內網安全數據保密技術分析與比較

鄒翔^①?王志海^②，李志濤^②

（①公安部第三研究所上海 200031；

②北京明朝萬達科技有限公司，北京 100000）

?

【摘要】本文通過對目前主要的內網安全數據保密關鍵技術討論和分析，給出了不同內網安全數據保密技術的優缺點，并對其應用領域進行了討論。

【關鍵詞】內網安全 數據保密 文件加密 終端安全

Analysis and comparison?of intranet security and data?confidentiality technology

ZOU Xiang^①, WANG Zhi-hai^②，LI Zhi-tao^②

(①The Third Research Institute of the Ministry of Public Security，Shanghai 200031,China;

②Beijing Wondersoft Tech. Co. Ltd., Beijing 100085, China)

【Abstract】Different kinds of technologies and products of the intranet security and data?confidentiality are discussed and analyzed，benefits and defects of the different kind of technologies are presented in this paper, and the scope of the different kinds of technologies is also discussed.

【Key Word】Intranet security, Data confidentiality, File encryption, Endpoint safe

?

0 引言

內網安全經過多年發展，已經日漸豐富，包括了身份認證、授權管理、數據保密和監控審計四大領域。其中，數據保密是內網安全技術體系的核心，也是內網安全產品中最體現技術實力的領域。在國內外現有的內網安全產品中，雖然大部分都集中在監控審計和授權管理方面，但是依然不乏在數據保密領域的積極探索者，并日漸出現欣欣向榮的景象。

經過多年深入的研究和積累，內網安全專家認為，數據保密技術從技術實現上可以分為文件級和系統級兩種。這兩種技術各具特點，適用于不同的保護目的、使用環境和數據類型。

1 文件級的數據保密技術

1.1 文件級數據保密技術基本原理

文件級的數據保密技術指針對特定類型的文檔或者文件，進行數據相關操作的增強、保護和授權管理，從而確保該文件在設定的用戶、地點或者時間范圍內被使用，實現該文件的保密管理。在信息安全產業內，通常也稱文件級數保密技術為文檔加密技術。

文件級數據保密技術必須對特定類型的文件格式和操作進行研究，如研究PDF和Word復制、粘貼和保存等操作的特性，從而針對不同類型的文件相應的技術方案。文件級數據保密技術的主要技術要點包括以下幾個方面^[1][2]：

——文件級保密技術的實現主要是通過文件和訪問文件進程的信任關系來判斷對文件是否執行加密和解密操作，從而達到防止非信任進程獲取加密文件有效信息的目的。所以，文件級保密技術的實現要點之一就是要對進程的合法性進行識別。

——因為某信任進程獲得文件的訪問權限后，文件內容將被解密并以明文形成存在內存中，各種應用進程由于需要，可能基于該文件內容產生額外的臨時文件并調用其他進程進行訪問，從而可能導致泄密。為了防范該泄密風險，文件加密技術針對各種具體進程的行為進行特定的分析，從而給出應對策略，對其臨時文件或者調用的其他進程進行一系列的相關控制。

——文件級保密技術對文件的加密保護是以文件為單位的，通常情況下了，為了避免直接對文件加密過程中因設備斷電或者系統崩潰導致文件數據損壞丟失的風險，會采用臨時文件技術進行加解密操作，然后在加解密操作完成后再將文件替換實際的文件，這樣要求對以明文形式存儲在硬盤中的臨時文件需要采用保護措施，防止該臨時文件被獲取導致保密技術的失效。

——為了防止應用進程的另存、復制和粘貼等內存操作導致的數據泄密風險，文件級加密技術還需要針對應用進程的另存、復制和粘貼等內存操作行為進行控制，從而達到實現文件保密的目標。

1.2 文件級數據保密技術優缺點分析

通過上述的技術特點分析，可以很容易得出文件級保密技術優缺點。

（1）文件級數據保密技術優點

——可以單獨針對某種類型的文件進行保密控制，具有較強的靈活性，也能夠有區別地進行復制、粘貼、另存和打印等權限的靈活控制。

——概念簡單清晰，易于用戶和市場理解和接受，對用戶現有管理流程要求低。

——技術實現難度小，開發投入小，產品化周期短，成本較低。

（2）文件級數據保密技術缺點

——安全性較低，容易破解。文件級數據保密技術由于其實現特點，在臨時文件的防護、信任進程識別以及內存內容控制方面，都存在容易被破解攻擊的防護弱點，Chinasec內網安全專家對目前主流的基于文件級數據保密技術的產品進行的安全漏洞破解分析也證明了這一點。

