过整合敏感信息防护的客户端、服务端，提升用户体验简化管理员操作，减少运维难度。通过融合各种防护产品，在构造整体防护体系的同时避免重复建设减少投资。加强对运维人员的管理，避免通过从后台篡改数据造成敏感信息泄密。,通过上述目标的实现可以为企业：对重要电子文档生成、存储、传输、使用、销毁等全生命周期活动进行管控。为实现IT服务的标准化、集中化管理
5、提供信息化保障。通过自助服务、整合客户端等方式改善用户体验，减少用户使用敏感信息防泄密系统的难度，推进敏感信息防泄密系统的使用。,1.3 目标完成情况总结-续(试验部分),试验内容包括：客户端实现应用代理功能：对通过客户端实现应用代理的可行性进行测试，包括功能测试与安全性测试。安全邮件编码传输：对通过普通邮件服务器传输安全邮件的可行性进行测试。独立的认证技术实现：对独立认证技术的可行性尤其是运维的可行性进行测试。业务环节与认证环境关联审计：对业务环节与认证环境关联审计进行安全性测试。客户端托管技术：对客户端托管技术进行功能测试。,通过试验得出如下结论：可以通过接管等技术实现敏感信息防泄密客户端
6、的整合，整合后的客户端将大大改善用户体验。可以通过独立认证等技术加强对运维人员的管控，相关技术措施运维人员难以绕过。可以通过页面适配技术对网络传输的信息进行保护，引入保护措施不改变现有应用、不改变用户使用习惯。,项目对企业绩效贡献的量化路径图,1.4 项目企业绩效贡献和特征指标,1.4 项目企业绩效贡献和特征指标,项目特征指标的年度预期数值表,一.课题目标实现情况,目 录,二、主要研究成果,敏感信息统一标识：统一标识不同系统中处理的敏感信息，当敏感信息在系统间进行流转时确保不同系统间用户权限信息的同步；统一的授权管理：统一管理各个系统的用户权限，支持一次授权全局可用；支持权限撤销；当不同系统间
7、权限发生冲突时，可以根据策略（最小权限、最大权限）进行判别；标准的接入介面：支持将不同的防护产品按照规范接入平台，通过统一接入将不同防泄漏的技术手段融合成一个整体。统一的用户界面：对不同防护产品的客户端进行融合，统一用户界面支持用户在一个客户端中即可调用所有防护功能。统一的配置手段：统一管理各个防护系统的参数，包括防护策略、关键字；统一各个防护系统的审计日志。,研究思路,实现将业务系统与防护系统分开，即通过完全独立部署的页面适配子系统来完成加密功能。敏感信息的密文由防护系统来处理，业务系统只负责传输、存储敏感信息的密文，而无法获取敏感信息的明文，敏感信息只有在展现给用户的最后环节才被部署在用户
8、终端上的防护系统自动恢复成明文。,业务与防护的分离,页面适配,接收用户访问应用系统的请求，监听端口数据，解析访问应用系统的HTTP流，提取正文/附件；调用加密接口对提取出的正文/附件进行加密；将加密后的正文/附件填充回HTTP流，应用代理重构原HTTP流后，转发请求到应用系统；将HTML页面发送页面翻译进行页面翻译页面样式的统一和更新正文编辑控件；实现密文识别，正确识别加密文件，同时处理文件加密标识；触发权限适配服务获取用户的权限/角色信息。,页面适配,接收应用代理发送的需要翻译的HTML页面，发送页面翻译后的页面到应用代理；解析HTML页面，根据页面翻译配置置换HTML页面中的元素，保持页面
9、风格样式的基本一致和调用不同的正文编辑控件，重构置换后的HTML页面。,页面适配,加密流程,解密流程,防护环节,适配接入方式：针对每种防护产品开发相应的适配，统一防护产品客户端与服务端的通讯；部署在终端的标准客户端通过适配调用不同的客户端；标准服务端通过适配将客户端状态返回给防护产品的服务端；数据提取负责提供各个防护产品中保存的审计信息，同时完成授权信息的同步；用户通过统一操作界面操作客户端，管理员通过统一管理界面管理服务端。,防护技术接入,插件接入方式：针对每种防护产品开发相应的插件，通过插件调用防护产品的客户端功能；防护产品的客户端服务端直接进行交互；管理员通过操作防护产品的数据库完成统一
10、授权、统一审计；客户端通过插件调用防护产品提供的防护功能。,防护技术接入,接管接入方式：通过模拟用户操作调用防护产品提供的防护功能；防护产品的客户端服务端直接进行交互；管理员通过操作防护产品的数据库完成统一授权、统一审计。,防护技术接入,三种方式的对比：适配方式：融合效果最好，通过适配调用防护产品提供的各项功能；在统一客户端界面、管理员界面的同时还将交互数据进行了统一；根据不同产品提供功能适配方式还可以在一定程度上进行自由组合，但需要厂商支持较多技术支持。插件方式：融合效果一般，通过插件调用防护产品提供的各项功能；可以提供统一的客户端界面、管理员界面。需要厂商提供一定的技术支持；接管方式：融合
