企业防内部泄密的两种技术方案

2022-07-07

企业数据防泄密，是信息安全行业的一个重要领域。随着各行业信息化的深入，数字保密信息已经成为企事业单位的核心资产，具有极高的价值。机密数据泄露有两种情况。一是位于企事业单位网络之外的黑客通过各种攻击和破坏手段非法窃取内部数据；一是内部人员，他们有权检索和查阅数据，并主动发送或执行数据。

近年来，内部和外部网络边界的安全保护措施受到了前所未有的重视，防火墙、入侵检测和访问控制技术得到了极大的发展和广泛应用，使得突破和窃取外部数据变得越来越困难。相比之下，内部人员主动泄露已成为受影响最严重的领域。

内部泄密者作案更方便。由于大多数企业没有任何防范数据泄露的措施，因此他们可以随时准确地获取企业最有价值的信息，并通过网络轻松地发送出去或通过移动存储介质来实现。根据调查，仅在2018年，由于内部泄密，美国的商业损失就超过了2500亿美元。不久前，闹得沸沸扬扬的力拓商业间谍案被公司高层泄露了。这一事件导致中国在钢铁行业的重大谈判中处于被动地位。保密局透露，此次事件给中国造成的损失高达7000亿元人民币，相当于澳大利亚国内生产总值的10%。

为了防止内部人员泄露，经过长期探索，信息安全行业已经具备了成熟的技术对策。这些方法可以归纳为两种：一种是网络封堵方案，另一种是文件加密方案。

关于网络封堵方案的思考

这种方案可以理解为传统生活中物理防盗思维的移植。事实上，以现金盗窃预防为例：如果现金需要储存，它应该储存在一个坚固的金库里，周围有严密的警卫。如果现金需要运输，它将由装甲运钞车护送，警卫将配备实弹。如果有大量的现金要交易，它将被放在一个像银行柜台一样的地方，周围有摄像头，并且总是处于警惕和监督之下。总的来说，这种方案是在被保护的物品和外界之间形成一个屏障，这样强盗就不能接近和触摸它。

相应的，网络封堵的防泄漏方法：在存储数据的服务器或终端中，通过用网络管控软件控制或修改机箱来阻塞所有可能导致泄漏的外部接口。当数据在内部网之间传输时，所有可能导致泄漏的有线和无线网络设备接口都被阻塞，甚至当人们进入或离开大门时，他们是否携带存储介质也被检查。限制对外部网络的访问，在内部和外部网络之间设置过滤网关，当必须将数据带出外部时，将由特殊办公室位置的特殊人员进行监督和审计。

关于文件加密方案的思考

文件加密方案充分考虑了数字信息的固有特征。与传统对象相比，数字信息加密更便宜，更容易实现。即使加密文件数据被动流出外部，也无法打开。然而，这里有两个问题。首先，每次手动加密和解密大大增加了人们的操作负荷；第二，那些需要查询或编辑文档的人仍然可以得到文档的明文，如果这些人想要自愿地披露秘密仍然是非常容易的。

为了解决这两个问题，一种叫做“透明加密和解密”的技术应运而生。透明加密和解密技术有三个特点：

1.无需手动加密和解密操作。每次需要打开一个文档时，它都会被自动解密并显示在界面上；当需要保存时，它将被自动加密并保存到介质中。加密和解密对用户来说是透明和不可见的。

2.集群加密环境。加密文档可以在指定的集群范围内正常打开和编辑。一旦它们流出这个范围，它们就不能再被打开，无论它们是通过网络发送还是通过移动存储介质复制。请注意，这是一个重要的改进，其原则是文档用户没有加密和解密密钥，具有更高权限的密钥管理器没有文档使用权限，这自然会形成相互制约的关系。作为补充，密钥管理可以使用二次加密转换机制，而USBKey反分析自定义加密和解密算法的应用使得同时拥有密钥和文档的人在外部环境中打开加密文件变得极其困难。当然，如果文件需要发送出去，可以建立某种批准机制，在发送出去之前在内部解密成明文。

比较这两种方案，我们可以发现它们各有利弊。随着新技术的不断出现，数据传输方式和存储手段也越来越多样化，网络封堵的方案受到了严峻的挑战，可以说是无法封堵和无法防止。对于正常的数据传输来说，到处封锁和设防会严重牺牲操作的便利性。文件加密方案在确保安全的同时会损失一定的便利性，比如不能正常随意复制拷贝文件，话说回来，这不就是防泄密的特点吗？

基于这两种观点，市场上的防泄密产品可以分为两类。传统的网络管控产品主要采用网络封堵技术路线，而新型防主动泄露产品主要采用透明加解密技术路线。同时也是两种技术理念结合的产物。例如，安企神在控制网络传输过程中也采用了传输封堵机制；同时透明加解密可以很好的确保文件数据安全，加密文件一旦脱离企业环境，将无法打开使用，显示为乱码。在产品的实际应用中，通常会增加记录文档操作日志的功能，以备事后审核。