——兼容性較差，項目實施維護成本高。由于文件級加密技術需要分析各種不同應用的進程具體行為特征來確定保密文件的類型以及具體策略，所以在項目實施和維護的時候成本和難度都較高，一旦用戶的應用比較復雜，特別是存在用戶不同應用需要交換同一類型文件或者用戶應用發生升級的時候，就需要文件級數據保密技術的相關產品進行二次開發和升級，才能適應新版本的應用，給用戶和廠商都將帶來較大的投入和難度。

——效率低，穩定性較差。由于加密時采用了臨時文件技術，導致文件的讀寫操作增加了一次，一方面導致效率至少降低50%以上，另一方面也將導致文件轉存之間由于系統掉電等原因造成文件損壞或者丟失的風險增大，這導致在許多文件級保密產品實際應用常常發生文件被破壞的情況。

2 系統級的數據保密技術

2.1 系統級數據保密技術基本原理

系統級的數據保密技術不針對具體文件進行加密操作，而是通過對存儲系統、網絡系統以及輔助授權等手段實現對數據保密的目標。其特點是通過對用戶工作數據流的范圍進行分析，構建針對整個數據使用范圍的安全保密控制環境。

系統級的數據保密技術必須要對一些核心的操作系統行為進行控制，對底層的數據流進行攔截和加密處理等，包括磁盤數據流、網絡數據流和外設等^[3]。其主要技術特點包括以下幾個方面：

——需要對數據存儲的安全保密性進行嚴格控制，特別是實現磁盤級的加密，確保對所有存儲數據的完整控制，與具體的應用和文件格式無關。

——需要對數據網絡傳輸的安全保密性進行嚴格控制，實現網絡層的加密，與具體的網絡應用無關。

——需要對移動存儲設備、各種外設、打印和刻錄等數據輸出途徑的全方位控制，并制定靈活的應用策略。

2.2 系統級數據保密技術優缺點分析

通過上述分析，可以得出系統級數據保密技術的優缺點。

（1）系統級數據保密技術優點

——安全強度較高。因為系統級數據保密技術在磁盤存儲系統、網絡傳輸系統以及其他外設系統都采用了正規的核心系統級技術，并結合加密技術進行控制，沒有因為其技術實現路線帶來更多的潛在安全漏洞，所以其安全強度較高。

——兼容性良好。由于系統級數據保密技術與應用無關，不需要分析應用的具體行為，所以不存在跟應用的兼容問題，其兼容性體現良好。

——穩定性良好。由于系統級數據保密技術沒有增加額外的文件操作步驟和風險，所以沒有增加系統額外帶來的不穩定因素，其穩定性體現良好。

（2）系統級數據保密技術缺點

——實施前期準備要求高。因為系統級數據保密技術需要根據單位業務數據流向來確定其數據保密的范圍，所以要求實施單位的業務流程管理較規范，業務流程清晰，通常在實施前要求實施單位進行充分的調研和調整等準備工作，類似ERP系統的實施前準備。

——對實施單位管理要求高。系統級數據保密產品實施后，要求實施單位必須建立規范的信息系統管理流程和制度，并基于該制度在保密系統中給予不同的策略授權，才能確保單位業務工作的正常展開。

3 結語

通過上述文件級保密技術和系統級保密技術分析可以看出，文件級和系統級保密技術各有優缺點，在實際的產品研發和選擇應用中，應該根據其技術特點揚長避短，才能做出好產品，得到市場和用戶的認可。

總體來說，基于文件級保密技術的產品更加適用于相對簡單的辦公環境，比如只涉及到Office系列文件的辦公自動化系統（OA），但對于應用復雜的制造、研發和生產型單位則存在較大風險。基于系統級保密技術的產品更加適用于環境較復雜的制造、研發和生產型單位，以及大型的行業網絡應用系統，對于環境較簡單的辦公自動化系統等則顯得技術手段過于復雜。

明朝萬達的Chinasec內網安全專家基于上述的深入分析，對明朝萬達的Chinasec（安元）可信網絡安全平臺產品線也有區分地進行不同技術的采用，如Chinasec可信數據管理系統和Chinasec可信網絡保密系統針對大型的研發、制造、生產和大型行業網絡，則以采用系統級保密技術為主，文件級保密技術為輔；而Chinasec應用保密管理系統則針對辦公自動化和其他BS簡單應用系統的保密需求設計，以采用文件級保密技術為主，系統級保密技術為輔。

轉載于:https://www.cnblogs.com/anme/archive/2010/03/10/1682971.html

創作挑戰賽新人創作獎勵來咯，堅持創作打卡瓜分現金大獎

總結

以上是生活随笔為你收集整理的【引用】内网安全数据保密技术分析与比较的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。