11、效果较差，通过模拟用户操作调用防护产品提供的各项功能；可以提供统一的客户端界面、管理员界面。无需厂商提供技术支持。,防护技术接入,编写邮件,授权,分配权限,发送邮件分发,收件人申请认证,邮件操作,安全邮件,编写邮件,授权,发送邮件分发,收件人申请认证,邮件操作,1：用户可以起草加密邮件。2：加密邮件中正文附件都将被加密。,1：邮件接受者默认对邮件有只读权限。2：发送者可以对邮件内容进行附加授权。,1：加密后的邮件可以与普通邮件一样被发送、传输。,1：邮件接收者在经过认证后可以访问邮件。,1：接收者对另存在本地的附件进行访问时也需要被认证。2：接收者在需要转发邮件时必须按照他被授予的权限。3：接
12、收者可以使用客户端(如Outlook、foxmail)、Web方式访问邮件。,可以根据实际赋予用户只读、编辑、拷贝、截屏、录屏、打印、水印打印、再授权、脱密、离线权限。可以设置权限执行的的次数、频率、时限、地点。,分配权限,安全邮件,邮件服务器,发信方,收信方,传统方案,CA服务器,1.查询证书,2.加密后的正文、附件,3.加密后的正文、附件,4.验证签名,只能保证传输过程的安全,邮件服务器,权限管理,发信方,1.Outlook插件加密正文、附件,建议方案,收信方,3.加密后的正文、附件,4.加密后的正文、附件,6.打开邮件,5.查询权限,2.根据邮件授权,安全邮件,通过使用outlook插件
13、技术完成对正文、附件的加密保护：针对正文在保证不改变用户使用习惯的前提下应用多种防护措施；针对附件每次打开都需要经过认证，通过认证后才能按照权限访问；,安全邮件,用户可以在文档安全服务器中以加密形式共享各种资料；可以根据实际情况针对每个文档为用户进行细粒度授权。,文档安全服务器,Web 应用服务器,数据加密,数据解密,密文传输,通过部署在用户终端上的插件技术完成对重要信息的加密保护：在保证不改变用户使用习惯、不改变应用系统的前提下对重要数据进行加密；数据在传输处理过程始终以密文形式存在，保证考核过程的公正性；,考核管理系统,网络,数据过滤,移动存储,文件管理,配置管理,关键字管理,扫描策略,告
14、警策略,管理员,告警管理,DLP数据防泄密,针对各种信息传播的途径（邮件、Web、即时通讯、文件传输、移动设备）进行过滤；通过关键字匹配、文档指纹匹配、结构化数据审计识别敏感信息；对压缩文件进行预识别，对重要可疑文件进行备份；审计日志能够根据需求进行分组、过滤、排序、索引，并支持灵活的统计、报表功能；支持事件响应流程，能够自动通过邮件等方式把违反策略的审计信息通知日志管理员；通过对压缩文件进行预扫描，识别压缩文件中包含的敏感信息；在发现非法传输敏感信息时可以采取包括提示、阻断、告警等措施。,DLP数据防泄密,授权信息,策略信息,服务A,服务分发,服务B,交互信息：DLP报警数据加密审计信息,自
15、助服务门户,自助服务,30,结束,谢谢大家！,MajpjMVcyzj21HLfrvy96dv02lPPfYgxUS7IYmZkyEmZ0kGeYZS3bpLCkYH1lt4EK7CxmUX3ijoYSOer7ZuaVWYgz4EpZrUirVpMzzvNtf1XZw5oswSXOtFaejnOcmfE1lZgnN1RSXg8wLCG8CVQ3XPJMvodPFWcpiYJgZazNSEPNIaklYSu7qSd1UpaxmZDlpN9zW7kljfsLCLi26Yv109ffbnDH8LbUN1G6ACURQ39eG12KHL9tXsZ1jzgoCK8g1kuNOh5eFvcmVT5ZYVQt
16、9zk3rp3qLnf02FovEXxVRxjCcFRNppiJljNiOuk6fONnyX7fyGg7sXZ49BmCN5oy9VesHpKzdjTKwjrkCEQCFDehVmGax3lrOEbw63VscA3YSijtUKoCyiLzAlVRp7l4QgPNHxvJFFDyjUVN3oHlMah0XBd4uTbkfPIhHtw0evPmYOrdhEDoPwvYhzlGplU1AU9mpyiCXH8gpPCBRYjq77VcnbXumNE1yGfyTsbSj89J63kRTKDkKUg3mdS5sJ4X5cQ8dK7oW9IkScssECQdz2O9UTlpRjAFPChjhLdzopQz
17、wxQf8ozdzOhogwAooXpUF83BX4C3jRgjDJiiXEUDMaNz4vQ4n164vspddHvOIVuBBdMA4xp1YhiHk0vOJ8TL1BxogzVlMpmod6ianYGmksQq6NWCEd56hZF4wfaNyZcrGfNxnPiG6ZAxSkfmhJAKtNmCqbRmppeXp8inz4eq3HkWCMSORyMMX522xpHG6basNr6KQfbZsFbHjzyNlJrruLolKFcC84dqfijBO5Dy2NaBcNEBPgQrT12PgpcKx2or2YChN5DPjs80zzdtdAdTKuW4uVv9bbZu3K2SZ2aEhTlIC1UqrIWibkzwHh6p8gLv26zr01mJybfOzFc4T7kQH1IpPwOzMDnAKPLsLrznXGjFNIA9bSWWms6ibKZwQIKrMzalwbFrQJvOP1rPH8rx2KkyYqrtQk5VRwM1HSX,
